Artikel 50 Absatz 2: was bis zum 2. Dezember 2026 markiert sein muss

/01Was seit dem 27. Juli 2026 gilt: die Übergangsregel des Digital Omnibus

Die Verordnung (EU) 2026/1744 – der Digital Omnibus zur KI – wurde am 8. Juli 2026 in Straßburg unterzeichnet, am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am dritten Tag danach in Kraft, also am 27. Juli 2026. Sie ändert die KI-Verordnung (Verordnung (EU) 2024/1689) an rund vierzig Stellen. Für Betreiber generativer Systeme ist eine davon entscheidend. Nummer 39 fügt Artikel 111 einen neuen Absatz 4 an, der im Amtsblatt so lautet:

„(4) Anbieter von KI-Systemen, einschließlich KI-Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, die vor dem 2. August 2026 in Verkehr gebracht wurden, treffen die erforderlichen Maßnahmen, um Artikel 50 Absatz 2 bis zum 2. Dezember 2026 nachzukommen."

Erwägungsgrund 38 nennt den Zweck: ein „Übergangszeitraum von vier Monaten" für Anbieter, die ihre Systeme bereits vor dem 2. August 2026 in Verkehr gebracht haben, damit sie ihre Verfahren anpassen können, ohne den Markt zu stören. Daraus folgt dreierlei. Erstens: Der Geltungsbeginn von Artikel 50 selbst ist unverändert der 2. August 2026 – Absatz 1 (Hinweis auf KI-Interaktion), Absatz 3 (Emotionserkennung, biometrische Kategorisierung) und Absatz 4 (Deepfakes, Texte von öffentlichem Interesse) gelten seit diesem Tag ohne Aufschub. Zweitens: Wer ein generatives System nach dem 2. August 2026 in Verkehr gebracht hat oder bringt, muss die maschinenlesbare Kennzeichnung nach Absatz 2 sofort erfüllen; die vier Monate gelten nur für Bestandssysteme. Drittens: Für Bestandssysteme endet die Frist am 2. Dezember 2026 – in sechs Wochen.

Derselbe Omnibus setzt die Hochrisiko-Pflichten aus Kapitel III für Anhang-III-Systeme auf den 2. Dezember 2027 und für Anhang-I-Systeme auf den 2. August 2028 (Artikel 113 Absatz 3 Buchstabe c neu). Das ist die Verschiebung, von der alle reden; mit Artikel 50 hat sie nichts zu tun. Welche Fristen sonst noch gerutscht sind, steht im Artikel zum Omnibus. Am Rande: Derselbe 2. Dezember 2026 ist auch der Geltungsbeginn der neuen Verbote in Artikel 5 Absatz 1 Buchstaben ba und bb (Artikel 113 Absatz 3 Buchstabe a neu) – das Nudifier-Verbot, das Betreiber von Bildmodellen ebenfalls trifft.

Noch eine Änderung betrifft Artikel 50 direkt: Nummer 20 fasst Absatz 7 neu. Die Kommission fördert Praxisleitfäden zur Feststellung, Markierung und Kennzeichnung künstlich erzeugter Inhalte und prüft nach dem Verfahren des Artikels 56 Absatz 6, ob deren Befolgung angemessen ist. Der Erwägungsgrund dazu sagt ausdrücklich, dass diese Praxisleitfäden „keine Konformitätsvermutung begründen". Wer sich an den Praxisleitfaden hält, hat also eine gute Argumentationsgrundlage, aber keinen Freibrief.

/02Was Artikel 50 Absatz 2 verlangt – und was ausgenommen ist

Der Wortlaut von Absatz 2 richtet sich an Anbieter von KI-Systemen, „die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen". Sie „stellen sicher, dass die Ausgaben des KI-Systems in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind". Die technischen Lösungen sollen – „soweit technisch möglich" – wirksam, interoperabel, belastbar und zuverlässig sein, unter Berücksichtigung der Inhaltsart, der Umsetzungskosten und des „allgemein anerkannten Standes der Technik, wie er in den einschlägigen technischen Normen zum Ausdruck kommen kann".

