Künstliche Intelligenz kann täuschend echt schreiben, sprechen, gestalten und antworten. Das ist beeindruckend. Es ist aber auch der Moment, in dem Transparenz nicht mehr nur eine Frage guter Umgangsformen ist.
Artikel 50 des EU AI Act regelt, wann Menschen darüber informiert werden müssen, dass sie mit KI interagieren oder KI-generierte Inhalte vor sich haben.
Die Grundidee ist erfreulich schlicht: Wer KI begegnet, soll sie in bestimmten Situationen auch erkennen können.
In der praktischen Umsetzung wird es etwas weniger schlicht.
Denn nicht jeder KI-Einsatz braucht denselben Hinweis. Nicht jede Bildbearbeitung ist ein Deepfake. Nicht jeder KI-unterstützte Text muss mit einem Warnschild versehen werden. Und ein sichtbares Label ist nicht dasselbe wie eine maschinenlesbare Kennzeichnung.
Transparenz braucht deshalb mehr als den Satz: „Dieser Inhalt wurde möglicherweise mit KI erstellt.“
Sie braucht ein System.
Viele Diskussionen über den EU AI Act drehen sich um Hochrisiko-KI: Bewerberauswahl, Kreditwürdigkeit, medizinische Anwendungen oder kritische Infrastruktur.
Artikel 50 funktioniert anders.
Die Transparenzpflichten können auch Unternehmen treffen, die überhaupt keine Hochrisiko-KI einsetzen. Ein Chatbot im Kundenservice, ein KI-generiertes Werbevideo oder ein automatisch erzeugter Informationstext kann bereits genügen.
Artikel 50 betrachtet vier Situationen:
Die entscheidende Frage lautet daher nicht nur: Wie riskant ist das System?
Sondern auch: Kann ein Mensch erkennen, welche Rolle KI hier spielt?
Wenn ein KI-System direkt mit Menschen interagiert, muss grundsätzlich erkennbar sein, dass auf der anderen Seite kein Mensch sitzt.
Das betrifft etwa:
Die Pflicht richtet sich zunächst an den Anbieter des Systems. Er muss das System so gestalten, dass betroffene Personen informiert werden.
Der Hinweis sollte spätestens zu Beginn der ersten Interaktion erfolgen. Er darf nicht irgendwo in den Nutzungsbedingungen wohnen und darauf hoffen, gelegentlich besucht zu werden.
Eine mögliche Formulierung wäre beispielsweise:
„Sie kommunizieren mit einem KI-gestützten Assistenzsystem.“
Das ist weder dramatisch noch besonders literarisch. Aber es erfüllt einen Zweck.
Eine Ausnahme kann bestehen, wenn für einen vernünftig informierten und aufmerksamen Menschen ohnehin offensichtlich ist, dass er mit KI interagiert. Darauf sollten Unternehmen sich allerdings nicht vorschnell verlassen.
Was für die IT-Abteilung völlig offensichtlich erscheint, kann für Kundinnen und Kunden erstaunlich menschlich wirken.
Bei generativen KI-Systemen enthält Artikel 50 eine technische Pflicht.
Anbieter von Systemen, die synthetische Texte, Bilder, Audio- oder Videoinhalte erzeugen, müssen dafür sorgen, dass die Ausgaben maschinenlesbar gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind.
Dabei geht es etwa um:
Diese Pflicht darf nicht mit einem sichtbaren Hinweis für das Publikum verwechselt werden.
Eine maschinenlesbare Markierung richtet sich zunächst an technische Systeme. Sie soll es ermöglichen, die künstliche Herkunft eines Inhalts automatisiert zu prüfen.
Ein sichtbares Label richtet sich dagegen an Menschen.
Ein Inhalt kann deshalb technisch gekennzeichnet sein, ohne dass auf den ersten Blick ein Hinweis zu sehen ist. Umgekehrt kann ein sichtbarer Hinweis vorhanden sein, während die notwendige technische Markierung fehlt.
Unternehmen sollten beide Ebenen getrennt betrachten.
Der Satz „Wir schreiben einfach KI darunter“ löst nicht automatisch die technischen Pflichten des Anbieters.
Der EU AI Act will nicht aus jeder Rechtschreibkorrektur ein regulatorisches Ereignis machen.
Wenn KI lediglich eine unterstützende Funktion bei einer Standardbearbeitung übernimmt oder die Eingabe und deren Bedeutung nicht wesentlich verändert, greift die technische Kennzeichnungspflicht nicht zwingend.
Typische Beispiele können sein:
Die Grenze wird allerdings interessant, sobald KI nicht mehr nur verbessert, sondern neuen Inhalt erzeugt oder die Aussage erheblich verändert.
Aus „Bitte Tippfehler korrigieren“ wird regulatorisch etwas anderes als aus „Bitte verfasse eine vollständige Stellungnahme und erfinde eine passende Begründung“.
Die verwendete Software allein entscheidet daher nicht. Entscheidend ist, was sie konkret mit dem Inhalt macht.
Wer Systeme zur Emotionserkennung oder biometrischen Kategorisierung einsetzt, muss die davon betroffenen Personen informieren.
Dazu können Systeme gehören, die beispielsweise versuchen, aus Stimme, Mimik oder anderen biometrischen Merkmalen Stimmungen, Stress oder bestimmte Eigenschaften abzuleiten.
