EU-AI-Gesetz: Transparenzpflichten treten in Kraft – Auswirkungen auf das KI-Governance-Management in Unternehmen
Eine Aufsichtsbehörde muss kein einzelnes Unternehmen benennen, um die Arbeitsweise von Tausenden Unternehmen zu verändern. Genau das geschah am 2. August 2026, als das AI Office der Europäischen Kommission und nationale Behörden begannen, die Transparenzanforderungen des EU AI Act im gesamten EU-Raum durchzusetzen. Chatbots und andere interaktive KI-Systeme müssen nun offenlegen, dass Nutzer mit einer Maschine und nicht mit einer Person kommunizieren. Deepfakes – also KI-bearbeitete oder KI-generierte Bilder, Videos und Audiodateien – müssen entsprechend gekennzeichnet werden. Zudem muss KI-generierter oder veränderter Inhalt maschinenlesbare Markierungen tragen, damit Plattformen, Aufsichtsbehörden und die Öffentlichkeit ihn erkennen können.
Die Kommission koppelte den Start der Durchsetzung mit der Veröffentlichung ihrer ersten Liste von Organisationen, die den EU-Verhaltenskodex zur Transparenz von KI-generierten Inhalten unterzeichnet haben – mehr als 180 Unterzeichner, die sich verpflichtet haben, diese Regeln in ihren Produkten und Arbeitsabläufen umzusetzen. Es gab keinen Datenschutzverstoß, keinen benannten Vorfall und keinen Skandal im Zusammenhang mit dieser Ankündigung. Es handelt sich um einen geplanten Meilenstein der Durchsetzung im Rahmen eines Gesetzes, das seit Inkrafttreten des AI Act im Jahr 2024 auf diesen Moment hingearbeitet hat.
Genau deshalb ist es so bedeutsam. Durchsetzungsmaßnahmen, die an einen bestimmten Vorfall geknüpft sind, führen meist zu begrenzten, einmaligen Lehren. Eine geplante, EU-weite Transparenzpflicht ist anders: Sie gilt für jedes Unternehmen, das interaktive KI-Systeme einsetzt oder synthetische Inhalte im EU-Markt generiert – unabhängig vom Sektor – und legt einen dauerhaften Standard fest, wie „verantwortungsvolle KI“ künftig aussehen soll. Bußgelder und Marktzugangsbeschränkungen sind nun reale Risiken für Unternehmen, die Offenlegung, Kennzeichnung und Erkennung nicht in die Arbeitsweise ihrer KI-Systeme integriert haben.
Für Unternehmen, die KI-Systeme mit sensiblen Unternehmensdaten betreiben – Finanzdaten, Gesundheitsinformationen, Regierungsunterlagen, geistiges Eigentum – wirft das Transparenzregime des AI Act eine Frage auf, die über die Kennzeichnung von Deepfakes hinausgeht: Kann das Unternehmen tatsächlich steuern und nachweisen, was seine KI-Systeme mit diesen Daten tun? Kiteworks war an dieser Durchsetzungsmaßnahme nicht beteiligt; die hier beschriebene Übereinstimmung ist architektonisch und thematisch, nicht als Behauptung zu verstehen, dass Kiteworks die spezifischen Kennzeichnungs- und Offenlegungsmechanismen des AI Act abdeckt. Doch die Governance-Disziplin, die der AI Act nun verlangt – zu wissen, was ein KI-System verarbeitet hat, was es generiert hat und ob diese Aktivitäten protokolliert und revisionssicher sind – ist genau die Disziplin, die Kiteworks Compliant AI und der Secure MCP Server an der Schnittstelle zwischen KI-Systemen und Unternehmensinhalten bereitstellen.
Welche Data-Compliance-Standards sind relevant?
Jetzt lesen
Wichtige Erkenntnisse
- Die Durchsetzung der Transparenzpflichten des EU AI Act begann am 2. August 2026. Das AI Office der Europäischen Kommission und nationale Behörden setzen nun Offenlegungs-, Kennzeichnungs- und Erkennungsanforderungen für interaktive KI-Systeme und KI-generierte Inhalte in der gesamten EU durch.