Drei Dinge stehen damit fest, und eines nicht. Fest steht: Es geht um die Ausgabe, nicht um die Oberfläche. Ein Hinweis „Diese Antwort wurde von KI erstellt" im Chatfenster erfüllt Absatz 1, nicht Absatz 2. Fest steht: Gemeint sind alle vier Modalitäten, auch Text. Fest steht: Der Maßstab ist der Stand der Technik je Inhaltsart – ein Bildmodell wird an dem gemessen, was bei Bildern geht, ein Textmodell an dem, was bei Text geht. Nicht fest steht, welches Verfahren konkret genügt; die Verordnung nennt keins.

Ausgenommen sind laut Absatz 2 Satz 3 Systeme, die „eine unterstützende Funktion für die Standardbearbeitung ausführen oder die vom Betreiber bereitgestellten Eingabedaten oder deren Semantik nicht wesentlich verändern". Die Kommission konkretisiert das in ihren Fragen und Antworten zu Artikel 50: Kurze Folgen von Zahlen, Symbolen oder Buchstaben, Quellcode, Maschine-zu-Maschine-Ausgaben und Ausgaben in geschlossenen industriellen Entwicklungs- und Produktionsschleifen fallen nicht unter die Markierungspflicht; Standard-Bearbeitungshilfen (Rechtschreibung, Formatierung) ebenfalls nicht. Für B2B- und Industriekontexte gibt es enge weitere Ausnahmen unter benannten Bedingungen. Und: Inhalte, die vor dem 2. August 2026 erzeugt wurden, müssen nicht nachträglich markiert werden.

Ein Codierassistent ist damit raus, ein Extraktionsdienst mit JSON-Ausgabe ans ERP ebenfalls. Ein RAG-Assistent, der einem Sachbearbeiter einen Entwurf für eine Kundenmail schreibt, ist drin – es ist Text, er ist synthetisch, und die Semantik ist neu.

/03Anbieter oder Betreiber: wer bei Open-Weight-Modellen die Pflicht trägt

Absatz 2 adressiert Anbieter. Wer On-Premise ein offenes Modell betreibt, stellt sich deshalb zuerst die Frage, ob er überhaupt gemeint ist. Die Antwort steht in den Begriffsbestimmungen des Artikels 3.

„Anbieter" (Nummer 3) ist, wer ein KI-System „entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringt oder das KI-System unter ihrem eigenen Namen oder ihrer Handelsmarke in Betrieb nimmt, sei es entgeltlich oder unentgeltlich". „Betreiber" (Nummer 4) ist, wer „ein KI-System in eigener Verantwortung verwendet". „Inbetriebnahme" (Nummer 11) ist die „Bereitstellung eines KI-Systems in der Union zum Erstgebrauch direkt an den Betreiber oder zum Eigengebrauch entsprechend seiner Zweckbestimmung". Das Wort Eigengebrauch ist der Schlüssel.

Ein Open-Weight-Modell auf Hugging Face – Qwen, Mistral, Gemma, Llama – ist für sich genommen kein KI-System, sondern ein Modell. Artikel 50 Absatz 2 spricht ausdrücklich von „KI-Systemen, einschließlich KI-Systemen mit allgemeinem Verwendungszweck", nicht von Modellen. Wer die Gewichte herunterlädt, sie mit vLLM oder Ollama serviert, eine Oberfläche davorsetzt, einen System-Prompt hineingibt und das Ganze seinen Mitarbeitern als „Assistent" bereitstellt, hat aus einer Komponente ein System gebaut und es zum Eigengebrauch in Betrieb genommen – unter eigenem Namen. Nach dem Wortlaut der Begriffsbestimmungen ist er damit Anbieter dieses Systems, nicht nur Betreiber. Die Markierungspflicht nach Absatz 2 liegt dann bei ihm, nicht beim Modellhersteller. Die Kommissionsleitlinien zu Artikel 50 (Stand 6. August 2026) unterscheiden in dieselbe Richtung zwischen Open-Source-KI-Systemen, die unter Artikel 50 fallen, und bloßen Komponenten wie Modellen, die es nicht tun.

