KI-Transparenzpflicht nach AI Act rechtssicher umsetzen

Die KI-Transparenzpflicht ist für Unternehmen, Behörden und professionelle Anwender kein rein technisches Thema. Sie entscheidet darüber, ob Betroffene erkennen können, dass sie mit einem KI-System interagieren, ob künstlich erzeugte Inhalte als solche kenntlich gemacht werden müssen und welche Informationen vor, während oder nach einem KI-Einsatz bereitzustellen sind. Rechtlich steht dabei vor allem die europäische KI-Verordnung, der AI Act, im Mittelpunkt. Daneben bleiben Datenschutzrecht, Wettbewerbsrecht, Vertragsrecht und arbeitsrechtliche Vorgaben relevant.

Grundsätzlich bedeutet Transparenz nicht, dass jeder Algorithmus offengelegt oder Geschäftsgeheimnisse preisgegeben werden müssen. Erforderlich ist vielmehr eine verständliche, situationsgerechte Information über den KI-Einsatz, seine Funktion und mögliche Auswirkungen. Wie weit diese Pflicht reicht, hängt vom konkreten System, vom Einsatzbereich, von der Rolle des Unternehmens und von den betroffenen Personen ab.

Der Beitrag ordnet die wichtigsten Pflichten ein, grenzt ähnliche Begriffe ab und zeigt praxisnah, wie Unternehmen ihre Dokumentation, Hinweise und Prüfprozesse strukturieren können. Eine abschließende rechtliche Bewertung ersetzt dies nicht, weil der Einzelfall regelmäßig von technischen Details und dem tatsächlichen Nutzungsmodell abhängt.

Inhaltsverzeichnis

1. Was bedeutet die KI-Transparenzpflicht rechtlich?
2. Gesetzliche Grundlagen: AI Act, DSGVO und weitere Regelwerke
3. Abgrenzung: Transparenz, Kennzeichnung, Auskunft und Erklärbarkeit
4. Wen treffen KI-Transparenzpflichten in der Praxis?
5. Praxisrelevante Fallkonstellationen zur KI-Transparenzpflicht
6. Risiken, Haftung und typische Fehler
7. Fristen und Verjährung: Was gilt seit Inkrafttreten des AI Act?
8. Beweisfragen und Dokumentation bei KI-Transparenzpflichten
9. Handlungsschritte: So prüfen Unternehmen ihre KI-Transparenzpflicht
10. Wie sollten Hinweise zur KI-Nutzung formuliert werden?
11. Besonderheiten für Betroffene, Kunden und Beschäftigte
12. FAQ zur KI-Transparenzpflicht
13. … und 1 weitere Abschnitte

Was bedeutet die KI-Transparenzpflicht rechtlich?

Die KI-Transparenzpflicht beschreibt rechtliche Anforderungen, nach denen der Einsatz künstlicher Intelligenz für betroffene Personen oder Nutzer erkennbar und nachvollziehbar gemacht werden muss. Im Zentrum steht nicht die vollständige technische Offenlegung eines Modells, sondern die verständliche Information darüber, dass KI eingesetzt wird, wofür sie eingesetzt wird und welche Rolle sie in einem Prozess spielt.

Die wichtigste Grundlage ist die Verordnung (EU) 2024/1689 über künstliche Intelligenz, meist AI Act oder KI-Verordnung genannt. Sie unterscheidet zwischen verschiedenen Risikostufen und Rollen. Anbieter, Betreiber, Einführer, Händler und Nutzer können unterschiedliche Pflichten treffen. Der Begriff „Betreiber“ wird im deutschen Sprachgebrauch häufig für denjenigen verwendet, der ein KI-System beruflich einsetzt; der AI Act spricht in der deutschen Fassung vom „Betreiber“ beziehungsweise im englischen Text vom „deployer“.

Eine KI-Transparenzpflicht kann auf mehreren Ebenen entstehen. Bei Chatbots muss eine natürliche Person grundsätzlich erkennen können, dass sie mit einem KI-System interagiert, sofern dies nicht aus den Umständen offensichtlich ist. Bei Deepfakes oder bestimmten synthetischen Inhalten kann eine Kennzeichnung erforderlich sein. Bei Hochrisiko-KI-Systemen müssen zusätzlich Gebrauchsanleitungen, Zweckbestimmungen, Leistungsgrenzen und Aufsichtsmechanismen dokumentiert werden.

Wichtig ist die Abgrenzung: Transparenz bedeutet nicht automatisch Zustimmungspflicht. Ein Hinweis auf KI ersetzt keine datenschutzrechtliche Einwilligung, wenn eine solche ausnahmsweise erforderlich ist. Ebenso ersetzt eine Datenschutzerklärung nicht zwingend die spezifische Kennzeichnungspflicht nach dem AI Act. In vielen Fällen greifen mehrere Ebenen nebeneinander, etwa wenn ein Kundenservice-Chatbot personenbezogene Daten verarbeitet und zugleich als KI-gestütztes Interaktionssystem erkennbar sein muss.

