Grenzen der KI-Verordnung: was Transparenz nicht garantieren kann

Die Grenzen der KI-Verordnung liegen nicht in dem, was sie vorschreibt, sondern in dem, was außerhalb ihres Anwendungsbereichs bleibt. Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der Verordnung (EU) 2024/1689, und um dieses Datum hat sich eine Erwartung gebildet: KI-generierte Inhalte seien nun endlich erkennbar.

Die Erwartung trägt nicht. Die Verordnung hebt die Informationshygiene des legitimen Marktes: Sie verpflichtet diejenigen, die offen arbeiten, ihre Arbeit offenzulegen. Eine Abwehr gegen vorsätzlichen Missbrauch ist sie nicht, und dafür wurde sie auch nie geschrieben. Wer beweisen muss, dass ein Inhalt echt ist, kann sich nicht auf ein nachträglich angebrachtes Etikett stützen. Herkunft muss in dem Moment zertifiziert werden, in dem die Daten entstehen.

Die Frage spielt sich auf drei Ebenen ab, die man auseinanderhalten sollte. Rechtlich geht es darum, wen die Verordnung bindet und wen nicht. Technisch darum, wie lange eine Markierung überlebt, sobald ein Inhalt zirkuliert. Operativ darum, was eine Organisation tun sollte, die Beweise braucht. In dieser Reihenfolge.

Was sich seit dem 2. August 2026 ändert und wo die Grenzen der KI-Verordnung beginnen

Anwendbar geworden ist ein Bündel von Informationspflichten für diejenigen, die Systeme zur Erzeugung oder Veränderung von Inhalten bauen, und für diejenigen, die sie einsetzen. Ein neues Verbot kommt nicht hinzu. Die Verordnung ordnet Systeme nach Risikostufen, und die Transparenz für synthetische Medien fällt in die Stufe des begrenzten Risikos, in der das Recht nur verlangt, dass Menschen wissen, womit sie es zu tun haben. Wer dieses Datum als Ende der Unsicherheit über die Herkunft von Inhalten liest, wird enttäuscht.

Indicator Media hat im Oktober 2025 auf fünf großen Plattformen 516 Beiträge geprüft, die mit KI erzeugt oder bearbeitet worden waren: Nur 169 davon, rund 31 bis 33 Prozent, trugen eine sichtbare Kennzeichnung. Pinterest schnitt mit etwa 55 Prozent am besten ab, Instagram, LinkedIn, TikTok und YouTube lagen deutlich darunter. Die Zahl misst etwas Genaues, nämlich wie viel des Informationsökosystems bereits von jener Kennzeichnung erfasst wird, die Plattformen freiwillig anwenden, und genau darauf stützt sich die praktische Wirkung der Verordnung zu großen Teilen. Die Grenzen der KI-Verordnung ordnen sich entlang von drei Ebenen. Die rechtliche Ebene betrifft, wer in den Pflichtenkreis fällt und wer außerhalb bleibt. Die technische Ebene betrifft, wie gut eine Markierung hält, nachdem ein Inhalt neu komprimiert, zugeschnitten und weitergeleitet wurde. Die operative Ebene betrifft, was eine Organisation braucht, wenn sie einem Gericht, einem Versicherer oder einer Aufsichtsbehörde einen elektronischen Beweis vorlegen muss.

Was Artikel 50 wirklich verlangt

Artikel 50 verteilt unterschiedliche Pflichten auf unterschiedliche Adressaten. Wer ein System für die Interaktion mit Menschen anbietet, muss diesen mitteilen, dass sie es mit einer Maschine zu tun haben, sofern das nicht ohnehin offensichtlich ist. Wer ein System anbietet, das synthetische Inhalte erzeugt, muss dafür sorgen, dass die Ausgaben maschinenlesbar gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss die betroffenen Personen informieren. Und wer als beruflicher Betreiber einen Deepfake veröffentlicht, muss offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Zusammen bilden diese Pflichten den Kern dessen, was seit August 2026 für Unternehmen gilt.

Die Ausnahmen sind breit und größtenteils sinnvoll. Bei offenkundig künstlerischen, kreativen, satirischen oder fiktionalen Inhalten schrumpft die Pflicht darauf, das Vorhandensein solcher Inhalte offenzulegen, ohne die Darbietung oder den Genuss des Werks zu beeinträchtigen. Für Texte über Angelegenheiten von öffentlichem Interesse entfällt sie dort, wo eine menschliche Prüfung und eine redaktionelle Verantwortung bestehen. Systeme, die gesetzlich zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten zugelassen sind, stehen außerhalb dieses Regelwerks.

