AI Act und die Kennzeichnung KI-generierter Inhalte

Artikel 50 des AI Act gilt seit dem 2. August 2026 und verpflichtet Unternehmen zu Transparenz bei Inhalten, die unter Beteiligung künstlicher Intelligenz entstehen. Kurz gesagt: Ein Chatbot muss sich als KI zu erkennen geben, generierte Grafiken, Audio und Video müssen maschinell gekennzeichnet werden, und Deepfakes sowie ein Teil der Texte erfordern einen für Menschen lesbaren Hinweis. Das betrifft jedes Unternehmen, das solche Inhalte auf dem EU-Markt veröffentlicht, nicht nur die Anbieter von Modellen. Dieser Leitfaden erklärt, wann die Pflicht tatsächlich entsteht, wann die redaktionelle Prüfung sie aufhebt und wie Sie den Prozess jetzt aufsetzen, nachdem das Datum verstrichen ist.

Rechtsgrundlage ist die Verordnung (EU) 2024/1689, umgangssprachlich AI Act. Sie ist am 1. August 2024 in Kraft getreten, doch die einzelnen Teile gelten gestaffelt. Die Transparenzpflichten aus Artikel 50, also alles, wovon hier die Rede ist, gelten seit dem 2. August 2026. Das ist keine ferne Abstraktion für die Rechtsabteilungen großer Konzerne. Wenn Sie ein Medienhaus oder eine Agentur führen, einen Shop mit Chatbot betreiben oder einfach Grafiken aus einem Generator auf Ihre Website stellen, betrifft dieser Artikel Ihre tägliche Arbeit.

Es lohnt sich, gleich zwei Extreme zu entschärfen, die auf dem Markt kursieren. Das erste: „Der AI Act verbietet KI-Inhalte.“ Er verbietet sie nicht. Artikel 50 untersagt nichts, er verlangt nur Transparenz. Das zweite: „Es reicht, made with AI in die Fußzeile zu schreiben.“ Auch falsch, denn in vielen Fällen genügt der sichtbare Hinweis allein ohne die technische Ebene der Anforderung nicht. Die Wahrheit liegt dazwischen und ist machbarer, als die Panik nahelegt, aber anspruchsvoller, als ein Achselzucken vermuten lässt.

#Der Digital Omnibus 2026: was sich geändert hat und was nicht

Die Zeitleiste hat sich Mitte 2026 verschoben, und die Schlagzeilen haben das überzeichnet, deshalb lohnt sich Präzision. Die EU hat den Digital Omnibus zur KI verabschiedet, ein Paket, das Teile des AI Act vereinfacht: Das Parlament stimmte am 16. Juni 2026 ab, der Rat erteilte am 29. Juni 2026 seine endgültige Zustimmung, und die Veröffentlichung im Amtsblatt läuft. Er verschiebt mehrere Hochrisiko-Pflichten (die eigenständigen Hochrisiko-Pflichten aus Anhang III rutschen auf den 2. Dezember 2027), lässt aber die in diesem Leitfaden behandelten Transparenzpflichten aus Artikel 50 weitgehend unberührt.

Das für die Inhaltskennzeichnung entscheidende Datum war der 2. August 2026, und es ist verstrichen. Die Chatbot-Offenlegung nach Artikel 50 Absatz 1 sowie die Offenlegung von Deepfakes und Texten von öffentlichem Interesse nach Artikel 50 Absatz 4 gelten seit diesem Tag unverändert. Die einzige Erleichterung ist eng und betrifft nur die maschinelle Kennzeichnung KI-generierter Inhalte nach Artikel 50 Absatz 2: Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, erhalten eine dreimonatige Schonfrist und müssen die maschinenlesbare Kennzeichnung bis zum 2. Dezember 2026 tragen. Systeme, die ab dem 2. August 2026 in Verkehr gebracht werden, erhalten keine Schonfrist. Praktisch gelesen: Wer heute ein neues KI-Werkzeug für Inhalte aufsetzt, ist vom ersten Tag an in der Pflicht; wer eine bestehende Pipeline nachrüstet, hat für die maschinenlesbare Ebene bis Dezember Zeit, die Offenlegungen gegenüber Menschen sind dagegen bereits fällig. Wer Ihnen die Geschichte „die Frist wurde auf 2027 verschoben“ verkauft, beschreibt einen anderen Teil der Verordnung.

