Die KI-Kennzeichnung muss nicht halten, nur technisch möglich sein

Wirksam, interoperabel, belastbar und zuverlässig: So muss die Markierung sein, die seit dem 2. August 2026 in jedem von einer KI erzeugten Bild, Video, Ton und Text stecken soll. Im selben Satz der Verordnung folgt der Vorbehalt: soweit technisch möglich, nach dem allgemein anerkannten Stand der Technik. Was die Kennzeichnungspflicht wert ist, hängt damit am Stand dieser Technik.

Petrina Engelke hat die Regeln am 2. August 2026 für DIE ZEIT zusammengefasst, mit AFP und dpa, unter dem Titel „KI-Kennzeichnung: EU führt Regeln zur Kennzeichnung von künstlicher Intelligenz ein“; dort beginnt die Pflicht am 1. August. Im Amtsblatt steht der 2.: Erwägungsgrund 179 der Verordnung (EU) 2024/1689 setzt den Geltungsbeginn auf diesen Tag.

„Kennzeichnung“ meint dabei zwei Dinge. Das eine ist ein sichtbarer Hinweis, etwa die Einblendung in einem Deepfake-Video. Das andere ist eine Spur in der Datei, die kein Betrachter sieht und jede Software auslesen kann. Nur diese maschinenlesbare Spur steht in Artikel 50 Absatz 2, und sie beantwortet eine engere Frage: woher eine Datei stammt, nicht ob ihr Inhalt stimmt. Der Einwand gegen die Pflicht lautet ohnehin, dass sich solche Markierungen entfernen lassen.

Der Vorbehalt steht im tragenden Satz der Kennzeichnungspflicht#

Wer synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt, muss nach Artikel 50 Absatz 2 der Verordnung (EU) 2024/1689¹ sicherstellen, dass die Ausgaben „in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind“. Die Qualität dieser Lösungen schränkt derselbe Absatz zugleich ein: „wirksam, interoperabel, belastbar und zuverlässig“, aber „soweit technisch möglich“, unter Berücksichtigung des „allgemein anerkannten Stands der Technik, wie er in den einschlägigen technischen Normen zum Ausdruck kommen kann“. Die Normen, auf die der Satz zeigt, sind darin eine Möglichkeit.

Zwei weitere Einschränkungen stehen im selben Absatz: Die Pflicht greift nicht, soweit ein System „eine unterstützende Funktion für die Standardbearbeitung“ ausführt oder die Eingabedaten „nicht wesentlich verändert“. Wer in Deutschland prüfen soll, hat der Bundestag am 11. Juni 2026 mit dem Durchführungsgesetz entschieden: die Bundesnetzagentur als Marktüberwachungsbehörde.

Die Spezifikation hinter dem Wasserzeichen rechnet mit seinem Verlust#

Die Herkunftsdaten, die als Content Credentials in Bildern und Videos stecken, folgen der Spezifikation der Coalition for Content Provenance and Authenticity. Deren Abschnitt zu den Soft Bindings beginnt mit einer Feststellung: „a number of workflows remove C2PA Manifests, leading to decoupled provenance information from assets“ (C2PA 2.2, Soft Binding²). Im Anwendungsbeispiel derselben Seite weiß die Fotografin Alice, dass manche Plattformen diese Metadaten beim Hochladen entfernen, und legt deshalb vorher ein unsichtbares Wasserzeichen ins Bild.

Das Wasserzeichen ist in dieser Architektur die Rückfallebene. Gegen sie liegt für Bilder ein Angriff mit formalem Beweis vor: Rauschen hinzufügen, das Bild von einem Diffusionsmodell rekonstruieren lassen, Markierung weg. Xuandong Zhao und Kollegen prüften vier Verfahren und fassten zusammen: „pixel-level invisible watermarks are vulnerable to this regeneration attack“ (Zhao u. a., NeurIPS 2024³).

Bei Text scheitert die Kennzeichnung schon vor dem Angriff#

Sechzehn Tage vor dem Geltungsbeginn haben Saifur Rahman Tamim und Amir Labib Khan drei verbreitete Textwasserzeichen an forensischen Zulassungsmaßstäben gemessen, den Daubert-Kriterien und NIST SP 800-86. Schon vor jeder Manipulation übersah die Erkennung 70 Prozent der KGW-Texte, 83 Prozent der Unigram-Texte und 80 Prozent der SynthID-Texte. Nach einer schlichten Umformulierung war bei KGW und Unigram jede zuvor erkannte Markierung verschwunden. SynthID markierte zugleich 5,4 Prozent umformulierter, von Menschen geschriebener Kontrolltexte als KI-erzeugt (Tamim und Khan, Preprint vom 17. Juli 2026⁴). Die Arbeit ist nicht begutachtet, ihre Werte gelten allein für Text.

Der umgekehrte Weg führt nicht weiter: Im Labor irrt der beste KI-Detektor praktisch nie, bei TOEFL-Aufsätzen liegt seine Fehlalarmquote bei 61 Prozent⁵.

Bei den Bußgeldern kehrt Artikel 99 Absatz 6 die viel zitierte Staffel für kleine und mittlere Unternehmen samt Start-ups um: Wo sonst der höhere der beiden Beträge gilt, 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes bei Transparenzverstößen, gilt dort der niedrigere. Die Frist bis zum 2. Dezember 2026 deckt allein die maschinenlesbare Markierung bei Systemen, die vor dem 2. August auf dem Markt waren.

Bei Bildern lässt sich die Markierung nachweislich herausrechnen, bei Text übersieht die Erkennung schon vor jedem Angriff die Mehrheit der markierten Proben, bei den Metadaten rechnet die Spezifikation der Branche selbst mit dem Verlust. Die Kritik an der Kennzeichnung trifft damit die Technik und verfehlt die Norm: Eine Markierung, die sich entfernen lässt, unterschreitet einen Maßstab nicht, der auf den Stand der Technik verweist. Zwei Tage zuvor war das Recht auf Reparatur in Kraft getreten, begrenzt auf zehn Gerätegruppen aus dem Ökodesign-Recht⁶; auch dort verspricht der Name mehr, als der Verordnungstext hergibt. Wer eine Datei vor sich hat, die kein Herkunftszeichen trägt, weiß über sie seit dem Stichtag genauso wenig wie vorher.

Anlass war der Beitrag „KI-Kennzeichnung: EU führt Regeln zur Kennzeichnung von künstlicher Intelligenz ein“ von Petrina Engelke mit AFP und dpa für DIE ZEIT vom 2. August 2026; der Bußgeldrahmen und die Dezemberfrist stammen von dort und wurden am Verordnungstext geprüft. Wortlaut, Ausnahmen und Geltungsdaten der Kennzeichnungspflicht stammen aus der Verordnung (EU) 2024/1689 eur-lex.europa.eu ↗ bei EUR-Lex, die technischen Befunde aus der C2PA-Spezifikation 2.2 spec.c2pa.org ↗, aus Zhao u. a. (NeurIPS 2024) arxiv.org ↗ und aus dem Preprint von Tamim und Khan vom 17. Juli 2026 arxiv.org ↗. Der Beschluss des Durchführungsgesetzes samt Benennung der Bundesnetzagentur ist im Textarchiv des Bundestags⁷ dokumentiert.