Drei Tage nach der Omnibus-Einigung folgt die operative Spielregel: Am 8. Mai 2026 hat die EU-Kommission den Konsultationsentwurf zu den Transparenz-Leitlinien des AI Act (Artikel 50) veröffentlicht. Die Frist für Stellungnahmen läuft bis 3. Juni 2026, die Pflicht selbst gilt ab 2. August 2026 — also 86 Tage später.
Was hat sich geändert? Die Kommission liefert die operative Hausordnung zur Omnibus-Strukturklarstellung vom 7. Mai. Wer ist betroffen? Anbieter und Deployer interaktiver Chatbots, generativer KI-Outputs (Text, Bild, Audio, Video) und biometrischer Klassifizierung — also nahezu jeder DACH-Mittelständler mit Sylius-, TYPO3- oder Symfony-Stack und KI-gestützter Content-Produktion. Was sollten Sie heute lesen? Klassifizierung, Konsultations-Frist, Geltungsbeginn — in dieser Reihenfolge.
Am 8. Mai 2026 hat die EU-Kommission den Entwurf der Leitlinien zur Umsetzung der Transparenzpflichten nach Artikel 50 AI Act veröffentlicht und die öffentliche Konsultation eröffnet. Stellungnahme-Frist: 3. Juni 2026. Geltungsbeginn der Pflicht: 2. August 2026. Verschärfte Übergangsfrist (3 statt 6 Monate, Stand Omnibus VII vom 7. Mai): 2. Dezember 2026. Zum gleichen Datum verbietet der Omnibus die kommerzielle Verbreitung von „Nudifier“-Tools — ohne Übergangsfrist.
Vier Pflicht-Profile aus Artikel 50: (1) Anbieter interaktiver KI muß die KI-Natur erkennbar machen; (2) Anbieter generativer KI muß Outputs maschinenlesbar markieren; (3) Deployer von Deepfakes muß synthetische Natur kenntlich machen; (4) Deployer von Emotionserkennung oder biometrischer Kategorisierung muß vorab informieren. Empfehlung: Klassifizierungs-Übung jetzt, Stellungnahme bis 3. Juni, Hinweis-Schicht bis 2. August, Markierungs-Pipeline bis 2. Dezember.
Die Konsultation der EU-Kommission dreht sich um den Leitlinien-Entwurf zu Artikel 50 des AI Act. Der Entwurf ist kein verbindlicher Rechtstext, sondern die operative Übersetzung der vier Pflicht-Profile aus Artikel 50 in prüfbare Routinen — maschinenlesbare Markierungs-Formate, Hinweis-Pflicht-Mechaniken, Deepfake-Schwellen, biometrische Informationspflichten. De facto wird er zum Maßstab, an dem Aufsichtsbehörden ab 2. August Compliance prüfen.
Drei Tage zuvor — am 7. Mai — hatten Rat und Parlament im Trilog die AI Omnibus VII geeinigt: Hochrisiko-Pflichten verschoben auf 2027 und 2028, Transparenzpflichten aber früher scharfgestellt (Übergang von 6 auf 3 Monate, Geltungsbeginn der Grundpflicht 2. August 2026, verschärfte Markierungsfrist 2. Dezember 2026). Wer den Omnibus als „Verschiebung“ gelesen hat und die Klassifizierungs-Übung pausierte, liest die heutige Konsultation als das, was sie ist: die Bestätigung, dass der Transparenz-Teil exakt nicht verschoben wird.
Profil 1 — Anbieter interaktiver KI (Art. 50 Abs. 1). KI-Systeme, die mit natürlichen Personen interagieren (Chatbots, Voicebots, Avatare), müssen sicherstellen, dass die betroffene Person die KI-Natur erkennt — es sei denn, das ist offensichtlich aus dem Kontext. Im DACH-Mittelstand betrifft das Service-Bots, Vertriebs-Assistenten und automatisierte Antwort-Mails.
