Demo buchen →
← Alle Insights AI News

Die Kennzeichnungspflicht ist enger, als Sie denken. Die Haftung nicht.

Die Kennzeichnungspflicht ist enger, als Sie denken. Die Haftung nicht.

Wer Inhalte mit KI veröffentlicht, sollte sich zehn Minuten für drei Ereignisse dieses Sommers nehmen. Das eine, das alle zitieren, betrifft ihn am wenigsten. Das eine, das fast niemand zitiert, hängt an dem, der den Dienst betreibt.

Dieser Text beschreibt, was die Quellen sagen. Er ist keine Rechtsberatung, und wer wirklich betroffen ist, braucht eigenen Rat.

Was Sie tatsächlich schulden

Die KI-Verordnung gilt seit dem 2. August 2026, und Artikel 50 trägt die Transparenzpflichten. Er enthält vier Verpflichtungen, und sie richten sich an verschiedene Adressaten.

Die maschinenlesbare Kennzeichnung ist nicht Ihre Pflicht. Absatz 2 verlangt, dass synthetische Audio-, Bild-, Video- und Textinhalte in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Adressat sind die Anbieter des KI-Systems, also wer das Modell baut und bereitstellt. Ein Marketingteam, das mit einem Assistenten Texte schreibt, ist nicht gemeint. Für Systeme, die beim Geltungsbeginn schon auf dem Markt waren, haben die Anbieter bis zum 2. Dezember 2026 Zeit, diese Kennzeichnung nachzurüsten.

Die Pflicht, die einen Veröffentlichenden erreichen kann, steht in Absatz 4, und sie zerfällt in zwei Teile. Bei Bild-, Ton- oder Videoinhalten, die ein Deepfake sind, müssen Betreiber offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden. Für Text ist der Wortlaut deutlich enger: Er gilt für Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Eine Preisseite oder eine Fallstudie ist das erkennbar nicht. Ein Kommentar zu einer Wahl oder eine umstrittene Gesundheitsaussage durchaus.

Und dann steht dort der Satz, den die meisten Zusammenfassungen weglassen. Lesen Sie Absatz 4 zu Ende:

„Diese Pflicht gilt nicht, wenn die Verwendung zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten gesetzlich zugelassen ist oder wenn die durch KI erzeugten Inhalte einem Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden und wenn eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung der Inhalte trägt.“

Beide Hälften müssen zutreffen: Jemand hat geprüft, und jemand steht für die Veröffentlichung ein. Für ein Haus mit redaktionellem Ablauf lautet die Frage damit nicht hat KI das angefasst. Sie lautet, ob sich belegen lässt, dass ein Mensch geprüft hat und dass die Verantwortung an einer benennbaren Stelle liegt. Das ist eine Frage der Nachweise, bevor es eine der Technik ist.

Zwei Dinge deckt das nicht ab. Die Deepfake-Offenlegung in Absatz 4 kennt keine redaktionelle Ausnahme; die Ausnahme für Kunst und Satire ändert die Art der Offenlegung, nicht ihr Bestehen. Und der 2. Dezember 2026 ist keine Schonfrist für Artikel 50, sondern eine Frist für einen Absatz und eine Gruppe.

Das Etikett ist kein Schutzschild

Der naheliegende nächste Gedanke ist, sich auf Provenienzdaten zu stützen und die Datei ihre Herkunft selbst belegen zu lassen. Drei Ereignisse dieses Monats zeigen, was diese Schicht trägt und was nicht.

Ein Anbieter versprach es. Am 11. August kündigte Anthropic an, Wasserzeichen in Texte und Dateien künftiger Modelle einzubetten, die es in der EU auf den Markt bringt, mit laufenden Arbeiten an bereits veröffentlichten. Das ist eine Absichtserklärung mit einer Frist im Rücken, keine Beschreibung eines ausgelieferten Produkts.

Ein Anbieter tat es längst. Eine am 20. August veröffentlichte Analyse fand, dass MS Paint und Fotos eine Kennung in die Pixel KI-erzeugter Bilder einbetten, auch bei lokaler Erzeugung auf dem Gerät. Die serverseitige Kennung, der Wert in den Pixeln und der C2PA-Wert sind derselbe Wert je Erzeugung. Das ist ein präzises Objekt: Es bezeichnet ein Bild, keine Kategorie.

Und die Signaturschicht darunter brach. Am 25. August veröffentlichte ein Forscher einen Weg, C2PA auf gerooteten Android-Geräten auszuhebeln. Das Sicherheitselement des Telefons signiert auf Anfrage beliebige Daten, ohne dass der Angreifer je einen Schlüssel erfährt, und die Mechanismen, die ein kompromittiertes Gerät erkennen sollen, tun das nicht verlässlich. Einer der Wege hinein liegt in der Hardware und ist nicht zu patchen. Google schloss den Bericht als „Won’t fix (infeasible)“ und zahlte trotzdem 7.500 Dollar Prämie.

