KI & Bots
KI-Bilder kennzeichnen: Was der AI Act verlangt und wie Metadaten helfen
Seit dem 2. August 2026 gelten die Transparenzpflichten des AI Act. Wer KI-Bilder kennzeichnen will oder muss, steht vor zwei Fragen: Wann ist ein sichtbarer Hinweis Pflicht, und was leisten maschinenlesbare Markierungen wie Metadaten? Ich ordne beides ein, mit Blick auf Websites, Blogs und Apps.
Zwei Rollen, zwei Pflichten
Der AI Act unterscheidet zwischen Anbietern und Betreibern. Anbieter entwickeln ein KI-System und bringen es unter eigenem Namen auf den Markt, etwa einen Bildgenerator. Betreiber nutzen ein KI-System in eigener Verantwortung, zum Beispiel eine Firma, die damit Bilder für ihre Website erstellt. Rein private, nicht berufliche Nutzung fällt nicht unter den AI Act.
| Rolle | Pflicht nach Art. 50 | Form |
|---|---|---|
| Anbieter eines Bildgenerators | Ausgaben als künstlich erzeugt markieren und erkennbar machen (Abs. 2) | Maschinenlesbar, zum Beispiel Wasserzeichen oder Metadaten |
| Betreiber, der Deepfakes veröffentlicht | Offenlegen, dass Inhalte künstlich erzeugt oder verändert sind (Abs. 4) | Klar erkennbar für Menschen, ohne technische Hilfsmittel |
| Betreiber, der KI-Texte zu Themen von öffentlichem Interesse veröffentlicht | Kennzeichnen, außer bei menschlicher Prüfung oder redaktioneller Kontrolle (Abs. 4) | Klar erkennbar |
Die meisten Website-Betreiber sind also Betreiber, nicht Anbieter. Die technische Markierung liegt in erster Linie beim Hersteller des Generators.
Wann ist ein Bild ein Deepfake?
Der AI Act definiert Deepfakes als KI-erzeugte oder -veränderte Bild-, Ton- oder Videoinhalte, die existierenden Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähneln und fälschlich echt wirken würden. Laut den FAQ der EU-Kommission müssen drei Kriterien zusammenkommen:
- Ähnlichkeit: Der Inhalt ähnelt dem dargestellten Motiv stark.
- Existenz: Das Motiv gibt es, könnte es plausibel geben oder hätte es geben können.
- Falscher Anschein: Der Inhalt kann jemanden über seine Echtheit täuschen.
Für das dritte Kriterium zählen auch der Kontext und die Erwartungen des Publikums. Eine klar stilisierte Illustration zu einem Fachartikel wird kaum jemand für ein echtes Foto halten. Ein fotorealistisches Bild einer erkennbaren Person bei einem Ereignis, das nie stattgefunden hat, ist dagegen ein typischer Deepfake.
Deepfakes müssen spätestens beim ersten Kontakt klar und gut wahrnehmbar gekennzeichnet sein, zum Beispiel durch einen sichtbaren Hinweis. Die Kommission stellt ausdrücklich klar: Die maschinenlesbare Markierung des Anbieters reicht dafür nicht. Bei offensichtlich künstlerischen, satirischen oder fiktionalen Werken ist die Pflicht eingeschränkt, ein Hinweis bleibt aber nötig.
Fristen und Übergang
Artikel 50 gilt seit dem 2. August 2026. Mit der Änderungsverordnung (EU) 2026/1744, dem sogenannten Digital Omnibus zu KI, gibt es eine Übergangsfrist nur für die Markierungspflicht nach Absatz 2: Anbieter, deren Systeme schon vor dem 2. August 2026 auf dem Markt waren, müssen erst ab dem 2. Dezember 2026 markieren. Inhalte, die vor dem 2. August 2026 erzeugt wurden, müssen nicht rückwirkend gekennzeichnet werden. Die Kommission empfiehlt es aber, wo möglich.
Bei Verstößen sind Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes möglich. Bei kleinen und mittleren Unternehmen kann die Verhältnismäßigkeit berücksichtigt werden. Zuständig sind in erster Linie die nationalen Marktüberwachungsbehörden.
Der Verhaltenskodex der EU
Am 10. Juni 2026 hat die Kommission einen freiwilligen Verhaltenskodex zur Transparenz KI-generierter Inhalte veröffentlicht. Er hat zwei Teile: Regeln für Anbieter zur Markierung und Erkennung sowie Regeln für Betreiber zur Kennzeichnung von Deepfakes und bestimmten Texten. Kommission und KI-Gremium haben den Kodex als geeignetes Mittel bewertet, um die Einhaltung nachzuweisen. Dazu gibt es einen Satz EU-Symbole, die Betreiber zur Kennzeichnung nutzen können.
