Kennzeichnung, Herkunftsnachweis und Erkennung KI-generierter Inhalte (KI-Verordnung Art. 50)

Seit dem 2. August 2026 gelten die Transparenzregeln der KI-Verordnung (AI Act, Art. 50): Anbieter generativer Systeme müssen Ausgaben maschinenlesbar kennzeichnen, und Betreiber müssen Deepfakes und bestimmte KI-geschriebene Texte im öffentlichen Interesse offenlegen. Die praktische Antwort ist ein mehrschichtiger Aufbau: unsichtbare Wasserzeichen, signierte C2PA-Content-Credentials, sichtbare Kennzeichen sowie Prüf- oder Erkennungswerkzeuge auf der Empfängerseite. Keine einzelne Technik genügt, daher muss der Aufbau mehrere kombinieren.

Problem & Nutzen

• Wer das Problem hat: (1) Anbieter von Bild-, Audio-, Video- und Textgeneratoren (auch Unternehmen, die eine generative Funktion in ein Produkt einbauen) müssen Ausgaben kennzeichnen. (2) Betreiber - Marketingteams, Verlage, Agenturen, öffentliche Stellen - müssen Deepfakes und KI-Texte offenlegen, die veröffentlicht werden, um die Öffentlichkeit zu informieren. (3) Plattformen, Redaktionen, Versicherer, Banken und Behörden müssen beurteilen, ob eingehende Medien synthetisch sind.
• Heute: Die Kennzeichnung erfolgt ad hoc (ein Hinweis „mit KI erstellt“, entfernte Metadaten), und die Erkennung ist meist Raterei oder beruht auf unzuverlässigen Klassifikatoren.
• KI-Nutzen: automatische Kennzeichnung bei der Erzeugung, automatisches Einfügen von Kennzeichen im Veröffentlichungsablauf und Prüfung beim Eingang, mit einem Prüfpfad, der die Einhaltung belegt.
• Regulatorischer Treiber: Art. 50 Abs. 2 verlangt, dass Ausgaben in einem maschinenlesbaren Format gekennzeichnet und als künstlich erkennbar sind, mit Lösungen, die wirksam, interoperabel, robust und zuverlässig sind, soweit technisch machbar. Art. 50 Abs. 4 verlangt von Betreibern, Deepfakes und KI-generierte Texte im öffentlichen Interesse offenzulegen (nicht, wenn der Text einer menschlichen Prüfung oder redaktionellen Kontrolle mit redaktioneller Verantwortung unterlag). Die Kommission hat am 10. Juni 2026 den endgültigen freiwilligen Verhaltenskodex zu Kennzeichnung und Markierung veröffentlicht [1][2].
• Ehrliche Grenze: Der Kodex selbst räumt ein, dass keine einzelne Kennzeichnungstechnik die Anforderungen der Verordnung vollständig erfüllt, und erwartet bei Bedarf mindestens zwei Schichten (zum Beispiel Metadaten plus Wasserzeichen) [1].

Varianten

• Kennzeichnung auf Anbieterseite: Wasserzeichen im Generator (Bild/Video/Audio/Text) plus signierte Herkunftsmanifeste.
• Kennzeichnung auf Betreiberseite: CMS-/DAM-Plugins, die sichtbare Kennzeichen oder das EU-Symbol, Audio-Hinweise und „KI-unterstützt“-Markierungen zu Kampagnen, Nachrichten und Social-Media-Beiträgen hinzufügen.
• Chatbot-Offenlegung (Art. 50 Abs. 1): Nutzern mitteilen, dass sie mit einer KI interagieren, sofern es nicht offensichtlich ist [2].
• Herkunftsnachweis bei Kamera / Aufnahme: authentische Fotos bei der Aufnahme signieren (C2PA-fähige Geräte, Redaktionsabläufe), sodass nicht nur der synthetische Ursprung, sondern auch die Authentizität belegbar ist.
• Prüfung durch Plattformen und Redaktionen: Credentials beim Upload lesen, Wasserzeichen-Detektoren abfragen, Herkunftsabzeichen anzeigen, nicht gekennzeichnete verdächtige Fälle an Menschen eskalieren.
• Forensische Erkennung: Klassifikatoren für erzeugte Bilder/Audio, wenn keine Markierung vorhanden ist; nützlich als Signal, nicht als Beweis.
• Zusammengeführt/angrenzend: Die auf Betrug ausgerichtete Deepfake-Erkennung bei Stimme/Video ist SEC-011; Prüfungs- und Wissenschaftsintegrität (Erkennung von KI-Text in der Bildung) ist EDU-008. Beide werden hier nur als Nutzer derselben Detektoren berührt.
• Private Nutzung: Kreative, die ihre eigene KI-Kunst kennzeichnen; Verbraucher, die die Herkunft über Browser- oder Plattform-Abzeichen prüfen (zum Beispiel Googles SynthID-Detector-Portal oder Gemini-basierte Prüfungen für von Google erzeugte Inhalte [3]).

