Transparenzpflichten gelten seit 2. August
Seit dem 2. August gelten die Transparenzverpflichtungen des Art. 50 der europäischen KI-Verordnung („AI-Act“) für Anbieter und Betreiber von KI-Systemen. Auch Unternehmen des kooperierenden Mittelstandes, regelmäßig in der Rolle des Betreibers, sind von den Offenlegungspflichten betroffen. Der Bundesverband Kooperierender Mittelstand (BKM) hat das Wichtigste zusammengefasst.
Wie können Verbraucher, Behörden und Unternehmen im Zeitalter von Künstlicher Intelligenz unterscheiden, ob ein visueller, auditiver oder textlicher Inhalt authentisch oder KI-generiert ist? Die Antwort auf diese Frage findet sich in den Transparenzverpflichtungen aus Art. 50 KI-Verordnung, die seit dem 2. August 2026 gelten. Im Rahmen dieser Pflichten müssen bestimmte KI-generierte Inhalte unter Umständen als solche gekennzeichnet werden. Die Kommission hat mit dem Verhaltenskodex zur Umsetzung der Transparenzpflichten eine praktische Umsetzungsanleitung veröffentlicht, die den Inhalt und Fragen zu Umsetzung dieser Transparenzpflichten erläutert.
Art. 50 KI-Verordnung: Rechtsgrundlage
Grundsätzlich unterscheidet die KI-Verordnung zwischen Pflichten für Anbieter (geregelt in Art. 50 Abs. 1 & 2) und Betreiber (geregelt in Art. 50 Abs. 3 & 4) von KI-Systemen.
Der Anbieter (provider) ist die natürliche oder juristische Person, die ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3 KI-Verordnung). Betroffen von den Transparenzpflichten nach Art. 50 Abs. 1 & 2 sind typischerweise Hersteller von LLM-Chatbots, aber auch Unternehmen, die bestehende LLM-Systeme mit ihren Unternehmensdaten erweitern und unter ihrer eigenen Handelsmarke herausbringen. Dies betrifft auch Chatbots oder virtuelle Assistenten, die in eigenen Websites implementiert sind. Gästen auf der Seite muss somit klar sein, dass sie mit einer KI und nicht mit einem Menschen kommunizieren.
Zur Rolle des „Betreibers“ (Deployer)
Ein Betreiber (deployer) ist laut Verordnung grundsätzlich diejenige natürliche oder juristische Person, die ein KI-System in eigener Verantwortung verwendet. Ergänzt ein Unternehmen ein bereits bestehendes generatives KI-System mit eigenen Trainingsdaten und nimmt dieses unter seinen eigenen Namen in Betrieb, wird dieses Unternehmen selbst zum Anbieter des neuen Systems. Dies bedeutet jedoch nicht zwangsläufig, dass das Unternehmen sämtliche technischen Transparenzmechanismen eigenständig entwickeln muss. Baut das neue KI-System auf einem bestehenden generativen Basismodell auf, sieht der „Code of Practice“ vor, dass der ursprüngliche Anbieter die erforderlichen technischen Kennzeichnungsmechanismen möglichst bereits bereitstellt, sodass nachgelagerte Anbieter diese übernehmen und in ihrem eigenen System weiterverwenden können.
Die Guidelines stellen zur Rolle des Betreibers zusätzlich klar: Entscheidend ist, wer den Einsatz des KI-Systems tatsächlich kontrolliert. Beschäftigte handeln regelmäßig für ihr Unternehmen, externe Agenturen können hingegen selbst Betreiber sein. Für die praktische Umsetzung sollte das veröffentlichende Unternehmen dennoch in jedem Fall prüfen, dass erforderliche Kennzeichnungen vor der Veröffentlichung vorhanden und sichtbar sind.
Normierte KI-Kennzeichnungspflichten für Betreiber
Die Kennzeichnungspflichten für Betreiber sind insbesondere in Art. 50 Abs. 4 KI-Verordnung normiert (Auch Art. 50 Abs. 3 AI Act enthält Informationspflichten für Betreiber von Emotionserkennungs- und biometrischen Kategorisierungssystemen. Da solche Systeme für die meisten Unternehmen jedoch keinen typischen KI-Anwendungsfall darstellen dürften, konzentriert sich dieser Abschnitt auf die für die betriebliche Praxis regelmäßig relevanteren Kennzeichnungspflichten nach Art. 50 Abs. 4 AI Act.).