Profil 2 — Anbieter generativer KI (Art. 50 Abs. 2). Anbieter von Text-, Bild-, Audio- oder Video-Synthese müssen Outputs maschinenlesbar markieren. Die Leitlinien-Konsultation diskutiert die technischen Optionen: C2PA-Signaturen, sichtbare und unsichtbare Wasserzeichen, Metadaten-Provenance, kryptografisch verifizierbare Manifeste. Sylius-Mandanten, die KI-Produkttexte oder KI-Bilder ausspielen, fallen hierunter.
Profil 3 — Deployer von Deepfakes (Art. 50 Abs. 4). Wer einem Publikum einen Deepfake oder einen KI-generierten Beitrag von öffentlichem Interesse vorlegt, muß die synthetische Natur kenntlich machen. Die Pflicht gilt nicht für künstlerische, satirische oder fiktionale Werke (mit Caveats). Marken mit KI-generierten Bewegtbildern in Pressekommunikation sind hier primär adressiert.
Profil 4 — Deployer biometrischer Klassifizierung (Art. 50 Abs. 5). Emotionserkennungs- oder biometrische Kategorisierungs-Systeme erfordern eine Vorab-Information der betroffenen Personen. Im Mittelstand selten direkt, in Bewerbungs- und HR-Tooling aber zunehmend relevant.
Bevor Sie den Konsultations-Text bewerten, brauchen Sie die ehrliche eigene Klassifizierung. Vier Fragen, die ich in jedem AI-Act-Review als erstes stelle:
In meiner Beratungspraxis sehe ich den DACH-Mittelstand am häufigsten in den Profilen 1 und 3. Profil 2 wird unterschätzt — viele Sylius-Mandanten erzeugen KI-Produkttexte und sind sich nicht bewusst, dass das ab August unter Artikel 50 fällt.
Drei Punkte sind aus meiner Sicht besonders konsultations-relevant:
Erstens — technische Markierungs-Optionen. Der Entwurf verweist auf C2PA als Referenz, lässt aber Wasserzeichen, Metadaten und kryptografisch signierte Manifeste daneben gelten. Wer Bildgenerierung im Stack hat, kann zwischen jetzt und Dezember 2026 entscheiden, welche Markierungsspur er fährt. C2PA ist die technisch sauberste, aber operativ teuerste; reine Metadaten-Provenance ist günstiger, aber leichter zu strippen.
Zweitens — Deepfake-Schwelle. Der Entwurf macht Audio, Bild und Video zur Pflichtmarkierung; reine Text-Outputs fallen unter 50 Abs. 2, nicht unter 50 Abs. 4. Das macht in der Praxis einen Unterschied: Ein KI-generierter Pressetext ist Markierungs-pflichtig, ein KI-generierter Pressefilm ist zusätzlich Kennzeichnungs-pflichtig — mit sichtbarem Hinweis im Bild.
Drittens — Übergangsfrist und „Nudifier“-Verbot. Der Omnibus-Beschluss hat die Übergangsfrist für die Markierungspflicht von sechs auf drei Monate verkürzt. Damit greift sie ab 2. Dezember 2026. Ebenfalls zum 2. Dezember verbietet der Omnibus die kommerzielle Verbreitung von KI-Tools, die ohne Einwilligung Nacktbilder generieren. Diese Verbots-Norm ist scharf, ohne Übergangsfrist, und nicht Teil der Leitlinien-Konsultation — aber im selben Geltungsstart-Datum verankert.
Bis zum 3. Juni — falls Sie mit der Klassifizierung zu Tag eins fertig sind: Reichen Sie eine Stellungnahme ein. Die EU-Kommission richtet die Konsultation explizit auch an KMU; wer als DACH-Mittelständler heute schreibt, dass die C2PA-Pflicht in Sylius- oder TYPO3-Workflows einen 6-Monats-Vorlauf braucht, ist Teil der Faktenbasis, auf der die Endfassung entsteht.
