EU KI-Verordnung für TYPO3: Was Betreiber und Agenturen jetzt tun müssen

Im Sommer 2026 haben sich für TYPO3-Projekte zwei Dinge gleichzeitig geändert, und sie zeigen in unterschiedliche Richtungen. Die Pflichten, auf die sich alle vorbereitet hatten, sind weiter weggerückt. Die Pflichten, die kaum jemand beobachtet hat, gelten dafür längst, und sie betreffen genau die Funktionen, die heute in TYPO3-Installationen laufen: einen Chatbot, eine KI-Suche, KI-generierte Texte und Bilder.

Seit dem 2. August 2026 gilt der größte Teil der EU KI-Verordnung, und für TYPO3-Projekte ist sie damit keine Zukunftsfrage mehr. Die Pflichten für Hochrisiko-Systeme wurden auf Dezember 2027 verschoben. Die Transparenzpflichten gelten seit August 2026 unverändert.

Dieser Beitrag ordnet für Betreiber und Agenturen, was gilt, ab wann und wer welche Pflicht trägt. Wir gehen das gemeinsam von der Rolle aus an, denn die Rolle entscheidet über alles Weitere. Wie sich die Kennzeichnung im Redaktionsalltag umsetzen lässt, steht im Beitrag zur KI-Kennzeichnungspflicht in TYPO3.

Kurz gefasst: Die Verbote und die Pflicht zur KI-Kompetenz gelten seit dem 2. Februar 2025. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026. Seit demselben Tag setzen die EU-Kommission und die nationalen Behörden die Verordnung durch, wie die Kommission in ihrer Mitteilung zum Beginn der Durchsetzung selbst festhält. Die Pflichten für Hochrisiko-Systeme nach Anhang III greifen erst am 2. Dezember 2027.

Für eine gewöhnliche Unternehmenswebsite ist damit heute Artikel 50 der Teil, der tatsächlich zählt. Die vollständige Übersicht führt die Kommission in ihrem Zeitplan zur Umsetzung der KI-Verordnung.

Was Artikel 50 im Kern verlangt, lässt sich in zwei Sätzen sagen. Menschen müssen erfahren, wenn sie mit einer KI und nicht mit einem Menschen sprechen. Und bestimmte KI-generierte oder KI-veränderte Inhalte müssen als solche erkennbar sein. Welche Inhalte davon betroffen sind und welche ausdrücklich nicht, behandeln wir gesondert. Das steht im Beitrag zur KI-Kennzeichnungspflicht in TYPO3. Diese Einordnung nehmen wir gern gemeinsam mit Ihnen vor.

Abbildung: ab wann welcher Teil der Verordnung gilt.

Hier wird es unübersichtlich, deshalb lohnt der genaue Blick. Die Verordnung (EU) 2026/1744 vom 8. Juli 2026, bekannt als Digital Omnibus on AI, wurde am 24. Juli 2026 im Amtsblatt der Europäischen Union veröffentlicht und trat am 27. Juli 2026 in Kraft. Sie verschiebt zwei Termine, lockert eine Formulierung und lässt den für Websites wichtigsten Teil unberührt.

1. Verschoben: Hochrisiko-Systeme nach Anhang III, von August 2026 auf den 2. Dezember 2027.
2. Verschoben: Hochrisiko-KI in regulierten Produkten nach Anhang I, von August 2027 auf den 2. August 2028.
3. Nicht verschoben: Artikel 50. Es gibt eine eng begrenzte Übergangsfrist bis zum 2. Dezember 2026. Sie gilt ausschließlich für die maschinenlesbare Kennzeichnung, und ausschließlich für Systeme, die vor dem 2. August 2026 auf dem Markt waren. Die Kommission formuliert das in ihren Fragen und Antworten zu Artikel 50 deutlich: die Frist ist begrenzt, und sie betrifft nur diesen einen Punkt.

Für die Praxis heißt das: Wer ein Karriereportal mit KI-gestützter Vorauswahl plant, hat echten Spielraum gewonnen. Wer heute einen Chatbot auf der Website betreibt, hat ihn nicht. Diese Unterscheidung prüfen wir an Ihrer Seite lieber ein Quartal zu früh als eines zu spät.

