AI Act: Transparenzpflichten für Unternehmen bei AI to the DNA

Muss jeder mit KI erstellte LinkedIn-Post gekennzeichnet werden und reicht bei einem Voicebot der Hinweis, dass du mit einer Maschine sprichst? Seit Teile des AI Act in Kraft sind, herrscht bei vielen Unternehmen Unsicherheit über die neuen Transparenz- und Kennzeichnungspflichten für KI-Inhalte. In der neuen Update-Folge des Podcasts AI to the DNA spricht Host Christoph Magnussen mit Dr. Sebastian Kraska, Rechtsanwalt und Geschäftsführer der IITR Datenschutz GmbH, über die praktischen Auswirkungen dieser Regelungen. Das Gespräch klärt, was sich für Unternehmen jetzt konkret ändert, wo die Grenzen zwischen privater und geschäftlicher Nutzung verlaufen und warum der Gesetzgeber vor allem die Täuschung von Menschen verhindern will. Diese Episode liefert eine fundierte Einordnung für alle, die KI-Systeme geschäftlich einsetzen und rechtlich auf der sicheren Seite sein wollen.

Das Wichtigste auf einen Blick

• Geschäftlich vs. Privat: Die neuen Transparenzpflichten des AI Act gelten ausschliesslich für die geschäftliche Nutzung von KI. Private Experimente oder Posts sind davon nicht betroffen.
• Das Ziel ist Transparenz, nicht Verbot: Die Kernidee der Regulierung ist, Nutzern Klarheit darüber zu verschaffen, ob sie mit einem Menschen oder einer Maschine interagieren. Es geht darum, Vertrauen in der digitalen Kommunikation zu sichern.
• Keine pauschale Kennzeichnungspflicht für Texte: KI-generierte Texte wie Blogartikel oder Social-Media-Posts müssen nicht gekennzeichnet werden, solange ein Mensch die redaktionelle Endkontrolle und Verantwortung übernimmt. Reine Hilfsmittel wie Rechtschreibkorrekturen oder Übersetzungstools sind ebenfalls ausgenommen.
• Deepfakes müssen als solche erkennbar sein: Bilder, Videos oder Audioaufnahmen, die realistisch wirken und den Eindruck erwecken, eine echte Person oder Situation abzubilden, müssen als KI-generiert markiert werden. Fantasiebilder oder klar als künstlich erkennbare Avatare fallen nicht darunter.
• Chatbots und Voicebots brauchen einen klaren Hinweis: Systeme, die menschliche Interaktion simulieren, müssen sich zu Beginn des Gesprächs als KI zu erkennen geben. Ein einfacher Satz wie Hier spricht die Blackboat-KI ist ausreichend.
• Anbieter und Betreiber haben unterschiedliche Pflichten: Der AI Act unterscheidet zwischen Anbietern von KI-Systemen (z. B. OpenAI), die technische Vorkehrungen wie Wasserzeichen treffen müssen, und Betreibern (Unternehmen, die KI einsetzen), die für die transparente Anwendung gegenüber dem Endnutzer verantwortlich sind.

Worum geht es dem Gesetzgeber wirklich?

Um die neuen Regeln richtig einzuordnen, hilft es laut Dr. Sebastian Kraska, sich das übergeordnete Ziel der Europäischen Union vor Augen zu führen. In einer Welt, in der KI-generierte Inhalte allgegenwärtig werden, soll sichergestellt werden, dass Menschen jederzeit wissen, ob sie es mit einem echten Menschen oder einer Maschine zu tun haben. Es geht also nicht darum, den Einsatz von KI zu behindern, sondern darum, Täuschung zu verhindern und Vertrauen in die digitale Kommunikation zu erhalten. Dieser Grundgedanke, so Sebastian, dient als Kompass, um zu beurteilen, ob ein bestimmter Anwendungsfall eine Kennzeichnung erfordert oder nicht. Die Frage lautet immer: Könnte ein Nutzer fälschlicherweise annehmen, dass ein Inhalt oder Gesprächspartner authentisch menschlich ist?

