Das sorgt in der Praxis für Verwirrung: Viele Unternehmen glauben, „der AI Act sei doch verschoben worden“ – und übersehen, dass die Transparenzpflichten längst gelten. Dieser Beitrag erklärt, wen die KI Kennzeichnungspflicht trifft, was konkret zu kennzeichnen ist, welche Ausnahmen bestehen – und wie Inhalte richtig gekennzeichnet werden, mit praktischer Anleitung für Bilder, Grafiken, Audio, Texte und Software-Lösungen wie KI-Chatbots.

KI-Kennzeichnungspflicht: Was seit dem 2. August 2026 gilt

Art. 50 der KI-Verordnung (EU) 2024/1689 bündelt die sogenannten Transparenzpflichten. Ihr Ziel: Menschen sollen erkennen können, wann sie es mit KI zu tun haben – sei es im Gespräch mit einem Chatbot oder beim Betrachten eines täuschend echten Bildes. Drei Punkte zur Einordnung vorab:

• Der Stichtag ist fix: Die Kernpflichten aus Art. 50 Abs. 1, 3 und 4 sind seit dem 2. August 2026 anwendbar. Dieser Termin wurde durch den Digital Omnibus nicht verschoben – anders als die Hochrisiko-Fristen (nun Dezember 2027 bzw. August 2028, mehr dazu hier).
• Eine Teilpflicht hat Aufschub: Nur die maschinenlesbare Markierung synthetischer Inhalte (Art. 50 Abs. 2, Stichwort Wasserzeichen) wurde im Omnibus-Verfahren für Systeme, die zum Stichtag bereits am Markt waren, um wenige Monate verlängert. Für neue Systeme gilt die Pflicht unmittelbar.
• Es drohen empfindliche Bußgelder: Verstöße gegen die Transparenzpflichten können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Für KMU gelten abweichende Regeln.

Wen trifft die KI Kennzeichnungspflicht? Klar: Anbieter und Betreiber

Der AI Act verteilt die Pflichten entlang der Wertschöpfungskette. Für die Praxis entscheidend ist die Unterscheidung zwischen Anbietern („Provider“, die das KI-System entwickeln oder unter eigenem Namen bereitstellen) und Betreibern („Deployer“, die es einsetzen). Die meisten KMU sind Betreiber – und damit keineswegs aus dem Schneider, wie die Tabelle vereinfacht beschreibt:

Für die meisten Unternehmen sind damit zwei Baustellen relevant: der Chatbot-Hinweis (wenn sie selbst ein KI-System anbieten oder ein White-Label-System unter eigenem Namen betreiben) und die Deepfake-Kennzeichnung im Marketing – etwa bei fotorealistischen KI-Models, geklonten Stimmen oder täuschend echten Produktszenen bzw. Produktillustrationen, KI-generierten Produktfotos oder andere Marketing-Grafiken, die täuschend echt aussehen (können).

Wie richtig kennzeichnen? Die Praxis-Anleitung für die KI-Kennzeichnung

Der AI Act schreibt keine exakte Formulierung vor – er verlangt, dass die Information klar, erkennbar und spätestens bei der ersten Interaktion bzw. Wahrnehmung erfolgt. Was das für die fünf gängigsten Fälle bedeutet – Chatbots, Bilder, Grafiken, Texte und Software mit KI-Funktionen – zeigt die folgende Anleitung für die Kennzeichnungspflicht:

Fall 1: Chatbots und KI-Assistenten

• Ein sichtbarer Hinweis direkt im Chat-Fenster genügt – etwa „Sie chatten mit unserem KI-Assistenten“ als Begrüßung oder dauerhaft im Header.
• Der Hinweis gehört an den Anfang der Interaktion, nicht ins Impressum oder in die Datenschutzerklärung.
• Ein täuschend menschlicher Auftritt (Name, Foto, „Ich bin Lisa aus dem Support“) ohne KI-Hinweis ist genau das Muster, das Art. 50 verhindern will.