Anders liegt der Fall, wenn Sie ein fertiges Produkt eines Dritten einsetzen – eine kommerzielle Chat-Plattform, ein Bildwerkzeug mit eigener Marke: Dann ist der Hersteller Anbieter und muss die Markierung liefern; Sie sind Betreiber und tragen die Pflichten aus Absatz 4 (Offenlegung bei Deepfakes und bei veröffentlichten Texten von öffentlichem Interesse). Prüfen Sie in diesem Fall vertraglich, ob der Hersteller Absatz 2 bis zum 2. Dezember erfüllt – fragen Sie nach dem Verfahren, nicht nach einer Zusicherung.

Ob Sie durch Fine-Tuning oder wesentliche Veränderung eines Modells zusätzlich zum Anbieter eines Modells mit allgemeinem Verwendungszweck werden, ist eine andere Frage mit anderen Pflichten (Kapitel V); sie ist im Artikel zu den GPAI-Pflichten ausgeführt. Für Artikel 50 reicht es, ein System zu bauen und einzusetzen.

/04Bild, Audio, Video: C2PA-Manifeste und ihre Haltbarkeit

Für Bilder, Audio und Video gibt es einen Industriestandard, auf den sich die Praxis verständigt hat: die C2PA-Spezifikation, aktuell Version 2.2 vom Mai 2025. Ein C2PA-Manifest besteht aus Assertions (Aussagen über die Datei), einem Claim (dem signierten Container, der die Assertions referenziert) und einer Claim Signature (der Signatur mit dem privaten Schlüssel des Erstellers). Dass ein Inhalt von einem trainierten Algorithmus erzeugt wurde, steht als digitalSourceType in der Assertion c2pa.actions. Das Manifest wird in die Datei eingebettet und ist maschinenlesbar – genau das, was Absatz 2 verlangt.

Für ein Text-zu-Bild-System im Haus heißt das: Der Dienst, der das Diffusionsmodell aufruft, hängt nach der Erzeugung ein Manifest an, signiert mit einem Schlüssel, der Ihrem Unternehmen zugeordnet ist. Dasselbe gilt für Text-zu-Sprache-Ausgaben und für Videogeneratoren. Das ist eine Nachbearbeitungsstufe, kein Eingriff ins Modell – und deshalb auch für Modelle machbar, deren Hersteller nichts vorgesehen hat.

Die Grenze benennt die Spezifikation selbst: Ein Manifest ist Metadatum. Wer die Datei neu speichert, einen Screenshot macht oder sie durch einen Dienst schickt, der Metadaten entfernt, verliert es. Deshalb kennt C2PA 2.2 „Durable Content Credentials": Das Manifest wird zusätzlich über eine weiche Bindung – ein unsichtbares Wasserzeichen oder einen Fingerabdruck – mit der Datei verknüpft, sodass es aus einem externen Verzeichnis wiedergefunden werden kann, wenn es aus der Datei entfernt wurde. Für den Mittelstand ist das zweistufige Vorgehen realistisch: Manifest immer, Wasserzeichen dort, wo Inhalte das Haus verlassen. Absatz 2 verlangt den Stand der Technik „soweit technisch möglich" und unter Berücksichtigung der Kosten – nicht die Unentfernbarkeit.