#Was Artikel 50 des AI Act besagt

Artikel 50 teilt die Welt in zwei Rollen, und diese Unterscheidung entscheidet darüber, was Sie tun müssen. Der Anbieter (Provider) ist derjenige, der ein KI-System entwickelt oder bereitstellt. Der Betreiber (Deployer) ist derjenige, der das System nutzt und die Ausgabe veröffentlicht. Ein Unternehmen ist mitunter in beiden Rollen zugleich, etwa wenn es einen eigenen Generator gebaut hat und dessen Ausgaben selbst veröffentlicht.

Die vier Absätze von Artikel 50 verteilen die Pflichten so:

Der häufigste Irrtum in Unternehmen besteht darin zu denken, dass Artikel 50 sie nicht betrifft, weil sie das Modell nicht selbst gebaut haben. Er betrifft sie. Absatz 4 spricht ausdrücklich vom Betreiber, also von Ihnen, wenn Sie eine Grafik aus einem Generator nehmen und auf die Website eines Kunden stellen. Die Pflicht zur maschinellen Kennzeichnung aus Absatz 2 liegt beim Anbieter des Modells, doch die Pflicht zur Offenlegung eines Deepfakes und eines informierenden Textes liegt bei demjenigen, der veröffentlicht.

#Wann Sie kennzeichnen müssen und wann nicht

Hier liegt der Kern, denn das Recht behandelt nicht alle Inhalte gleich. Die Trennlinie verläuft zwischen visuell-akustischen Medien und Text sowie zwischen freiem Text und redaktionell geprüftem Text.

Für Bild, Audio und Video ist die Regel hart. Wenn der Inhalt künstlich erzeugt oder so manipuliert ist, dass er den Eindruck von Echtheit erweckt (Deepfake), muss der Betreiber dies offenlegen. Hier gibt es nicht die bequeme redaktionelle Ausnahme, die man vom Text kennt. Die einzige Milderung betrifft offenkundig künstlerische oder satirische Werke, bei denen die Offenlegung so erfolgen soll, dass sie den Genuss des Werks nicht beeinträchtigt.

Für Text gibt es eine wesentliche Ausnahme. Text, der veröffentlicht wird, um die Öffentlichkeit in Angelegenheiten von öffentlichem Interesse zu informieren, erfordert eine Offenlegung, aber nicht dann, wenn er von einem Menschen geprüft oder redaktionell kontrolliert wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung dafür trägt. Das ist die Tür für Redaktionen und für jeden, der einen echten Freigabeprozess für Inhalte hat und nicht die rohe Ausgabe des Modells direkt auf die Seite stellt.

Die Grenze der „geringfügigen Bearbeitung“ ist für Agenturen und Marketer praktisch am wichtigsten. Wenn die KI die Interpunktion korrigiert oder einen Absatz kürzt, ohne Bedeutung und Kontext zu verändern, ist das eine unterstützende Bearbeitung, die in der Regel keine Pflicht auslöst. Wenn die KI die gesamte Erzählung schafft, eine Aussage fabriziert oder ein fotorealistisches Bild eines Ereignisses erzeugt, das nie stattgefunden hat, sind Sie auf der anderen Seite der Linie.

#Zwei Kennzeichnungsebenen

Das Wichtigste, das man sich merken muss: Compliance ist keine einzelne Geste, sondern zwei Ebenen. Man kann die eine ohne die andere haben und trotzdem nicht konform sein.

