Was Besucher tatsächlich sehen: 1.088 Websites, gemessen

Seit dem 2. August 2026 gilt Artikel 50 der KI-Verordnung. Acht Tage später haben wir nachgesehen, was davon für Besucher sichtbar ist: 1.088 EU-bezogene Websites mit erkanntem Chat-Widget, jede in einem echten Browser geöffnet wie von einem Erstbesucher, Startseite, nur lesend. Das ist die deutsche Kurzfassung der Studie The State of AI Disclosure 2026, die im Original auf Englisch erscheint.

Das wichtigste Ergebnis ist nicht die Kennzeichnungsquote, sondern wie wenig überhaupt messbar ist: Auf 78 % der bestätigten Widgets konnte unser automatisierter Besucher die erste Nachricht gar nicht lesen. Alles Weitere gilt nur für den Rest.

Die Zahlen

Von diesen 174 lesbaren ersten Nachrichten:

Diese drei Kategorien werden nirgends zusammengefasst, und sie lassen sich auch nicht addieren. „Nicht eindeutig“ heißt, dass unser Scanner es nicht entscheiden konnte — nicht, dass der Hinweis fehlte. Wer die beiden unteren Zeilen zusammenzählt, trifft über 82 Fälle eine Aussage, die die Studie ausdrücklich nicht trifft.

Wie gemessen wurde

Auswahl. Ausgangspunkt ist die Tranco-Liste XN23N (Top 1 Mio.; jede Tagesliste aggregiert ein 30-Tage-Fenster, hier den 27.06. bis 26.07.2026; unter der Listen-ID dauerhaft abrufbar). Daraus die 16.000 höchstplatzierten Pay-Level-Domains mit EU-Endung, von 128.124 in Frage kommenden. Keine Handauswahl, keine Zufallsstichprobe, sondern Top-N nach Rang — damit sich der Rahmen aus zwei Konstanten nachbauen lässt, der Listen-ID und der TLD-Menge. Der Preis: Die Auswahl ist popularitätsgewichtet, große Anbieter sind überrepräsentiert, und alles unterhalb der Rangschwelle fehlt.

„EU-bezogen“. Eine Pay-Level-Domain, deren Public Suffix eine EU-27-ccTLD oder .eu ist. Bewusst ein Stellvertreter und in beide Richtungen unscharf: EU-Unternehmen auf .com fehlen; Domain-Hacks von außerhalb der EU reiten auf EU-Endungen und wurden einzeln anhand des Impressums aussortiert. Deshalb lauten die Aussagen auf „Sites unter EU-Länderdomains“, nie auf „alle EU-Websites“.

Der Scan. Jede Site wurde in einem echten Browser gerendert — Widgets laden per JavaScript nach, eine statische Prüfung würde sie systematisch verfehlen. Nur die Startseite, nur die erste Interaktionsfläche, und ausschließlich lesend: Der Scanner öffnet das Panel und liest mit. Er tippt nichts ein und schickt nichts ab — die Frage „Bist du eine KI?“ wird auf fremden Sites nicht gestellt. Sites, deren robots.txt das Scannen untersagte oder nicht erreichbar war, wurden ausgeschlossen und gezählt. Erkannt wurde ein Hinweis lexikonbasiert (Regelpaket 2026.07.9) über 24 Sprachschlüssel: 23 der 24 EU-Amtssprachen plus Katalanisch.

Was die Zahlen nicht sagen

Die Studie veröffentlicht ihre eigenen Schwachstellen, weil eine Zahl ohne ihre Fehlerquote kein Befund ist. Die wichtigsten:

• Für die drei Hinweis-Kategorien gibt es keine gemessene Fehlerquote. Das sind rohe Detektorwerte. Gemessen — und mit Konfidenzintervallen veröffentlicht — sind die Fehlerquoten der Stufe davor, des Widget-Detektors: 73,1 % Präzision dort, wo ein bekannter Anbieter fingerprintet werden konnte, 46,9 % bei generischen Launchern.
• Die Panels, die aufgehen, sind keine Zufallsauswahl. Es sind die Sites mit einfacheren Widgets und schwächeren Consent-Wänden. Wer die 11 % auf die ganze Kohorte hochrechnet, rechnet diese Verzerrung mit hoch.
• Eine Begrüßung in einer nicht abgedeckten Sprache wird als „kein Hinweis erkannt“ ausgegeben, nicht als „nicht bewertbar“. Die dafür vorregistrierte Rückfallregel wurde nie implementiert. Irisch fehlt im Lexikon.
• Der Sweep lief von einem US-Standort aus. Geofencete oder EU-spezifisch ausgelieferte Widgets können sich aus der EU heraus anders zeigen.
• Nur die Startseite, nur ein automatisierter Besucher. Ein Widget auf einer Support- oder Kassenseite ist per Definition nicht erfasst, und die Studie hat keinen menschlichen Vergleichsarm: Sie kann nicht sagen, wie weit der Blick eines automatisierten Besuchers von dem eines Menschen abweicht.
• Eine Momentaufnahme, kein Vorher-Nachher. Es gibt keinen veröffentlichbaren Vergleichswert von vor dem 2. August und keine Messung der Streuung zwischen zwei Scans desselben Tages.

Der vollständige Arbeitslog der Studie — einschließlich der nicht eingehaltenen Vorregistrierungen und der nachträglich gefundenen Instrumentenfehler — ist veröffentlicht: method log (englisch).

Keine Bewertung einzelner Websites

Die Studie nennt keine einzelne Website und wird es nicht tun. Ein Befund „kein Hinweis erkannt“ besagt, was ein automatisierter Besucher an der ersten Interaktionsfläche beobachten konnte — nie, dass ein Unternehmen gegen Artikel 50 verstößt. Diese Unterscheidung ist kein juristischer Vorbehalt, sondern eine Aussage über die Messgrenze: Was ein automatisierter Besucher nicht erreicht, kann diese Prüfung nicht bewerten. Ein Urteil darüber, ob eine Website die Vorgaben erfüllt, spricht die Studie an keiner Stelle aus — weder in die eine noch in die andere Richtung.

Der rechtliche Rahmen, in drei Sätzen

Artikel 50 der KI-Verordnung gilt seit dem 2. August 2026; für die Offenlegung bei Chatbots nach Abs. 1 gibt es keine Schonfrist. Die Übergangsfrist bis zum 2. Dezember 2026 betrifft ausschließlich die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 und nur Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden; der Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) hat Artikel 50 unberührt gelassen. Marktüberwachungsbehörde ist in Deutschland seit dem 2. August 2026 die Bundesnetzagentur — für Österreich und die Schweiz gelten jeweils eigene Zuständigkeiten.

Das ist eine Einordnung, keine Rechtsberatung.

Zitieren und weiterverwenden

Die aggregierten Tabellen der Studie stehen unter CC BY 4.0 — frei verwendbar mit Quellenangabe und Link, ebenso diese Kurzfassung. Zitierweise: DisclosureProof, „The State of AI Disclosure 2026“, Scan-Datum 10. August 2026.

Nicht veröffentlicht werden Rohdaten, Einzelsite-Datensätze und ein Repository-Abzug; Einzelsite-Datensätze wird es auch künftig nicht geben. Die Studie veröffentlicht Aufschlüsselungen nach Land (ccTLD) und nach Anbieter, jeweils mit einer vorregistrierten Mindestzellgröße von 30 — kleinere Zellen stehen als „n zu klein“ da, nicht als Prozentzahl.

Rückfragen zur Methodik, auch von Redaktionen: hello@disclosureproof.com.