Seit dem 2. August 2026 gelten die allgemeinen Transparenzpflichten des AI Act. Einzelne Pflichten waren bereits früher anwendbar, etwa das Verbot bestimmter KI-Praktiken und Anforderungen an KI-Kompetenz. Für Unternehmen ist deshalb entscheidend, nicht nur eine abstrakte KI-Richtlinie zu erstellen, sondern jedes konkrete Einsatzszenario rechtlich und technisch zu erfassen.

Gesetzliche Grundlagen: AI Act, DSGVO und weitere Regelwerke

Die KI-Transparenzpflicht ergibt sich nicht aus einem einzigen Paragrafen. Sie ist das Ergebnis mehrerer Regelungsebenen, die je nach Anwendung unterschiedlich stark greifen. Der AI Act bildet den KI-spezifischen Rahmen. Er regelt unter anderem verbotene Praktiken, Hochrisiko-KI-Systeme, Transparenzpflichten für bestimmte KI-Anwendungen und Anforderungen an Modelle mit allgemeinem Verwendungszweck.

Für die allgemeine Transparenz ist insbesondere Art. 50 AI Act bedeutsam. Danach müssen bestimmte KI-Systeme so gestaltet oder eingesetzt werden, dass Menschen über die Interaktion mit KI informiert werden. Dies betrifft insbesondere Systeme, die mit natürlichen Personen unmittelbar interagieren, beispielsweise Chatbots, Voicebots oder KI-basierte Assistenzsysteme. Die Pflicht kann entfallen oder abgeschwächt sein, wenn die KI-Nutzung aus Sicht einer angemessen informierten und aufmerksamen Person offensichtlich ist.

Weitere Transparenzpflichten betreffen synthetische Inhalte. Anbieter von KI-Systemen, die künstliche Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen unter Umständen dafür sorgen, dass Ausgaben maschinenlesbar als KI-generiert oder manipuliert erkennbar sind. Betreiber, die Deepfakes veröffentlichen oder verbreiten, müssen diese grundsätzlich kenntlich machen. Für journalistische, künstlerische, satirische oder strafverfolgende Kontexte können Sonderregeln und Abwägungen gelten; sie sollten nicht pauschal angenommen werden.

Daneben bleibt die Datenschutz-Grundverordnung maßgeblich, sobald personenbezogene Daten verarbeitet werden. Nach Art. 12 bis 15 DSGVO müssen Informationen präzise, transparent, verständlich und leicht zugänglich sein. Bei automatisierten Entscheidungen einschließlich Profiling können zusätzliche Angaben zur involvierten Logik, zur Tragweite und zu angestrebten Auswirkungen erforderlich sein. Art. 22 DSGVO ist jedoch nur einschlägig, wenn eine ausschließlich automatisierte Entscheidung rechtliche Wirkung entfaltet oder die betroffene Person ähnlich erheblich beeinträchtigt. Nicht jede KI-Unterstützung erfüllt diese Schwelle.

In Arbeitsverhältnissen kommen arbeitsrechtliche Informations- und Beteiligungsfragen hinzu. Wird KI zur Leistungsbewertung, Personalauswahl oder Einsatzplanung genutzt, können Mitbestimmungsrechte des Betriebsrats, Beschäftigtendatenschutz und besondere Informationspflichten gegenüber Arbeitnehmern relevant werden. Bei Verbrauchern können lauterkeitsrechtliche Vorgaben hinzutreten, wenn KI-Hinweise irreführend, unvollständig oder in wesentlichen Punkten verschleiert sind.

Auch Vertragsrecht spielt eine praktische Rolle. Wer KI-Leistungen einkauft, sollte vertraglich regeln, welche Transparenzinformationen, technische Dokumentationen, Audit-Rechte und Änderungsmitteilungen der Anbieter bereitstellt. Ohne solche Regelungen entsteht häufig eine Lücke: Das einsetzende Unternehmen ist gegenüber Betroffenen informationspflichtig, besitzt aber selbst nicht genügend Informationen über Modellversion, Trainingslogik, Risikokontrollen oder Ausgabe-Kennzeichnung.

Abgrenzung: Transparenz, Kennzeichnung, Auskunft und Erklärbarkeit

In der Praxis werden Begriffe wie Transparenz, Kennzeichnung, Auskunft, Dokumentation und Erklärbarkeit häufig gleichgesetzt. Das führt zu Unsicherheiten, weil die Anforderungen unterschiedlich hoch sind und verschiedene Adressaten betreffen. Ein Verbraucher benötigt etwa eine verständliche Information darüber, dass er mit einem KI-Chatbot kommuniziert. Eine Aufsichtsbehörde kann dagegen technische Unterlagen verlangen. Ein Vertragspartner will möglicherweise Zusicherungen zur Einhaltung des AI Act. Diese Ebenen sollten getrennt geprüft werden.