- Die Regeln umfassen drei zentrale Pflichten. Chatbots müssen offenlegen, dass sie KI sind, Deepfakes müssen gekennzeichnet werden, und KI-generierte oder veränderte Inhalte müssen maschinenlesbare Markierungen tragen, die eine nachgelagerte Erkennung ermöglichen.
- Bereits mehr als 180 Organisationen haben unterzeichnet. Die erste veröffentlichte Liste der Unterzeichner des Verhaltenskodex zeigt, dass das Transparenzregime in großem Maßstab umgesetzt wird und nicht nur als Leitlinie dient.
- Dies ist ein geplanter Durchsetzungsmeilenstein, keine Reaktion auf einen Vorfall. Kein konkreter Vorfall hat diese Maßnahme ausgelöst – sie ist Teil der gestaffelten Einführung des AI Act und gilt für jedes Unternehmen, das entsprechende KI-Systeme im EU-Markt einsetzt.
- Governance der KI-Daten-Interaktionen ist die zentrale Anforderung. Die Erfüllung der Transparenzpflichten hängt davon ab, ob ein Unternehmen nachvollziehen, protokollieren und steuern kann, auf welche Daten seine KI-Systeme zugreifen und was sie generieren – eine Fähigkeit, die Kiteworks Compliant AI und der Secure MCP Server unterstützen.
Warum die Transparenzregeln des AI Act ein Governance-Problem und nicht nur ein Kennzeichnungsproblem sind
Es ist verlockend, die Transparenzanforderungen des AI Act als reine Design- und Offenlegungsaufgabe zu betrachten: Banner beim Chatbot einfügen, Wasserzeichen auf synthetischen Bildern, KI-generierte Dateien markieren. Das sind die sichtbaren Pflichten – und sie sind wichtig. Doch dahinter steht eine schwierigere Frage, die viele Unternehmen noch nicht beantworten können: Weiß das Unternehmen zu jedem Zeitpunkt, was seine KI-Systeme mit den Daten tun, die sie verarbeiten?
Die Offenlegung, dass ein Nutzer mit einem Chatbot spricht, ist einfach, wenn es sich um eine einzelne, dokumentierte Implementierung handelt. Komplex wird es, wenn ein Unternehmen Dutzende KI-Tools mit eigenen Zugriffsmustern und unterschiedlicher Protokollierung betreibt, die Inhalte aus proprietären Daten generieren. Die Kennzeichnung eines Deepfakes setzt voraus, dass erkannt wird, dass KI-veränderter Inhalt überhaupt erzeugt wurde – was Transparenz über Generierungsereignisse erfordert, nicht nur nachträgliche Erkennung. Maschinenlesbare Markierungen verlangen einen konsistenten Prozess bei der Inhaltserstellung, nicht eine nachträgliche Ergänzung.
Hier verbindet sich das Transparenzgebot des AI Act mit einem breiteren Trend der EU-Regulierung der letzten zwei Jahre: Aufsichtsbehörden geben sich nicht mehr mit Richtliniendokumenten zufrieden, die beschreiben, wie KI sich verhalten sollte. Sie wollen Belege – Protokolle, Audit-Trails, Zugriffsaufzeichnungen – die zeigen, wie KI-Systeme tatsächlich agiert haben. Die NIS 2 Directive, DORA und nun die Transparenzvorgaben des AI Act verlangen alle dasselbe: kontinuierliche, revisionssichere Governance statt punktueller Compliance-Bestätigungen.
Von der Richtlinie zur Praxis: Was revisionssichere KI-Governance erfordert
Um die Transparenzpflichten in dem Umfang zu erfüllen, wie es der AI Act nun verlangt, sind vier Fähigkeiten erforderlich, die zusammenwirken – und die meisten Unternehmens-KI-Stacks wurden ursprünglich nicht mit allen vier gebaut.
