Artikel 50 KI-Verordnung: Was österreichische KMU bis 2. August 2026 wirklich tun müssen

Während die meisten Schlagzeilen zur EU-KI-Verordnung im Frühjahr 2026 von der Hochrisiko-Verschiebung handelten, ist eine Frist genau dort geblieben, wo sie war: der 2. August 2026. An diesem Tag treten die Transparenzpflichten nach Artikel 50 in Kraft. Sie betreffen deutlich mehr österreichische KMU als die Anhang-III-Regeln, die jetzt erst Ende 2027 fällig werden. Wer einen Chatbot auf der Website betreibt, KI-generierte Marketinginhalte veröffentlicht oder eine Stimmungsanalyse im Kundensupport laufen lässt, hat hier konkrete Pflichten. Der Digital Omnibus vom 7. Mai 2026 hat daran nichts gerüttelt.

Dieser Beitrag erklärt, was Artikel 50 tatsächlich verlangt, was davon Anbieter angeht und was Betreiber, wer in Österreich kontrolliert, und welche Schritte ein typisches KMU in den nächsten neun Wochen erledigen sollte.

Was Artikel 50 verlangt

Die Verordnung trennt klar zwischen zwei Rollen. Anbieter (Provider) bringen ein KI-System auf den Markt oder nehmen es in Betrieb. Betreiber (Deployer) setzen so ein System im eigenen Geschäft ein. Für jede Rolle gibt es eigene Pflichten.

Pflichten der Anbieter

1. Offenlegung bei direkter Interaktion mit KI (Art. 50 Abs. 1). Wer einen Chatbot, einen virtuellen Assistenten oder ein anderes KI-System anbietet, das mit Menschen interagiert, muss das System so gestalten, dass die betroffene Person erkennt, mit einer KI zu sprechen. Eine kurze, klare Mitteilung am Beginn des Dialogs reicht in der Regel aus. Ausnahme: Es ist aus den Umständen offensichtlich, etwa bei einem Assistenten, der sich selbst als „KI-Assistent" bezeichnet.

2. Maschinenlesbare Kennzeichnung generierter Inhalte (Art. 50 Abs. 2). Wer ein generatives KI-System anbietet, das Audio, Bilder, Video oder Text erzeugt, muss die Ausgaben so kennzeichnen, dass sie maschinell als KI-generiert erkennbar sind. In der Praxis heißt das Watermarking, Metadaten oder kryptographische Signaturen. Diese Pflicht trifft den Modellanbieter, nicht den KMU, der das Modell nutzt. Anthropic, OpenAI, Google, Stability AI: Die sind hier in der Pflicht.

Pflichten der Betreiber

3. Emotionserkennung und biometrische Kategorisierung (Art. 50 Abs. 3). Setzt der Betrieb ein System ein, das Emotionen erkennt oder Personen biometrisch kategorisiert, muss er die betroffenen Personen über den Einsatz informieren. Konkret: Wer im Kundensupport ein Tool laufen hat, das Frustration aus der Stimme erkennt, schuldet eine Information an den Anrufer.

4. Deepfake-Offenlegung (Art. 50 Abs. 4 UAbs. 1). Wer Bild-, Audio- oder Videoinhalte veröffentlicht, die mit KI erzeugt oder so manipuliert wurden, dass sie einen Deepfake darstellen, muss das offenlegen. Carve-outs gibt es für offensichtlich künstlerische, satirische oder fiktionale Werke; dort genügt eine angemessene Kennzeichnung, die das Werk nicht entwertet.

5. KI-generierter Text zu Angelegenheiten von öffentlichem Interesse (Art. 50 Abs. 4 UAbs. 2). Wird ein veröffentlichter Text mit KI erstellt oder maßgeblich verändert und betrifft eine Sache von öffentlichem Interesse, muss der Betreiber kenntlich machen, dass der Text KI-generiert ist. Carve-out: Texte mit menschlicher redaktioneller Verantwortung und Prüfung. Ein KI-Entwurf, den ein Redakteur prüft und freigibt, fällt nicht darunter.

Die meisten österreichischen KMU sind Betreiber, nicht Anbieter. Wer ChatGPT, Claude, Midjourney oder einen Shopify-Chatbot nutzt, ohne selbst ein Modell zu trainieren oder ein KI-Produkt zu vermarkten, fällt unter die Betreiberpflichten 3 bis 5. Das ist ein deutlich engerer Pflichtenkreis als das, was die Schlagzeilen suggerieren.