Die folgende Gegenüberstellung zeigt die wichtigsten Unterschiede. Sie ersetzt keine Einzelfallprüfung, hilft aber, typische Missverständnisse zu vermeiden. Vor allem Unternehmen sollten nicht davon ausgehen, dass eine Datenschutzerklärung sämtliche Transparenzanforderungen abdeckt. Umgekehrt ist auch nicht jede technische Dokumentation für Endnutzer geeignet, weil sie zu komplex oder nicht adressatengerecht ist.

Aus der Tabelle folgt: Die rechtliche Frage lautet nicht nur, ob ein Hinweis vorhanden ist, sondern ob er die richtige Funktion erfüllt. Ein pauschaler Satz wie „Wir nutzen moderne KI-Technologien“ kann für Marketingtexte genügen, erfüllt aber regelmäßig keine spezifische Informationspflicht, wenn Betroffene die konkrete Interaktion, Verarbeitung oder Entscheidungsrelevanz nicht erkennen können.

Umgekehrt muss ein Unternehmen nicht in jedem Kundenhinweis Trainingsdaten, Modellparameter oder Quellcode offenlegen. Solche Informationen können Geschäftsgeheimnisse berühren und sind für Endnutzer oft nicht erforderlich. Entscheidend ist, ob die Information geeignet ist, die betroffene Person in die Lage zu versetzen, die Situation rechtlich und praktisch einzuordnen: Spricht sie mit einem Menschen oder einer Maschine? Hat die KI nur eine Formulierungshilfe geliefert oder eine Entscheidung vorbereitet? Kann der Vorgang überprüft werden? Gibt es einen menschlichen Ansprechpartner?

Wen treffen KI-Transparenzpflichten in der Praxis?

Die KI-Transparenzpflicht kann verschiedene Beteiligte treffen. Wer ein KI-System entwickelt und unter eigenem Namen bereitstellt, ist in der Regel Anbieter. Wer ein System beruflich nutzt, ist Betreiber. Daneben können Einführer und Händler Pflichten haben, wenn sie KI-Systeme in der EU in Verkehr bringen oder bereitstellen. Die Rollenzuordnung ist wichtig, weil sie über Dokumentations-, Informations- und Kontrollpflichten entscheidet.

Viele Unternehmen unterschätzen, dass sie auch ohne eigene KI-Entwicklung zum Pflichtadressaten werden können. Wer einen externen Chatbot, ein Bewerbermanagementsystem mit KI-Ranking oder ein Tool zur automatischen Bilderstellung nutzt, setzt KI im eigenen Verantwortungsbereich ein. Dann können Kennzeichnungs-, Informations- und Datenschutzpflichten entstehen, selbst wenn die Software von einem Drittanbieter stammt.

Für Anbieter steht häufig die Systemgestaltung im Vordergrund. Sie müssen Funktionen, Risiken, Gebrauchsanweisungen und technische Kennzeichnungen so bereitstellen, dass Betreiber ihre eigenen Pflichten erfüllen können. Bei Hochrisiko-KI-Systemen kommen umfangreiche Anforderungen an Risikomanagement, Datenqualität, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit hinzu. Transparenz ist dort Teil eines umfassenden Compliance-Rahmens.

Betreiber müssen dagegen vor allem prüfen, wie das System konkret eingesetzt wird. Ein generisches Sprachmodell kann intern zur Textformulierung genutzt werden, ohne dass externe Betroffene unmittelbar betroffen sind. Wird dasselbe System aber als Kundenchatbot eingesetzt, der Vertragsfragen beantwortet oder Reklamationen vorsortiert, steigen Informations- und Kontrollanforderungen. Wird es im Personalbereich für Bewerberbewertungen verwendet, kommen arbeits- und datenschutzrechtliche Anforderungen hinzu.

Auch Behörden, Schulen, Hochschulen, Krankenhäuser und Verbände können betroffen sein. Der öffentlich-rechtliche Kontext führt nicht automatisch zu strengeren KI-Transparenzpflichten nach dem AI Act, kann aber über Grundrechte, Verwaltungsverfahrensrecht und Dokumentationsanforderungen höhere Erwartungen an Nachvollziehbarkeit und Begründung auslösen. Gerade bei Entscheidungen mit Außenwirkung ist sorgfältig zu trennen, ob KI nur vorbereitet, priorisiert oder tatsächlich maßgeblich entscheidet.

Verbraucher und sonstige Betroffene sind meist nicht Adressaten der Pflichten, sondern Schutzsubjekte. Sie können unter Umständen Auskunft verlangen, eine menschliche Überprüfung einfordern, eine Beschwerde bei der Datenschutzaufsicht einreichen oder Ansprüche wegen unlauterer Geschäftspraktiken, Vertragsverletzungen oder Datenschutzverstößen prüfen lassen. Welche Rechte bestehen, hängt vom konkreten Vorgang und der Beeinträchtigung ab.