Fall 2: KI-generierte Bilder, Videos und Audio (Deepfake-Fälle)

• Kennzeichnung direkt am Inhalt: sichtbarer Hinweis wie „Mit KI erstellt“ oder „KI-generiert“ im oder unmittelbar am Bild/Video – nicht versteckt in der Bildunterschrift auf einer Unterseite.
• Maßgeblich ist die Täuschungseignung: Ein fotorealistisches KI-Model in der Werbekampagne ist kennzeichnungspflichtig. Ein offensichtlich fiktives Motiv (z.B. eine Deutsche Autobahn ohne Baustellen und Schlaglöcher) ist es  (vermeintlich) nicht – kleiner Spaß am Rande.
• Bei künstlerischen oder satirischen Werken genügt eine Offenlegung, die die Darbietung nicht beeinträchtigt – etwa im Abspann.
• Bei Audio-Spuren und VoiceOvers ist es schwieriger: Werden diese im Social Media Kontext genutzt (z.B. als Instagram oder TikTok Reel) kann ein Hinweis direkt im VoiceOver störend sein und den Effekt bzw. die Ausspielung der Inhalte stark verschlechtern. Sollte es sich in Kombination mit den übrigen Inhalten (Video / Bild) als nötig erweisen, reicht ein kombinierter Hinweis im sichtbaren Material, also dem Bild oder Video. Bei anderen Formaten, wie z.B. KI-generierten Podcasts oder Hörbüchern, sollte der Hinweis direkt in der Audiospur erfolgen. Hier kommt es auf den Einzelfall an. Gerne beraten wir dabei.

Go vs. No Go: Gleiches Bild, ein Unterschied: Erst die Kennzeichnung macht den täuschend echten KI-Inhalt zulässig. (Bild: KI-generiert, © Elsen GRC)

Fall 3: Grafiken, Illustrationen und Infografiken

• Für schematische Darstellungen gilt Entwarnung: Eine KI-generierte Infografik, ein Diagramm oder eine stilisierte Illustration ist in aller Regel nicht kennzeichnungspflichtig – ihr fehlt die Täuschungseignung, weil niemand sie für ein echtes Foto oder reales Ereignis hält.
• Die Grenze verläuft beim Fotorealismus: Sobald eine Grafik echte Personen, Orte oder Ereignisse täuschend echt nachbildet (etwa ein fotorealistisch gerendertes „Pressefoto“), greift die Deepfake-Regel aus Abs. 4 – dann bitte sichtbar kennzeichnen.
• Praktischer Zwischenweg für Corporate Design: Wer KI-Grafiken einheitlich einsetzt, kann einen dezenten Herkunftshinweis in den Bildnachweis oder das Impressum der Publikation aufnehmen – rechtlich meist nicht gefordert, aber ein Vertrauenssignal. Das lässt sich in Design-Vorlagen bei Canvas, Claude Design o.ä. sogar gezielt einstellen.

Fall 4: Software und eigene KI-Features

• Wer KI-Funktionen in die eigene Software einbaut (etwa einen Assistenten in der App, automatische Textvorschläge, KI-Auswertungen), wird dafür regelmäßig zum Anbieter im Sinne des Art. 50 – mit den entsprechenden Pflichten aus Abs. 1 und 2.
• Konkret heißt das: Interagiert der Nutzer mit einer KI-Komponente, muss das in der Oberfläche erkennbar sein – etwa durch eine Beschriftung wie „KI-Assistent“, ein einheitliches KI-Symbol oder einen Hinweis beim ersten Aufruf des Features. Ein Satz in den Release Notes genügt nicht.
• Erzeugt die Software synthetische Inhalte (Texte, Bilder, Audio), muss der Output maschinenlesbar markiert werden (Abs. 2) – bei eingebundenen Fremdmodellen (z.B. via API von OpenAI oder Anthropic) sollte vertraglich und technisch geklärt sein, wessen Markierung greift und dass sie nicht in der eigenen Verarbeitungskette verloren geht.
• Für die Dokumentation: Jedes KI-Feature gehört ins KI-Inventar – inklusive der Einordnung, welche Kennzeichnungspflichten es auslöst.