Die Begründung des Forschers ist der Teil, den ein Verlag behalten sollte. Eine Reparatur hieße, die ganze Bildpipeline neu zu bauen, und selbst dann gilt in seinen Worten: „you still can’t stop ‘picture of screen’ style attacks.“

Das ist der Boden unter diesem ganzen Feld. Eine Kamera vor einem Bildschirm erzeugt ein echt signiertes Foto eines gefälschten Bildes. Die Signatur ist gültig und der Inhalt gelogen. Provenienz beantwortet kam diese Datei aus dieser Pipeline genau und ist dieses Bild wahr überhaupt nicht.

Wo die Haftung wirklich sitzt

Jetzt der Fall, der mit Kennzeichnung nichts zu tun hat.

Am 31. Juli entschied die 42. Zivilkammer des Landgerichts München I weitgehend zugunsten der GEMA gegen Suno, Aktenzeichen 42 O 763/25. Die Kammer ist auf Urheberrecht spezialisiert, und der Befund betrifft nicht das Training im Allgemeinen:

„Nach Überzeugung der Kammer seien die streitgegenständlichen Musikstücke reproduzierbar in den Modellen Version v3.5 und v4 der Beklagten enthalten.“

Die Stücke sind im fertigen Modell enthalten, und zwar reproduzierbar. Der Trainingslauf hat sie nicht verbraucht. Das Gericht verglich sechs namentlich genannte Werke mit den erzeugten Ausgaben und hielt fest, dass Zufall angesichts der Komplexität und Länge der Stücke ausscheidet.

Daraus folgen drei Dinge, und das dritte erreicht einen Veröffentlichenden.

Das Vervielfältigungsrecht sah das Gericht durch die Anwesenheit der Werke in den Modellen verletzt. Die Schranke für Text und Data Mining, die üblicherweise als Rechtsgrundlage für das Training an urheberrechtlich geschütztem Material in der EU angeführt wird, greift nach Auffassung der Kammer nicht. Und die Ausgaben sind eine zweite Verletzung: Durch die Wiedergabe der Songs in den Outputs verletzten die Beklagten die Werke erneut.

Diese letzte hängt nicht an dem, der das Modell gebaut hat. Sie hängt an dem, der den Dienst betreibt, der die Ausgabe erzeugt. Sind die Werke reproduzierbar im ausgelieferten Modell enthalten, ist „wir haben nur die Gewichte benutzt“ eine schwächere Position als angenommen, und das Risiko endet nicht mit dem Trainingslauf eines anderen.

Was das nicht sagt

Das Münchner Urteil ist nicht rechtskräftig. Die Pressemitteilung des Gerichts sagt das wörtlich. Suno widerspricht und erwägt Berufung, die Schadenshöhe steht noch aus. Ein erstinstanzliches Urteil ist ein reales Ereignis mit Folgen für die Parteien und keine gefestigte Rechtslage.

Eine viel zitierte Zahl zur vorläufigen Vollstreckbarkeit steht nicht in der Quelle. In Suchergebnissen kursiert eine Angabe von 150.000 Euro Sicherheitsleistung je Anspruch. Die Pressemitteilung des Gerichts sagt dazu nichts. Wir haben nachgesehen.

Die drei Provenienz-Geschichten sind ein Thema und drei Mechanismen. Der Android-Bruch betrifft C2PA-Signaturen aus Kamera-Hardware. Er berührt weder Text-Wasserzeichen noch die Kennung in Paints Pixeln. Wer daraus „KI-Wasserzeichen sind kaputt“ macht, hat drei Dinge zu einer Aussage verschmolzen, die keine der drei Quellen trifft.

Bußgeldhöhen stehen hier nicht. Sie werden in der Sekundärberichterstattung selbstbewusst zitiert, oft ohne Verweis auf den Artikel, aus dem sie stammen. Wenn eine Zahl Ihre Entscheidung trägt, gehört sie aus der Verordnung oder von einem Anwalt.

Was damit anzufangen ist

Prüfen Sie, ob Ihr Ablauf einen Nachweis über Prüfung und benannte Verantwortung erzeugt. Das sind die Begriffe, die die Ausnahme verwendet. Ein redaktioneller Ablauf, der keine Spur hinterlässt, wer was geprüft hat, ist eine Lücke an einer Stelle, an der die wenigsten eine suchen.

Sortieren Sie Ihre Inhalte nach den beiden Kategorien, die der Text wirklich verwendet. Werbetext ist das eine; Veröffentlichungen zu Angelegenheiten von öffentlichem Interesse sind das andere, und nur beim Zweiten greift die Textpflicht überhaupt. Visuelle Deepfake-Inhalte sind ein Drittes, ohne redaktionelle Ausnahme.

Bauen Sie kein Compliance-Argument auf eine Signatur, die Sie nicht prüfen können. Provenienzdaten taugen für die enge Frage, die sie beantworten. Ihre bloße Anwesenheit als Echtheitsbeweis zu lesen, ist eine Wette, von der die Forscher, die sie gebrochen haben, bereits abgeraten haben.

Fragen Sie, was im Modell steckt, nicht nur, was Sie damit tun. Der Münchner Befund legt die Kopie in die ausgelieferten Gewichte und die zweite Verletzung in die Ausgabe. Das ist die Frage, die künftig in ein Lizenzgespräch gehört, und sie bleibt bestehen, wie die Berufung auch ausgeht.

Quellen

Newcomer AI-Visibility Tracker · known from