Drei Beispiele aus der KMU-Realität

Webshop in Wien, Shopify mit AI-Chatbot. Der Chatbot wird vom Plattformanbieter bereitgestellt, also liegt Pflicht 1 (Offenlegung der KI-Interaktion) formal beim Anbieter. In der Praxis muss der Betreiber des Webshops aber sicherstellen, dass die Kennzeichnung tatsächlich aktiv ist. Viele Anbieter liefern das als Default, einige verlangen eine bewusste Konfiguration. Verantwortlich für den ordnungsgemäßen Betrieb auf der eigenen Seite bleibt der Webshop-Inhaber.

Marketingagentur in Graz, generative KI für Social Posts. Hier hängt es davon ab, was veröffentlicht wird. Reine Produkt-Posts ohne öffentliches Interesse fallen nicht unter Pflicht 5. Ein KI-generiertes Bild einer realen Person, das wie eine echte Aufnahme aussieht, ist ein Deepfake im Sinne der Verordnung und fällt unter Pflicht 4. Ein KI-generiertes Bild eines erfundenen Models in einem klar werblichen Kontext fällt unter den Carve-out für künstlerische Werke und braucht eine leichte Kennzeichnung, die das Bild nicht entwertet.

HR-Tool in Salzburg, Sentiment-Analyse bei Bewerbungsinterviews. Sentiment- und Emotionserkennung ist hier zentral. Pflicht 3 greift, die Bewerber müssen über den Einsatz informiert werden, idealerweise bereits in der Einladung zum Interview. Achtung: Sobald das System nicht nur informiert, sondern an der Entscheidung über Einstellungen mitwirkt, kann es als Anhang-III-Hochrisikosystem klassifiziert werden, und dann gelten zusätzlich die schwereren Pflichten ab 2. Dezember 2027.

Wer in Österreich kontrolliert und straft

Die Marktüberwachung ist nationale Sache, nicht zentralisiert in Brüssel. In Österreich ist die zuständige Stelle die KI-Servicestelle bei der RTR-GmbH (Rundfunk und Telekom Regulierungs-GmbH). Sie ist heute beratend tätig und transformiert ihre Rolle bis zum 2. August 2026 in eine echte Aufsichts- und Sanktionsbefugnis. Wer eine Anzeige bekommt, einen Bescheid erhält oder eine Strafe zahlt, tut das gegenüber der KI-Servicestelle in Wien, nicht gegenüber der Europäischen Kommission.

Der Strafrahmen für Verstöße gegen Artikel 50 liegt nach Artikel 99 der Verordnung bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Das ist die mittlere Strafkategorie, niedriger als die Strafen für verbotene KI-Praktiken (35 Millionen Euro oder 7 Prozent), aber deutlich höher als das, was die meisten KMU bilanziell verkraften.

Realistisch wird die KI-Servicestelle ab August 2026 nicht sofort Strafverfahren gegen jeden österreichischen Webshop einleiten. Die Erfahrung aus DSGVO-Vollzug und allgemeiner Marktüberwachung legt nahe, dass die ersten Monate Hinweise, Aufklärung und gestaffelte Mahnungen bringen werden. Wer aber nach einer Beschwerde, einem Hinweis einer Konsumentenschutzorganisation oder einer eigenen Stichprobe der Behörde auffällt und keine Kennzeichnung hat, riskiert ein Verfahren.

Was der Omnibus an Artikel 50 geändert hat

Sehr wenig, aber das Wenige ist erwähnenswert.

Der Digital Omnibus vom 7. Mai 2026 hat die Frist für Artikel 50 nicht verschoben. Der 2. August 2026 steht. Was sich geändert hat, ist die Übergangsregelung für generative KI-Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden. Die ursprünglich vorgesehene Übergangsfrist von sechs Monaten ist auf drei Monate verkürzt worden. Solche Bestandssysteme müssen also bis spätestens 2. Dezember 2026 voll compliant sein, nicht erst im Februar 2027.

Für den typischen österreichischen KMU-Betreiber ist diese Übergangsregel meistens nicht relevant, weil sie auf Anbieter zielt. Wer aber ein eigenes generatives Tool entwickelt hat und in der EU vermarktet, hat jetzt drei Monate weniger Luft.