So funktioniert es

1. Generation side: prompt
2. generator
3. [invisible watermark]
4. [C2PA manifest signed with org certificate]
5. [metadata: IPTC DigitalSourceType = trainedAlgorithmicMedia]
6. publishing workflow
7. [visible label / EU icon / audio disclaimer]
8. channel Verification side: upload/ingest
9. read C2PA manifest + validate signature chain
10. watermark detector query (vendor API or own detector)
11. optional forensic classifier (image/audio)
12. score + explanation
13. policy: show badge | label | queue for human review | reject

Zentrale Komponenten: - Wasserzeichen: nicht wahrnehmbare Signale in Pixeln, Audio-Samples oder Token-Statistiken von Text. Google SynthID deckt Bilder, Video, Audio und Text ab; die Textkennzeichnung funktioniert über die Anpassung von Wortwahrscheinlichkeiten [3]. Meta AudioSeal kennzeichnet Sprache mit Lokalisierung auf Sample-Ebene, MIT-lizenziert einschließlich der Gewichte [6]. Für Text steht das Grün-/Rot-Listen-Verfahren von Kirchenbauer et al. in offenen Werkzeugen wie Hugging Face TGI bereit [7]. - Content Credentials: Die C2PA-Spezifikation (v2.2 umfasst Content Credentials, Attestations und eine Soft-Binding-API) definiert signierte Manifeste, die Ursprung und Bearbeitungsverlauf festhalten; Open-Source-SDKs wie c2pa-rs (MIT/Apache-2.0, Beta, C-API verfügbar) erzeugen und prüfen sie [4][5]. Metadaten lassen sich entfernen, daher dient Soft Binding (Wasserzeichen oder Fingerabdruck-Abfrage), um entfernte Dateien wieder mit ihrem Manifest zu verknüpfen. - Kennzeichen: sichtbare Offenlegung, die klar und unterscheidbar ist und bei der ersten Wahrnehmung erfolgt und die Regeln zur Barrierefreiheit erfüllt (Art. 50 Abs. 5) [2]. - Mensch-in-der-Schleife (Human-in-the-Loop): Redakteurinnen und Redakteure entscheiden über grenzwertige Erkennungen; eine namentlich benannte Person übernimmt die redaktionelle Verantwortung für KI-Text, der durch menschliche Prüfung von der Kennzeichnung ausgenommen ist.

Datenaufbereitung

Zwei Datenbestände sind wichtig: die Inhalte, die Sie erzeugen oder veröffentlichen (Bilder, Audio, Video, Text in CMS, DAM, Dateiablagen und Social-Media-Werkzeugen), und die Metadaten dazu, wie sie entstanden sind (Werkzeug, Prompt, Redakteur, Datum). In einem KMU ist das über Canva- oder Adobe-Projekte, gemeinsame Ordner, das Website-CMS und Agentur-Postfächer verstreut. Typische Lücken: keine Aufzeichnung, welche Assets KI-generiert sind, durch Export oder Upload entfernte Metadaten, keine zentrale Asset-Bibliothek, unklare Rechte und keine Beispiele zum Testen von Detektoren.

