EU-KI-Verordnung Art. 50: Kennzeichnung und technische Grenzen

Art. 50 der EU-KI-Verordnung enthält mehrere unterschiedliche Transparenzpflichten. Abs. 2 verpflichtet Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, deren Ausgaben maschinenlesbar zu kennzeichnen und als künstlich erzeugt oder manipuliert erkennbar zu machen. Die technische Lösung muss wirksam, interoperabel, robust und zuverlässig sein, soweit technisch machbar. Dabei sind Grenzen der Inhaltsarten, Implementierungskosten und der allgemein anerkannte Stand der Technik zu berücksichtigen. Der Absatz nennt auch Ausnahmen, etwa für bestimmte unterstützende Bearbeitung und gesetzlich erlaubte Strafverfolgung.¹

Art. 50 gilt seit dem 2. August 2026. Die Verordnung (EU) 2026/1744 fügte eine enge Übergangsregel ein: Anbieter geeigneter generativer Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen Abs. 2 bis zum 2. Dezember 2026 erfüllen. Der Termin verschiebt nicht die übrigen Pflichten des Art. 50.²

Pflicht und Adressat zuordnen

Nach Abs. 5 müssen die Informationen aus Abs. 1–4 klar und unterscheidbar spätestens bei der ersten Interaktion oder Exposition bereitgestellt werden. Abs. 4 verlangt nicht generell, den Hinweis in der Mediendatei selbst zu verankern. Ebenso klärt die Nutzung einer Drittanbieter-API nicht immer, wer Anbieter eines nachgelagerten Systems ist; entscheidend sind das konkrete System und sein Einsatz.¹ Der Selbsthosting-Leitfaden erläutert die Rollen.

Drei technische Ansätze

Provenienz-Metadaten wie ein signiertes C2PA-Manifest dokumentieren Aussagen über eine Datei und ihre Entstehung. Bleibt das Manifest vorhanden, kann die Signatur Manipulation sichtbar machen. Ein Verbreitungsweg kann Metadaten aber entfernen; aus einem fehlenden Manifest folgt nicht, dass ein Inhalt von Menschen stammt. C2PA beschreibt Soft-Binding-Verfahren, um Inhalte nach Verlust der normalen Bindung wieder mit ihrer Provenienz zu verbinden.³

Eingebettete Wasserzeichen erzeugen beim Generieren ein Signal in Pixeln, Audio oder Token-Auswahl, das ein passender Detektor prüfen kann. Google dokumentiert, dass SynthID-Text nach starker Umarbeitung oder Übersetzung weniger zuverlässig erkannt wird und längere, vielfältige Texte besser funktionieren.⁴ Die Erkennung ist statistisch: Weder ein positives Ergebnis beweist die Urheberschaft noch ein negatives den menschlichen Ursprung.

Nachträgliche Detektoren versuchen, Inhalte zu klassifizieren, ohne dass der Generator eine Markierung eingebracht hat. Ihre Genauigkeit hängt von Testdaten, Veränderungen und möglichen Angriffen ab. Sie sind nicht mit der Kennzeichnungspflicht des Anbieters nach Art. 50 Abs. 2 gleichzusetzen.

Die Ansätze können einander ergänzen. Art. 50 Abs. 2 schreibt kein bestimmtes Wasserzeichenprodukt vor, fordert keine Unverwundbarkeit gegen jede absichtliche Veränderung und erklärt C2PA nicht pauschal für ausreichend oder unzureichend. Die Konformität ist für System und Inhaltsart anhand der gesetzlichen Kriterien und einschlägiger Leitlinien zu prüfen.

Was Angriffsstudien belegen

Jovanović, Staab und Vechev zeigten für die von ihnen untersuchten Verfahren und Versuchsanordnungen, dass ein Angreifer mit Black-Box-Abfragen das Verhalten eines Wasserzeichens für weniger als 50 US-Dollar API-Kosten annähern und im Mittel über 80 % Erfolg beim Fälschen und Entfernen erzielen konnte.⁵ Das belegt eine erhebliche Schwachstelle jener Textverfahren, nicht identische Kosten oder Erfolgsquoten für jedes 2026 eingesetzte Wasserzeichen.

Saberi und Mitautoren untersuchten Bilddetektoren und Wasserzeichen unter Diffusionsbereinigung und Modellsubstitution. Für schwach perturbierende Verfahren weist ihre Arbeit im untersuchten Angriffsmodell einen Zielkonflikt zwischen Umgehung und Fälschung nach und zeigt praktische Angriffe auf ausgewählte stärker perturbierende Verfahren.⁶ Daraus folgt keine Entscheidung über die Art.-50-Konformität eines konkreten Anbieters. Der Rechtsvorbehalt „soweit technisch machbar“ erfordert eine Betrachtung des Stands der Technik und der Einsatzumstände. Ein Angriffsresultat ist ein Teil dieser Prüfung, keine automatische Feststellung eines Verstoßes.

Praktische Prüfung

Ein Anbieter sollte ermitteln, welche Systeme und Ausgaben unter Abs. 2 fallen, Kennzeichnung und Erkennbarkeit an realistischen Inhalten und üblichen Umwandlungen testen, Grenzen dokumentieren und die Lösung bei neuen Standards oder Leitlinien erneut prüfen. Ein Betreiber sollte gesondert Abs. 3 und 4 prüfen und gegebenenfalls die Kennzeichnungsinformationen des Anbieters einholen. Bei direkter Interaktion muss der Anbieter Abs. 1 beachten; der Verantwortliche für die Oberfläche sollte testen, ob der Hinweis die Nutzer tatsächlich erreicht. Rollenentscheidung, Umsetzung und Ausnahmen dokumentieren, ohne eine jederzeitige Erkennbarkeit aller KI-Inhalte zu versprechen.

Rechts- und Technikquellen geprüft am 29. September 2026. Dies ist eine allgemeine Information, keine individuelle Rechtsberatung.