KI-Inhalte kennzeichnen: Was die Technik markiert und was das Gesetz verlangt

Anthropic hat am 11. August eine Seite im Hilfebereich aktualisiert. Dort steht seitdem, dass Text aus neuen Claude-Modellen ein unsichtbares Wasserzeichen trägt und generierte Dateien eine digital signierte Herkunftsangabe nach dem C2PA-Standard bekommen. Beides gilt weltweit und nicht nur in der EU [1]. Eine Pressemitteilung dazu gab es nicht.

Wer daraus liest, dass die Anbieter das Thema jetzt für ihn erledigen, liegt falsch. Anthropic hat eine Anbieterpflicht erfüllt, und die ist maschinenlesbar. Niemand, der deine Texte liest, sieht davon etwas. Für den Teil von Artikel 50, der für Menschen sichtbar sein soll, bist du selbst zuständig. Was seit dem 2. August gilt und wer in Deutschland die Aufsicht führt, haben wir an anderer Stelle sortiert [2]. Hier geht es um die Fragen danach: Wann musst du KI-Inhalte kennzeichnen, womit, und wann ausdrücklich nicht.

‍

KI-Inhalte kennzeichnen: Die EU liefert die Labels dazu

Die Europäische Kommission hat einen fertigen Icon-Satz veröffentlicht. Kostenlos, als SVG und PNG, in vier Farbvarianten, ohne Pflicht zur Namensnennung [3]. Mitbekommen hat das fast niemand, obwohl es die Arbeit spürbar abkürzt. Es gibt drei Varianten, und der Unterschied zwischen ihnen ist wichtiger als die Icons selbst.

Europäische Kommission

Drei Labels, und der Unterschied zwischen ihnen ist der eigentliche Punkt

Icon	Label	Wofür
	Basis-Icon „AI“	KI war beteiligt. Gedacht für den Fall, dass ein eigenes Textlabel oder eine zweite Informationsebene dazukommt.
	Fully AI-Generated	Vollständig KI-erzeugt, ohne menschlichen Anteil außer dem Prompt.
	Partially AI-Modified	Bestehender, von Menschen erstellter Inhalt wurde per KI verändert.

Icons: Europäische Kommission, EU icons for labelling AI-generated content. Kostenlos als SVG und PNG, Nutzung freiwillig. Ein Icon allein begründet keine Rechtskonformität.

Die Icons zu benutzen ist freiwillig. Die Kennzeichnungspflicht selbst nicht, und ein Icon allein begründet auch keine Rechtskonformität. Beides schreibt die Kommission ausdrücklich hin [3], und in der Berichterstattung geht es trotzdem regelmäßig durcheinander. Wer den Code of Practice unterschrieben hat, muss sich zusätzlich an die Platzierungsvorgaben halten. Alle anderen bekommen eine Bildsprache, die europaweit gleich aussieht. Das ist mehr wert als ein selbstgebauter Hinweis, den niemand kennt.

Im Nutzertest der Kommission wirkte das Icon messbar besser, wenn ein Wort dabeistand. Das Symbol allein in der Ecke reicht also nicht, "Bild generiert mit KI" daneben schon.

Womit du kennzeichnest, ist damit geklärt. Wann, ist die härtere Frage.

‍

Bei Texten genügt es, dass ein Mensch verantwortet

An dieser Stelle wechselt die Verordnung den Adressaten. Absatz 2 verpflichtet die Anbieter, also Anthropic, Microsoft, OpenAI. Absatz 4 verpflichtet die Betreiber, also Unternehmen, die KI einsetzen. Das eine ersetzt das andere nicht.

Die Textpflicht in Absatz 4 greift nur bei Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren [4]. Deine Produktseite fällt nicht darunter. Dein Vertriebsmailing auch nicht, die Stellenanzeige nicht, der Newsletter über die neue Halle nicht. Wer dir erzählt, du müsstest ab jetzt jeden KI-gestützten Satz kennzeichnen, hat den Absatz nicht gelesen. Die Kommission nennt als Beispiel für den anderen Fall KI-veränderte Anlegerinformationen auf der Website einer börsennotierten Gesellschaft. Da geht es um etwas anderes als um Marketing.

Und selbst wenn ein Text darunter fällt, gibt es einen Ausweg. Die Pflicht entfällt, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und wenn eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt [4]. Beides muss zutreffen, nicht eines von beiden. Und die Prüfung muss substanziell sein, ein Häkchen im Freigabe-Workflow genügt nicht.