Schritte der Aufbereitung: (1) erfassen, wo KI-Inhalte erzeugt und veröffentlicht werden (PREP-003 für Schatten-Werkzeuge); (2) Assets in einem DAM oder einer strukturierten Dateiablage zentralisieren (PREP-009) und Tags wie „KI-generiert“ und das genutzte Werkzeug ergänzen (PREP-010); (3) die Kennzeichnungsrichtlinie und Kategorien festlegen (PREP-019, PREP-024); (4) einen kleinen Testdatensatz aus eigenen und fremden KI-erzeugten sowie echten Inhalten aufbauen, um Detektoren zu bewerten (PREP-018); (5) sicherstellen, dass Exportschritte C2PA- oder Wasserzeichen-Metadaten erhalten. Die Erkennung fremder Inhalte ist probabilistisch, daher sind Bewertungsdaten wichtig. Der Aufwand ist moderat, etwa 20-30 Prozent, überwiegend Bestandsaufnahme der Assets und Änderungen am Ablauf.

Umsetzungswege

Welcher Weg für wen

• KMU: Weg B - Kennzeichnung, Labeling und Prüfungen mit n8n oder Power Automate über Cloud-APIs zu orchestrieren passt besser zu vorhandenen CMS- und Veröffentlichungswerkzeugen als ein einzelnes Produkt.
• Großunternehmen: Weg B - Herkunftskennzeichnung muss in eigene Content-Pipelines, DAM und Generierungswerkzeuge eingebunden werden; nutzen Sie gemeinsame Plattform-APIs.
• Entwickler: Weg C - Open-Source-Wasserzeichen, C2PA-Werkzeuge und Klassifikatoren lassen sich direkt in Ihre Generierungs- oder Veröffentlichungsprodukte einbetten.
• Öffentlicher Sektor: Weg B in einer souveränen EU- oder deutschen Cloud - Behörden brauchen Kennzeichnung für veröffentlichte KI-Inhalte, ohne Material an Dienste außerhalb der EU zu senden.

Weg A — Kaufen (Standardsoftware)

• Generator-Anbieter mit eingebauter Kennzeichnung: Google (SynthID in Ausgaben von Gemini/Imagen/Veo/Lyria), Adobe (Content Credentials in Firefly und Creative Cloud) und andere große Anbieter, die C2PA-Manifeste signieren. Mit diesen Werkzeugen erhalten Sie die Kennzeichnung auf Anbieterseite kostenlos, die Kennzeichnung als Betreiber bleibt aber Ihre Pflicht.
• Dienste für Herkunft und Erkennung: Truepic, Reality Defender, Hive, Sensity und ähnliche; Digimarc bietet Wasserzeichen und C2PA-Werkzeuge. Prüfen Sie bei jedem Anbieter die Datenspeicherung in der EU. Es gibt EU-basierte Optionen bei der Erkennung (zum Beispiel Sensity, Niederlande; Resemble AI sitzt in den USA). Prüfen Sie aktuelle Angebote vor der Auswahl.
• CMS-/DAM-Integration: Adobe Experience Manager, Cloudinary und ähnliche DAMs erhalten oder zeigen Credentials an; ergänzen Sie im CMS einen Kennzeichnungsschritt.
• Richtige Wahl für: KMU/Marketingteams, die Generatoren nur nutzen (Betreiberpflichten) und Kennzeichen plus Protokoll brauchen, keine eigenen Modelle.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Mit Anbietern erzeugen, die standardmäßig kennzeichnen (Google Vertex AI mit SynthID, Adobe Firefly API, Black Forest Labs und Mistral als EU-basierte Anbieter - prüfen Sie deren Kennzeichnungsstatus einzeln), und die Ausgabe-Pipeline umschließen: prüfen, dass Markierungen vorhanden sind, ein eigenes C2PA-Manifest mit c2pa-rs oder den CAI-SDKs ergänzen, ein sichtbares Kennzeichen hinzufügen, einen Auditeintrag speichern.
• Zur Prüfung: den SynthID Detector (Portal; Partnerprogramm für andere) und Erkennungs-APIs von Anbietern aufrufen, mit der C2PA-Validierung kombinieren und ein VLM oder LLM nur zur Erläuterung der Ergebnisse und zum Entwurf von Moderationsnotizen nutzen, nie als alleinigen Detektor.
• In n8n, Power Automate oder per CMS-Webhook orchestrieren. Empfohlene Standardwahl für die meisten KMU und Großunternehmen.