Praxisrelevante Fallkonstellationen zur KI-Transparenzpflicht

Die rechtliche Bewertung wird besonders deutlich, wenn man typische Einsatzsituationen betrachtet. In vielen Fällen ist nicht das KI-System als solches problematisch, sondern die fehlende Einordnung für die betroffene Person. Wer nicht erkennt, dass er mit KI kommuniziert oder dass ein Inhalt synthetisch erzeugt wurde, kann seine Rechte schlechter wahrnehmen und Informationen falsch gewichten.

Ein häufiger Fall ist der KI-Chatbot im Kundenservice. Beantwortet der Bot allgemeine Fragen zu Öffnungszeiten oder Versandstatus, genügt oft ein klarer Hinweis im Chatfenster. Werden dagegen Beschwerden, Zahlungsaufschübe oder Vertragskündigungen vorsortiert, sollte zusätzlich erklärt werden, welche Rolle der Bot spielt, wann ein Mensch eingeschaltet wird und wie Fehler korrigiert werden können. Je näher der Einsatz an rechtlich erheblichen Entscheidungen liegt, desto wichtiger werden Protokollierung und Eskalationswege.

Bei KI-generierten Bildern, Stimmen oder Videos liegt der Schwerpunkt auf Kennzeichnung. Ein synthetisches Produktbild ohne Bezug zu realen Personen kann weniger problematisch sein als ein Video, das eine reale Person täuschend echt bei einer Aussage zeigt. Bei Deepfakes ist die Pflicht zur Offenlegung besonders praxisrelevant, weil die Täuschungsgefahr gerade aus der scheinbaren Authentizität entsteht.

Im Personalbereich sind KI-Transparenzpflichten besonders sensibel. Ein Tool, das Bewerbungen nach Schlüsselbegriffen sortiert, kann bereits erhebliche Auswirkungen haben, wenn Bewerber faktisch aussortiert werden. Arbeitgeber müssen prüfen, ob Kandidaten und Beschäftigte informiert werden müssen, ob ein Betriebsrat zu beteiligen ist und ob Datenschutzfolgen angemessen bewertet wurden. Ein bloßer Hinweis in der Datenschutzerklärung reicht nicht immer aus, wenn die KI-Nutzung für Betroffene nicht erkennbar ist.

Typische Fallgruppen sind insbesondere:

• Kundenchatbots und Voicebots: Nutzer müssen grundsätzlich erkennen können, dass keine natürliche Person antwortet.
• KI-generierte Werbeinhalte: Kennzeichnung kann erforderlich sein, wenn Inhalte täuschend echt wirken oder Verbraucher über Herkunft und Authentizität irreführen.
• Deepfakes in Social Media: Veröffentlichungen müssen regelmäßig so kenntlich gemacht werden, dass der synthetische Charakter wahrnehmbar ist.
• Bewerbermanagement und Beschäftigtenanalyse: Transparenz, Mitbestimmung und Datenschutz sind frühzeitig zu prüfen.
• Kredit-, Versicherungs- oder Bonitätsbewertungen: Bei erheblichen Auswirkungen können besondere Erklärungs- und Auskunftspflichten entstehen.
• Medizinische oder rechtliche Triage-Systeme: Nutzer müssen verstehen, ob KI nur unterstützt oder eine fachliche Bewertung ersetzt.
• Interne KI-Assistenten: Auch ohne externe Kennzeichnung können Dokumentation, Vertraulichkeit und Datenminimierung erforderlich sein.
• KI-gestützte Übersetzung und Zusammenfassung: Transparenz ist vor allem dann relevant, wenn Dritte auf Richtigkeit und Vollständigkeit vertrauen.

Die Beispiele zeigen, dass identische Technologie rechtlich unterschiedlich bewertet werden kann. Ein Sprachmodell als internes Formulierungstool löst andere Pflichten aus als dasselbe Modell im Bewerberranking. Entscheidend sind Zweck, Zielgruppe, Datenart, Entscheidungsnähe, mögliche Fehlfolgen und die Frage, ob der KI-Einsatz für Betroffene ohne Hinweis erkennbar wäre.

Risiken, Haftung und typische Fehler

Verstöße gegen die KI-Transparenzpflicht können unterschiedliche Folgen haben. Der AI Act sieht empfindliche Bußgeldrahmen vor, wobei konkrete Sanktionen von Art, Schwere, Dauer, Vorsatz, Unternehmensgröße und Kooperationsverhalten abhängen. Für bestimmte Verstöße gegen die KI-Verordnung kommen Bußgelder bis zu 15 Millionen Euro oder bis zu 3 Prozent des weltweiten Jahresumsatzes in Betracht; bei verbotenen Praktiken sind höhere Rahmen vorgesehen. Diese Beträge sind Höchstgrenzen und bedeuten nicht, dass jeder Verstoß automatisch entsprechend sanktioniert wird.