Die erste Ebene, die maschinelle, ergibt sich aus Absatz 2. Die KI-Ausgabe soll ein Signal tragen, das eine Maschine erkennt: dass der Inhalt künstlich erzeugt oder manipuliert ist. In der Praxis wird das heute auf drei oft kombinierte Arten umgesetzt. C2PA Content Credentials ist ein offener Provenienz-Standard, der der Datei ein kryptografisch signiertes Manifest mit der Herkunftsgeschichte anfügt. Ein Wasserzeichen, sichtbar oder unsichtbar, das in die Pixel oder Tonproben eingewoben ist. Metadaten, also Felder, die in der Datei selbst gespeichert sind. Die Verordnung verlangt, dass die Lösung wirksam, interoperabel, robust und zuverlässig ist, soweit dies technisch machbar ist, weshalb leicht entfernbare Metadaten allein eine schwache Wahl sind.

Die zweite Ebene, die menschliche, ergibt sich aus Absatz 4. Das ist eine lesbare Information, die ein Mensch sieht und versteht: ein Hinweis unter der Grafik, eine Kennzeichnung am Artikel, ein Begrüßungssatz des Chatbots. Hier kehren wir zum Mythos aus der Einleitung zurück. Ein kleiner sichtbarer Hinweis „mit KI erstellt“ kann für sich allein nicht ausreichen, denn er ersetzt nicht die maschinelle Ebene aus Absatz 2. Und umgekehrt erfüllt ein für den Leser unsichtbares technisches Wasserzeichen allein nicht die Offenlegungspflicht aus Absatz 4 dort, wo diese Pflicht besteht. Sie brauchen beide, abgestimmt auf den Inhaltstyp.

Eine technische Falle, die Praktiker überrascht: Die Veröffentlichungs-Pipeline kann die maschinelle Ebene zerstören. Bildoptimierung, Konvertierung nach AVIF, das Durchleiten der Datei durch ein CDN oder die Medienbibliothek im CMS entfernt häufig Metadaten und C2PA-Manifeste. Wenn Sie eine gekennzeichnete Datei hochladen und das System unterwegs die Metadaten entfernt, verschwindet die Kennzeichnung, und Sie sind wieder am Ausgangspunkt, ohne es zu wissen.

#Praktische C2PA-Implementierung in der Asset-Pipeline

Damit C2PA Content Credentials nicht als theoretisches Konzept verharren, betrachten wir die programmatische Einbindung. C2PA fügt Medien JUMBF-Container (JPEG Universal Metadata Box Format) an, die mit X.509-Zertifikaten signiert sind.

Im Node.js- und TypeScript-Umfeld geschieht die Manifest-Erstellung über das offizielle @contentauth/sdk oder das Rust-basierte CLI-Tool c2patool. Nachfolgend ein vollständiges Produktionsbeispiel für ein Node.js-Build-Skript, das synthetisch erzeugte Bild-Assets mit einem C2PA-Manifest signiert:

// scripts/sign-c2pa-asset.ts
import { createC2pa, ManifestBuilder } from '@contentauth/sdk';
import { readFile, writeFile } from 'node:fs/promises';
import { resolve } from 'node:path';

interface SigningOptions {
  inputPath: string;
  outputPath: string;
  generatorName: string;
  modelIdentifier: string;
  promptHash?: string;
}

export async function signSyntheticMedia(options: SigningOptions): Promise<void> {
  const { inputPath, outputPath, generatorName, modelIdentifier } = options;

  // Lade Zertifikat und privaten Schluessel fuer die Signatur
  const privateKey = await readFile(resolve(process.env.C2PA_PRIVATE_KEY_PATH || './certs/private-key.pem'));
  const certChain = await readFile(resolve(process.env.C2PA_CERT_CHAIN_PATH || './certs/certificate-chain.pem'));

  const c2pa = createC2pa({
    signer: {
      type: 'local',
      privateKey,
      certificateChain: certChain,
      algorithm: 'es256',
    },
  });

  const manifest = new ManifestBuilder({
    claim_generator: `${generatorName}/2026.1 (EU-AI-Act-Compliance-Pipeline)`,
    title: 'Synthetisch erzeugtes Medien-Asset',
    format: 'image/avif',
  });