Erstens benötigen Unternehmen Transparenz auf Anfrageebene darüber, auf welche Daten ein KI-System zugreift. Ein Chatbot oder Agent, der aus einem Dokumentenarchiv, einem CRM oder einer File Share zieht, muss diesen Zugriff vermittelt und protokolliert bekommen – nicht als sicher gelten, nur weil er innerhalb eines vertrauten Netzwerks stattfindet. Zweitens ist eine Richtliniendurchsetzung am Punkt des Kontakts zwischen KI und sensiblen Inhalten nötig: Die Möglichkeit, festzulegen, dass ein bestimmtes Modell, ein Agent oder eine Integration nur bestimmte Datenkategorien sehen darf – und dass diese Regel tatsächlich technisch durchgesetzt wird, nicht nur dokumentiert ist. Drittens braucht es ein einheitliches Logging, das sowohl menschliche als auch maschinelle Aktivitäten an einem Ort erfasst, sodass bei einer Anfrage von Aufsichtsbehörden oder Auditoren eine eindeutige, belastbare Aufzeichnung vorliegt – und kein Flickenteppich aus Anwendungsprotokollen, die womöglich gar nicht mehr existieren. Viertens muss dies für alle Wege funktionieren, wie KI heute Unternehmensdaten nutzt: über Chat-Oberflächen, Retrieval-Augmented-Generation-Pipelines und zunehmend über direkte, programmatische Verbindungen via Protokolle wie MCP, die Agenten den direkten Zugriff auf Tools und Inhalte ermöglichen.
Genau diese Lücke schließen Kiteworks Compliant AI und der Kiteworks Secure MCP Server. Anstatt KI-Governance als separate Schicht auf bestehende Infrastruktur zu setzen, setzt Kiteworks Zugriffskontrollen und Richtliniendurchsetzung auf Inhaltsebene genau an dem Punkt um, an dem KI-Systeme – egal ob Chatbot, Retrieval-Pipeline oder KI-Agent – auf Unternehmensinhalte zugreifen. Jede Anfrage, ob von einem menschlichen Anwender oder einem KI-Agenten, läuft über die gleiche Kiteworks Control Plane, und jede Interaktion wird in einem einzigen, einheitlichen Audit-Log erfasst. Diese Architektur kennzeichnet keine Deepfakes und legt keine Chatbot-Identitäten offen – das sind produktspezifische Pflichten des Betreibers des interaktiven Systems. Sie liefert jedoch die grundlegende Beweisschicht: eine Aufzeichnung, was ein KI-System wann, unter welcher Richtlinie und auf wessen Initiative – Mensch oder Maschine – angefordert hat. Diese Aufzeichnung macht aus einer Transparenzrichtlinie eine nachweisbare Realität für Aufsichtsbehörden.
Der Compliance-Druck hinter der Ankündigung
Es lohnt sich, genau zu betrachten, was die Ankündigung der Kommission bedeutet – und was nicht. Es gibt keinen konkreten Datenschutzverstoß oder benannten Vorfall hinter dem Startdatum der Durchsetzung. Die Kommission reagiert nicht auf einen Skandal, sondern setzt einen bereits öffentlich bekannten Rollout-Plan um, der mit den Übergangsregelungen des AI Act festgelegt wurde. Diese Unterscheidung verändert das Risikoprofil: Durchsetzungsmaßnahmen nach Vorfällen konzentrieren sich meist eng auf das betroffene Unternehmen und den konkreten Fehler. Ein geplanter, horizontaler Meilenstein wie dieser gilt sofort und umfassend für jedes Unternehmen, das ein entsprechendes KI-System im EU-Markt betreibt – unabhängig davon, ob es je einen Vorfall gab.
Der 2026 Data Security and Compliance Risk: Annual Forecast Report von Kiteworks zeigt einen klaren Trend bei Aufsichtsbehörden: Empfehlungen werden durch aktive Überprüfung ersetzt, und Unternehmen, die keine Belege für Governance-Kontrollen liefern können, drohen Bußgelder und Marktzugangsbeschränkungen, wie sie bereits unter der DSGVO üblich sind. Die Transparenzregeln des AI Act übertragen dieses Muster gezielt auf den KI-Bereich. Nichteinhaltung war früher vor allem ein Reputationsrisiko – jetzt ist sie ein durchsetzbares regulatorisches Risiko mit klar definierten Sanktionen, die vom AI Office und den nationalen Behörden koordiniert werden.
