KI-Transparenz betrifft Unternehmen unmittelbar
Für viele Unternehmen war KI lange ein technisches Thema: spannend fürs Marketing, interessant für die IT, aber ohne existenzielle Relevanz für das eigene Risiko‑Profil. Diese Phase ist vorbei. Generative KI erzeugt heute in Sekunden Bilder, Videos, Stimmen und Texte, die sich von „echten“ Inhalten kaum noch unterscheiden – und genau das ist der Punkt, an dem Recht und Compliance sehr ungemütlich werden.
Mit Art. 50 der KI‑Verordnung, flankiert vom Digital Services Act, Datenschutzrecht, Persönlichkeitsrecht und einem neuen Gesetz gegen digitale Gewalt, wird Transparenz zur Pflichtaufgabe. Wer KI‑Inhalte nutzt, muss künftig nicht nur abstrakt „verantwortungsvoll“ handeln, sondern konkret kennzeichnen, wie Inhalte entstanden sind, welche Systeme im Einsatz waren und wo synthetische Medien im Spiel sind. Das ist kein kosmetisches Thema, sondern berührt Haftung, Governance und letztlich das Vertrauen in die eigene Kommunikation.
Im Folgenden geht es deshalb um drei Ebenen: zunächst die rechtliche Einordnung von Deepfakes und synthetischen Medien aus Sicht des Persönlichkeits‑ und Strafrechts, dann die – durchaus kritische – Rolle des geplanten Gesetzes gegen digitale Gewalt und schließlich den Kern: Art. 50 KI‑VO und seine praktische Umsetzung im Management, abgeschlossen mit einer bewusst ausführlichen Checkliste. Den früheren Beitrag habe ich im Juni 2026 unter Berücksichtigung des EU-Verhaltenskodex für die Kennzeichnung KI-generierter Inhalte aktualisiert.
Deepfakes: juristische Risiken hinter dem Hype
Deepfakes sind längst keine Spielerei mehr. Die Technik ermöglicht täuschend echte Bild‑, Ton‑ und Videomontagen, in denen reale Personen auftreten, ohne je an der Szene beteiligt gewesen zu sein. Pornografische Fälschungen von Politikerinnen, manipulierte Wahlkampf‑Spots, vermeintliche Kanzler‑Ansprachen oder „privat“ erscheinende Videos von Beschäftigten sind keine Ausnahmefälle mehr, sondern Ausdruck eines strukturellen Problems: der Erosion der visuellen und auditiven Evidenz.
Persönlichkeitsrechtlich ist die Stoßrichtung klar: KI‑Bilder realer Personen sind in aller Regel „Bildnisse“ im Sinne des Kunsturhebergesetzes, auch wenn sie nicht auf einem Foto, sondern auf einem Trainingsdatensatz beruhen. Wer solche KI‑Bilder ohne Einwilligung verbreitet, verletzt das Recht am eigenen Bild und damit zugleich das allgemeine Persönlichkeitsrecht. Besonders brisant wird es, wenn die Darstellung sexualisiert, entwürdigend oder reputationsschädlich ist: Dann verschieben sich die Abwägungslinien deutlich zu Lasten derjenigen, die solche Inhalte erstellen oder verbreiten.
Noch deutlicher wird das bei der Stimme, denn mittels Voice‑Cloning reichen heute kurze Tonsequenzen, um eine Stimme so nachzubilden, dass nicht nur Laien, sondern selbst geübte Hörer die Fälschung nicht zuverlässig erkennen. Zivilgerichte haben bereits klargestellt, dass das Recht an der eigenen Stimme ein vermögenswertes Persönlichkeitsrecht ist: Wird eine Stimme täuschend echt imitiert und in einem kommerziellen Kontext genutzt, kann der Betroffene eine fiktive Lizenzgebühr verlangen – unabhängig davon, ob tatsächlich seine Originalaufnahme verwendet wurde oder nur ein KI‑Klon. Für Unternehmen, die mit synthetischen Sprecherstimmen arbeiten, ist das eine klare Warnung: Es geht nicht nur um „Sound“, sondern um Eingriffe in fremde Persönlichkeits- und Verwertungsrechte.