Damit hast du eine Wahl. Entweder du kennzeichnest den Text als KI-erzeugt, oder jemand stellt sich mit Namen dahinter. Wie streng die Prüfung dafür sein muss, sagt die Verordnung nicht, und das finde ich unbefriedigend. Es bedeutet, dass die Auslegung im Zweifel bei einer Behörde liegt und nicht bei euch. Daran hängt die Frage, die in Gesprächen am schwersten zu beantworten ist: Wer trägt das bei euch, und weiß die Person davon?

Für diesen Artikel gilt es genauso. Er ist mit KI-Unterstützung entstanden, geprüft und verantwortet von einem namentlich genannten Autor. Er trägt kein Label, weil er die Öffentlichkeit nicht über eine Angelegenheit von öffentlichem Interesse im Sinne der Verordnung informiert. Die Ausnahme wäre ohnehin erfüllt.

‍

Was offensichtlich erfunden ist, und wo diese Regel endet

Der zweite Fall in Absatz 4 sind Deepfakes bei Bild, Ton und Video. Die Definition ist enger, als der Alltagsgebrauch des Wortes vermuten lässt: Inhalte, die existierende Personen, Gegenstände oder Orte so nachbilden, dass sie einer Person fälschlich als authentisch erscheinen [4].

Daraus folgt eine Ausnahme, die viele überdehnen. Was offensichtlich fantastisch oder physikalisch unmöglich ist, kann nicht fälschlich authentisch erscheinen. Ein Drache über der Frauenkirche ist kein Deepfake. Ein Mensch, der ohne Hilfsmittel fliegt, auch nicht.

Geprüft wird die physikalische Unmöglichkeit. Politische oder inhaltliche Unwahrscheinlichkeit zählt nicht, und daran scheitern die meisten Diskussionen dazu. Ein realistisch aussehendes Video eines echten Politikers, der etwas sagt, das er nie gesagt hat, ist der Musterfall der Pflicht und nicht die Ausnahme. Die Kommission führt genau diesen Fall auf ihrer Icon-Seite als Anwendungsbeispiel für "Fully AI-Generated", und für "Partially AI-Modified" nennt sie das Austauschen eines Gesichts in einem echten Foto [3]. Was du sofort als Satire erkennst, liest ein anderer als Nachricht.

Satire hilft nur teilweise. Ist ein Deepfake Teil eines offensichtlich künstlerischen, kreativen, satirischen oder fiktionalen Werks, wird die Pflicht reduziert und nicht aufgehoben: Offenlegung in einer Form, die die Darbietung oder den Werkgenuss nicht beeinträchtigt [4]. Ein Hinweis im Abspann genügt also. Gar kein Hinweis nicht.

Ein echtes Foto einer leeren Wohnung, per KI möbliert, gilt nach demselben Dokument als teilweise KI-verändert [3]. So tief liegt die Schwelle. Wer Immobilien oder Produkte vermarktet, sollte das zweimal lesen. Und weil wir selbst KI-Avatare anbieten, sagen wir es für unser eigenes Angebot: Ein Video-Markenbotschafter, der einer echten Person nachempfunden ist, fällt unter Absatz 4.

‍

Was die Anbieter markieren, und was nicht

Anthropic hat sich für die maschinenlesbare Variante entschieden. Das Wasserzeichen sitzt auf Modellebene, ist also unabhängig davon vorhanden, über welches Produkt der Text entsteht, und greift laut Anthropic auch bei Zugriff über AWS, Google Cloud und Microsoft Foundry [1].

Eine Einschränkung wird in den Meldungen gern weggelassen. Die Markierung gilt für Modelle, die ab dem 2. August 2026 erscheinen, für ältere arbeitet Anthropic noch daran [1]. Systeme, die vor dem Stichtag auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit. Das erklärt die Lücke. "Jeder Claude-Text trägt jetzt ein Wasserzeichen" ist jedenfalls falsch.

Microsoft geht den anderen Weg und markiert sichtbar, dafür nur Medien. Bilder aus Designer und aus der Bildgenerierung in Word und PowerPoint bekommen das Copilot-Symbol oder den Schriftzug "AI-Generated". Videos aus Clipchamp tragen die Markierung durchgehend. Eine von Copilot erzeugte Audio-Zusammenfassung sagt am Anfang oder Ende selbst, dass sie von KI erzeugt wurde [5].