Wer nicht unterzeichnet, muss auf anderem Weg zeigen, dass seine Maßnahmen ausreichen. Für kleine Betreiber heißt das vor allem: einheitlich und gut sichtbar kennzeichnen, wo es nötig ist.
Was Metadaten leisten
IPTC Digital Source Type
Der Nachrichtenstandard IPTC beschreibt im Feld „Digital Source Type“, wie ein Bild entstanden ist. Zwei Werte sind für KI-Bilder relevant: trainedAlgorithmicMedia für Inhalte, die mit generativer KI erstellt wurden, und compositeWithTrainedAlgorithmicMedia für Bilder, die mit generativer KI bearbeitet wurden, etwa durch Inpainting oder Outpainting.
C2PA und Content Credentials
Die Coalition for Content Provenance and Authenticity (C2PA) hat einen offenen Standard entwickelt, der Herkunft und Bearbeitungsschritte eines Inhalts nachvollziehbar macht. Die Angaben heißen Content Credentials. C2PA vergleicht sie selbst mit einem Nährwertetikett für digitale Inhalte.
Die Grenzen
Metadaten sind nur so gut wie die Kette, durch die ein Bild läuft. Bildbearbeitung, Komprimierung oder Plugins können sie entfernen. Und sie sind für Menschen nicht sichtbar. Deshalb ersetzen sie bei Deepfakes keinen sichtbaren Hinweis.
Freiwillig kennzeichnen lohnt sich
Nicht jedes KI-Bild ist ein Deepfake, und nicht jedes muss sichtbar gekennzeichnet werden. Trotzdem spricht viel für einen einheitlichen Hinweis bei allen KI-Bildern: Du musst nicht jedes Mal abwägen, ob ein Motiv „zu echt“ wirkt, und Leser wissen, woran sie sind. Ein kurzer Vermerk in der Bildunterschrift kostet wenig.
Was du jetzt tun kannst
- Rolle klären: Prüfe, ob du nur Betreiber bist oder selbst ein KI-System anbietest, etwa einen Bildgenerator in deiner App.
- Bilder sichten: Geh deine KI-Bilder durch und markiere alle, die echte Personen, Orte oder Ereignisse realistisch zeigen.
- Hinweis festlegen: Lege eine einheitliche, sichtbare Kennzeichnung fest, zum Beispiel in der Bildunterschrift, und prüfe die EU-Symbole.
- Metadaten prüfen: Lade ein KI-Bild hoch und kontrolliere, ob Herkunftsangaben nach dem Upload noch vorhanden sind.
- Texte einordnen: Wenn du KI-Texte zu Themen von öffentlichem Interesse veröffentlichst, sorge für eine echte inhaltliche Prüfung durch einen Menschen.
Dieser Artikel ist eine Einordnung und keine Rechtsberatung.
Häufige Fragen zur Kennzeichnung von KI-Bildern
Muss ich jedes KI-Bild auf meiner Website kennzeichnen?
Eine sichtbare Kennzeichnungspflicht besteht für Deepfakes, also Inhalte, die existierenden Personen, Orten oder Ereignissen ähneln und fälschlich echt wirken. Eine einheitliche freiwillige Kennzeichnung aller KI-Bilder ist trotzdem sinnvoll.
Reichen Metadaten als Kennzeichnung?
Bei Deepfakes nicht. Die Kommission stellt klar, dass Betreiber sich nicht allein auf die maschinenlesbare Markierung des Anbieters verlassen können. Der Hinweis muss für Menschen ohne technische Hilfsmittel erkennbar sein.
Ab wann gelten die Pflichten?
Artikel 50 gilt seit dem 2. August 2026. Nur für die Markierungspflicht von Anbietern, deren Systeme schon vorher auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026.
Was bedeutet trainedAlgorithmicMedia?
Das ist ein Wert im IPTC-Feld Digital Source Type und steht für Inhalte, die mit generativer KI erstellt wurden.
Quellen
- EUR-Lex: Verordnung (EU) 2024/1689 (KI-Verordnung)
- EUR-Lex: Verordnung (EU) 2026/1744 (Digital Omnibus zu KI)
- EU-Kommission: Transparency obligations under Article 50 of the AI Act (FAQ, Stand 24.07.2026)
- EU-Kommission: Code of Practice on Transparency of AI-generated Content
- EU-Kommission: Commission publishes Code of Practice on marking and labelling AI-generated content (10.06.2026)
- IPTC: Digital Source Type NewsCodes
- C2PA: Coalition for Content Provenance and Authenticity
Stand: 22.10.2026.
Mehr Einordnung zu KI
Weitere Artikel zu KI, IT und OT findest du in der Artikelübersicht.
Alle Artikel ansehen