Daneben kann die DSGVO greifen. Wenn personenbezogene Daten betroffen sind, können Datenschutzaufsichtsbehörden Maßnahmen anordnen, Verwarnungen aussprechen oder Bußgelder verhängen. Betroffene können unter Umständen Schadensersatz geltend machen. Zusätzlich kommen wettbewerbsrechtliche Abmahnungen in Betracht, wenn fehlende oder irreführende KI-Hinweise geschäftliche Entscheidungen von Verbrauchern beeinflussen können.

Haftungsrisiken entstehen nicht nur durch fehlende Hinweise, sondern auch durch überzogene oder unpräzise Aussagen. Wer etwa verspricht, eine KI entscheide „neutral“ oder „fehlerfrei“, kann sich angreifbar machen, wenn Trainingsdaten, Einsatzkontext oder Kontrollmechanismen dieses Versprechen nicht tragen. Rechtssicherer sind nüchterne, überprüfbare Angaben zu Funktion, Grenzen und menschlicher Kontrolle.

Typische Fehler sind:

• KI-Einsatz wird nur intern dokumentiert, aber gegenüber Betroffenen nicht erkennbar gemacht.
• Ein allgemeiner Datenschutzhinweis ersetzt die konkrete Kennzeichnung im Chat, Formular oder Medieninhalt.
• Die Rolle des Systems bleibt unklar: Empfehlung, Vorprüfung, Entscheidung oder bloße Formulierungshilfe.
• Verträge mit KI-Anbietern enthalten keine Pflichten zu Dokumentation, Updates, Audit-Unterstützung und Kennzeichnung.
• Beschäftigte nutzen externe KI-Tools ohne Regelung zu vertraulichen Daten, personenbezogenen Daten und Protokollierung.
• Deepfakes oder synthetische Medien werden nur versteckt oder missverständlich gekennzeichnet.
• Änderungen an Modellversionen werden nicht nachgehalten, obwohl sich Genauigkeit, Verhalten oder Risiken ändern können.
• Betroffenenanfragen werden nicht zuständigkeitsklar bearbeitet, insbesondere bei Auskunft, Löschung oder menschlicher Überprüfung.

Ein weiterer Risikofaktor ist die Beweisbarkeit. Unternehmen können rechtlich im Vorteil sein, wenn sie nachweisen können, wann welcher Hinweis angezeigt wurde, welche Version eines KI-Systems aktiv war und welche menschlichen Prüfungen stattgefunden haben. Umgekehrt kann eine lückenhafte Dokumentation dazu führen, dass selbst rechtlich vertretbare Prozesse im Streitfall schwer belegbar sind.

Fristen und Verjährung: Was gilt seit Inkrafttreten des AI Act?

Der AI Act ist am 1. August 2024 in Kraft getreten, wird aber stufenweise anwendbar. Verbotene KI-Praktiken und Anforderungen an KI-Kompetenz wurden bereits 2025 relevant. Pflichten für KI-Modelle mit allgemeinem Verwendungszweck griffen ebenfalls früher als viele allgemeine Betreiberpflichten. Die allgemeinen Transparenzpflichten, insbesondere nach Art. 50 AI Act, sind seit dem 2. August 2026 anwendbar. Für einzelne Hochrisiko-Systeme können abweichende Übergangsfristen gelten, insbesondere wenn sie in bestehende regulierte Produkte integriert sind.

Für Unternehmen bedeutet dies, dass eine bloße Beobachtung des Rechtsrahmens nicht mehr ausreicht. Bestehende KI-Anwendungen sollten inventarisiert und darauf geprüft werden, ob sie unter Transparenz-, Kennzeichnungs-, Datenschutz- oder Hochrisikoanforderungen fallen. Je nach Einsatzbereich kann auch eine Aktualisierung von Verträgen, Datenschutzhinweisen, Betriebsvereinbarungen und internen Richtlinien erforderlich sein.

Fristen spielen auch im Datenschutz eine praktische Rolle. Auskunftsersuchen nach Art. 15 DSGVO sind grundsätzlich unverzüglich, spätestens innerhalb eines Monats zu beantworten. Diese Frist kann in komplexen Fällen verlängert werden, muss dann aber rechtzeitig begründet werden. Wenn KI-Systeme personenbezogene Daten verarbeiten, sollte die Organisation daher nachvollziehen können, welche Daten in welchem System verarbeitet wurden und welche Logik oder Entscheidungsunterstützung relevant war.