Die Verordnung verteilt Pflichten nach Rollen, nicht nach Unternehmensgröße. Zwei davon betreffen TYPO3-Projekte fast immer.

Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich einsetzt. Das ist der Regelfall: Sie installieren eine Erweiterung, konfigurieren sie und betreiben sie auf Ihrer Website. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt.

Für Agenturen ist die zweite Rolle die unangenehme Überraschung, denn man rutscht in sie hinein. Artikel 25 nennt drei Auslöser, nach denen aus einem Betreiber ein Anbieter wird:

1. Sie setzen Ihren eigenen Namen oder Ihre Marke auf ein Hochrisiko-System, das bereits auf dem Markt ist.
2. Sie verändern ein System wesentlich, sodass die Konformität oder die Zweckbestimmung berührt wird.
3. Sie geben einem KI-System mit allgemeinem Verwendungszweck einen neuen, hochriskanten Einsatzzweck, für den es nie eingestuft war.

Wer eine Standarderweiterung installiert und konfiguriert, bleibt Betreiber. Wer daraus ein eigenes, umbenanntes Produkt für Kunden macht, klärt die Rolle besser bewusst. Am besten schriftlich, im Projektvertrag. Diese Zuordnung gehört in die Leistungsbeschreibung und nicht in eine spätere Diskussion. Wir formulieren sie auf Wunsch gemeinsam mit Ihnen.

Abbildung: einer der drei Auslöser nach Artikel 25 genügt bereits.

Abbildung: Wann aus einem Betreiber ein Anbieter wird, nach Artikel 25.

Das Diagramm zeigt denselben Weg in Textform. Wer eine KI-Erweiterung nur installiert und konfiguriert, bleibt Betreiber. Wer sie unter eigenem Namen oder eigener Marke ausliefert, wer sie wesentlich verändert oder wer ihr einen neuen hochriskanten Einsatzzweck gibt, wird zum Anbieter und übernimmt dessen Pflichten.

Artikel 4 gilt seit dem 2. Februar 2025 und kommt in Projektgesprächen dennoch kaum vor. Sie richtet sich an Anbieter und Betreiber und verlangt Maßnahmen, mit denen die Mitarbeitenden, die KI-Systeme einsetzen, ein ausreichendes Maß an KI-Kompetenz entwickeln.

Der Digital Omnibus hat die Formulierung entschärft: Aus "sicherstellen" wurde "die Entwicklung von KI-Kompetenz unterstützen". Ein Mindestniveau oder eine Zertifizierung schreibt die Verordnung nicht vor. Maßgeblich sind der Kontext, die Vorkenntnisse des Teams und die betroffenen Personen.

In der Praxis genügt eine dokumentierte, verhältnismäßige Maßnahme. Dazu gehören eine kurze interne Richtlinie, wer welche KI-Funktionen einsetzen darf, eine Einweisung und eine Notiz darüber, wann sie stattgefunden hat. Wichtig ist, dass es sie wirklich gibt. Wie Sie Rollen und Rechte für KI-Funktionen technisch abbilden, zeigen wir gemeinsam mit Ihnen am Beispiel von AI Foundation für TYPO3, der quelloffenen Grundlage von T3Planet, und ausführlicher in unserem Beitrag dazu, wie TYPO3 zu einer KI-bereiten Plattform wird.

Zwei weitere Bereiche berühren Websites seltener, aber nicht nie.

Verbotene Praktiken (Artikel 5) gelten seit Februar 2025 ohne Übergangsfrist. Für Marketing und Website sind drei davon relevant. Erstens manipulative oder täuschende Techniken, die das Verhalten wesentlich beeinflussen und Schaden anrichten. Zweitens das Ausnutzen von Schutzbedürftigkeit nach Alter, Behinderung oder sozialer Lage. Drittens die biometrische Kategorisierung, die auf sensible Merkmale schließt. Personalisierung ohne KI-gestützte Verhaltensmanipulation fällt nicht darunter, und diesen Punkt klären wir mit Ihnen gern vorab.