  // Assertion: Kennzeichnung der kuenstlichen Erzeugung gemaess Art. 50 Abs. 2
  manifest.addAssertion({
    label: 'c2pa.actions',
    data: {
      actions: [
        {
          action: 'c2pa.created',
          parameters: {
            generator: generatorName,
            model: modelIdentifier,
          },
          softwareAgent: {
            name: generatorName,
            version: '2026',
          },
        },
      ],
    },
  });

  // Assertion: Herkunftsdeklaration und Rollenzuordnung
  manifest.addAssertion({
    label: 'c2pa.ai_generation',
    data: {
      synthetic: true,
      standard: 'EU-Regulation-2024-1689-Art50',
      disclosureRole: 'deployer',
      generatedAt: new Date().toISOString(),
    },
  });

  const inputBuffer = await readFile(resolve(inputPath));
  const { signedAsset } = await c2pa.sign({
    asset: inputBuffer,
    manifest,
    mimeType: 'image/avif',
  });

  await writeFile(resolve(outputPath), signedAsset);
  console.log(`[C2PA] Asset erfolgreich signiert und manifestiert: ${outputPath}`);
}

Wenn Sie diesen Schritt in Ihre CI/CD-Pipeline oder in Ihren automatisierten Medien-Workflow integrieren, tragen alle neu generierten Grafiken vor dem Upload in das CMS eine unzerstörbare kryptografische Signatur.

#WordPress-Integration: Erhalt von Metadaten und strukturierte Daten

Standardmäßig verwenden WordPress und gängige Bildoptimierungs-Plugins (wie Imagick, GD oder Cloud-Dienste) Optimierungsroutinen, die EXIF-, XMP- und JUMBF-Blöcke aggressiv entfernen, um Dateigrößen zu minimieren. Das bricht die maschinenlesbare Kennzeichnungspflicht nach Artikel 50 Absatz 2.

Um dies zu verhindern, muss WordPress so konfiguriert werden, dass Imagick Metadaten intakt lässt. Gleichzeitig sollte das CMS beim Rendern von Beiträgen automatisch strukturierte Daten (schema.org) für KI-Inhalte bereitstellen:

<?php
/**
 * Plugin Name: WPPoland AI Act Provenance & Compliance Guard
 * Description: Verhindert das Entfernen von C2PA-Metadaten und fuegt schema.org-Metadaten fuer KI-Inhalte hinzu.
 * Version: 2026.1
 */

declare(strict_types=1);

namespace WPPoland\AICompliance;

// 1. Imagick anweisen, C2PA- und Farbprofil-Profile bei der Skalierung zu bewahren
add_filter('image_editor_output_format', function (array $formats): array {
    return $formats;
});

add_action('wp_default_editor', function (string $editor): string {
    return 'WP_Image_Editor_Imagick';
});

add_filter('wp_image_editors', function (array $editors): array {
    // Imagick bevorzugen, da GD keine JUMBF-Bloecke erhaelt
    return ['WP_Image_Editor_Imagick'];
});

// 2. Automatisches Markieren in schema.org JSON-LD fuer Suchmaschinen und KI-Crawler
add_action('wp_head', function (): void {
    if (!is_singular()) {
        return;
    }

    global $post;
    $is_ai_assisted = (bool) get_post_meta($post->ID, '_is_ai_assisted', true);
    $editorial_responsible = get_post_meta($post->ID, '_editorial_responsible_person', true);

    $schema = [
        '@context' => 'https://schema.org',
        '@type' => 'Article',
        'headline' => get_the_title($post),
        'datePublished' => get_the_date('c', $post),
        'dateModified' => get_the_modified_date('c', $post),
        'mainEntityOfPage' => get_permalink($post),
    ];

    if ($is_ai_assisted) {
        $schema['creativeWorkStatus'] = 'AI-Assisted Content';
        