Für zivilrechtliche Ansprüche gilt häufig die regelmäßige Verjährungsfrist von drei Jahren, beginnend mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und die anspruchsberechtigte Person Kenntnis von den maßgeblichen Umständen und der Person des Schuldners hatte oder ohne grobe Fahrlässigkeit hätte haben müssen. Je nach Anspruchsgrundlage, etwa im Datenschutz-, Vertrags-, Delikts- oder Arbeitsrecht, können Besonderheiten gelten. Kürzere Ausschlussfristen können sich aus Arbeitsverträgen, Tarifverträgen oder Allgemeinen Geschäftsbedingungen ergeben, soweit sie wirksam vereinbart sind.

Auch Aufbewahrungs- und Löschfristen müssen abgewogen werden. Einerseits dürfen personenbezogene Daten nicht unbegrenzt gespeichert werden. Andererseits braucht ein Unternehmen Nachweise für Compliance, Fehleranalyse und Verteidigung im Streitfall. Praktisch sinnvoll sind dokumentierte Löschkonzepte, die Protokolldaten, Hinweisversionen, Entscheidungsunterlagen und technische Logs differenziert behandeln.

Beweisfragen und Dokumentation bei KI-Transparenzpflichten

Beweisfragen sind bei KI-Transparenzpflichten besonders anspruchsvoll, weil technische Abläufe dynamisch sind. Ein Chatbot kann je nach Prompt, Modellversion, Nutzerprofil oder eingebundenem Wissensbestand unterschiedlich reagieren. Wer im Streitfall nur allgemein erklären kann, dass ein Hinweis „normalerweise“ angezeigt wird, wird häufig nicht ausreichend belegen können, was im konkreten Fall passiert ist.

Dokumentation sollte daher nicht erst nach einer Beschwerde beginnen. Sinnvoll ist ein System, das den Lebenszyklus der KI-Anwendung abbildet: Auswahl, Einführung, Risikoprüfung, Hinweisgestaltung, Tests, Freigabe, Betrieb, Monitoring, Änderungen und Abschaltung. Dabei ist zu beachten, dass Protokollierung selbst personenbezogene Daten enthalten kann. Deshalb müssen Datenminimierung, Zugriffsbeschränkungen, Speicherfristen und Sicherheitsmaßnahmen mitgedacht werden.

Für Betroffene ist die Beweisführung ebenfalls relevant. Wer geltend macht, nicht über den KI-Einsatz informiert worden zu sein, sollte den Vorgang möglichst früh sichern. Screenshots, Zeitstempel, Chatverläufe, E-Mails, Vertragsunterlagen und Antworten des Unternehmens können entscheidend sein. Bei dynamischen Webseiten oder Apps ist es sinnvoll, die URL, die Geräteumgebung und den Zeitpunkt festzuhalten.

Benötigte Nachweise können insbesondere sein:

• KI-Inventar mit Zweck, Anbieter, Verantwortlichen und Einsatzbereich.
• Risikobewertung und Einstufung nach AI Act, einschließlich Begründung.
• Versionen von Nutzerhinweisen, Datenschutzerklärungen und Chatbot-Labels.
• Protokolle darüber, wann und wo Hinweise angezeigt wurden.
• Verträge, Auftragsverarbeitungsverträge und technische Anlagen mit KI-Anbietern.
• Testberichte zu Genauigkeit, Fehlerraten, Bias-Risiken und Eskalationswegen.
• Dokumentation menschlicher Kontrolle und Freigabeentscheidungen.
• Schulungsnachweise zur KI-Kompetenz von Beschäftigten.
• Bearbeitungshistorie von Beschwerden, Auskunftsersuchen und Korrekturen.

Dokumentation muss nicht maximal umfangreich sein, sondern zweckmäßig. Ein kleines Unternehmen mit einem einfachen FAQ-Chatbot benötigt keine Unterlagen wie ein Anbieter eines Hochrisiko-KI-Systems im Gesundheitswesen. Gleichwohl sollte auch bei geringem Risiko nachvollziehbar sein, warum ein Hinweis gewählt wurde, welche Daten verarbeitet werden und wer für die Überwachung zuständig ist.

Handlungsschritte: So prüfen Unternehmen ihre KI-Transparenzpflicht

Ein praktikabler Prüfprozess beginnt nicht mit der Formulierung eines Hinweises, sondern mit der Erfassung der tatsächlichen KI-Nutzung. Viele Risiken entstehen, weil einzelne Fachabteilungen KI-Tools einsetzen, ohne dass Datenschutz, Recht, IT-Sicherheit oder Einkauf eingebunden sind. Die KI-Transparenzpflicht lässt sich nur zuverlässig erfüllen, wenn klar ist, welche Systeme im Einsatz sind, welche Daten verarbeitet werden und welche Personen betroffen sind.