Auf strafrechtlicher Ebene ist das Bild differenzierter, wobei sich viele Konstellationen schon heute über vorhandene Normen fassen lassen: sexualisierte Deepfakes über § 201a StGB, ehrverletzende Montagen über die §§ 185 ff. StGB, betrugsnahe Szenarien mit KI‑Stimmen über § 263 StGB, politische Manipulationsvideos über §§ 130, 187 StGB oder – zumindest faktisch – über Wahlbetrugskonstellationen. Aber man merkt schnell, dass diese Normen nicht darauf ausgelegt sind, massenhafte, global verbreitete, synthetische Inhalte mit extrem hoher Nachahmungsqualität zu erfassen. Vor allem bei nicht-einvernehmlichen pornografischen Deepfakes und identitätsverletzenden Fälschungen bleibt ein unangenehmes Gefühl: Ja, man kann vieles subsumieren – aber tut das Strafrecht hier wirklich das, was es tun sollte?
Für Unternehmen ist das schon deshalb relevant, weil Deepfakes nicht nur „da draußen“ stattfinden. Führungskräfte, Markenbotschafter, Influencer, aber auch ganz normale Mitarbeiter können zum Ziel werden – sei es in Form von sexualisierten Deepfakes, vermeintlichen „Aussagen“ in Video‑Botschaften oder als „Beweis“ in internen Konflikten. Und umgekehrt entsteht auch auf Unternehmensseite Risiko, wenn Marketing, HR oder Corporate Communications mit synthetischen Medien arbeiten, die an reale Personen angelehnt sind: Dann wird aus einer kreativen Spielerei schnell ein deliktsrechtliches und arbeitsrechtliches Problem.
Gesetz gegen digitale Gewalt: Symbolik, Lücken und Nebenwirkungen
Vor diesem Hintergrund überrascht es nicht, dass der Gesetzgeber nachschärfen will. Der Entwurf für ein Gesetz gegen digitale Gewalt nimmt bildbasierte sexualisierte Gewalt, pornografische Deepfakes und andere Formen digitaler Angriffe in den Blick. Politisch ist das naheliegend: Fälle, in denen prominente Frauen durch KI‑Pornografie diffamiert werden, haben das Thema in der Öffentlichkeit verankert. Der Entwurf soll Betroffenen niedrigschwellige Möglichkeiten geben, gegen Host‑Provider vorzugehen, sowie neue oder erweiterte Straftatbestände schaffen, die speziell auf synthetische Inhalte abzielen.
Juristisch lohnt sich jedoch ein genauerer Blick: Eine weitere Strafnorm mit weit gefassten Tatbestandsmerkmalen wie „digitale Gewalt“, „bildbasierte Gewalt“ oder „synthetischer Inhalt mit erheblichem Schadenspotential“ droht, das ohnehin komplexe Geflecht aus § 201a StGB, Sexualdelikten, Datenschutzstrafrecht und Kunsturheberstrafrecht noch weiter zu verkomplizieren. Die Gefahr liegt darin, dass die Norm zwar politisch sichtbare Handlungsbereitschaft demonstriert, praktisch aber vor allem Auslegungs- und Abgrenzungsfragen schafft: Wo endet noch zulässige Satire, wo beginnt strafbare digitale Gewalt? Welche Anforderungen gelten an Vorsatz, wenn jemand bestehende KI‑Tools nutzt, ohne deren Funktionsweise wirklich zu verstehen? Und was passiert in Konstellationen, in denen sich zivilrechtliche Ansprüche, Plattformpflichten und strafrechtliche Verantwortung überlagern?