/05Text: warum ein Wasserzeichen hier nur eine Schicht von mehreren ist

Bei Text gibt es kein Dateiformat mit Metadaten-Container. Ein Absatz, der aus dem Chatfenster in eine Mail kopiert wird, ist nur noch Zeichen. Textwasserzeichen setzen deshalb am Sampling an: Beim Erzeugen jedes Token wird die Wahrscheinlichkeitsverteilung anhand eines geheimen Schlüssels leicht verschoben, sodass ein Detektor mit demselben Schlüssel später statistisch erkennen kann, ob ein längerer Text aus dem markierten Modell stammt. Wie dieser Eingriff in die Inferenz-Pipeline technisch aussieht – ein LogitsProcessor nach der Top-k- und Top-p-Filterung –, haben wir im Artikel zur technischen Umsetzung beschrieben. Hier geht es um die Frage, was dieses Verfahren leistet und was nicht.

Die ehrliche Antwort steht in der Dokumentation des bekanntesten offenen Verfahrens. Google DeepMind hat SynthID Text als Referenzimplementierung unter Apache 2.0 veröffentlicht, mit Anbindung an Hugging-Face-Transformers und zwei Detektoren – einem einfachen gewichteten Mittelwert ohne Training und einem Bayes-Detektor, der auf markierten und unmarkierten Texten trainiert werden muss. Die README sagt zugleich: Die Implementierung ist „for reference and research reproducibility purposes only", die eingeführten Klassen seien „not designed to be used in production systems", und die Hash-Funktion „does not provide any guarantees of cryptographic security". Das ist kein Mangel des Projekts, sondern der Stand des Felds: Textwasserzeichen sind bei kurzen Texten, bei Texten mit wenig Wahlfreiheit (Zahlenreihen, Standardformulierungen) und nach Umformulierung unzuverlässig. Wer sie als Beweismittel behandelt, überschätzt sie.

Was folgt daraus für den 2. Dezember? Absatz 2 verlangt den Stand der Technik unter Berücksichtigung der „Besonderheiten und Beschränkungen der verschiedenen Arten von Inhalten". Für Text heißt das in der Praxis ein Verfahren aus mehreren Schichten, von denen keine allein trägt:

• Statistisches Wasserzeichen im Sampler, wo das Modell und die Serving-Engine es zulassen – als Signal, nicht als Beweis.
• Ausgabeprotokoll: Jede erzeugte Antwort wird mit Zeitstempel, Modellstand, Nutzerkennung und einem Hash des Textes protokolliert. Damit lässt sich ein vorgelegter Text gegen die Erzeugungshistorie prüfen – maschinenlesbar und zuverlässiger als jedes Wasserzeichen, solange der Text nicht verändert wurde.
• Maschinenlesbare Kennzeichnung an der Schnittstelle: Die API-Antwort trägt ein Feld, das den Inhalt als KI-erzeugt ausweist; Exporte (Dokumente, Mails aus dem System) erhalten einen strukturierten Vermerk, der vom nächsten System ausgewertet werden kann.

Keine dieser Schichten ist perfekt. Zusammen erfüllen sie, was ein Betreiber im Dezember 2026 vernünftigerweise leisten kann, und sie sind dokumentierbar. Wer nur das Wasserzeichen hat, hat ein Signal ohne Nachweis; wer nur das Protokoll hat, erkennt kopierten Text nicht wieder.

{"ts":"2026-12-02T09:14:31Z","system":"assistent-vertrieb","model":"qwen3-27b@2026-10",
 "model_sha256":"3f1c…","user":"u-4711","output_sha256":"9b7e…","chars":1832,
 "watermark":{"scheme":"synthid-text","key_id":"k-2026-q4"},
 "ai_generated":true,"art50":{"para":2,"marked":true}}

/06Oberfläche und Protokoll: Absatz 1, 4 und 5 im Betrieb

Absatz 2 ist die Pflicht mit Frist. Die anderen Absätze gelten seit dem 2. August 2026 und gehören in dieselbe Umsetzung, weil sie dieselben Komponenten betreffen.