Bis zum 2. August: Bauen Sie die Hinweis-Schicht für interaktive KI-Systeme in Ihre TYPO3- oder Sylius-Frontends ein. Ein Banner, ein erster Bot-Turn, eine Zeile im Cookie-Layer — technisch trivial, bürokratisch unangenehm, wenn es im Juli noch zur Vorstandsfreigabe geht.
Bis zum 2. Dezember: Etablieren Sie die Markierungs-Pipeline für generative Outputs. Für DACH-KMU empfehle ich den hybriden Pfad: C2PA für Hero-Visuals, Metadaten-Provenance für Long-Tail-Assets.
Strukturell: Verzahnen Sie die Artikel-50-Pflicht mit Ihrer NIS-2-Registrierung. Das BSI-Registrierungsfenster ist seit 6. März 2026 geschlossen; wer als „wichtige“ oder „besonders wichtige“ Einrichtung qualifiziert und nicht registriert ist, hat eine offene Aufgabe, die mit der AI-Act-Geltung im August zur doppelten offenen Aufgabe wird.
Ich empfehle nicht, auf die Endfassung der Leitlinien zu warten. Zwischen 3. Juni und 2. August liegen genau 60 Tage; die Endfassung wird in dieser Zeit veröffentlicht, aber sie wird nicht früher gelten und nicht milder werden. Wer heute mit Klassifizierung und Pipeline-Bau beginnt, hat im August Zeit zum Polieren — wer wartet, hat im Juli Druck.
Ich empfehle ebenso wenig, die Markierungspflicht „an die Agentur abzugeben“. Die Pflicht trifft den Anbieter beziehungsweise den Deployer — also Sie, nicht Ihre Marketing-Agentur. Eine Agentur kann die Markierung technisch umsetzen; verantwortlich für die Compliance bleiben Sie. Verträge mit Agenturen sollten ab August explizit den Markierungs-Standard und die Beweislast klären.
Drei Profile aus meiner Beratungspraxis sind heute akut. Sylius- und TYPO3-Mandanten mit KI-gestützter Produkt- oder Content-Produktion — Online-Shops und Verlage, die Beschreibungen, Newsletters oder Bildvarianten automatisiert erzeugen lassen — fallen ab 2. August unter Profil 2. KMU mit Voicebots oder interaktiven Chat-Systemen auf Symfony- oder Node-Backend stehen unter Profil 1, mit der höchsten Sichtbarkeit gegenüber Endkund:innen. Marken mit KI-generierten Bewegtbildern in Pressekommunikation kombinieren Profil 2 und 3 zu einem doppelten Workflow, den die Marketing-Verantwortlichen oft noch nicht auf dem Schirm haben.
Die Konsultation vom 8. Mai ist die operative Hausordnung zum Strukturbeschluss vom 7. Mai. Was verschoben wurde, sind die Hochrisiko-Pflichten für Annex-III-Systeme. Was beschleunigt wurde, sind die Transparenzpflichten — genau die, die im DACH-Mittelstand am breitesten zutreffen.
Die Frage lautet nicht, ob der AI Act für Ihren Stack relevant ist. Sie lautet, ob Sie heute, am 10. Mai 2026, Ihre KI-Outputs nach den vier Profilen aus Artikel 50 sortiert haben — oder ob Sie das in der Nacht zum 2. August zum ersten Mal versuchen.
Persönlicher Hintergrund und technische Details zu C2PA, Wasserzeichen und Metadaten-Provenance in TYPO3- und Sylius-Workflows: ole-hartwig.eu.
Wenn ein Mensch den KI-Output redigiert und freigibt, bevor er veröffentlicht wird, sind Sie strukturell auf der sicheren Seite — die Markierungspflicht aus 50 Abs. 2 zielt auf unmittelbar publizierte generative Outputs. Sobald aber Texte, Bilder oder Audio ohne Endredaktion live gehen (typischerweise: Produktbeschreibungen aus einem PIM-Workflow, Newsletter-Varianten aus einem A/B-Tool, KI-generierte Produktbilder), greift die Pflicht. Die Praxis-Grenze ist nicht „intern vs. extern“, sondern „redigiert vs. ungeredigiert“.