Aus Verteidigersperspektive wird die Debatte um eine vermeintliche „Strafbarkeitslücke“ bei Deepfakes oft verkürzt geführt. Viele Fälle lassen sich schon heute sinnvoll über bestehende Vorschriften abarbeiten, vorausgesetzt, Ermittlungsbehörden und Gerichte nutzen den vorhandenen Rahmen konsequent und sind technisch ausreichend aufgestellt. Die eigentlichen Engpässe liegen häufig bei der Identifikation der Täter, der internationalen Durchsetzbarkeit und der Geschwindigkeit von Löschung und Sperrung – also in Feldern, die mit weiteren Strafnormen nur begrenzt beeinflusst werden.
Für Unternehmen ist deshalb weniger entscheidend, ob ein neuer § 201b StGB oder eine Erweiterung des § 201a StGB kommt, sondern dass der Referentenentwurf klar signalisiert: bildbasierte sexualisierte Gewalt, pornografische Deepfakes und identitätsverletzende synthetische Inhalte werden strafrechtlich ernst genommen. Wer im Unternehmensumfeld mit KI‑Inhalten arbeitet, kann sich künftig nicht mehr darauf zurückziehen, es habe „kein spezieller Tatbestand“ existiert. Und wer Betroffene im Unternehmen schützen will, braucht Strukturen, um schnell zu reagieren: Meldewege, Beweissicherung, Plattform‑Takedown, Abstimmung mit Strafverfolgungsbehörden. Die Details des Entwurfs verdienen eine eigene vertiefte Besprechung – an dieser Stelle reicht festzuhalten, dass Strafrecht nur ein Baustein im Gesamtbild ist. Die eigentliche Wirkung entfaltet sich dort, wo Transparenz‑ und Kennzeichnungspflichten greifen: im Alltag von Kommunikation, Produktgestaltung und Compliance.
Transparenz mit Art. 50 KI-VO
Update Stand Juni 2026: Die nochfolgend dargestellten Transparenzpflichten des Art. 50 KI-VO werden am 2. August 2026 anwendbar. Das European AI Office hat am 10. Juni 2026 den finalen Code of Practice on Transparency of AI-Generated Content veröffentlicht und Unterzeichner können sich auf dessen Maßnahmen berufen, um Konformität mit Art. 50 nachzuweisen; Nicht-Unterzeichner müssen alternativ gleichwertige Lösungen vorhalten. Der Kodex schreibt für Anbieter einen Mehrschicht-Ansatz vor: digital signierte Metadaten nach C2PA-Standard, imperceptible Watermarking sowie Bereitstellung kostenloser Detection-Tools. Für Betreiber, die Deepfakes oder KI-Texte zu öffentlichem Interesse veröffentlichen, definiert der Kodex ein einheitliches EU-Icon-System mit drei Varianten (vollständig KI-generiert / teilweise KI-modifiziert / Basic). Unsere Kanzlei kennzeichnet inzwischen KI-assistierte Blogbeiträge freiwillig mit dem EU-Icon „Partially AI-Modified“ – Details dazu in unserer KI-Politik.
Der eigentliche Dreh‑ und Angelpunkt der künftigen Regulierung ist Art. 50 KI‑VO. Diese Vorschrift steht bewusst außerhalb der risikobasierten Systematik der KI‑Verordnung: Es geht nicht darum, ob ein System „hochrisiko“ oder „geringes Risiko“ ist, sondern darum, dass bestimmte Fähigkeiten der KI – nämlich Interaktion mit Menschen und die Erzeugung oder Manipulation von Inhalten – in besonderer Weise täuschungsanfällig sind. Deswegen knüpft Art. 50 an vier Konstellationen an:
- Erstens interaktive KI‑Systeme: Chatbots, Social Bots, Callcenter‑Bots, Service‑Assistenten, die unmittelbar mit natürlichen Personen kommunizieren. Hier müssen Anbieter sicherstellen, dass Nutzer erkennen, dass sie mit einer KI sprechen. Ausnahmen gelten nur, wenn dies ohnehin offensichtlich ist – etwa bei klar als KI gekennzeichneten Tools in einer Entwickler‑Testing‑Umgebung. In der Kundenkommunikation, im HR‑Kontext oder in sensiblen Bereichen wie medizinischer Beratung ist diese „Offensichtlichkeit“ regelmäßig nicht gegeben.