Die folgenden Schritte haben sich als strukturierter Ausgangspunkt bewährt. Sie müssen an Unternehmensgröße, Branche und Risikoprofil angepasst werden:

1. KI-Inventar erstellen: Erfassen Sie alle KI-Systeme, einschließlich Pilotprojekte, SaaS-Tools, Chatbots, Analysefunktionen und in Standardsoftware integrierter KI.
2. Rollen bestimmen: Klären Sie, ob Ihr Unternehmen Anbieter, Betreiber, Händler, Einführer, Auftragsverarbeiter oder gemeinsam Verantwortlicher ist.
3. Zweck und Entscheidungsnähe prüfen: Dokumentieren Sie, ob die KI nur unterstützt, priorisiert, Empfehlungen abgibt oder rechtlich relevante Entscheidungen vorbereitet.
4. Risikoklasse nach AI Act bewerten: Prüfen Sie, ob verbotene Praktiken, Hochrisiko-Anwendungen, Transparenzfälle oder GPAI-Anforderungen berührt sind.
5. Datenschutzbezug klären: Legen Sie fest, welche personenbezogenen Daten verarbeitet werden, welche Rechtsgrundlage gilt und ob eine Datenschutz-Folgenabschätzung erforderlich ist.
6. Hinweise adressatengerecht formulieren: Platzieren Sie KI-Hinweise dort, wo die Interaktion oder Wahrnehmung stattfindet, etwa im Chatfenster, im Uploadbereich oder direkt am Medieninhalt.
7. Dokumentationsfrist intern festlegen: Sichern Sie Hinweisversionen, Freigaben und technische Änderungen mit Datum, Verantwortlichem und Geltungszeitraum.
8. Betroffenenprozesse fristgerecht organisieren: Stellen Sie sicher, dass DSGVO-Auskunftsersuchen grundsätzlich innerhalb eines Monats bearbeitet und KI-bezogene Rückfragen zuständig zugeordnet werden.
9. Verträge mit Anbietern prüfen: Fordern Sie Informationen zu Modellversionen, Trainings- und Testdaten, Kennzeichnungsfunktionen, Sicherheitsmaßnahmen und Änderungsmitteilungen an.
10. Menschliche Kontrolle festlegen: Definieren Sie, wann Mitarbeitende eingreifen, Entscheidungen überprüfen oder fehlerhafte KI-Ausgaben korrigieren müssen.
11. Beschäftigte schulen: Vermitteln Sie, welche Daten in KI-Tools eingegeben werden dürfen, wie Ergebnisse zu prüfen sind und wann Kennzeichnung erforderlich ist.
12. Regelmäßige Überprüfung einplanen: Prüfen Sie mindestens anlassbezogen bei Modellwechseln, neuen Einsatzbereichen, Beschwerden oder regulatorischen Änderungen.

Bei dieser Prüfung sollte der Fokus auf belastbaren Entscheidungen liegen. Nicht jede KI-Nutzung erfordert denselben Aufwand. Ein internes Tool zur Gliederung von Texten kann mit klaren Nutzungsregeln und Vertraulichkeitsvorgaben auskommen. Ein System, das Bewerbungen rankt, Kundenrisiken bewertet oder öffentliche Inhalte synthetisch erzeugt, benötigt deutlich mehr Prüfung, Dokumentation und Transparenz.

Für größere Organisationen empfiehlt sich ein KI-Governance-Prozess mit Zuständigkeiten. Recht, Datenschutz, Informationssicherheit, Compliance, Einkauf und Fachabteilungen sollten nicht parallel arbeiten, sondern ein gemeinsames Freigabeverfahren nutzen. So lassen sich widersprüchliche Hinweise, doppelte Dokumentation und Lücken bei Anbieterinformationen vermeiden.

Wie sollten Hinweise zur KI-Nutzung formuliert werden?

Hinweise zur KI-Nutzung müssen verständlich, wahr, vollständig genug und am richtigen Ort platziert sein. Sie sollten nicht in langen Rechtstexten versteckt werden, wenn die Information für die konkrete Interaktion wesentlich ist. Gleichzeitig sollten sie nicht mehr versprechen, als technisch und organisatorisch abgesichert ist. Formulierungen wie „Diese Entscheidung wurde vollständig von einer neutralen KI geprüft“ sind riskant, wenn menschliche Kontrolle, Trainingsdaten oder Fehlergrenzen nicht genau bekannt sind.

Ein guter Hinweis beantwortet im Regelfall vier Fragen: Wird KI eingesetzt? Wofür wird sie eingesetzt? Welche Bedeutung hat das Ergebnis? Wie kann eine Person Rückfragen stellen oder eine menschliche Prüfung erreichen? Je nach Kontext kommen Informationen zu personenbezogenen Daten, Speicherdauer, Empfängern und Betroffenenrechten hinzu. Diese gehören oft in die Datenschutzhinweise, sollten aber mit dem konkreten KI-Hinweis abgestimmt sein.