Ich empfehle für die meisten DACH-KMU einen hybriden Pfad: C2PA-Signaturen für Hero-Visuals und PR-Bewegtbild (dort, wo die Provenance forensisch belastbar sein muß) und Metadaten-Provenance (IPTC/XMP-Tags DigitalSourceType) für Long-Tail-Assets wie Produktbilder. Reine Wasserzeichen ohne Metadaten-Schicht sind technisch unterlegen, weil sie beim ersten Re-Encode verloren gehen. Praktisch: Den C2PA-Pfad eines Hero-Assets durch die Bildpipeline laufen lassen und prüfen, was nach dem Image-Resizer und der CDN-Auslieferung noch übrig ist — das ist die Stelle, an der Theorie und Praxis sich begegnen.
Eine Stellungnahme dauert zwei bis vier Stunden, wenn die eigene Klassifizierung schon steht. Die EU-Kommission liest KMU-Stellungnahmen aktiv — das ist nicht Hoffnungs-Schlagwort, sondern in der vorherigen GPAI-Code-of-Practice-Runde nachweislich gezeigt. Wer schreibt, dass die C2PA-Pflicht in einem Sylius-Workflow einen 6-Monats-Vorlauf braucht (Image-Pipeline, CDN, Asset-Manager, Re-Encode-Stufen), oder dass die Hinweis-Pflicht aus 50 Abs. 1 mit dem deutschen TMG kollidiert, ist Teil der Faktenbasis. Wer schweigt, schweigt auch im Geltungsfall.
Artikel 99 AI Act sieht für Verstöße gegen die Transparenz-Pflichten aus Artikel 50 Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes (der höhere Betrag zählt) vor. Diese Spitze ist für KMU realistisch deutlich niedriger, weil das Verhältnismäßigkeits-Prinzip greift und Aufsichtsbehörden in der Anlaufphase typischerweise erst beraten. Wer aber im Herbst 2026 noch keine Markierung in der generativen Pipeline hat und die KI-Natur seines Chatbots nicht erkennbar macht, hat eine offene Aufgabe, die im nächsten Audit teurer wird als die Pipeline-Implementierung selbst.
Drei Schichten, ein Compliance-Stack: NIS-2 regelt die Sicherheits-Pflichten (Registrierung beim BSI seit 6. Januar 2026, Registrierungsfenster geschlossen seit 6. März 2026), die DSGVO regelt die Daten-Pflichten (Auftragsverarbeitung, Rechtsgrundlage, Betroffenenrechte), Artikel 50 AI Act regelt die Transparenz-Pflicht im KI-Kontext. Sie greifen ineinander: Ein Chatbot, der ohne KI-Hinweis läuft, verfehlt Artikel 50; verarbeitet er gleichzeitig personenbezogene Daten ohne klare Rechtsgrundlage, verfehlt er zusätzlich die DSGVO; läuft er auf einer Infrastruktur, die als „wichtige Einrichtung“ hätte registriert werden müssen, verfehlt er NIS-2. Die Kunst ist nicht, drei Projekte zu fahren, sondern einen Compliance-Stack, der alle drei Schichten gleichzeitig adressiert.
Die Endfassung kann den Entwurf in beide Richtungen verändern — strenger oder lässiger — oder unverändert lassen. Was sie nicht kann, ist den Geltungsbeginn nach hinten verschieben (das könnte nur ein weiterer Omnibus). Wer heute mit C2PA und Metadaten-Provenance baut, ist gegen eine Verschärfung gut abgesichert; wer auf das Mindestmaß setzt (nur Wasserzeichen, kein Manifest), riskiert im Herbst eine Nachzieh-Aktion. Meine Empfehlung lautet: hybrider Pfad jetzt, Endfassung im Juli/August gegenprüfen, gegebenenfalls die Markierungs-Schicht verschärfen, nicht die ganze Pipeline neu bauen.