- Zweitens Systeme, die synthetische Medien erzeugen: generative Bild‑, Audio‑ und Videotools, aber auch Systeme, die Texte produzieren oder vorhandene Inhalte wesentlich verändern. Hier verlangt Art. 50, dass Ausgaben sowohl maschinenlesbar gekennzeichnet als auch für Menschen als künstlich erzeugt oder manipuliert erkennbar sind. Praktisch bedeutet das: technische Kennzeichnung (etwa Wasserzeichen, Metadaten, kryptografische Provenienz) und inhaltliche Hinweise für Nutzer müssen zusammenkommen.
- Drittens Deepfakes: also KI‑erzeugte oder -manipulierte Bild‑, Ton‑ und Videoinhalte, die realen Personen, Gegenständen oder Ereignissen so ähnlich sind, dass sie für echt gehalten werden können. Für diese Inhalte treffen die Betreiber – nicht nur die Anbieter – eigenständige Offenlegungspflichten. Die KI‑Verordnung spricht zwar in ihrer Formulierung missverständlich von Systemen, „die Deepfakes manipulieren“, gemeint sind aber Systeme, die Deepfakes erzeugen. Dogmatisch unglücklich ist zudem die Beschränkung auf Bild‑, Ton‑ und Video, während Texte als eigener Fall behandelt werden.
- Viertens Texte zu Angelegenheiten von öffentlichem Interesse: hier sollen Betreiber offenlegen, wenn Texte wesentlich von KI generiert oder manipuliert wurden. Die Norm zielt damit auf politische Kommunikation, Nachrichten, öffentliche Debatten – lässt aber offen, wo genau „öffentliches Interesse“ beginnt und wie mit hybriden Texten umzugehen ist, in denen KI nur einen Teil beiträgt.
Hinzu kommt eine nicht zu unterschätzende Schnittstelle zum Digital Services Act. Sehr große Plattformen müssen systemische Risiken adressieren, die aus synthetischen Medien, Desinformation und Deepfakes resultieren; sie sind angehalten, Inhalte zu kennzeichnen, Meldefunktionen bereitzustellen und algorithmische Moderation so zu gestalten, dass synthetische Inhalte als solche erkennbar sind. Wer als Unternehmen Inhalte auf diesen Plattformen platziert, bewegt sich damit in einem doppelt regulierten Feld: einmal über Art. 50 KI‑VO, zum anderen über Plattform‑Policies, die ihrerseits an EU‑Recht anknüpfen.
Für das Management heißt das: Art. 50 KI‑VO ist kein Randthema, sondern eine Querschnittsnorm, die technische Architektur, Kommunikationspraxis und Governance gleichermaßen betrifft. Der Preis für Intransparenz ist hoch: aufsichtsrechtliche Verfahren, deliktsrechtliche Ansprüche, Abmahnungen wegen Marktverhaltensregeln – und mindestens ebenso wichtig – der Verlust von Vertrauen bei Kunden, Mitarbeitenden und Öffentlichkeit.
Checkliste: KI-Kennzeichnungspflichten in der Praxis
Damit aus einer abstrakten Transparenznorm handhabbare Praxis wird, braucht es klare Regeln und die nachfolgende Checkliste ist bewusst aus Unternehmenssicht formuliert und dann auch leider recht umfangreich geworden: Sie soll Vorstände, Geschäftsführung, Compliance und Kommunikationsverantwortliche in die Lage versetzen, KI‑Nutzung systematisch zu erfassen, Risiken einzuhegen und Kennzeichnungspflichten pragmatisch umzusetzen.
Bestandsaufnahme: Wo arbeitet das Unternehmen mit KI?
