Transparenzpflichten für KI-Systeme nach der KI-Verordnung

Neben den positiven Aspekten von KI bestehen jedoch auch erhebliche Risiken wie Missbrauch und Manipulation. Insbesondere das Missbrauchspotential von KI ist hoch und selbst der erfahrene Betrachter kann mittels KI generierte Aufnahmen kaum mehr erkennen. Wer Bild-, Video- oder Tonaufnahme erstellen oder anpassen möchte kann dies mit einem kurzen Promt tun.

Auf EU-Ebene sieht daher die KI-Verordnung (auch AI-Act oder KI-Gesetzt genannt) in Artikel 50 zahlreiche Transparenzpflichten vor, die jedes Unternehmen beachten muss, dass KI einsetzt oder entwickelt. Der heutige Blogbeitrag soll die Pflichten genauer beleuchten.

Eines vorweg: Die KI-Verordnung ist nur auf KI-Systeme und KI-Modelle mit allgemeinem Verwendungszweck anwendbar (siehe Art.2 KI-VO). Entsprechende Definitionen finden sich in Art.3 Nr.1 und Nr.63 KI-Verordnung. Nicht alles, was als „KI“ bezeichnet wird, muss dabei auch die Definitionen der KI-Verordnung erfüllen und in deren Anwendungsbereich fallen.

Wichtig auch: Neben den Transparenzpflichten sieht die KI-Verordnung zahlreiche weitere Pflichten vor, die Unternehmen ggf. beachten müssen.

Die KI-Verordnung selbst unterscheidet zwischen verschiedenen Rollen, denen ein Unternehmen unterfallen kann. Hieran knüpfen verschiedene Pflichten an. Für die Transparenzpflichten sind jedoch nur die Rollen des „Anbieter“ und des „Betreiber“ von KI-Systemen relevant.

Anbieter ist, wer KI-Systeme entwickelt und im eigenen Namen in den Verkehr bringt oder in Betrieb nimmt. Hier geht es also um Entwicklung und Zurverfügungstellen des Systems.

Betreiber ist ein Unternehmen hingegen dann, wenn es ein KI-System in eigener Verantwortung im Rahmen der Tätigkeit verwendet. Hier kommt es also auf den bloßen Einsatz des Systems an. Jedes Unternehmen, in dem KI im Sinne der Verordnung einsetzt wird, kann daher auch „Betreiber“ sein.

Die genaue Einordnung kann jedoch in der Praxis durchaus kompliziert sein. Unternehmen sollten daher Ihre Rolle in der KI-Verordnung und die daraus folgenden Pflichten sorgfältig prüfen.  

Anbieter müssen Nutzer von KI-Systemen, die zur Interaktion mit Menschen gedacht sind, darüber informieren, dass sie mit einem KI-System interagieren, sofern dies nicht offensichtlich ist (Art.50 Abs.1 KI-VO). Hiermit soll verhindert werden, dass Nutzer eine KI fälschlicherweise für einen echten Menschen halten.

Kann ein KI-System künstliche Audio-, Bild-, Video- oder Textinhalte erzeugen, so muss der Anbieter des Systems sicherstellen, dass die erzeugten Inhalte maschinenlesbar gekennzeichnet werden. Dies kann beispielsweise mittels digitalem Wasserzeichen im Inhalt selbst erfolgen.

Wer ein Emotionserkennungssystem oder eines System zur biometrischen Kategorisierung betreiben möchte, muss die betroffenen Personen hierüber explizit informieren.

Betreiber müssen zudem so genannten „Deepfakes“ in Form von künstlich erzeugen oder veränderten Bild-, Ton- oder Videoinhalten Kennzeichen. Ein Deepfake ist ein Inhalt, der echten Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen kann. Anlass ist hier die Verwechslungsgefahr mit der „Realität“ und nicht etwas eine Missbrauchsabsicht oder der Verwendungszweck.

Diese Pflicht ist besonders praxisrelevant. Mittels KI sind Fotos oder Videos schnell für die nächste Werbekampagne oder Veröffentlichung erstellt oder angepasst. Hier muss in Zukunft in vielen Fällen eine Kennzeichnung erfolgen.

Die EU-Kommission hat bereits Leitlinien für die Auslegung der Transparenzpflichten in englischer Sprache veröffentlicht („Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50 of the AI Act)“).

Wichtig ist hier: Es soll nicht auf einen fiktiven durchschnittlichen Betrachter ankommen, sondern der konkrete Empfängerkreis muss betrachtet werden. Wer also hauptsächlich Kinder, alte Menschen oder sonst leicht beeinflussbare Personen adressiert, muss einen besonders strengen Maßstab anlegen. Auch lassen allenfalls kleine unerhebliche Veränderungen wie Details im Hintergrund, Anpassungen der Beleuchtung, Farb- und Rauschkorrekturen die Kennzeichnungspflicht entfallen.

Finale oder rechtsverbindliche Kriterien gibt es diesbezüglich bisher nicht, ebenso wenig Rechtsprechung. Im Zweifel ist hier also Vorsicht geboten.

Als letzte Pflicht müssen Betreiber künstlich erzeugten oder manipulierten Text kennzeichnen, wenn dieser die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren soll. Diese Pflicht kann entfallen, wenn eine menschliche redaktionelle Kontrolle erfolgt und wenn eine Person oder ein Unternehmen die Verantwortung für die Veröffentlichung übernimmt.

Wer Texte oder Blogbeiträge veröffentlich, muss hier genau prüfen, ob eine Kennzeichnungspflicht besteht.

Wer sich nun fragt, wie und in welcher Form er betroffene Inhalte kennzeichnen soll, kann den „Code of Practice on Transparency of AI-Generated Content“ der EU zu Rate ziehen. Dieser wurde kürzlich veröffentlicht und bietet eine umfangreiche Hilfestellung zur Umsetzung der Kennzeichnungspflichten.

Die EU hat auch eine Reihe von Symbolen veröffentlicht, mit denen KI-Inhalte gekennzeichnet werden können. Nähere Informationen finden sich auf der Website der EU.

Die Pflicht für Anbieter von KI-Systemen, künstliche Inhalte maschinenlesbar zu kennzeichnen gilt ab 02.Dezember 2026. Alle anderen Pflichten gelten bereits ab 02 August 2026, also in wenigen Tagen.  

Wer sich im Unternehmen noch nicht mit der Umsetzung der Transparenzpflichten nach Art.50 DSGVO beschäftigt hat, soll daher schnell handeln. Ab August gelten neben den Transparenzpflichten auch noch zahlreiche weitere Vorschriften des AI-Act, die dann beachtet werden müssen.  

Falls Sie Fragen zum geschilderten Thema und/oder zu anderen datenschutzrelevanten Themen haben, kontaktieren Sie uns einfach!

Zentrale Hutthurm: +49 (0) 8505 91927 – 0

Niederlassung München: +49 (0) 89 413 2943 – 0

Oder nutzen Sie unser Kontaktformular.