        if (!empty($editorial_responsible)) {
            // Nachweis der redaktionellen Verantwortung gemaess Art. 50 Abs. 4 Ausnahme
            $schema['editor'] = [
                '@type' => 'Person',
                'name' => esc_html($editorial_responsible),
                'jobTitle' => 'Responsible Editor (AI Act Art. 50(4) Exemption)',
            ];
            $schema['comment'] = 'Redaktionell geprueft und verantwortet gemaess Art. 50 Abs. 4 AI Act.';
        } else {
            $schema['comment'] = 'Vollstaendig oder ueberwiegend KI-generierter Text ohne individuelle Einzelpruefung.';
        }
    }

    echo '<script type="application/ld+json">' . wp_json_encode($schema, JSON_UNESCAPED_SLASHES | JSON_UNESCAPED_UNICODE) . '</script>' . "\n";
});

Dieser zweigleisige Ansatz stellt sicher, dass sowohl die Bilddateien selbst als auch das HTML-Dokument maschinenlesbare Nachweise für Auditoren und Web-Crawler bereithalten.

#Edge-Layer und HTTP-Header-Signalisierung via Cloudflare Workers

Auf der CDN- und Edge-Ebene können HTTP-Header verwendet werden, um KI-Generierungsdaten standardisiert zu deklarieren, noch bevor der HTML-Body geparst wird. Dies ist besonders wertvoll für Headless-Setups und APIs.

Hier ist ein kompakter Cloudflare Worker, der ausgehende Medien- und API-Routen prüft und Transparenz-Header injiziert:

// workers/ai-transparency-headers.ts
export interface Env {
  ENVIRONMENT: string;
}

export default {
  async fetch(request: Request, env: Env, ctx: ExecutionContext): Promise<Response> {
    const url = new URL(request.url);
    const response = await fetch(request);

    // Nur bei erfolgreichen Antworten Header modifizieren
    if (!response.ok) {
      return response;
    }

    const newHeaders = new Headers(response.headers);

    // Pruefe, ob der Pfad KI-generierte Medien oder API-Inhalte bedient
    if (url.pathname.includes('/ai-generated/') || response.headers.get('x-source-generator')) {
      // Deklaration fuer Crawler und Monitoring-Systeme
      newHeaders.set('X-AI-Content-Declaration', 'synthetic=true; legal-basis=EU-2024-1689-Art50');
      newHeaders.set('Content-Credentials', 'c2pa-manifest-present=true');
      
      // Cache-Kontrolle: Metadaten duerfen nicht von zwischengeschalteten Proxies gestrippt werden
      newHeaders.set('Cache-Control', 'public, max-age=31536000, immutable');
    }

    return new Response(response.body, {
      status: response.status,
      statusText: response.statusText,
      headers: newHeaders,
    });
  },
};

#Sichtbare Kennzeichnung für Menschen: Interaktive Web Components

Für die zweite Ebene (Artikel 50 Absatz 4) benötigen Sie sichtbare, unmissverständliche Hinweise. Ein statischer Textblock unter jedem Bild wirkt oft störend, während ein rein passiver Text von Lesern übersehen werden kann.

Eine moderne Lösung im Jahr 2026 ist eine leichtgewichtige, barrierefreie Web Component <ai-provenance-badge>, die eine dezente Kennzeichnung mit einem interaktiven Transparenz-Modal verbindet:

<!-- Clientseitige Web Component fuer transparente KI-Kennzeichnung -->
<script>
class AIProvenanceBadge extends HTMLElement {
  connectedCallback() {
    const tool = this.getAttribute('tool') || 'KI-Modell';
    const editor = this.getAttribute('editor') || 'Redaktionelle Pruefung';
    const date = this.getAttribute('date') || '2026';
    const type = this.getAttribute('type') || 'Illustration';

    this.innerHTML = `
      <aside class="ai-badge-container" aria-label="Transparenzhinweis zu kuenstlicher Intelligenz">
        <button type="button" class="ai-badge-trigger" aria-expanded="false">
          <span class="ai-icon" aria-hidden="true">✦</span>
          <span class="ai-badge-label">KI-generiert (${type})</span>
        </button>
        <div class="ai-badge-popover" hidden>
          <h4>Transparenz gemaess AI Act (Art. 50)</h4>
          <p><strong>Medium:</strong> ${type}</p>
          <p><strong>Erstellung:</strong> Generiert mit ${tool}</p>
          <p><strong>Redaktionelle Pruefung:</strong> ${editor}</p>
          <p><strong>Datum:</strong> ${date}</p>
          <small>Dieses Medium enthaelt kryptografische C2PA Content Credentials zur Herkunftsnachverfolgung.</small>
        </div>
      </aside>
    `;