Zunächst braucht es Transparenz nach innen. Ohne zu wissen, wo und wofür KI eingesetzt wird, lässt sich keine Kennzeichnungspflicht sinnvoll erfüllen. Es empfiehlt sich, eine interne Inventur durchzuführen:
- Welche interaktiven Systeme sind im Einsatz? (Kunden‑Chatbots auf der Website, virtuelle Assistenten im Online‑Banking, Sprachbots im Callcenter, interne Support‑Bots für Mitarbeiter)
- Welche generativen Systeme werden genutzt? (Bild‑ und Videogeneratoren für Marketing, Präsentations‑ und Office‑Assistenten, Tools zur Textgenerierung, Voice‑Cloning für Audio‑Produktionen)
- Welche Systeme sind integriert? (z.B. KI‑Module in CRM‑Systemen, KI‑Funktionen in Kollaborationstools, automatisierte Transkriptions‑ und Zusammenfassungsfunktionen)
Wichtig ist dabei nicht nur der Einsatz im Außenverhältnis, sondern auch die interne Nutzung. Denn viele Systeme, die anfangs „nur intern“ genutzt werden, finden ihren Weg schnell in externe Kommunikation: ein intern generiertes KI‑Bild in einer Präsentation vor Kunden, ein KI‑Text in einem Report, ein zusammengestückeltes KI‑Video in Social‑Media‑Kanälen.
Rollenverständnis: Anbieter, Betreiber, Kunde – oder alles zugleich?
Art. 50 unterscheidet zwischen Anbietern (die ein KI‑System entwickeln oder in Verkehr bringen) und Betreibern (die ein System im eigenen Verantwortungsbereich verwenden). Für das Unternehmen ist entscheidend zu klären, in welchen Rollen es agiert:
- Entwickeln Sie eigene KI‑Systeme oder lassen Sie diese im Auftrag erstellen und treten nach außen als „Eigentümer“ auf? Dann sind Sie Anbieter – mit der Pflicht, Systeme so zu gestalten, dass Kennzeichnung möglich ist.
- Nutzen Sie externe KI‑Dienste (z.B. Cloud‑Anbieter, Plattform‑Tools), um Inhalte zu erzeugen oder Kommunikation abzuwickeln? Dann sind Sie Betreiber – und müssen dafür sorgen, dass die durch Sie verbreiteten Inhalte korrekt gekennzeichnet werden.
- Betreiben Sie Plattformen oder Medienangebote, auf denen Dritte KI‑Inhalte veröffentlichen können? Dann kommen zusätzliche Pflichten aus DSA und Medienrecht hinzu, die eigene Kennzeichnungs‑ und Moderationsregeln erfordern.
Es ist nicht ungewöhnlich, dass ein Unternehmen in verschiedenen Projekten unterschiedliche Rollen einnimmt. Entscheidend ist, diese Rollen bewusst zuzuordnen und Verantwortlichkeiten im Unternehmen zu verankern – etwa über eine klare Zuständigkeit von Legal/Compliance für die Beurteilung, ob man in einem konkreten Setup Anbieter oder Betreiber ist.
Interaktive KI-Systeme: Offenlegung der Maschinenkommunikation
Für Chatbots und andere interaktive Systeme ist die Anforderung scheinbar einfach: Nutzer sollen erkennen, dass sie mit einer Maschine sprechen. Praktisch ergeben sich daraus einige klare To‑dos:
- Standardhinweis: Jeder Erstkontakt mit einem Chatbot oder Sprachbot sollte einen gut sichtbaren, sprachlich klaren Hinweis enthalten („Sie chatten mit einem KI‑gestützten Assistenzsystem, nicht mit einer natürlichen Person“).
- Persistenz der Information: Der Hinweis darf nicht im „Kleingedruckten“ verschwinden. Wenn ein Gespräch über längere Zeit läuft, sollte die Information jederzeit abrufbar sein – etwa über ein Info‑Icon oder eine kurze Wiederholung bei längeren Pausen.