Dieser besagt, dass
- KI-generierte oder -manipulierte „Deepfakes“ in Form von Bild-, Audio- oder Videoinhalten sowie
- KI-generierte oder – manipulierte Texte, deren Zweck darin besteht, die Öffentlichkeit über Angelegenheiten vom öffentlichen Interesse zu informieren, als solche gekennzeichnet werden müssen.
Bei dieser Kennzeichnungspflicht reicht es nicht aus, auf die maschinenlesbaren Markierungen der Anbieter abzustellen. Betreiber müssen folglich unter bestimmten Voraussetzungen KI-generierte Inhalte mit eigenen Kennzeichnungen versehen.
Was sind „Deepfakes“?
Wie sich bereits aus dem Wortlaut des Art. 50 Abs. 4 KI-Verordnung ergibt, setzen die Transparenzpflichten für Bild-, Audio- und Videoinhalte voraus, dass der KI-generierte oder manipulierte Inhalt als „Deepfake“ einzustufen ist. Gerade an dieser Stelle schaffen die Guidelines wichtige Klarheit, welche Inhalte konkret unter den Begriff des Deepfakes fallen.
Der AI-Act definiert Deep Fakes als „KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte, die realen (1) Personen, Objekten, Orten, Einrichtungen oder Ereignissen (2) ähneln (3) und einer Person fälschlicherweise als authentisch oder wahrheitsgemäß erscheinen würden (4)“. Hieraus ergeben sich vier kumulative Kriterien, die die Guidelines konkretisieren.
Transparenzpflichten für KI-generierte oder -manipulierte Texte
Die zweite Offenlegungspflicht gilt für KI-generierte bzw. -manipulierte Texte. Konkret verlautet der AI-Act die Pflicht, „wer ein KI-System einsetzt, das Text generiert oder manipuliert, der zu dem Zweck veröffentlicht (1) wird, die Öffentlichkeit (2) über Angelegenheiten von öffentlichem Interesse (3) zu informieren, muss offenlegen, dass der Text künstlich generiert oder manipuliert wurde.“
Doch selbst, wenn die Voraussetzungen für eine Kennzeichnungspflicht zutreffen, muss diese nicht zwangsläufig erfolgen: Eine Ausnahme greift, wenn eine hinreichende menschliche Überprüfung oder redaktionelle Kontrolle des veröffentlichten Textes besteht, und zugleich eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung übernimmt. Unternehmen sollten hierfür einen angemessenen internen Prozess einrichten, der eine verlässliche Prüfung und Freigabe der Texte sicherstellt.
Wie KI-generierte Inhalte kennzeichnen?
Wie genau die obenstehenden Kennzeichnungen aussehen können, sind dem im Juni erschienenen „Code of Practice“ zu den Transparenzpflichten nach Art. 50 KI-Verordnung zu entnehmen. Die Einhaltung des Verhaltenskodexes ist zunächst freiwillig. Seine Befolgung bietet Unternehmen jedoch einen unionsweit anerkannten und vergleichsweise rechtssicheren Weg, die Einhaltung ihrer Transparenzpflichten gegenüber den zuständigen Behörden darzulegen.
Bei visuellen Deepfakes etwa können künftig Betreiber von KI-Systemen ein europäisches Label verwenden, auf dem in verschiedenen Variationen der Schriftzug AI zu sehen ist. Bei Audio-Deepfakes muss ebenfalls immer ein hörbarer Hinweis erfolgen, dass es sich hierbei um einen KI-generierten Inhalt handelt.
Die Pflicht zur Kennzeichnung von KI-generierten Texten kann durch die Tatbestände einer menschlichen Überprüfung sowie redaktionellen Verantwortung entfallen (s.o.). Greift der Ausnahmetatbestand nicht, erfolgt die Kennzeichnung gut sichtbar am Text – etwa über dem Header, neben der Überschrift, am Anfang des Beitrags oder im Vorspann. Auch müssten kurze Abschnitte entsprechend markiert oder eine Offenlegung zu Beginn des Textes erfolgen.
