Methodik

Das Regelwerk

7 Regeln, 38 Signaturen.

Art. 4 KI-VOart4-ki-kompetenz

Wer KI-Systeme einsetzt, muss nach besten Kräften dafür sorgen, dass die Personen, die damit arbeiten, ausreichend KI-Kompetenz haben. Der Maßstab richtet sich nach Vorkenntnissen, Einsatzkontext und den betroffenen Personengruppen.

Adressat: beide. Gewicht: hinweis. Stichtag: 2025-02-02. Stand: 2026-07-31.

Art. 5 Abs. 1 Buchst. f und g KI-VOart5-verbotene-praktiken

Bestimmte KI-Praktiken sind verboten, nicht nur kennzeichnungspflichtig. Dazu zählen die Ableitung von Emotionen am Arbeitsplatz und in Bildungseinrichtungen sowie die biometrische Kategorisierung von Personen, um daraus geschützte Merkmale wie ethnische Herkunft, politische Meinung, Weltanschauung oder sexuelle Orientierung abzuleiten. Für beides gibt es eng begrenzte Ausnahmen.

Adressat: beide. Gewicht: hoch. Stichtag: 2025-02-02. Stand: 2026-07-31.

Art. 50 Abs. 1 KI-VOart50-1-chatbot

Wer ein KI-System anbietet, das unmittelbar mit Menschen interagiert, muss es so gestalten, dass die Person erkennt, dass sie mit einer KI spricht. Ausgenommen ist, was ohnehin offensichtlich ist.

Adressat: anbieter. Gewicht: hoch. Stichtag: 2026-08-02. Stand: 2026-07-31.

Art. 50 Abs. 2 KI-VOart50-2-kennzeichnung

Wer KI-Systeme anbietet, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, muss dafür sorgen, dass die Ausgaben maschinenlesbar als künstlich erzeugt gekennzeichnet sind. Gemeint sind technische Marker in der Datei, nicht ein Hinweis auf der Webseite.

Adressat: anbieter. Gewicht: mittel. Stichtag: 2026-08-02. Stand: 2026-07-31.

Art. 50 Abs. 4 KI-VOart50-4-deepfake

Wer KI-erzeugte oder KI-veränderte Bild-, Ton- oder Videoinhalte einsetzt, die ein Deepfake sind, muss offenlegen, dass sie künstlich erzeugt oder verändert wurden. Für KI-erzeugte Texte gilt die Offenlegungspflicht, wenn sie veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, und kein Mensch sie redaktionell geprüft und verantwortet.

Adressat: betreiber. Gewicht: hoch. Stichtag: 2026-08-02. Stand: 2026-07-31.

§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 DSGVOdsgvo-consent-vorab

Ein Einwilligungsbanner ist vorhanden, aber ein einwilligungspflichtiger Drittanbieter wurde bereits beim ersten Seitenaufruf geladen, ohne dass eine Einwilligung erteilt wurde. Das Speichern von Informationen auf dem Endgerät und der Zugriff darauf setzen nach § 25 Abs. 1 TDDDG grundsätzlich eine Einwilligung voraus.

Adressat: betreiber. Gewicht: hoch. Stichtag: keiner hinterlegt. Stand: 2026-07-31.

Art. 13 Abs. 1 Buchst. e DSGVOdsgvo-dse-luecke

Wer personenbezogene Daten erhebt, muss die Empfänger oder Kategorien von Empfängern benennen. Ein eingebundener Drittanbieter, der beim Seitenaufruf Daten erhält und in der Datenschutzerklärung nicht vorkommt, ist eine Lücke in dieser Information.

Adressat: betreiber. Gewicht: mittel. Stichtag: keiner hinterlegt. Stand: 2026-07-31.

Was im Regelwerk noch offen ist

Diese Punkte sind noch nicht anwaltlich bestätigt. Wir weisen sie offen aus, statt sie zu verschweigen, und lassen sie derzeit prüfen.

• art4-ki-kompetenzBestätigen, dass Art. 4 in Art. 99 tatsächlich nicht bußgeldbewehrt ist. Die maschinelle Prüfung des Verordnungstextes stützt das, eine anwaltliche Bestätigung fehlt.
• art4-ki-kompetenzGilt Art. 4 auch bei rein eingekauften Standardwidgets, oder erst ab eigener Konfiguration?
• art5-verbotene-praktikenWelche konkreten Website-Dienste kommen überhaupt in Betracht? Bisher ist keine Signatur zugeordnet, die Regel liegt als Gerüst bereit.
• art5-verbotene-praktikenFormulierung des Warnhinweises anwaltlich freigeben lassen, sie berührt ein Verbot und nicht nur eine Transparenzpflicht.
• art50-1-chatbotAdressatenfrage anwaltlich bestätigen lassen: Ab wann wird ein Website-Betreiber durch Branding oder Konfiguration eines Fremd-Widgets selbst zum Anbieter (Art. 25 KI-VO)?
• art50-1-chatbotDarf ein Betreiber-Report die Norm überhaupt nennen, ohne eine individuelle Pflichtenlage zu behaupten? Formulierung im Feld betreiber_bezug prüfen lassen.
• art50-2-kennzeichnungGenaün Anwendungsbereich und Rechtsgrundlage der Übergangsfrist bis 02.12.2026 belegen. Quelle im Verordnungstext oder im Digital Omnibus benennen.
• art50-2-kennzeichnungKlären, ob das Entfernen vorhandener Herkunftsmarker durch den Betreiber eine eigene Pflichtverletzung darstellt.
• art50-4-deepfakeAbgrenzung 'Angelegenheiten von öffentlichem Interesse' für Unternehmensblogs anwaltlich klären: Wo endet Marketing, wo beginnt Information der Öffentlichkeit?
• art50-4-deepfakeReicht redaktionelle Prüfung als Ausnahmegrund, wenn sie nicht dokumentiert ist?
• dsgvo-consent-vorabTDDDG-Text in den Import aufnehmen, damit auch hier amtlicher Wortlaut steht.
• dsgvo-consent-vorabAbgrenzung technisch notwendiger Dienste bestätigen lassen. Ein Chat-Widget ist in aller Regel nicht notwendig, ein Warenkorb schon.
• dsgvo-consent-vorabPrüfen, ob die Einordnung als Befund zulässig ist, wenn der Betreiber sich auf ein berechtigtes Interesse beruft.
• dsgvo-dse-lueckeDSGVO-Auszüge in den Import aufnehmen, damit auch hier amtlicher Text statt einer Zusammenfassung steht.
• dsgvo-dse-lueckeBußgeldangabe prüfen lassen: Art. 83 Abs. 5 Buchst. b DSGVO als Grundlage bestätigen.
• dsgvo-dse-lueckeWortabgleich gegen die Datenschutzerklärung ist eine Näherung. Falsche Treffer sind möglich, wenn der Anbieter unter einem anderen Namen genannt wird.