Ein Detail sagt mehr als die meisten Kommentare. Die Europäische Kommission hat Kennzeichnungssymbole vorbereitet, deren Verwendung freiwillig bleibt, dazu einen freiwilligen Verhaltenskodex. Die Pflicht bindet. Die Werkzeuge zu ihrer Erfüllung nicht.

Die Kennzeichnungspflicht greift später als der Kalender nahelegt

Die technisch folgenreichste Pflicht beginnt nicht gemeinsam mit den übrigen. Das Digital-Omnibus-Paket, politisch am 6. Mai 2026 vereinbart und vom Rat am 13. Mai bestätigt, gewährt Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden, vier Monate Übergangsfrist: Für diesen Bestand gilt die Kennzeichnung nach Artikel 50 Absatz 2 erst ab dem 2. Dezember 2026. Die förmliche Annahme des Pakets steht noch aus.

Die übrigen Transparenzpflichten des Artikels 50, die Deepfake-Offenlegung durch Betreiber eingeschlossen, bleiben beim 2. August. Am Tag der Anwendbarkeit ist damit ausgerechnet der technisch wichtigste Teil für den Bestand aufgeschoben.

Der Anwendungsbereich endet vor denen, die täuschen wollen

Die Verordnung erreicht natürliche Personen nicht, die KI-Systeme im Rahmen einer ausschließlich persönlichen und nicht beruflichen Tätigkeit verwenden. Wer als Privatperson einen falschen Inhalt zusammensetzt, um eine frühere Partnerin zu diskreditieren oder in einem Rechtsstreit ein passendes Beweisstück herzustellen, schuldet keine Offenlegung. Einzelne Mitgliedstaaten haben einen Teil dieser Lücke mit nationalem Strafrecht geschlossen, Italien etwa mit dem Gesetz 132/2025. Strafrecht greift allerdings erst, wenn der Inhalt zirkuliert.

Artikel 2 Absatz 10 der Verordnung (EU) 2024/1689 nimmt natürliche Personen, die KI-Systeme im Rahmen einer ausschließlich persönlichen und nicht beruflichen Tätigkeit verwenden, von den Pflichten aus. Die Folge ist unmittelbar: Wer privat einen falschen Inhalt herstellt, schuldet nach Artikel 50 Absatz 4 nichts. Das Bild ist weniger sauber, als diese Feststellung nahelegt, und die ehrliche Lesart muss das sagen. Die Kennzeichnungspflicht aus Artikel 50 Absatz 2 trifft den Anbieter des Systems, nicht die Person, die es benutzt. Die automatische Kennzeichnung sollte im Grundsatz also auch dann in der Ausgabe erhalten bleiben, wenn ein Inhalt aus einer privaten Sitzung stammt. Dass die Einzelperson nicht gebunden ist, ist damit nur die halbe Schwierigkeit. Diese verbleibende Kennzeichnung kann von vornherein fehlen, sie lässt sich mit frei verfügbaren Werkzeugen entfernen, und sie lässt sich auf Inhalte setzen, die sie nie verdient haben. Von hier führt das Argument von der rechtlichen auf die technische Ebene.

Lokal ausgeführte Modelle entstehen ohne Kennzeichnung

Eine Kategorie von Inhalten kann keine Kennzeichnungspflicht erreichen: alles, was aus Open-Weight-Modellen kommt, die heruntergeladen und auf dem eigenen Rechner ausgeführt werden. Wer offline arbeitet, durchläuft keinen Dienst, der eine Markierung anbringen könnte. Angesichts der Leistungsfähigkeit dieser Modelle ist das keine akademische Randnotiz mehr.

Wie eine Kennzeichnung funktioniert und warum sie zerfällt

Synthetische Inhalte lassen sich auf zwei Wegen kennzeichnen, und keiner der beiden übersteht die reale Zirkulation gut. Wer ein Bild prüft, das über drei Plattformen bei ihm angekommen ist, hält meist schon eine Datei ohne jede Markierung in der Hand.

Ein statistisches Wasserzeichen und deklarative Herkunftsmetadaten beantworten zwei verschiedene Fragen. Das erste verbirgt ein Signal im Inhalt selbst, sodass ein trainierter Detektor es ohne jede externe Information zurückgewinnen kann: So arbeitet SynthID. Das zweite hängt ein signiertes Manifest an, das Urheber, Werkzeug und spätere Bearbeitungen deklariert: So arbeiten C2PA und Content Credentials. Der praktische Unterschied liegt weniger in der Sicherheit als darin, wie die beiden Verfahren brechen. Ein statistisches Signal zerfällt, sobald ein Inhalt erneut komprimiert, zugeschnitten, in ein anderes Format konvertiert oder skaliert wird, weil jede dieser Operationen genau die Pixel überschreibt, in die das Wasserzeichen eingelassen war. Deklarative Metadaten sind noch stärker exponiert: Sie lösen sich beim ersten Übergang, der sie nicht mitführt. Der Screenshot ist der Grenzfall und zugleich der häufigste, denn er erzeugt eine neue Datei ohne Manifest und meist auch ohne das ursprüngliche Signal.