Die formellen Abstimmungen über den Omnibus in Rat und Parlament werden für Juni oder Juli 2026 erwartet. Bis zur Annahme bleibt die ursprüngliche Rechtslage formell in Kraft. Praktisch verlässt sich aber niemand mehr auf eine Frist, die mit hoher Wahrscheinlichkeit verschoben wird.

Der Plan für die nächsten neun Wochen

Vier Schritte, in dieser Reihenfolge, decken den Großteil dessen ab, was ein typischer österreichischer KMU bis Anfang August erledigen sollte.

Schritt 1: KI-Inventar aufnehmen

Liste jede Stelle auf, an der KI in einer kundenseitigen oder mitarbeiterseitigen Funktion eingesetzt wird. Chatbot auf der Website. Sentiment-Analyse im CRM. Generative KI für E-Mail-Templates, Social-Media-Posts, Produktbeschreibungen. Sprachsynthese in der Hotline-Ansage. Computer Vision auf einer Fertigungsstraße, wenn sie Personen erfasst. Wer das Inventar nicht hat, kann die Pflichten nicht zuordnen.

Schritt 2: Pflichten pro Anwendung zuordnen

Für jede Stelle aus dem Inventar entscheiden: Liegt eine Pflicht aus Artikel 50 vor? Welche genau? Welche Rolle nimmt der Betrieb ein, Anbieter oder Betreiber? Bei jedem Treffer notieren, welche konkrete Maßnahme nötig ist (Hinweis am Chatbot-Start, Banner unter KI-generiertem Bild, Information der Bewerber, etc.).

Schritt 3: Maßnahmen umsetzen

Die meisten Umsetzungen sind technisch trivial. Ein Hinweistext am Chatbot-Eingang ist eine Frontend-Änderung von zehn Minuten. Eine Bilderzeugungs-Kennzeichnung kann eine Vorlage im Designsystem sein. Eine Bewerberinformation ist eine Zeile im Standardanschreiben. Wichtig ist die Vollständigkeit, nicht die technische Tiefe.

Schritt 4: Compliance-Register führen

Für jede Entscheidung dokumentieren: Welche Anwendung, welche Pflicht, welche Maßnahme, welches Datum, welche Person hat freigegeben. Bei einer Anfrage der KI-Servicestelle ist dieses Register das Erste, was geprüft wird. Ohne Register ist die Verteidigung „wir haben das schon gemacht, glauben Sie uns" wertlos.

Ein einfaches Spreadsheet reicht für diesen Zweck. Wer es professioneller will, kann eine Compliance-Software nutzen. Für die meisten KMU ist das Overkill, solange das Spreadsheet aktuell gehalten wird.

Was als Nächstes ansteht

Die Transparenzpflichten am 2. August 2026 sind die kleine Welle. Die große kommt 2027 und 2028, wenn die Hochrisiko-Pflichten greifen: HR-Tools mit Entscheidungslogik, Kreditscoring, Bewerberbewertung, Bildungssoftware mit Notenvergabe. Wer erst dann anfängt, läuft in einen Stau aus Anwälten, Beratern und gehetzter Dokumentation.

Witness ist als Self-Service-Compliance-Plattform für europäische KMU gebaut, mit Schwerpunkt auf der Hochrisiko-Compliance ab Dezember 2027. Die Plattform enthält schon heute den KI-System-Klassifikator, die Dokumentationsvorlagen nach Anhang IV, den FRIA-Generator nach Artikel 27 und den Konformitäts-Workflow nach Artikel 43. Wer die nächsten zwei Monate auf den Transparenzpflichten nach Artikel 50 ruhig bleibt und parallel beginnt, die größeren Pflichten ab 2027 vorzubereiten, hat im Sommer 2027 keinen Stress.

Für konkrete Fragen zur Anwendung von Artikel 50 auf den eigenen Betrieb: Witness ausprobieren oder über die Kontaktseite eine Frage stellen.

---

Disclaimer: Dieser Beitrag ist eine Übersicht, keine Rechtsberatung. Für eine verbindliche Einschätzung der eigenen Pflichten empfiehlt sich ein qualifizierter Anwalt mit Schwerpunkt KI-Recht oder Datenschutz, oder eine Anfrage an die KI-Servicestelle der RTR.