Weg C — Selbst betreiben (Open Source)

• Stack: c2pa-rs / c2patool zum Signieren und Prüfen; AudioSeal für Sprache [6]; offene Text-Wasserzeichen-Bibliotheken (Grün-/Rot-Listen-Verfahren, Wasserzeichen-Option in Hugging Face TGI [7]); offene Bild-Wasserzeichen wie invisible-watermark oder Ansätze im Stil von Stable Signature für eigene Diffusionsmodelle; Klassifikatoren mit offenen Gewichten für die forensische Erkennung.
• Hardware: Signieren und Prüfen laufen auf der CPU (HW1). Die Kennzeichnung im eigenen Generator verursacht kaum Last; Detektoren für Video in großem Umfang brauchen eine GPU (HW2).
• Betrieb: Schlüsselverwaltung (HSM oder Cloud-KMS für das Signaturzertifikat), Umgang mit Vertrauenslisten für Zertifikate und Aktualisierung der Detektoren. On-Premises ist für Kennzeichnung und Prüfung der eigenen Inhalte voll möglich; für die Erkennung der Wasserzeichen anderer Anbieter braucht man meist deren Detektoren, die nicht offen sind.

Weg D — Eigenes Training

Lohnt sich nur für (a) Anbieter eigener generativer Modelle, die robuste Wasserzeichen einbetten müssen (Wasserzeichen-Encoder/-Decoder gemeinsam trainieren, Red-Teaming gegen Zuschneiden, Neukodierung, Umformulierung) oder (b) Plattformen mit eigenen forensischen Detektoren, die bei sich ändernden Generatoren nachtrainiert werden müssen. Nötige Daten: große gepaarte Mengen echter und synthetischer Medien aktueller Generatoren, regelmäßig aufgefrischt. Detektoren, die auf alten Generatoren trainiert wurden, verallgemeinern schlecht auf neue.

Stand der Technik (2026)

• Regulierung wird zur Praxis: Der endgültige Verhaltenskodex (Juni 2026) definiert eine zweigeteilte Struktur, Kennzeichnung durch Anbieter (Art. 50 Abs. 2) und Kennzeichnung durch Betreiber (Art. 50 Abs. 4), empfiehlt mehrschichtige Markierung, ein gemeinsames EU-Symbol oder gleichwertige Kennzeichen und Audio-Hinweise für reine Audio-Inhalte [1][2]. Prüfen Sie die Leitlinien der Kommission und etwaige anstehende Änderungen (Digital-Omnibus) auf Übergangsfristen, bevor Sie Ihren Zeitplan festlegen.
• Interoperabilität wächst: Der SynthID Detector steht allen offen und prüft Inhalte von Google und Partnerwerkzeugen (OpenAI, NVIDIA und Kakao genannt, Apple angekündigt) [3]. C2PA 2.2 ergänzt Attestations und eine Soft-Binding-API, um Assets nach Metadatenverlust wieder mit Manifesten zu verknüpfen [4].
• Grenzen und Fehlerbilder:
• Metadaten werden durch Screenshots, Neukodierung und viele soziale Plattformen mühelos entfernt; Wasserzeichen verschlechtern sich bei starker Bearbeitung, Umformulierung (Text) oder generativem Neu-Rendern.
• Detektoren liefern probabilistische Scores, erzeugen Fehlalarme bei echten Medien (besonders bei Texten von Nicht-Muttersprachlern) und hinken neuen Generatoren hinterher. Nutzen Sie einen Score niemals allein, um eine Person zu beschuldigen.
• Generatoren mit offenen Gewichten laufen ohne jede Kennzeichnung; das Fehlen einer Markierung beweist nichts.
• Herkunftsnachweise belegen, wer signiert hat, nicht dass der Inhalt wahr ist.
• Wasserzeichen-Detektoren verschiedener Anbieter können oft nicht gegenseitig lesen.