Mehr Infos: KI-Inventar erstellen und pflegen

Fall 5: KI-gestützte und KI-generierte Texte

• Interne Dokumente, E-Mail-Entwürfe, redaktionell geprüfte Blogbeiträge: keine Kennzeichnungspflicht nach Art. 50.
• Kennzeichnungspflichtig werden Texte erst, wenn sie die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren und keine menschliche redaktionelle Verantwortung besteht – etwa vollautomatisch publizierte News-Feeds.

Häufige Fehler bei der KI Kennzeichnungspflicht

• Überkennzeichnung aus Angst: Wer jeden KI-gestützten Text mit Warnhinweisen versieht, erfüllt keine Pflicht, sondern verwässert die Aussagekraft der Kennzeichnung – und verunsichert Kunden unnötig.
• Versteckte Hinweise: Der KI-Hinweis in den AGB oder der Datenschutzerklärung genügt nicht. Die Information muss dort erfolgen, wo die Interaktion oder Wahrnehmung stattfindet.
• „Der Anbieter macht das schon“: Die maschinenlesbare Markierung (Abs. 2) liegt beim Systemhersteller – die sichtbare Deepfake-Kennzeichnung (Abs. 4) aber bei Ihnen als Betreiber. Beide Ebenen verwechseln viele.
• Omnibus-Irrtum: „Der AI Act wurde doch verschoben“ gilt für Hochrisiko-Pflichten – nicht für die Transparenzpflichten. Die gelten jetzt.
• Fehlender Überblick: Ohne KI-Inventar weiß niemand, welche Systeme im Haus überhaupt Kennzeichnungspflichten auslösen.

Checkliste: KI Kennzeichnungspflicht umsetzen

Kompakt zum Abhaken – in wenigen Schritten zur konformen und sicheren KI-Kennzeichnung:

• KI-Inventar prüfen: Welche eingesetzten Systeme interagieren mit Menschen oder erzeugen synthetische Inhalte?
• Rolle klären: Sind wir je System Anbieter oder Betreiber – und welche Absätze von Art. 50 greifen damit?
• Chatbots ausweisen: Sichtbarer KI-Hinweis zu Beginn jeder Interaktion implementiert
• Inhalts-Kategorien definieren: Klare interne Regeln, was als „KI-generiert“, „KI-unterstützt mit redaktioneller Prüfung“ und „menschlich erstellt“ gilt
• Deepfake-Fälle identifizieren: Marketing-Assets mit fotorealistischen KI-Elementen erfasst und gekennzeichnet
• Kennzeichnungsstandard festlegen: Einheitliche Formulierungen und Platzierungen dokumentiert (Styleguide)
• Anbieter-Markierung prüfen: Bestätigung der Systemhersteller einholen, dass maschinenlesbare Markierung (Abs. 2) umgesetzt ist bzw. wird
• Mitarbeiter schulen: Regeln in der KI-Kompetenzschulung und der internen KI-Richtlinie verankern
• Prozess etablieren: Kennzeichnungsprüfung fest in den Content- und Kampagnen-Workflow integrieren

➞ Checkliste zur KI-Kennzeichnungspflicht als kostenloses PDF downloaden

Wie Elsen GRC Sie unterstützt

Die KI Kennzeichnungspflicht ist für viele Unternehmen der erste unmittelbare Berührungspunkt mit dem AI Act – und selten der letzte. Elsen GRC begleitet Sie dabei, aus der Einzelpflicht ein tragfähiges Fundament zu machen:

• AI Act Readiness Scan: Wir erfassen Ihre KI-Systeme, klären Rollen und Risikoklassen – und identifizieren dabei genau, wo Kennzeichnungspflichten bestehen.
• KI-Kompetenzschulung nach Art. 4 EU AI Act: Damit Ihre Teams die Transparenzregeln kennen und im Alltag korrekt anwenden – inklusive Zertifikat und Schulungsregister.
• KI-Governance-Beratung: Kennzeichnungsstandards, Freigabeprozesse und KI-Richtlinie aus einem Guss.