Für multinationale Unternehmen besteht die praktische Herausforderung darin, dass KI-Systeme selten klare organisatorische oder geografische Grenzen respektieren. Ein Chatbot, entwickelt von einem US-basierten Produktteam, kann EU-Kunden bedienen. Eine Dokumentengenerierungs-Pipeline, ursprünglich für eine Geschäftseinheit gebaut, kann sich unbemerkt zum Standard-Tool im gesamten Unternehmen entwickeln. Ohne eine konsistente Governance-Schicht, die AI-Act-konforme Kontrollen überall dort durchsetzt, wo das KI-System arbeitet, entsteht ein Flickenteppich: stark in den Regionen, auf die sich die Compliance-Teams konzentrieren – schwach überall sonst. Genau dieses Szenario sollen Data-Sovereignty– und Residenz-Architekturen verhindern: eine einheitliche Governance- und Richtlinienebene, die mit den Daten und KI-Interaktionen „mitreist“, statt regionenweise neu aufgebaut werden zu müssen.
Was Enterprise-AI-Governance-Teams jetzt tun sollten
Der Start der Durchsetzung zu einem festen Datum bedeutet nicht, dass die Vorbereitung erst an diesem Tag beginnt – für die meisten Unternehmen hat die Arbeit zur Compliance schon vor dem 2. August begonnen oder sollte begonnen haben. Drei Maßnahmen sind für Compliance-, Security- und KI-Governance-Teams jetzt besonders wichtig.
Erstens steht eine Bestandsaufnahme an, die viele Unternehmen noch nicht abgeschlossen haben: eine vollständige Erfassung aller interaktiven KI-Systeme, Chatbots und Agenten, die mit Kundendaten in Berührung kommen – inklusive klarer Verantwortlichkeiten. Transparenz- und Kennzeichnungspflichten lassen sich nur auf Systeme anwenden, die Compliance- und Security-Teams überhaupt kennen. Das ist dasselbe „Shadow-AI“-Problem, das in der KI-Daten-Governance-Forschung von Kiteworks immer wieder auftaucht: KI-Tools verbreiten sich schneller, als Governance-Prozesse sie erfassen können.
Zweitens muss die Lücke zwischen dokumentierter und tatsächlich durchgesetzter Richtlinie geschlossen werden. Viele Unternehmen haben eine KI-Nutzungsrichtlinie, die beschreibt, was geschehen soll; deutlich weniger verfügen über technische Kontrollen, die sicherstellen, dass es auch tatsächlich geschieht. Die Transparenzanforderungen des AI Act – wie zuvor schon die NIS 2 Directive – belohnen Unternehmen, die die Durchsetzung nachweisen können, nicht nur die Absicht.
Drittens gilt es, den Audit-Trail zu schaffen, bevor eine Aufsichtsbehörde danach fragt. Wer erst bei einer Anfrage rekonstruiert, auf welche Daten ein KI-System zugegriffen und was es generiert hat, ist im Nachteil. Einheitliches Logging an jedem Punkt, an dem KI-Systeme mit sensiblen Inhalten arbeiten – genau das, was das CISO Dashboard und der Audit-Trail von Kiteworks bieten – macht aus hektischer Nacharbeit eine einfache Beweisführung.
Keine dieser drei Maßnahmen verlangt, dass Unternehmen Deepfake-Kennzeichnung oder Wasserzeichen für Inhalte selbst lösen – das bleibt eine produktspezifische Aufgabe der Teams, die interaktive KI-Systeme und generative Tools entwickeln. Doch alle drei bauen auf derselben Fähigkeit auf: jederzeit und nachvollziehbar zu wissen, was KI-Systeme mit Unternehmensdaten tun – statt es nur anzunehmen und auf regulatorische Nachsicht zu hoffen.
Erfahren Sie mehr darüber, wie Sie den Zugriff von KI-Systemen auf sensible Unternehmensdaten vor regulatorischen Prüfungen steuern können – vereinbaren Sie jetzt eine individuelle Demo.