Gemeinsame Bausteine & Kombinationen

• Gemeinsame Bausteine: Signaturschlüssel/KMS, c2pa-SDKs, eine Medien-Pipeline (Transkodierung, DAM), Bereitstellung von Klassifikatoren und VLM, Speicher für das Auditprotokoll, Prüfwarteschlange. Die Hardware überschneidet sich mit VIS-027 (Inhaltsmoderation) und SEC-011 (Deepfake-Erkennung): Ein GPU-Inferenzdienst kann alle drei betreiben.
• Kombinierbar mit: SEC-011 (Deepfake-Betrugserkennung nutzt dieselben Detektoren und Credentials), EDU-008 (Integritätsprüfungen), VIS-027 (Moderation; Herkunft als Signal ergänzen), ANOM-004 (gefälschte Konten und Bots, die synthetische Medien posten), ANOM-010 (gefälschte Bewertungen, auch KI-geschriebene), ANOM-014 (ID-Liveness und Injection-Angriffe mit synthetischen Gesichtern), ANOM-017 (manipulierte oder synthetische Dokumente), ANOM-025 (Betrugsanrufe mit geklonten Stimmen), ANOM-029 (Bildmanipulation in der Forschung), ANOM-035 (Content-Fingerprinting ist der Verwandte von Soft Binding).

Aufwand, Kosten & Kennzahlen

• Weg A: Tage bis Wochen, um Kennzeichnung und Erhalt der Credentials einzuschalten; die Kosten sind überwiegend Lizenzen. Weg B: etwa 1-3 Monate für eine Pipeline mit Signierung, Kennzeichnung und Protokollierung; Kostentreiber sind API-Nutzung, Zertifikate und Integration. Weg C: Monate; Treiber sind Schlüsselverwaltung und die Pflege der Detektoren. Weg D: auf Forschungsniveau, ein spezialisiertes Team.
• Kennzahlen: Anteil erzeugter Assets mit Wasserzeichen und Manifest; Anteil veröffentlichter KI-Inhalte mit korrektem sichtbarem Kennzeichen; Überlebensrate des Manifests nach jedem Verbreitungskanal; Precision/Recall der Detektoren auf Ihrem eigenen Testdatensatz (einschließlich echter, bearbeiteter und nicht muttersprachlicher Proben); Zeit zur Prüfung markierter Fälle; Vollständigkeit des Auditprotokolls.

Menschen & Veränderung

Beginnen Sie mit der Geschäftsführung und der Leitung von Kommunikation oder Marketing: Sie entscheiden über die Kennzeichnungsrichtlinie und verantworten den Veröffentlichungsprozess. Recht oder Compliance klärt, welche Pflichten nach Art. 50 gelten; sie gelten seit dem 2. August 2026, mit einer Übergangsfrist bis zum 2. Dezember 2026 für die Kennzeichnung in Systemen, die früher in Verkehr gebracht wurden (GUIDE-014). Die IT bindet die Kennzeichnung in CMS und Generierungswerkzeuge ein. Redakteure, Designer und Social-Media-Beschäftigte sind die Anwender und müssen wissen, wann und wie zu kennzeichnen ist. Die oder der Datenschutzbeauftragte wird einbezogen, wo Inhalte identifizierbare Personen zeigen (Deepfakes, Stimme).

Betriebsrat: kommt darauf an. Die Kennzeichnung selbst überwacht keine Beschäftigten, aber Herkunftsprotokolle halten fest, wer welchen Inhalt mit welchem Werkzeug erstellt hat, was sich zur Verhaltensüberwachung eignen kann und dann § 87 Abs. 1 Nr. 6 BetrVG auslöst. Informieren Sie den Betriebsrat in jedem Fall über geänderte Arbeitsabläufe nach § 90 Abs. 1 Nr. 3 und vereinbaren Sie, wofür die Protokolle verwendet werden dürfen (GUIDE-004).