So wird aus einer Pflicht, die viele als Bürokratie empfinden, ein Baustein für ehrliche, vertrauensbildende Kommunikation.

Häufige Fragen zur KI Kennzeichnungspflicht (FAQ)

Muss ich jeden mit ChatGPT, Claude oder Gemini geschriebenen Text kennzeichnen?

Nein. Texte, die ein Mensch redaktionell prüft und verantwortet, unterliegen keiner Kennzeichnungspflicht nach Art. 50. Die Pflicht greift bei veröffentlichten Texten zu Angelegenheiten von öffentlichem Interesse ohne menschliche redaktionelle Verantwortung. Für Blogs, Redaktionen und Pressemeldungen kann die KI also eingesetzt werden.

Gilt die KI Kennzeichnungspflicht auch für kleine Unternehmen (KMU) und Selbständige?

Ja. Der AI Act knüpft an die Nutzung an, nicht an die Unternehmensgröße oder die Gewerbeanmeldung. Wer einen Chatbot betreibt oder täuschend echte KI-Inhalte veröffentlicht, ist unabhängig von der Mitarbeiterzahl in der Pflicht. Auch als Privatperson oder Freiberufler.

Wurde die Kennzeichnungspflicht nicht durch den Digital Omnibus verschoben?

Nein, das ist ein verbreiteter Irrtum. Verschoben wurden die Hochrisiko-Pflichten (auf Dezember 2027 bzw. August 2028). Die Transparenzpflichten nach Art. 50 Abs. 1, 3 und 4 gelten seit dem 2. August 2026. Lediglich die maschinenlesbare Markierung (Abs. 2) erhielt für Bestandssysteme eine kurze Übergangsfrist.

Wie muss ein Chatbot-Hinweis konkret aussehen?

Klar erkennbar und spätestens bei der ersten Interaktion – etwa als Begrüßungstext oder dauerhafter Hinweis im Chat-Fenster. Ein Hinweis nur in AGB oder Datenschutzerklärung genügt nicht.

Welche Strafen drohen bei Verstößen?

Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Für KMU gelten hier aber abweichende Regelungen.

Offene Fragen zum Thema? Nutzt gerne unser Kontaktformular für einen unverbindlichen Austausch!

Titelbild: KI-generierter Inhalt, passend zum Thema

Verwandte Themen

• EU AI Act: Definition, Bedeutung & Pflichten
• KI-Inventar erstellen und pflegen: Guideline nach EU AI Act
• KI-Governance: Definition, Bedeutung & GRC-Relevanz

Quellen

• TÜV Rheinland Consulting: Transparenzpflichten im EU AI Act (Art. 50)
• TÜV Rheinland Consulting: EU AI Act ab 2. August 2026 – was Unternehmen jetzt tun müssen
• heise online: KI-Kennzeichnungspflicht – Was die EU ab August 2026 verlangt
• EU AI Act, Art. 50 – Transparenzpflichten (Gesetzestext)

Der Beitrag KI Inhalte kennzeichnen: Anleitung zur KI-Kennzeichnungspflicht nach AI Act erschien zuerst auf ELSEN GRC.

Executive Summary: US-Regierung erzwingt Abschaltung von Claude Fable 5 und Mythos 5 – was Unternehmen daraus lernen müssen

Nur drei Tage nach dem Launch seiner bislang leistungsfähigsten KI-Modelle musste Anthropic die Systeme Claude Fable 5 und Claude Mythos 5 am 12. Juni 2026 weltweit abschalten. Auslöser ist nach Darstellung des Unternehmens eine Exportkontrolldirektive der US-Regierung, die jeglichen Zugriff durch ausländische Staatsangehörige untersagt – innerhalb wie außerhalb der USA und sogar für eigene Mitarbeiter ohne US-Staatsbürgerschaft. Da eine Filterung auf Nutzerebene nicht kurzfristig umsetzbar war, blieb nur die vollständige globale Deaktivierung beider Modelle. Anthropic bezeichnet die Maßnahme als „Missverständnis“ und verweist auf einen lediglich engen, nicht-universellen Jailbreak. Aus Sicht von Governance, Risk & Compliance (GRC) ist der Fall ein Lehrstück: Er zeigt, wie geopolitische und exportrechtliche Risiken binnen Stunden zu einem Ausfall geschäftskritischer KI-Dienste führen können – und warum Modell-Abhängigkeit ein eigenständiges Compliance-Risiko ist.