Für Arbeits- und Schulkonten hat Microsoft am 7. August eine eigene Seite veröffentlicht, und dort ist die Steuerung geteilt. Die Bildmarkierung schaltet jeder Nutzer selbst ein, unter myaccount.microsoft.com bei Datenschutz und Daten-Optionen. Video und Audio schaltet der IT-Administrator für die gesamte Organisation ein [6]. Die Schalter liegen an verschiedenen Orten und stehen beide standardmäßig auf aus. Zentral geregelt ist das nicht.

Unabhängig von diesen Schaltern schreibt Microsoft Angaben zur KI-Nutzung nach dem C2PA-Standard in die Metadaten der Datei [5][6]. Für Text gibt es bisher nichts, weder sichtbar noch in den Metadaten.

Ob deine Copilot-Texte überhaupt betroffen sind, hängt an einer Einstellung. In der EU, der EFTA und Großbritannien sind die Anthropic-Modelle in Microsoft 365 Copilot standardmäßig deaktiviert, in den meisten anderen Regionen der kommerziellen Cloud standardmäßig an [7]. Ob Anthropics Wasserzeichen auf der Copilot-Oberfläche greift, hat keine der beiden Firmen bestätigt. Anthropic nennt Microsoft Foundry und nicht Microsoft 365 Copilot [1]. Weißt du, wie es in eurem Tenant eingestellt ist?

Das Ergebnis ist schief. Bild, Ton und Video können eine Markierung tragen, die ein Mensch wahrnimmt. Bei Text gibt es das bei keinem der beiden Anbieter. Und Text ist das, was in deinem Unternehmen jeden Tag zu Hunderten entsteht.

‍

‍

Warum die Markierung Korrigieren und Erfinden nicht trennt

Ab hier laufen Technik und Gesetz auseinander, und das kann euch Ärger machen.

Artikel 50 Absatz 2 nimmt reine Hilfsfunktionen ausdrücklich aus. Wer KI nur zum Korrigieren, Umformulieren oder Übersetzen einsetzt und die Eingabe inhaltlich nicht wesentlich verändert, löst die Markierungspflicht nicht aus [4]. Anthropics Wasserzeichen sitzt aber im Modell und nicht im Anwendungsfall. Es weiß nicht, ob es einen Text erfunden oder einen Tippfehler beseitigt hat. Anthropic schreibt das selbst hin: Eine Markierung kann auch dann vorhanden sein, wenn Inhalt und Ideen von woanders kamen und Claude nur korrekturgelesen, übersetzt oder zusammengefasst hat [1].

Bei Bildern ist genau das 2024 schon passiert. Ich habe früher Hochzeiten fotografiert, deshalb ist mir der Fall hängengeblieben. Adobe hängt bei den KI-Funktionen in Photoshop automatisch Content Credentials an die Datei. Meta hat diese Metadaten ausgelesen und Bilder mit "Made with AI" gelabelt. Wer per Generative Fill eine Laterne aus dem Hintergrund geholt hatte, bekam dasselbe Label wie jemand, der das ganze Bild erzeugt hatte. Meta hat eingeräumt, dass die Labels nicht zu den Erwartungen der Nutzer passten, und im Juli 2024 auf "AI info" umgestellt [8]. Die Technik dahinter blieb, die Metadaten werden weiter genauso gelesen [9].

Die Unterscheidung, die Meta damals gefehlt hat, hat die EU inzwischen gebaut. Vollständig erzeugt gegen teilweise verändert, ein dreistufiges System für Menschen. Die technische Markierung ist dagegen binär. Sie sagt dir, dass ein Modell im Spiel war. Welches der drei Labels richtig ist, sagt sie dir nicht.

Dagegen hilft auch bessere Technik nicht. Kurze Texte und Text mit wenig Wahlfreiheit, etwa Code oder Zahlenreihen, tragen kein nachweisbares Signal, weil es dort nichts zu beeinflussen gibt. Starke Bearbeitung, eine Formatkonvertierung oder ein Screenshot zerstören das Signal wieder. Anthropic schreibt beides selbst hin: Ein gefundenes Zeichen ist ein Hinweis und kein Beweis, ein fehlendes Zeichen kein Freispruch [1]. Wer auf einen zuverlässigen KI-Detektor gehofft hat, wartet weiter.