Die Kennzeichnung lässt sich entfernen

Eine Markierung zu entfernen erfordert keine seltene Fähigkeit. Die im nächsten Abschnitt besprochene ICML-Arbeit demonstriert Scrubbing-Angriffe, die eine Markierung löschen, ohne den Inhalt sichtbar zu beschädigen. Und die Norm weiß das. Artikel 50 Absatz 2 verlangt Lösungen, die "effective, interoperable, robust and reliable" sind, und schiebt dann "as far as this is technically feasible" nach, unter Berücksichtigung von Kosten und anerkanntem Stand der Technik. Der Gesetzgeber räumt die technische Grenze also im selben Text ein, in dem er die Pflicht auferlegt. Es ist zugleich die Klausel, auf die ein Anbieter an dem Tag zeigen wird, an dem sein Watermarking nicht hält.

Die Kennzeichnung lässt sich fälschen

Das umgekehrte Risiko wiegt schwerer und wird seltener diskutiert: nicht die Markierung vom falschen Inhalt zu entfernen, sondern eine glaubwürdige Markierung anzubringen, um den Inhalt einer fremden Herkunft zuzuschreiben. Man nennt das Spoofing, und es bedeutet, das Falsche zu beglaubigen statt es aufzudecken.

Diese Umkehrung verändert die Bedeutung der gesamten Kennzeichnungsarchitektur. Wer eine Markierung entfernt, beseitigt ein Signal synthetischen Ursprungs. Wer eine Markierung fälscht, stellt ein Signal echten Ursprungs her, und das ist der Betrug mit der größeren Hebelwirkung. Lässt sich eine Markierung nachahmen, beweist ihre Anwesenheit ebenso wenig wie ihre Abwesenheit. Die Arbeit von Jovanović, Nikolić und Kollegen, auf der ICML 2024 unter dem Titel Watermark Stealing in Large Language Models vorgestellt, beziffert das Problem für Watermarking-Verfahren auf dem Stand der Technik in Sprachmodellen: Spoofing- und Scrubbing-Angriffe sind für weniger als 50 Dollar durchführbar, bei durchschnittlichen Erfolgsquoten über 80 Prozent. Die Zahl verschiebt die Diskussion von der Theorie in die Ökonomie. Eine Schutzmaßnahme, die für unter fünfzig Dollar fällt, hält niemanden auf, der ein ernsthaftes Motiv hat, und gegen ernsthafte Motive muss sich eine Organisation verteidigen.

Die häufigste Fälschung berührt die KI überhaupt nicht

Die häufigste Manipulation erzeugt gar nichts, sie bearbeitet Metadaten. Die EXIF-Metadaten einer Fotografie, Datum und Uhrzeit, Geolokalisierung, Gerät, lassen sich mit kostenlosen Werkzeugen verändern. Eine echte Fotografie, mit verändertem Datum in einen neuen Kontext gestellt, wird zu einem falschen Beweismittel, das kein KI-Detektor meldet, weil nichts generiert wurde, das er finden könnte. Diese Ebene regelt die Verordnung nicht, und sie war dafür auch nie gedacht.

Ein praktischer Umstand verschärft die Lage: Soziale Plattformen entfernen Metadaten beim Hochladen, aus Gründen des Datenschutzes und des Dateigewichts. Der zirkulierende Inhalt hat seine Herkunftsinformation also längst verloren, und wer ihn prüfen soll, arbeitet an einer stummen Datei.

Die Sanktionen treffen die ohnehin Rechtstreuen

Die Sanktionen der KI-Verordnung für Verstöße gegen die Transparenzpflichten reichen bis zu 15 Millionen Euro oder 3 Prozent des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Solche Summen landen bei Adressaten, die sich ohnehin an die Regeln halten wollten: identifizierbare Unternehmen mit Anschrift, Bilanz und einem Ruf, den sie verteidigen.

Der vorsätzlich Handelnde gehört nicht zu dieser Gruppe. Anonym, häufig außerhalb der Union tätig, ohne etwas zu verlieren. Ein rein europäisches Problem ist das nicht: China verlangt seit dem 1. September 2025 die Kennzeichnung KI-generierter Inhalte und stößt auf dieselbe Asymmetrie.