Der Vorgang um Claude Fable 5 und Mythos 5 ist dabei kein gewöhnlicher Produktausfall. Er führt vor Augen, dass leistungsfähige KI-Modelle inzwischen im Spannungsfeld von Außenwirtschaftsrecht, nationaler Sicherheit und kommerzieller Verfügbarkeit stehen und dass Unternehmen, die solche Modelle in ihre Prozesse oder Software-Produkte einbinden, ein Risiko tragen, das weit über die Technik hinausreicht. Wie gravierend ist also die Abschaltung von Claude und welche Fallback-Szenarien sind realistisch?

Was ist passiert? Kurze Einordnung

Am 12. Juni 2026 erhielt Anthropic nach eigenen Angaben um 17:21 Uhr Ostküstenzeit eine Exportkontrolldirektive der US-Regierung. Diese untersagt den Zugriff auf Fable 5 und Mythos 5 für sämtliche ausländische Staatsangehörige – unabhängig vom Aufenthaltsort und ausdrücklich auch für ausländische Anthropic-Mitarbeiter. Weil sich Nationalität und Verwendungszweck aber nicht in Echtzeit auf Account-Ebene trennen lassen, sah sich das Unternehmen gezwungen, beide Modelle für alle Kunden weltweit abzuschalten. Alle übrigen Claude-Modelle bleiben laut Anthropic verfügbar. Diese Abschaltung ist in Europa kürzlich durch eine simple Meldung innerhalb der Claude-Anwendung sichtbar, wie der nachfolgende Screenshot zeigt.

Ein einfacher Hinweis in den Desktop- und Mobil-Apps von Claude informiert über die Abschaltung der Modelle

Hintergrund ist nach Darstellung Anthropics die Annahme der Regierung, es existiere eine Methode, um die Schutzmechanismen von Fable 5 zu „jailbreaken“. Laut Medienberichten soll ein nicht namentlich genanntes Unternehmen einen solchen Jailbreak demonstriert haben; Handelsminister Howard Lutnick habe Anthropic bereits Anfang Juni auf entsprechende Sicherheitsbedenken hingewiesen, bevor am 12. Juni die formale Anordnung folgte.

Bei Heise gibt es inzwischen Berichte darüber, dass der Amazon CEO die Fable-Sperre ausgelöst haben soll.

Anthropics Position: „Missverständnis“ und enger Jailbreak

Anthropic befolgt die Anordnung, widerspricht ihr aber öffentlich und ungewöhnlich deutlich. Das Unternehmen erklärt, die der Regierung vorliegende Demonstration habe lediglich eine kleine Anzahl bereits bekannter, geringfügiger Schwachstellen identifiziert – solche, die auch mit anderen öffentlich verfügbaren Modellen (genannt wird unter anderem OpenAIs GPT-5.5) reproduzierbar seien. Es habe sich um einen engen, nicht-universellen Jailbreak gehandelt, der im Kern darin bestehe, das Modell um die Analyse einer bestimmten Codebasis und das Beheben von Software-Fehlern zu bitten.

Anthropic argumentiert, das Auffinden eines derart begrenzten Jailbreaks rechtfertige nicht den Rückruf eines kommerziell breit eingesetzten Modells. Würde dieser Maßstab branchenweit angelegt, käme er nach Auffassung des Unternehmens faktisch einem Stopp sämtlicher neuer Modell-Deployments aller Anbieter von Frontier-Modellen gleich. Zugleich betont Anthropic, der Staat solle unsichere Deployments grundsätzlich blockieren dürfen – jedoch nur im Rahmen eines Verfahrens, das transparent, fair und technisch fundiert sei. Genau das sieht das Unternehmen hier nicht erfüllt.