‍

Wohin das führt

In jeder Diskussion darüber kommt irgendwann dieselbe Frage. Was passiert, wenn die Erkennung öffentlich wird und jeder nachsehen kann, ob ein Text von Claude stammt?

Wahrscheinlich passiert es nicht. Bei diesen Verfahren ist ein offener Detektor gleichzeitig eine Fälschungsanleitung. Wer die Regel kennt, kann eine Markierung entfernen und, schlimmer, eine fremde Markierung einbauen. Forscher der ETH Zürich haben 2024 gezeigt, dass reines Abfragen der Schnittstelle genügt, um die Regel näherungsweise zu rekonstruieren. Für unter 50 Dollar und mit über 80 Prozent Erfolgsquote, gegen Verfahren, die vorher als einsatzreif galten [10].

Google macht es deshalb schon anders. Der Detektor für die eigene Markierung läuft als Portal mit Warteliste für Journalisten, Medienschaffende und Forschende, ein öffentliches API gibt es nicht [11]. Anthropic verweist bei der Erkennung bisher auf kommende Dokumentation [1]. Prüfen können werden also wahrscheinlich nur wenige. Das gefährlichere Szenario ist deshalb nicht, dass jemand deine Website überprüft. Es ist, dass jemand einen rufschädigenden Text mit einer fremden Markierung versieht.

Dass die Anbieter dabei ungern vorangehen, ist belegt. Das Wall Street Journal berichtete im August 2024, dass OpenAI ein Textwasserzeichen mit 99,9 Prozent Trefferquote fertig hatte und zwei Jahre intern diskutierte, ob es veröffentlicht wird. Eine eigene Umfrage zeigte breite Zustimmung in der Bevölkerung. Rund 30 Prozent der eigenen Nutzer sagten aber, sie würden das Produkt weniger nutzen, wenn markiert wird und ein Wettbewerber es nicht tut [12]. Freiwilligkeit funktioniert hier deshalb nicht. Es braucht eine Regel, die alle bindet, und die heißt Artikel 50.

Zurück zu rein menschlich geschriebenen Texten führt das nicht. Die Markierung bedeutet nicht "von KI geschrieben", sondern "durch ein Modell gelaufen". Wenn das für praktisch jeden professionellen Text gilt, verliert der Befund seinen Nachrichtenwert. Bei Meta ist das Label geblieben, aber es sagt heute weniger aus als am Anfang.

‍

Was das für euch heißt

Die Anbieter erledigen ihren Teil, unsichtbar und automatisch. Der sichtbare Teil bleibt bei dir, und er ist rechtlich kleiner, als die Schlagzeilen vermuten lassen. Nur ist das gesetzliche Minimum nicht dasselbe wie das, was deine Kunden von dir erwarten.

Eine Richtlinie über zwanzig Seiten braucht dafür niemand. Es reicht eine Entscheidungsregel, die sich in dreißig Sekunden anwenden lässt. Ist es ein Deepfake bei Bild, Ton oder Video? Dann kennzeichnen, und die EU-Icons sind der bequemste Weg dorthin. Ist es Text, der die Öffentlichkeit über eine Angelegenheit von öffentlichem Interesse informiert? Dann kennzeichnen, oder jemand prüft ihn und trägt die redaktionelle Verantwortung mit Namen. Ist es beides nicht, also ein Mailing oder eine Produktbeschreibung? Dann entscheidet ihr selbst. Aber entscheidet es einmal und nicht bei jedem Text neu.

Heute prüfen kannst du zwei Sachen: wie die Wasserzeichen-Einstellungen in eurem Tenant stehen, und ob es diese Entscheidungsregel bei euch schriftlich gibt.

Wenn bei euch KI-Inhalte nach außen gehen und niemand benennen kann, wer die redaktionelle Verantwortung trägt, ist genau das die Lücke. Lass uns 20 Minuten sprechen, wir gehen einmal durch, welche eurer Kanäle unter Artikel 50 fallen und welche nicht.

Bleibt die Frage, die keine Verordnung löst. Ein Text läuft durch ein Modell, ein Mensch prüft ihn und gibt ihn frei. Wer hat ihn dann geschrieben? Darauf habe ich noch keine saubere Antwort. Wie handhabt ihr das?