Absatz 1 verlangt, dass Systeme „für die direkte Interaktion mit natürlichen Personen" so gebaut sind, dass diese Personen informiert werden, dass sie mit einem KI-System interagieren – es sei denn, das ist aus Sicht einer „angemessen informierten, aufmerksamen und verständigen" Person offensichtlich. Für einen internen Chatbot, der „Assistent" heißt und im KI-Portal läuft, ist das offensichtlich; für einen Antwortgenerator, der in Outlook Mails vorformuliert, nicht unbedingt. Was der Hinweis konkret leisten muss, steht im Artikel zur Chatbot-Kennzeichnung.

Absatz 4 trifft Betreiber: Wer einen Deepfake erzeugt oder verbreitet – nach Artikel 3 Nummer 60 ein KI-erzeugter Bild-, Ton- oder Videoinhalt, der realen Personen, Orten oder Ereignissen ähnelt und fälschlich als echt erscheinen würde –, muss offenlegen, dass der Inhalt künstlich ist. Wer KI-erzeugten Text veröffentlicht, „um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren", ebenfalls – es sei denn, der Text wurde menschlich geprüft und eine Person trägt die redaktionelle Verantwortung. Für Produktbeschreibungen und Angebotstexte greift die Pflicht nicht; für die Pressemitteilung zur Werksschließung, die ein Sprachmodell geschrieben hat, schon, wenn niemand sie redaktionell verantwortet.

Absatz 5 verlangt, dass die Informationen „spätestens zum Zeitpunkt der ersten Interaktion oder Aussetzung in klarer und eindeutiger Weise" bereitgestellt werden und den Barrierefreiheitsanforderungen entsprechen. Ein Hinweis in den Nutzungsbedingungen ist zu spät und zu versteckt; ein Hinweis beim ersten Öffnen des Chats und dauerhaft sichtbar in der Oberfläche genügt.

Der gemeinsame Nenner ist das Protokoll. Ob ein Prüfer in zwei Jahren wissen will, welches Modell einen Text erzeugt hat, ob der Nutzer informiert war oder ob ein Bild markiert wurde: Die Antwort steht im Ausgabeprotokoll aus Abschnitt /05, oder sie steht nirgends. Welche Protokollpflichten darüber hinaus für Hochrisiko-Systeme ab 2027 kommen, haben wir in der Vertiefung EU-AI-Act-Audit-Logs zusammengestellt – wer das Format heute schon so wählt, baut später nicht um.

/07Die Checkliste bis zum 2. Dezember

Die folgende Tabelle ordnet die Pflichten den Komponenten eines typischen On-Premise-Stacks zu. Sie ist nach Systemtyp gegliedert, weil die Maßnahme von der Modalität abhängt, nicht vom Modell.

/08Grenzen: wo der Aufwand unverhältnismäßig ist und wo die Pflicht nicht greift

Ein Artikel wie dieser verleitet dazu, jedes System zu markieren. Das wäre in zwei Richtungen falsch.

Wo die Pflicht nicht greift, kostet Markierung Geld ohne Nutzen. Ein Codierassistent auf Basis von Qwen-Coder erzeugt Quellcode – ausgenommen. Ein Extraktionsdienst, der aus Lieferscheinen Positionen liest und als JSON weitergibt, erzeugt Maschine-zu-Maschine-Ausgaben – ausgenommen. Ein Whisper-Dienst, der Besprechungen transkribiert, ändert die Semantik nicht wesentlich – nach Satz 3 ausgenommen, solange er nicht zusammenfasst. Für diese Systeme reicht ein Vermerk, warum sie nicht unter Absatz 2 fallen. Ohne Vermerk müssen Sie die Einordnung in zwei Jahren aus dem Gedächtnis rekonstruieren.