Vom LinkedIn-Post zum Deepfake: Konkrete Anwendungsfälle der Kennzeichnungspflicht

Die grösste Verwirrung herrscht oft bei der Frage, welche Inhalte nun konkret ein Label benötigen. Sebastian und Christoph arbeiten sich durch die wichtigsten Kategorien:

Texte: Ein weitverbreitetes Missverständnis ist, dass jeder mit ChatGPT oder Claude erstellte Text gekennzeichnet werden muss. Sebastian stellt klar, dass dies nicht der Fall ist, solange zwei Bedingungen erfüllt sind: Der Text durchläuft eine redaktionelle Endkontrolle durch einen Menschen und dieser übernimmt auch die inhaltliche Verantwortung. Wer also KI als Schreibassistenz nutzt, aber die finalen Inhalte prüft und freigibt, muss keinen Hinweis anfügen. Anders sieht es aus, wenn ein KI-Agent völlig autonom und unkontrolliert Inhalte im Namen einer Person oder eines Unternehmens veröffentlicht. In diesem Fall wäre eine Kennzeichnung notwendig, da keine menschliche Kontrolle mehr stattfindet.

Bilder und Deepfakes: Hier ist die Täuschungsabsicht entscheidend. Wenn du ein Bild erzeugst, das eine reale Person an einem Ort zeigt, an dem sie nie war, und dieses Bild fotorealistisch wirkt, handelt es sich um einen Deepfake, der gekennzeichnet werden muss. Das einfache Retuschieren von Fotos, wie das Entfernen eines Objekts im Hintergrund, fällt laut Sebastian nicht darunter. Ebenso sind künstlerische oder offensichtlich surreale Bilder - wie ein Drache über dem Eiffelturm - unproblematisch, da hier niemand eine authentische Abbildung erwartet.

Audio und Avatare: Ähnliches gilt für Video und Ton. Ein fotorealistischer Avatar, der eine echte Person täuschend echt nachbildet, muss als KI-generiert ausgewiesen werden. Ein stilisierter Avatar im Comic-Stil, der auf den ersten Blick als künstlich erkennbar ist, benötigt hingegen keine Kennzeichnung.

Die Rolle der redaktionellen Verantwortung

Ein zentraler Punkt, den Sebastian immer wieder betont, ist die menschliche Verantwortung. Solange ein Mensch die finale Kontrolle über einen KI-generierten Output behält und dafür geradesteht, wird die KI als Werkzeug betrachtet. Die Pflicht zur Kennzeichnung entfällt in diesen Fällen meist, da der Mensch als Urheber im rechtlichen Sinne auftritt. Erst wenn die KI autonom handelt und der Mensch nur noch der Initiator ist, verschiebt sich die Lage. Christoph vergleicht die aktuelle Situation mit den historischen Red Flag Laws in Großbritannien, bei denen anfangs eine Person mit einer roten Flagge vor jedem Automobil herlaufen musste, um zu warnen. Mit der Zeit wurde diese Regelung obsolet. Ähnlich könnte es sich mit der KI-Kennzeichnung entwickeln: Was heute noch als notwendig erscheint, könnte in einigen Jahren, wenn KI-Unterstützung zur Normalität geworden ist, überflüssig sein. Aktuell dient die Regelung aber dazu, in einer Übergangsphase für Klarheit zu sorgen.

Praktische Schritte für Unternehmen

Für Unternehmen, die jetzt handeln müssen, leitet Dr. Sebastian Kraska aus dem Gespräch konkrete Empfehlungen ab:

1. Rolle definieren: Kläre, ob dein Unternehmen als Anbieter von KI-Systemen oder als Betreiber (Anwender) agiert. Die Pflichten unterscheiden sich. Die meisten Unternehmen sind Betreiber.
2. Use Cases analysieren: Erstelle eine Liste aller Anwendungsfälle, in denen dein Unternehmen KI einsetzt. Unterscheide dabei klar zwischen internen Werkzeugen (z. B. zur Datenanalyse) und extern gerichteten Anwendungen (z. B. Kunden-Chatbots, Marketingbilder, Social-Media-Posts).
3. Den Täuschungstest anwenden: Gehe jeden externen Anwendungsfall durch und stelle die Frage: Könnte ein durchschnittlicher Nutzer getäuscht werden und annehmen, dass er mit einem Menschen interagiert oder einen authentischen Inhalt sieht? Wenn ja, ist eine Kennzeichnung erforderlich.
4. Klare Hinweise implementieren: Sorge bei Chat- und Voicebots für eine unmissverständliche Ansage direkt zu Beginn der Interaktion. Bei Bildern und Videos sollte ein deutlich sichtbarer Hinweis wie KI-generiert platziert werden.
5. Informationsquellen nutzen: Sebastian empfiehlt als verlässliche Ressource die Webseite deepfake-recht.de, die von einem Juristen betrieben wird und konkrete Fallbeispiele verständlich aufschlüsselt.