    const button = this.querySelector('.ai-badge-trigger');
    const popover = this.querySelector('.ai-badge-popover');

    button.addEventListener('click', () => {
      const isExpanded = button.getAttribute('aria-expanded') === 'true';
      button.setAttribute('aria-expanded', String(!isExpanded));
      popover.hidden = isExpanded;
    });
  }
}
customElements.define('ai-provenance-badge', AIProvenanceBadge);
</script>

<style>
.ai-badge-container {
  display: inline-block;
  margin-top: 0.5rem;
  font-family: system-ui, -apple-system, sans-serif;
  font-size: 0.8125rem;
}
.ai-badge-trigger {
  background: #f1f5f9;
  border: 1px solid #cbd5e1;
  color: #334155;
  padding: 0.25rem 0.6rem;
  border-radius: 9999px;
  cursor: pointer;
  display: inline-flex;
  align-items: center;
  gap: 0.35rem;
  transition: all 0.2s ease;
}
.ai-badge-trigger:hover {
  background: #e2e8f0;
  border-color: #94a3b8;
}
.ai-badge-popover {
  position: absolute;
  margin-top: 0.5rem;
  background: #ffffff;
  border: 1px solid #e2e8f0;
  box-shadow: 0 10px 15px -3px rgba(0, 0, 0, 0.1);
  padding: 1rem;
  border-radius: 0.5rem;
  max-width: 320px;
  z-index: 50;
}
.ai-badge-popover h4 {
  margin: 0 0 0.5rem 0;
  font-size: 0.875rem;
  color: #0f172a;
}
.ai-badge-popover p {
  margin: 0.25rem 0;
  color: #475569;
}
</style>

Diese Komponente erfüllt die Kriterien der Barrierefreiheit (Screenreader-Zugänglichkeit via ARIA-Attribute) und bietet Besuchern bei Bedarf vollen Einblick in die Herkunftsdaten, ohne das Layout der Website zu überfrachten.

#CI/CD-Audit: Automatisierte Überprüfung von Medien vor dem Deployment

Um menschliche Versäumnisse auszuschließen, sollte die Einhaltung der Kennzeichnungsregeln im Rahmen automatisierter GitHub Actions Tests geprüft werden. Ein solches Prüfskript scannt das Inhaltsverzeichnis nach KI-Bildern ohne C2PA-Manifest oder fehlenden redaktionellen Attributen:

#!/usr/bin/env bash
# scripts/audit-ai-compliance.sh
set -euo pipefail

echo "=== Starte AI Act Compliance Audit gemaess Art. 50 ==="

MISSING_MANIFESTS=0
CHECKED_FILES=0

# Pruefe alle Markdown- und MDX-Dateien im Content-Verzeichnis
for file in $(find src/content -type f \( -name "*.md" -o -name "*.mdx" \)); do
  # Pruefe, ob der Beitrag als KI-unterstuetzt markiert ist
  if grep -q "aiAssisted: true" "$file"; then
    CHECKED_FILES=$((CHECKED_FILES + 1))
    
    # Pruefe, ob eine redaktionell verantwortliche Person oder ein howTo/Fakten-Register existiert
    if ! grep -q "heroImageCredit:" "$file" && ! grep -q "editor:" "$file"; then
      echo "[FEHLER] $file: aiAssisted ist true, aber kein heroImageCredit oder Editor-Nachweis gefunden!"
      MISSING_MANIFESTS=$((MISSING_MANIFESTS + 1))
    fi
  fi
done

echo "Audit abgeschlossen: $CHECKED_FILES Beitraege geprueft, $MISSING_MANIFESTS Verstoesse identifiziert."