Wo die Pflicht greift, aber das Verfahren nicht trägt, hilft Überinvestition nicht. Ein Textwasserzeichen, das nach einer Umformulierung durch den Sachbearbeiter nicht mehr nachweisbar ist, wird durch einen stärkeren Schlüssel nicht besser. Hier zählt, dass Sie den Stand der Technik erkennbar berücksichtigt und das Ergebnis dokumentiert haben – Absatz 2 verlangt wirksame Lösungen „soweit technisch möglich", nicht das Unmögliche. Wer dagegen ein multimodal arbeitendes Bildsystem ohne jedes Manifest betreibt, obwohl C2PA seit Jahren verfügbar ist, hat ein Problem, das keine Dokumentation löst.

Die Sanktion ist in Artikel 99 Absatz 4 Buchstabe g geregelt: Verstöße gegen die Transparenzpflichten des Artikels 50 können mit Geldbußen bis zu 15.000.000 € oder – bei Unternehmen – bis zu 3 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Absatz 6 bestimmt, dass für KMU einschließlich Start-ups jeweils der niedrigere der beiden Beträge gilt. Die oft zitierten 35.000.000 € oder 7 % gelten nur für verbotene Praktiken nach Artikel 5 und haben mit Artikel 50 nichts zu tun. Nach Absatz 7 fließen Art, Schwere und Dauer des Verstoßes und das Verhalten des Unternehmens in die Bemessung ein – ein dokumentierter, unvollkommener Versuch steht anders da als Untätigkeit.

/09Entscheidung: was je Systemtyp bis zum Stichtag stehen muss

Für ein reines Textsystem im Haus – Chat, RAG, Mailentwürfe – muss am 2. Dezember stehen: der Hinweis nach Absatz 1 in der Oberfläche (längst fällig), ein Ausgabeprotokoll mit Hash und Modellstand je Antwort, ein Kennzeichnungsfeld in der API und in Exporten, und ein schriftlicher Vermerk, warum das Textwasserzeichen eingesetzt oder nicht eingesetzt wird. Zwei bis fünf Personentage, wenn Sie die Serving-Engine und die Oberfläche selbst betreiben.

Für ein Bild- oder Audiosystem kommt die C2PA-Stufe hinzu: ein Signaturschlüssel für das Unternehmen, ein Dienst, der jedes erzeugte Objekt mit Manifest versieht, und eine Regel, welche Objekte zusätzlich ein Wasserzeichen bekommen, weil sie das Haus verlassen. Für Personenabbildungen und Stimmen zusätzlich die Offenlegung nach Absatz 4 in der Veröffentlichung. Rechnen Sie mit fünf bis zehn Personentagen, abhängig davon, wie viele Ausgabekanäle es gibt.

Für zugekaufte Plattformen ist die Aufgabe ein Brief: Welche Markierung liefert der Hersteller ab wann, in welchem Format, und wie können Sie sie prüfen? Die Antwort gehört in die Systemakte. Bleibt sie aus, ist das ein Lieferantenrisiko, das Sie kennen sollten – nicht erst im Dezember.

Für ausgenommene Systeme – Code, Extraktion, Transkription, Maschine-zu-Maschine – genügt der Einordnungsvermerk mit Verweis auf Absatz 2 Satz 3 und die Kommissions-FAQ. Eine Seite, datiert, unterschrieben.

Und für neue Systeme, die Sie ab jetzt in Betrieb nehmen, gibt es keine Frist: Die Markierung muss vom ersten Tag an stehen. Wer im November einen Proof of Concept mit eigenen Daten auf unserer Hardware startet – 2 bis 4 Wochen, kostenlos –, sollte das Ausgabeprotokoll in der ersten Woche definieren, nicht in der letzten. Der Umweg über eine nachträgliche Markierung kostet mehr als das Protokoll selbst.

Das ist keine Formsache: Absatz 2 ist die erste Pflicht der KI-Verordnung, die nicht mit einem Dokument, sondern nur mit einer Änderung am laufenden System erfüllt werden kann. Wer die Serving-Engine, die Oberfläche und das Protokoll selbst betreibt, ändert drei Konfigurationen. Wer das nicht tut, wartet auf einen Hersteller.