Der regulatorische Kern: Exportkontrolle als Hebel

Bemerkenswert aus Compliance-Sicht ist dabei das verwendete Rechtsinstrument. Die US-Regierung greift nicht auf KI-spezifische Regulierung zurück, sondern auf Exportkontrollrecht – also klassisches Außenwirtschaftsrecht. KI-Modelle werden damit faktisch wie kontrollierbare Güter mit doppeltem Verwendungszweck (Dual-Use) behandelt.

Das hat eine weitreichende Logik: Wenn der Zugriff durch „ausländische Staatsangehörige“ den Tatbestand eines Exports erfüllt, dann ist nicht der physische Standort des Servers entscheidend, sondern die Staatsangehörigkeit des Nutzers. Für global aufgestellte Cloud-Dienste ist das ein kaum trennscharf umsetzbares Kriterium, was erklärt, warum die einzige praktikable Reaktion für den Claude-Hersteller die vollständige Abschaltung des Modells war.

Bewertung aus GRC-Sicht: Vier zentrale Risikofelder

1. Verfügbarkeits- und Kontinuitätsrisiko (Business Continuity)

Ein als „leistungsfähigstes Modell der Unternehmensgeschichte“ beworbenes System war drei Tage nach dem Launch nicht mehr verfügbar. Für Organisationen, die KI-Modelle produktiv in Geschäftsprozesse einbinden, ist das ein Lehrstück in Sachen Business Continuity Management (BCM): Ein erzwungener Modellwechsel ist die unangenehmste Form der Betriebsunterbrechung, weil sie ungeplant und von außen verursacht ist. Wer kein Fallback-Modell und keinen Ausweichprozess definiert hat, riskiert den absoluten Stillstand, insbesondere als SaaS-Betreiber oder bei tiefer Integration der KI-Modelle in die eigenen Geschäftsprozesse.

2. Konzentrations- und Anbieterabhängigkeit (Concentration Risk)

Der Fall verdeutlicht das Risiko einer einseitigen Abhängigkeit von einem einzelnen KI-Anbieter oder Modell. Was im Finanzsektor unter „Konzentrationsrisiko“ und „Auslagerungsmanagement“ längst reguliert ist (etwa durch DORA, Digital Operational Resilience Act und die EBA-Leitlinien), gilt sinngemäß für jede KI-gestützte Wertschöpfung: Eine Multi-Vendor- oder Multi-Modell-Strategie ist kein technisches Nice-to-have, sondern eine Risikomanagement-Entscheidung und – angesichts der aktuellen Vorfälle – ein absolutes „Must-Have“!

3. Geopolitisches und exportrechtliches Risiko

KI-Dienste US-amerikanischer Anbieter unterliegen US-Recht – mit extraterritorialer Wirkung. Der Zugriff europäischer Unternehmen kann durch Entscheidungen einer fremden Regierung binnen Stunden entfallen, ohne dass der Kunde Einfluss oder Vorlauf hat. Für die Bewertung von KI-Dienstleistern gehört diese Jurisdiktions- und Souveränitätsfrage künftig zwingend in die Lieferanten-Due-Diligence – vergleichbar mit den Debatten um Cloud-Souveränität und den DSGVO-Drittlandtransfer.

4. Verantwortung der Geschäftsleitung

Wie schon bei NIS-2 und dem EU AI Act gilt: Die Verantwortung für solche Risiken liegt auf der Leitungsebene. Die Frage „Was passiert, wenn unser zentrales KI-Modell morgen nicht mehr verfügbar ist?“ ist keine Frage der IT-Verfügbarkeit, sondern eine konkrete Governance-Entscheidung, die entsprechende Implikationen für Haftung, Sorgfaltspflichten und Notfallvorsorge mit bringt.

Was bedeutet das für deutsche Unternehmen und öffentliche Stellen?