if [ "$MISSING_MANIFESTS" -gt 0 ]; then
  echo "Build fehlgeschlagen: Bitte beheben Sie die Kennzeichnungsfehler vor dem Deployment."
  exit 1
fi

echo "Alle Beitraege entsprechen den Transparenzstandards."
exit 0

#So setzen Sie es Schritt für Schritt um

Die drei häufigsten Kontexte, in denen das auf dem Schreibtisch von Marketern und Agenturen landet, sind Social Media, die Website und Marketingmaterialien. Für jeden ist der Prozess ähnlich, aber die Details unterscheiden sich.

In Social Media haben Plattformen zunehmend eigene Mechanismen zur Offenlegung von KI, und ein Teil davon liest C2PA und fügt die Kennzeichnung automatisch hinzu. Das entbindet Sie nicht von der Verantwortung, erleichtert aber die menschliche Ebene. Ein praktischer Schritt: Kennzeichnen Sie die C2PA-Datei an der Quelle, bevor sie auf die Plattform gelangt, und aktivieren Sie beim Veröffentlichen die verfügbaren Schalter „KI-generierter Inhalt“. Verlassen Sie sich nicht allein darauf, dass die Plattform es erkennt, denn die Komprimierung beim Upload ist mitunter aggressiv.

Auf Ihrer eigenen Website haben Sie volle Kontrolle und volle Verantwortung. Hier hilft eine Agentur dem Kunden wirklich: eine Kennzeichnungskomponente für Grafiken und Videos gestalten, einen Disclaimer für den Chatbot hinzufügen und im CMS sicherstellen, dass die Bild-Pipeline die Provenienzdaten nicht entfernt oder dass die Kennzeichnung unabhängig von den Metadaten angefügt wird. Für einen Blog mit redaktionellem Prozess ist es entscheidend, diesen Prozess zu dokumentieren, denn er löst die Ausnahme aus Absatz 4 aus.

Bei Marketingmaterialien (Anzeigen, Präsentationen, Verkaufsinhalte) gehen Sie nach Risiko vor. Ein fotorealistisches Abbild einer Person, eine synthetische Stimme im Spot, der Avatar eines Moderators sind Fälle mit hohem Risiko, die eine Offenlegung erfordern. Eine abstrakte Hintergrundgrafik oder ein Icon ist ein Fall mit niedrigem Risiko. Bauen Sie eine einfache Checkliste, die das Team vor der Veröffentlichung durchgeht, statt jeden Fall von Neuem zu entscheiden.

Ein konkreter Mindestprozess sieht so aus: Inventarisierung der KI-Nutzung, Zuordnung des Inhaltstyps zur Anforderung, Aktivierung der maschinellen Ebene an der Quelle, Hinzufügen eines Hinweises für Menschen dort, wo nötig, und ein Entscheidungsregister mit einer redaktionell verantwortlichen Person.

#Die häufigsten Fallstricke

Erstens: das Verwechseln der Rollen. Ein Unternehmen nimmt an, dass Artikel 50 es nicht betrifft, weil es das Modell nicht trainiert hat. Als Betreiber, der ein Deepfake oder einen informierenden Text veröffentlicht, sind Sie Pflichtenträger, unabhängig davon, wessen Modell den Inhalt erzeugt hat.

Zweitens: die menschliche Ebene ohne die maschinelle, oder umgekehrt. Ein bloßer Hinweis unter dem Foto ersetzt nicht die Kennzeichnung aus Absatz 2, und ein bloßes unsichtbares Wasserzeichen ersetzt nicht die lesbare Offenlegung aus Absatz 4 dort, wo sie gilt.

Drittens: die Pipeline, die Metadaten löscht. Sie kennzeichnen die Datei, und das CMS, die Komprimierung oder das CDN entfernt die Provenienz bei der Veröffentlichung. Das muss an der realen, veröffentlichten Version der Datei getestet werden, nicht an der lokalen.