Häufig gestellte Fragen
Seit dem 2. August 2026 setzen das AI Office der Europäischen Kommission und die Behörden der EU-Mitgliedstaaten die Transparenzanforderungen des AI Act aktiv durch. Interaktive KI-Systeme, einschließlich Chatbots, müssen nun offenlegen, dass Nutzer mit KI und nicht mit Menschen interagieren. Deepfakes und andere KI-generierte oder veränderte Medien müssen gekennzeichnet werden, und KI-generierte Inhalte müssen maschinenlesbare Markierungen tragen, die eine nachgelagerte Erkennung ermöglichen. Die Kommission hat außerdem ihre erste Liste mit über 180 Organisationen veröffentlicht, die den EU-Verhaltenskodex zur Transparenz von KI-generierten Inhalten unterzeichnet haben. Unternehmen sollten zudem prüfen, wie dies mit umfassenderen AI-Data-Governance-Pflichten zusammenhängt.
Ja, in den meisten Fällen. Wie bei der DSGVO gilt der AI Act abhängig davon, wo KI-Systeme eingesetzt werden und wessen Daten verarbeitet werden – nicht, wo das Unternehmen seinen Sitz hat. Ein Unternehmen außerhalb der EU, das Chatbots oder KI-generierte Inhalte für EU-Nutzer anbietet, fällt in der Regel unter den Geltungsbereich. Multinationale Unternehmen sollten dies als globale Governance-Frage betrachten, da Data-Sovereignty– und Residenzanforderungen oft gemeinsam mit AI-Act-Pflichten für dieselben Datenflüsse gelten.
Die Kennzeichnungs- und Offenlegungspflichten des AI Act sind produktspezifische Anforderungen – sie regeln, was ein interaktives KI-System oder ein Content-Generierungstool den Nutzern mitteilen und wie es seine Ausgaben markieren muss. Kiteworks Compliant AI und der Secure MCP Server adressieren ein verwandtes, aber separates Problem: die Steuerung und Protokollierung dessen, was KI-Systeme mit Unternehmensinhalten tun dürfen. Kiteworks implementiert keine Deepfake-Kennzeichnung oder Wasserzeichen für Inhalte; es stellt die Zugriffskontrolle und die Audit-Schicht bereit, mit der Unternehmen Governance über KI-Daten-Interaktionen nachweisen können – was die AI-Act-Compliance unterstützt, aber nicht allein erfüllt.
Der AI Act sieht ein gestuftes Sanktionssystem vor. Die schwerwiegendsten Verstöße werden mit erheblichen Bußgeldern geahndet, die sich prozentual am weltweiten Jahresumsatz orientieren, sowie möglichen Marktzugangsbeschränkungen innerhalb der EU. Die Durchsetzung erfolgt koordiniert zwischen dem AI Office der Kommission und den nationalen Behörden der Mitgliedstaaten. Unternehmen sollten qualifizierte EU-Regulierungsberater hinzuziehen, um ihre spezifische Exponierung zu bewerten, da die Berechnung von Sanktionen und Durchsetzungsprioritäten je nach Fall und Behörde variieren kann.
Die Vorbereitung beginnt mit einer Bestandsaufnahme aller interaktiven KI-Systeme und Content-Generierungstools, die mit Unternehmens- oder Kundendaten arbeiten. Anschließend muss sichergestellt werden, dass dokumentierte KI-Nutzungsrichtlinien auch technisch durchgesetzt und nicht nur prozessual beschrieben werden. Der Aufbau eines einheitlichen, kontinuierlich aktualisierten Audit-Logs aller KI-Daten-Interaktionen – mit Erfassung, was wann von welchem System oder Anwender abgerufen und generiert wurde – gibt Compliance-Teams Belege, die sie jederzeit vorlegen können, statt sie unter Zeitdruck rekonstruieren zu müssen.
Weitere Ressourcen
- Blog Post
Zero‑Trust-Strategien für erschwinglichen KI-Datenschutz - Blog Post
Wie 77 % der Unternehmen bei der KI-Datensicherheit scheitern - eBook
AI Governance Gap: Warum 91 % der kleinen Unternehmen 2025 russisches Roulette mit Datensicherheit spielen - Blog Post
Für Ihre Daten gibt es kein „–dangerously-skip-permissions“ - Blog Post
Regulierungsbehörden fragen nicht mehr, ob Sie eine KI-Richtlinie haben. Sie wollen den Nachweis, dass sie funktioniert.