Auch wenn Fable 5 und Mythos 5 für die meisten Organisationen längst nicht im alltäglichen Einsatz waren, hat der Fall strukturelle Konsequenzen:

• KI-Notfallplanung: Jedes Unternehmen, das KI-Modelle produktiv nutzt, sollte ein dokumentiertes Fallback-Szenario besitzen: welches Ersatzmodell kann schnell an die eigenen Services angebunden oder vorgehalten werden, welche Umschaltzeit ist realistisch, welche Qualitätssicherung existiert?
• Vertrags- und Exit-Management: Verträge mit KI-Anbietern sollten Regelungen zu Verfügbarkeit, Modell-Abkündigung und Datenportabilität enthalten.
• Souveränitätsabwägung: Für sensible Anwendungen (KRITIS, öffentliche Verwaltung, regulierte Branchen) gewinnt die Frage nach europäischen oder selbst-gehosteten Alternativen an Gewicht. Insbesondere lokale LLM-Modelle können eine attraktive Alternative darstellen.
• Lieferanten-Due-Diligence: Die Jurisdiktion des Anbieters und mögliche extraterritoriale Eingriffe gehören in jede Risikobewertung eingesetzter KI-Dienste.

Bedeutung für Governance, Risk und Compliance

Der Fall reiht sich in eine Entwicklung ein, die GRC-Verantwortliche zunehmend beschäftigt: KI-Risiken sind nicht mehr nur technischer oder datenschutzrechtlicher Natur, sondern berühren Außenwirtschaftsrecht, Geopolitik und Betriebskontinuität gleichzeitig.

• Governance muss klären, von welchen KI-Anbietern und Modellen die Organisation abhängt und wer über Ausweichoptionen entscheidet.
• Risk Management muss Anbieter-, Konzentrations- und Jurisdiktionsrisiken als eigene Risikokategorie erfassen und mit Verfügbarkeits- und Cyber-Risiken verknüpfen.
• Compliance muss die Brücke schlagen zu Auslagerungsanforderungen (z.B. DORA, MaRisk (Mindestanforderungen an das Risikomanagement), BAIT), zum EU AI Act und zu vertraglichen Verfügbarkeitszusagen – und dies nachweisbar dokumentieren.

Die zentrale Lehre ist nüchtern: Wer ein einzelnes KI-Modell zum kritischen Bestandteil seiner Wertschöpfung macht, übernimmt damit auch dessen regulatorische und geopolitische Risiken – oft ohne Mitsprache und ohne Vorwarnung. Und im Jahr 2026 kann auch eine launische US-Exportkontrolle am Wochenende unerwartet hart einschlagen.

Unterstützung durch Elsen GRC

Elsen GRC unterstützt Unternehmen und öffentliche Stellen dabei, Abhängigkeiten von KI-Modellen und -Anbietern strukturiert zu bewerten und in bestehende Governance-, Risk- und Compliance-Strukturen zu integrieren. Dazu gehören die Bewertung eingesetzter KI-Dienste, der Aufbau einer KI-Governance im Sinne des EU AI Acts, die Entwicklung von Fallback- und Exit-Strategien sowie die Verzahnung mit Auslagerungs-, NIS-2- und Datenschutzanforderungen.

Der Fall Fable 5 und Mythos 5 sollte nicht als Anlass für Panik, sondern für eine nüchterne Bestandsaufnahme dienen: Von welchen KI-Modellen hängen wir ab? Was passiert bei einem plötzlichen Ausfall? Welche Risiken akzeptieren wir bewusst – und welche nicht?

Gerne unterstütze ich Sie dabei im Rahmen eines unverbindlichen Erstgesprächs. Vereinbaren Sie einfach einen unverbindlichen Termin.

Quellen:

• Statement on the US government directive to suspend access to Fable 5 and Mythos 5 – Anthropic
• US-Regierung erzwingt Abschaltung von Anthropics KI Fable 5 und Mythos 5 – Heise online

Der Beitrag Abschaltung von Claude Fable 5 und Mythos 5 durch US-Regierung erzwungen erschien zuerst auf ELSEN GRC.