Viertens: Übereifer bei geringfügigen Bearbeitungen. Jede Interpunktionskorrektur als „KI-Inhalt“ zu kennzeichnen, verwässert das Signal und ermüdet das Publikum. Eine unterstützende Bearbeitung, die den Sinn nicht verändert, liegt in der Regel außerhalb des Umfangs.

Fünftens: die redaktionelle Ausnahme als automatisch zu behandeln. Die Ausnahme für Text greift nur dann, wenn tatsächlich eine menschliche Prüfung stattfindet und jemand die redaktionelle Verantwortung trägt. Ohne einen dokumentierten Prozess lässt sie sich schwer geltend machen.

#Was ist mit Polen und der Durchsetzung in der DACH-Region

Hier ist Vorsicht geboten. Die Durchsetzung des AI Act erfolgt durch nationale Marktüberwachungsbehörden. In Deutschland, Österreich und Polen befinden sich die spezifischen Behördenzuständigkeiten in der Ausgestaltung, doch die materiellen Rechtsfolgen gelten unmittelbar aus der EU-Verordnung. Sie müssen nicht auf nationale Durchführungsgesetze warten, um rechtlich bindend zu sein.

Die Höhe der Bußgelder ist beträchtlich: Verstöße gegen Artikel 50 unterliegen Artikel 99 des AI Act und können bis zu 15 Millionen Euro oder 3 Prozent des gesamten weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Das ist bewusst die niedrigere Stufe in der Verordnung, denn verbotene Praktiken werden mit bis zu 35 Millionen Euro oder 7 Prozent des Umsatzes geahndet. Für mittelständische Unternehmen ist das reale Risiko jedoch weniger das Maximalbußgeld, sondern Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände nach dem Gesetz gegen den unlauteren Wettbewerb (UWG), wenn synthetische Inhalte als authentisch ausgegeben werden.

Parallel dazu finalisiert die Europäische Kommission gemeinsam mit dem AI Office Verhaltenskodizes und harmonisierte Standards für C2PA und Wasserzeichen. Systeme sollten daher modular aufgebaut werden, um neue technische Spezifikationen ohne Refactoring integrieren zu können.

#Was Sie heute tun sollten

Das Datum ist verstrichen, jede Lücke ist also gegenwärtig und nicht künftig. Die Umsetzung beider Kennzeichnungsebenen dauert in der Regel mehrere Wochen, insbesondere das Testen der Bildkomprimierungs- und CDN-Pipelines auf ungewolltes Entfernen von Metadaten.

Beginnen Sie mit der Inventarisierung: Erfassen Sie jeden Ort, an dem KI Ihre Inhalte berührt, und ordnen Sie die Rolle Anbieter oder Betreiber zu. Ordnen Sie dann den Inhaltstyp der Anforderung gemäß der Tabelle oben zu. Aktivieren Sie anschließend die maschinelle Ebene an der Quelle und den lesbaren Hinweis dort, wo er gilt. Halten Sie zum Schluss den Prozess fest und bestimmen Sie eine redaktionell verantwortliche Person, denn sie löst die Ausnahme für Text aus.

Der günstigste Schritt heute sind zwei Dokumente: eine kurze Checkliste vor der Veröffentlichung und ein Entscheidungsregister. Der teuerste Fehler ist die Annahme, dass es Sie nicht betrifft, weil Sie das Modell nicht gebaut haben. Transparenz ist zudem ein Vertrauensvorteil gegenüber Ihren Kunden.

Wenn Sie möchten, dass wir das gemeinsam mit Ihnen durchgehen, führen wir ein Audit der KI-Nutzung und die technische Umsetzung des Kennzeichnungsprozesses für Websites, Shops und Redaktionen durch: C2PA-Pipeline-Integration, Metadaten-Härtung, Offenlegungskomponenten und Redaktionsrichtlinien. Schreiben Sie uns, und wir erstellen ein individuelles Angebot, das auf Ihren Stack und den Umfang Ihrer Veröffentlichungen zugeschnitten ist.

Letzte Prüfung der Rechtsfakten: 24. August 2026.