Hochrisiko nach Anhang III ist für eine Unternehmenswebsite meist eine einzige Fallgruppe: das Karriereportal. Sobald KI Bewerbungen vorsortiert, bewertet oder filtert, liegt ein Hochrisiko-Einsatz im Bereich Beschäftigung vor. Dazu kommen Bildungszugang und Bonitäts- oder Anspruchsprüfungen, wenn Ihre Website solche Entscheidungen unterstützt. Diese Pflichten gelten ab dem 2. Dezember 2027. Betreiber tragen dann unter anderem menschliche Aufsicht durch geschultes Personal, Protokollierung über mindestens sechs Monate und die Information der betroffenen Beschäftigten.

Die Verordnung kennt drei Stufen. Verstöße gegen die Verbote in Artikel 5 kosten bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die übrigen Pflichten, einschließlich der Transparenzpflichten nach Artikel 50, liegen bei bis zu 15 Millionen Euro oder 3 Prozent. Falsche oder irreführende Angaben gegenüber Behörden kosten bis zu 7,5 Millionen Euro oder 1 Prozent. Für kleine und mittlere Unternehmen sowie Start-ups gilt jeweils der niedrigere der beiden Werte.

In Deutschland ist die Zuständigkeit seit dem 29. Juli 2026 geklärt. An diesem Tag trat das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) in Kraft. Die Bundesnetzagentur wird damit, in ihren eigenen Worten, "zur Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung". Sie betreibt außerdem ein Reallabor für kleine und mittlere Unternehmen. Fachaufsichten bleiben bestehen, etwa die BaFin für den Finanzbereich und die Landesmedienanstalten für Medien. Welche dieser Stellen für Ihr Haus zuständig ist, ordnen wir gemeinsam ein.

Diese Reihenfolge hat sich in unseren Projekten bewährt, weil jeder Schritt den nächsten möglich macht. Wir gehen sie auf Wunsch gemeinsam mit Ihrem Team durch.

Schritt 1: KI-Inventar erstellen

• Alle KI-Funktionen auf der Website und im Backend auflisten, auch die eingekauften.
• Je Funktion festhalten, welcher Anbieter dahintersteht und wer sie betreibt.
• Karriereportal, Chatbot und Suche gesondert markieren.
• Das Inventar ist die Grundlage für alles Weitere.

Schritt 2: Rolle je Funktion bestimmen

• Für jede Funktion Betreiber oder Anbieter festlegen, mit Begründung.
• Die drei Auslöser aus Artikel 25 durchgehen.
• Bei Agenturprojekten die Rolle im Vertrag festhalten.
• Eine ungeklärte Rolle ist der teuerste offene Punkt in dieser Liste.

Schritt 3: Transparenz sichtbar machen

• Prüfen, ob Besucher beim ersten Kontakt erfahren, dass sie mit einer KI sprechen.
• Prüfen, welche veröffentlichten Inhalte KI-generiert oder KI-verändert sind.
• Festlegen, wer die redaktionelle Verantwortung trägt.
• Details dazu im Beitrag zur KI-Kennzeichnungspflicht in TYPO3.

Schritt 4: KI-Kompetenz dokumentieren

• Eine kurze interne Richtlinie schreiben und im Team besprechen.
• Rollen und Rechte im System so setzen, dass sie zur Richtlinie passen.
• Datum und Teilnehmerkreis notieren.
• Verhältnismäßig heißt kurz, nicht abwesend.

Schritt 5: Nachweise sammeln

• Protokolle, Freigaben und Verantwortlichkeiten an einer Stelle zusammenführen.
• Einen Termin für die jährliche Überprüfung setzen.
• Änderungen an KI-Funktionen im Inventar nachziehen.
• Wer später etwas belegen muss, belegt es mit dem, was hier entstanden ist.

Falls Ihre Frage hier fehlt, beantworten wir sie gern gemeinsam mit Ihnen.