Hier ist zunächst zu prüfen, ob der Einsatz überhaupt zulässig ist. Bestimmte Anwendungen der Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sind bereits grundsätzlich verboten, sofern keine eng begrenzte Ausnahme greift.
Wo ein Einsatz zulässig bleibt, genügt es nicht, die Technik einfach diskret laufen zu lassen.
Betroffene Personen müssen klar erkennen können, dass ein solches System eingesetzt wird.
Außerdem bleibt die DSGVO anwendbar. Transparenz nach dem AI Act ersetzt keine Rechtsgrundlage, keine Datenschutzinformation und keine Prüfung besonderer Kategorien personenbezogener Daten.
Ein Hinweis macht eine unzulässige Verarbeitung nicht zulässig. Er macht sie nur besser beschriftet.
Besondere Pflichten gelten für Betreiber, die KI zur Erzeugung oder Manipulation von Deepfakes nutzen.
Gemeint sind Bild-, Audio- oder Videoinhalte, die existierenden Personen, Orten, Objekten oder Ereignissen ähneln und fälschlich authentisch wirken können.
Solche Inhalte müssen grundsätzlich als künstlich erzeugt oder manipuliert offengelegt werden.
Bei erkennbar künstlerischen, satirischen oder fiktionalen Werken kann die Offenlegung zurückhaltender gestaltet werden. Sie darf den Genuss des Werkes nicht unnötig ruinieren. Auch Regulierung darf gelegentlich bemerken, dass Satire selten von einem dauerhaften Warnbanner profitiert.
Hinzu kommen KI-generierte oder manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren.
Auch hier kann eine Offenlegung erforderlich sein.
Eine wichtige Ausnahme besteht, wenn der Text einer tatsächlichen menschlichen Prüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung übernimmt.
Das bedeutet mehr als einen kurzen Blick auf die Überschrift.
Menschliche Kontrolle muss inhaltlich stattfinden. Wer lediglich auf „Veröffentlichen“ klickt, übernimmt möglicherweise Verantwortung, hat aber noch nicht unbedingt redigiert.
Artikel 50 verlangt, dass Informationen klar und unterscheidbar bereitgestellt werden. Sie müssen außerdem spätestens bei der ersten Interaktion oder Exposition erfolgen und den Anforderungen an Barrierefreiheit entsprechen.
Nicht ausreichend sind daher regelmäßig:
Transparenz darf nicht so gestaltet werden, dass sie formal vorhanden, praktisch aber unsichtbar ist.
Ein guter Hinweis sollte zur Nutzungssituation passen.
Bei einem Chatbot kann er zu Beginn des Gesprächs erscheinen. Bei einem Video kann er am Anfang eingeblendet werden. Bei Audioinhalten kann ein hörbarer Hinweis erforderlich sein. Bei einem Bild muss die Kennzeichnung gut erkennbar sein.
Der Ort der Kennzeichnung ist kein gestalterisches Nebenthema. Er ist Teil der Compliance.
Unternehmen sollten Artikel 50 nicht ausschließlich der Marketingabteilung überlassen. Ebenso wenig sollte Legal erst fünf Minuten vor Veröffentlichung gefragt werden, ob das neue KI-Video eigentlich ein Deepfake ist.
Sinnvoll ist ein klarer Ablauf:
Der AI Officer kann diesen Prozess koordinieren. Er kann gemeinsam mit Legal, Datenschutz, Kommunikation, IT und Fachbereichen einheitliche Kennzeichnungsregeln entwickeln und darauf achten, dass nicht jedes Team seine eigene kleine Transparenzphilosophie erfindet.
Die Europäische Kommission hat inzwischen einen Verhaltenskodex zur Transparenz KI-generierter Inhalte veröffentlicht.
Die Teilnahme daran ist freiwillig. Die gesetzlichen Pflichten aus Artikel 50 sind es nicht.
Der Kodex enthält praktische Maßnahmen für Anbieter und Betreiber, insbesondere zur maschinenlesbaren Markierung sowie zur Kennzeichnung von Deepfakes und bestimmten KI-generierten Texten.
Unternehmen müssen den Kodex nicht unterzeichnen. Wer einen anderen Weg wählt, sollte aber dokumentieren können, wie die eigenen Maßnahmen die gesetzlichen Anforderungen gleichwertig erfüllen.
Freiwillig bedeutet hier also nicht: nett, aber unwichtig.
Es bedeutet: Der Weg ist wählbar. Das Ziel nicht.
Artikel 50 des EU AI Act verlangt keine pauschale Kennzeichnung sämtlicher KI-Nutzung.
Er verlangt gezielte Transparenz dort, wo Menschen KI begegnen, synthetische Inhalte konsumieren oder durch bestimmte Systeme analysiert werden.
Für Unternehmen bedeutet das:
Die eigentliche Aufgabe besteht deshalb nicht darin, möglichst viele kleine KI-Schilder zu verteilen.
Sie besteht darin, zu wissen, wann ein Hinweis erforderlich ist, wer ihn umsetzen muss und wie er verständlich, technisch belastbar und sichtbar wird.
Denn Transparenz ist kein Aufkleber.
Sie ist eine Gestaltungsentscheidung.