Für einen einfachen Chatbot kann ein Hinweis etwa lauten: „Sie kommunizieren zunächst mit einem KI-gestützten Assistenzsystem. Das System beantwortet allgemeine Fragen und kann Ihr Anliegen an Mitarbeitende weiterleiten. Bitte geben Sie keine vertraulichen Informationen ein, wenn diese für Ihr Anliegen nicht erforderlich sind.“ Ob diese Formulierung genügt, hängt vom konkreten System ab. Bei Vertragsentscheidungen, Gesundheitsdaten oder Bewerbungen wäre sie meist zu knapp.

Bei KI-generierten Medien sollte der Hinweis direkt am Inhalt stehen oder so verbunden sein, dass er beim Teilen nicht ohne Weiteres verloren geht. Ein versteckter Hinweis im Impressum wird häufig nicht ausreichen. Bei Deepfakes muss die Kennzeichnung so erfolgen, dass der durchschnittliche Empfänger den manipulierten oder synthetischen Charakter wahrnehmen kann. In sensiblen Bereichen kann zusätzlich eine technische Markierung, ein Wasserzeichen oder eine Metadatenkennzeichnung sinnvoll sein.

Besonderheiten für Betroffene, Kunden und Beschäftigte

Aus Sicht betroffener Personen stellt sich die KI-Transparenzpflicht vor allem als Informations- und Kontrollrecht dar. Wer mit einem KI-System interagiert, soll die Situation erkennen und nicht fälschlich von menschlicher Kommunikation, authentischen Medien oder rein menschlicher Entscheidungsfindung ausgehen. Das bedeutet aber nicht, dass jede unklare KI-Nutzung automatisch zu einem Anspruch auf Schadensersatz führt. Erforderlich sind regelmäßig ein konkreter Verstoß, eine Betroffenheit und je nach Anspruchsgrundlage ein nachweisbarer Schaden oder eine relevante Rechtsbeeinträchtigung.

Kunden sollten bei unklarer KI-Nutzung zunächst den Vorgang sichern. Dazu gehören Screenshots, Chatverläufe, E-Mails, Zeitpunkte und die konkrete Frage, auf die eine automatisierte Antwort erging. Anschließend kann eine sachliche Anfrage an das Unternehmen sinnvoll sein: Wurde KI eingesetzt? Welche Funktion hatte sie? Wurde eine menschliche Prüfung vorgenommen? Werden personenbezogene Daten verarbeitet?

Beschäftigte und Bewerber befinden sich in einer besonderen Lage, weil KI-Einsatz im Arbeitskontext erhebliche Auswirkungen auf Chancen, Bewertung und Arbeitsbedingungen haben kann. Wird ein KI-System zur Bewerberauswahl, Leistungsanalyse oder Schichtplanung genutzt, sollten Informationen klar und frühzeitig erfolgen. Besteht ein Betriebsrat, können Mitbestimmungsrechte ausgelöst sein, insbesondere bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können.

Für Verbraucher ist außerdem relevant, ob KI-Hinweise die geschäftliche Entscheidung beeinflussen. Ein Reiseportal, das KI-generierte Hotelbewertungen als echte Erfahrungsberichte erscheinen lässt, kann lauterkeitsrechtlich problematisch handeln. Ein Online-Shop, der einen Bot als „Berater“ einsetzt, sollte transparent machen, ob Empfehlungen automatisiert, provisionsbasiert oder datengetrieben zustande kommen. Je stärker Nutzer auf Authentizität, Neutralität oder menschliche Expertise vertrauen, desto höher ist der Transparenzbedarf.

FAQ zur KI-Transparenzpflicht

Fazit: KI-Transparenzpflicht strukturiert und nachweisbar umsetzen

Die KI-Transparenzpflicht verlangt keine pauschale Offenlegung jeder technischen Einzelheit, wohl aber eine klare, richtige und adressatengerechte Information über relevante KI-Nutzung. Priorität haben Anwendungen, bei denen Menschen direkt mit KI interagieren, synthetische Inhalte authentisch wirken oder KI Entscheidungen vorbereitet, die rechtliche oder wirtschaftliche Folgen haben können.

Für Unternehmen ist ein KI-Inventar der erste Schritt. Danach sollten Rollen, Risikoklasse, Datenschutzbezug, Hinweisgestaltung, Anbieterinformationen und Dokumentation geprüft werden. Betroffene sollten unklare KI-Vorgänge früh sichern und gezielt nachfragen, insbesondere wenn eine Entscheidung erhebliche Auswirkungen hat.

Ob ein konkreter Hinweis ausreicht, hängt vom Einzelfall ab: Systemfunktion, Einsatzkontext, Zielgruppe, Datenverarbeitung und mögliche Folgen bestimmen den rechtlichen Maßstab. Eine belastbare Prüfung verbindet deshalb juristische Bewertung mit technischer Dokumentation und praktikablen internen Zuständigkeiten.