KI-Kompetenz: Unterstützen Sie die Beschäftigten mit Schulungen zu generativen Werkzeugen, Kennzeichnungspflichten und den Grenzen von Detektoren (KI-Verordnung Art. 4, GUIDE-006). Typische Bedenken sind Mehrarbeit und falsche Beschuldigungen, wenn ein Detektor ein von Menschen erstelltes Stück markiert. Gehen Sie auf beides ein: Automatisieren Sie die Kennzeichnung im Ablauf und behandeln Sie einen Detektor-Score nie als Beweis; ein Mensch entscheidet. Verbinden Sie dies mit der KI-Richtlinie des Unternehmens (GUIDE-007) und starten Sie zunächst mit einem Kanal als Pilot.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): Die Transparenzpflichten nach Art. 50 (begrenztes Risiko) gelten ab dem 2. Aug. 2026; Anbieter: Art. 50 Abs. 2, Betreiber: Art. 50 Abs. 4, Offenlegung der Interaktion: Art. 50 Abs. 1, Hinweise zu biometrischer Kategorisierung/Emotionserkennung: Art. 50 Abs. 3 [2]. Ausnahmen umfassen übliche Bearbeitungsunterstützung, offensichtlich künstlerische/satirische Werke (reduzierte Offenlegung) und von Menschen geprüften Text mit redaktioneller Verantwortung. Geldbußen für Verstöße gegen die Transparenz sind in Art. 99 festgelegt; bestätigen Sie die aktuellen Beträge mit Rechtsberatung.
• Angrenzende Regeln: Art. 5 (verbotene manipulative Praktiken) und Art. 4 KI-Kompetenz; Pflichten nach dem Digital Services Act für sehr große Plattformen zu Deepfakes; nationales Recht zu Persönlichkeitsrechten und Urheberrecht.
• DSGVO: Bilder, Stimmen und Texte können personenbezogene Daten sein; Metadaten können Standort- oder Autorendaten enthalten - entfernen Sie vor dem Einbetten von Credentials, was nicht nötig ist. Die Erkennung von Gesichtern oder Stimmen realer Personen ist Verarbeitung personenbezogener Daten (und kann biometrische Daten betreffen); nutzen Sie Detektoren nicht zum Profiling von Personen.
• Risiken und Gegenmaßnahmen: falsche Beschuldigungen (menschliche Prüfung, Einspruchsweg); falsches Sicherheitsgefühl (mehrschichtiger Ansatz, Grenzen kommunizieren); Kompromittierung des Signaturschlüssels (HSM, Rotation, Widerruf); Datenschutzverletzung durch den C2PA-Bearbeitungsverlauf (Schwärzungsrichtlinie); Angriffe zum Entfernen von Wasserzeichen (gehen Sie davon aus, dass entschlossene Angreifer Erfolg haben).

Erste Schritte

1. Alle generativen Funktionen und Abläufe erfassen (Marketing, Support-Bots, Produktfunktionen) und Ihre Rolle einordnen: Anbieter, Betreiber oder beides.
2. Den Verhaltenskodex und Art. 50 gemeinsam mit der Rechtsberatung lesen; eine Kennzeichnungsrichtlinie festlegen (sichtbares Kennzeichen, EU-Symbol, Audio-Hinweis, Ausnahme bei redaktioneller Verantwortung).
3. Die Kennzeichnung in Werkzeugen einschalten, die sie unterstützen (SynthID/Firefly-Credentials), und einen CMS-Schritt ergänzen, der Manifeste prüft und erhält.
4. Einen Signaturdienst mit c2pa-rs und einem im KMS gehaltenen Zertifikat für die eigenen Assets pilotieren; das Überleben über Ihre Kanäle testen.
5. Die Prüfung beim Eingang für einen Eingangskanal mit hohem Risiko ergänzen (Schadensfotos, Nutzer-Uploads) und die Genauigkeit der Detektoren an eigenen Proben messen, bevor Sie auf Scores reagieren.

Quellen

1. Jones Day, "European Commission publishes final Code of Practice on marking and labelling AI-generated content" (June 2026): https://www.jonesday.com/en/insights/2026/06/european-commission-publishes-final-code-of-practice-on-marking-and-labelling-aigenerated-content
2. EU AI Act Article 50 text: https://artificialintelligenceact.eu/article/50/
3. Google DeepMind, SynthID: https://deepmind.google/models/synthid/
4. C2PA Specification 2.2 index: https://spec.c2pa.org/specifications/specifications/2.2/index.html
5. Content Authenticity Initiative c2pa-rs: https://github.com/contentauth/c2pa-rs
6. Meta AudioSeal: https://github.com/facebookresearch/audioseal
7. Hugging Face, watermarking in TGI: https://huggingface.co/blog/watermarking