Transparenzpflichten der KI-Verordnung und zugehöriger Verhaltenskodex
Beitrag verfasst von Dr. Rainer Knyrim und Jakob Brunbauer – KTR-Newsletter August 2026
Seit dem 2.8.2026 sind die Transparenzpflichten der KI-Verordnung (AI Act), insbesondere jene des Artikel 50 AI Act, anzuwenden, die wir nachstehend erklären. Des Weiteren geben wir Ihnen einen Überblick zum Code of Practice on Transparency of AI-Generated Content (Verhaltenskodex), den die Europäische Kommission (EK) am 10.6.2026 als freiwilligen Verhaltenskodex veröffentlicht hat.
Für Nutzer:innen wird es zunehmend schwieriger, zwischen menschlichen und KI‑generierten Inhalten zu unterscheiden. Besonders sogenannte Deepfakes – nach Art 3 Z 60 AI Act durch KI erzeugte oder manipulierte Bild-, Ton- oder Videoinhalte, die wirklichen Personen, Gegenständen oder Ereignissen ähneln – erschweren die Differenzierung, wobei hier bereits die Gefahr der Annahme, das Dargestellte würde real existieren, genügt, um als Deepfake zu gelten.
Die EU hat bereits im Jahr 2023 die Transparenzpflichten des Art 50 AI Act beschlossen, die aufgrund des stufenweisen Inkrafttretens der Verordnung nun im August verbindlich wurden.
Art 50 AI Act normiert in Abs 2 Pflichten, welche spezifisch die Anbieter – nach Art 3 Z 3 AI Act also jede natürliche bzw. juristische Person, die ein KI‑System zu allgemeinem Verwendungszweck entwickelt oder entwickeln lässt, und dieses unter eigenem Namen in Verkehr bringt bzw. in Betrieb nimmt – treffen. In Art 50 Abs 4 sind die Pflichten geregelt, die die Betreiber – nach Art 3 Z 4 AI Act also jede natürliche bzw. juristische Person, die ein KI‑System in eigener Verantwortung verwendet (es sei denn, die Verwendung erfolgt im Rahmen einer privaten, nicht beruflichen Tätigkeit) – zu erfüllen haben. Abs 5 normiert weiters Pflichten, die allgemein – also sowohl von Betreibern als auch Anbietern – zu erfüllen sind.
Der Verhaltenskodex folgt dieser zweigliedrigen Struktur und konkretisiert die Vorgaben für die Praxis: In Abschnitt 1 werden die Regeln für die Kennzeichnung und Erkennung von KI-generierten und manipulierten Inhalten für Anbieter generativer KI behandelt und in Abschnitt 2 die Kennzeichnungspflichten für die Betreiber, speziell im Hinblick auf Deepfakes sowie bestimmte KI‑generierte oder manipulierte Texte.
Seit 2.8.2026 müssen Anbieter ihre KI-generierten Audio-, Bild-, Text- oder Videoinhalte mit maschinenlesbaren Kennzeichen versehen, wobei diese Zeichen nur dann verwendet werden müssen, wenn ein KI-System die Hauptfunktion der Aufgabe erfüllt, z.B. wenn jemand einen Arbeitsleitfaden mit KI generiert. Erfüllt das KI-System nur eine Nebenaufgabe, z.B. die Rechtschreibkorrektur des Arbeitsleitfadens, ist grundsätzlich keine Kennzeichnung nötig. Hier nennt der Code of Practice allerdings keine konkreten Ansätze, wie diese Differenzierung durch Anbieter umzusetzen ist.
Art 50 Abs 2 AI Act legt fest, dass die Kennzeichen für KI-generierte und KI-modifizierte Inhalte wirksam, interoperabel, belastbar und zuverlässig sein müssen. Nachdem dies von einer einzelnen Art der Kennzeichnung – z.B. einem Wasserzeichen – im Moment noch nicht vollumfänglich erfüllt werden kann, muss unter Umständen auf einen mehrschichtigen Kennzeichnungsprozess, also eine Kombination aus mehreren Kennzeichen, zurückgegriffen werden. Technisch bewerkstelligt man die Lesbarkeit durch den Menschen beispielsweise durch Wasserzeichen und die Maschinenlesbarkeit durch Metadaten, die hinter die Datei gelegt werden. Diese Metadaten können dann von, ebenfalls vom Anbieter bereitgestellten, Anwendungen ausgelesen werden und so die KI‑Generierung bestätigen. Allerdings gibt es hier im Moment kein „All‑in‑One‑Modell“, mit dem man alle Outputs von allen KI‑Modellen am Markt nachprüfen könnte. Vielmehr kann im Moment z.B. ein von Google Gemini kreiertes Bild nur mit dem Google-Nachweismodell SynthID als KI‑generiert erkannt werden. Dies führt zu erheblichen Problemen in der Nachweisbarkeit, sollen doch die Anbieter gemäß Verhaltenskodex jedermann in die Lage versetzen, Inhalte prüfen zu können.
Die Anbieterpflichten des Art 50 Abs 2 AI Act gehen aber noch weiter, sodass in den Nutzungsbedingungen der Anbieter das Entfernen der technischen Wasserzeichen und Metadaten, etwa in der weiteren Wertschöpfungskette, ausgeschlossen werden muss. Dadurch impliziert die Konkretisierung des Verhaltenskodex plötzlich Betreiberpflichten und unter Umständen sogar Pflichten für den Endnutzer, welche im AI Act nicht explizit enthalten sind.
Im Hinblick auf die Betreiberpflichten nach Art 50 Abs 4 AI Act sind Deepfakes vom Betreiber in menschenlesbarer, wahrnehmbarer Form zu kennzeichnen. Es wird vom Betreiber somit im Gegensatz zur Anbieterpflicht nach Art 50 Abs 2 AI Act keine maschinenlesbare Kennzeichnung verlangt. Der Code of Practice schlägt hierfür eigens vom AI Office der EK entworfene Icons, die in mehreren Varianten zum Download zur Verfügung stehen, als Kennzeichnung vor (https://digital-strategy.ec.europa.eu/en/policies/eu-icons-labelling-ai-generated-content). Die Kennzeichnungspflicht ist weiters so beschränkt, dass sie, sollte es sich um ein künstlerisches Werk handeln, den Genuss desselben nicht stört. Daneben gibt es eine weitere Ausnahme für Texte zur Information der Öffentlichkeit. Diese müssen zwar grundsätzlich auch gekennzeichnet werden, wenn sie mit KI generiert werden. Dies gilt aber nicht, wenn diese von einem Menschen redaktionell Korrektur gelesen werden, dann sind sie zur Gänze nicht kennzeichnungspflichtig.
Fazit: Die nun in Kraft getretenen Transparenzpflichten des Art 50 AI Act und der kurz davor veröffentlichte Verhaltenskodex stellen einen wichtigen Schritt in Richtung transparenter Nutzung und Datenverarbeitung von KI-generierten Inhalten dar. Für Betreiber ist es aktuell wichtig, beim Einsatz von KI‑Systemen zu prüfen, inwieweit der jeweilige Anbieter die Transparenzpflichten bereits umgesetzt hat.