Wenn der Zweifel zum Alibi wird

Der Zweifel selbst wird zur Verteidigung, und der Effekt hat einen Namen: Liar's Dividend. Sobald sich herumspricht, dass jeder Inhalt generiert sein kann, kann jemand, der bei etwas Realem gefilmt wurde, dies bestreiten und das Video als synthetisch bezeichnen. Desinformation braucht nur, dass der Verdacht plausibel wirkt.

Eine Kennzeichnungspflicht für sich genommen wirkt in genau diese Richtung: Sie lehrt Misstrauen, ohne ein Mittel zum Vertrauen mitzuliefern. Das ist die feinste dieser Grenzen, weil sie das Problem vom Erkennen des Falschen zum Beweisen des Wahren verschiebt, und das sind zwei verschiedene Handwerke. Aus demselben Grund klärt die Kennzeichnung von KI-Inhalten weniger, als es zunächst scheint.

Was eine Organisation über die formale Konformität hinaus tun kann

Am Anwendungsbereich der Verordnung lässt sich nichts ändern, an den eigenen Verfahren schon. Der erste Schritt trennt zwei Ströme, die oft als einer behandelt werden: Inhalte, die die Organisation selbst erzeugt, und Inhalte, die sie empfängt. Für die eigenen führt der Weg über die Dokumentation der Herkunft am Ursprung statt über deren spätere Rekonstruktion. Bei den empfangenen gilt: Verlassen Sie sich nicht allein auf einen probabilistischen Detektor, denn er liefert Wahrscheinlichkeiten und keine Gewissheiten. Bewahren Sie das Original auf und nicht die weitergeleitete Kopie, die ihre Metadaten längst verloren hat. Und legen Sie vorab fest, welcher Beweis in einem Rechtsstreit nötig wäre und in welcher Form.

Der deutsche Rechtsrahmen belohnt diese Vorarbeit. Nach § 286 ZPO würdigt das Gericht den Beweis frei, weshalb die Überzeugungskraft eines elektronischen Dokuments davon abhängt, wie nachvollziehbar seine Erhebung dokumentiert ist. § 371a ZPO überträgt die Beweisregeln privater Urkunden auf elektronische Dokumente mit QES und begründet für sie einen Anschein der Echtheit, § 371 ZPO öffnet den Augenscheinsbeweis. Dazu kommen die eIDAS-Verordnung 910/2014 mit dem Vertrauensdienstegesetz und, für die Methodik, ISO/IEC 27037 zur Sicherung digitaler Beweise vor Gericht. Organisationen, die die Echtheit des Erfassten belegen müssen, setzen auf Werkzeuge zur Zertifizierung am Ursprung wie TrueScreen, das einen forensischen Bericht mit qualifiziertem Zeitstempel und dokumentierter Beweiskette erzeugt.

Was nachgelagerte Erkennung von Zertifizierung am Ursprung unterscheidet

TrueScreen ist die Data Authenticity Platform, die Daten im Moment ihrer Entstehung zertifiziert und dabei eine forensische Methodik anwendet, die Herkunft, Integrität und zeitliche Einordnung dokumentiert. Von der nachgelagerten Analyse trennt sie nicht ein Genauigkeitsvorsprung, sondern die Frage, die sie überhaupt beantwortet.

Nachgelagerte Erkennung und Zertifizierung am Ursprung erzeugen zwei verschiedene rechtliche Gegenstände. Die Erkennung liefert ein probabilistisches Urteil über eine Datei, deren Geschichte niemand kennt, und dieses Urteil verliert Monat für Monat an Wert, weil jede neue Modellgeneration die Treffsicherheit von Detektoren untergräbt, die auf der vorherigen trainiert wurden. Die Zertifizierung am Ursprung dokumentiert stattdessen den Moment der Erfassung: welches Gerät, welcher Zeitpunkt, welcher Inhalt, mit einem Hashwert, der jede spätere Veränderung erkennbar macht. TrueScreen arbeitet auf dieser zweiten Ebene. Es ist keine Zertifizierungsstelle und stellt keine eigenen Zertifikate aus: Es bindet das elektronische Siegel und den qualifizierten Zeitstempel qualifizierter dritter QTSP in einen forensischen Erfassungsprozess ein und liefert einen elektronischen Beweis, der die Beweiskette dokumentiert. Das Ergebnis sagt nicht, ob ein Inhalt synthetisch ist. Es sagt, was erfasst wurde, wann und unter welchen Bedingungen.