- Barrierefreiheit: Die Information muss in einer Form bereitgestellt werden, die auch für Menschen mit Behinderungen zugänglich ist (Screenreader‑Tauglichkeit, klare Sprache, bei Sprachbots: zusätzliche akustische Hinweise).
- Ausnahmen sparsam nutzen: Die Ausnahme „offensichtlich KI“ sollte nicht als Freifahrtschein verstanden werden. In rechtlich sensiblen Kontexten – insbesondere dort, wo Menschen Entscheidungen zugeschrieben werden – ist Transparenz besser als der Hinweis auf vermeintliche Offensichtlichkeit.
Für das Management ist wichtig: Hinter dem Hinweis steht kein „nice to have“, sondern eine normative Wertung. Der Gesetzgeber geht davon aus, dass die Interaktion mit einer Maschine ein Schutzgut berührt – Identität, Vertrauen, Entscheidungsfreiheit. Entsprechend sollte der Hinweis nicht als lästige Pflicht, sondern als integraler Bestandteil eines fairen Umgangs mit Kunden und Mitarbeitern verstanden werden.
Generative Medien-KI: doppelte Kennzeichnung – technisch und inhaltlich
Wer KI einsetzt, um Bilder, Videos, Audio oder Texte zu erzeugen oder wesentlich zu verändern, muss zwei Ebenen im Blick haben: Maschinen und Menschen. Auf technischer Ebene verlangt Art. 50, dass Inhalte in einem maschinenlesbaren Format gekennzeichnet sind. Das kann etwa bedeuten:
- Einbettung von Metadaten (z.B. nach C2PA‑Standard), die festhalten, dass der Inhalt durch ein KI‑System erzeugt oder manipuliert wurde.
- Verwendung robuster Wasserzeichen oder Fingerprints, die zwar für Nutzer unsichtbar, aber für Prüfwerkzeuge auslesbar sind.
- Dokumentation in internen Systemen, welche Tools zur Erzeugung oder Bearbeitung verwendet wurden, um später eine Nachverfolgbarkeit zu ermöglichen.
Auf inhaltlicher Ebene müssen Nutzer erkennen können, dass sie synthetische Inhalte sehen oder hören. Hier bieten sich je nach Format unterschiedliche Möglichkeiten an:
- Bei Bildern: klarer Hinweis im Bildunterschrift‑ oder Credit‑Bereich („Bild mit KI erzeugt“), ggf. ergänzend ein kleines, standardisiertes Symbol.
- Bei Videos: Einblendung am Anfang oder dauerhaft in einer Ecke, idealerweise kombiniert mit einem Hinweis in der Beschreibung.
- Bei Audio: Ein gesprochener Hinweis am Beginn („Die folgende Stimme wurde mit Hilfe eines KI‑Systems synthetisch erzeugt“), insbesondere bei längeren Inhalten.
- Bei Texten: Kennzeichnung in einem Vorspann oder Fußbereich, wenn der Text weitgehend KI‑generiert ist („Dieser Beitrag wurde unter Einsatz von KI‑Systemen erstellt und redaktionell überprüft“).
Wichtig ist, dass diese Kennzeichnung nicht als „Warnschild“ verstanden wird, sondern als Teil einer transparenten Kommunikationskultur. Unternehmen, die offen mit KI‑Einsatz umgehen, haben in der Regel weniger Akzeptanzprobleme – nicht, weil KI unproblematisch wäre, sondern weil ehrlicher Umgang Misstrauen reduziert.
Deepfakes im engeren Sinne: Nulltoleranz für verdeckte Täuschung
Sobald Inhalte als Deepfakes einzustufen sind – also realen Personen und Situationen so täuschend ähneln, dass sie als echt wahrgenommen werden können –, verschärfen sich die Anforderungen. Für Unternehmen gilt hier ein einfacher Grundsatz: Deepfakes ohne klare Kennzeichnung haben in der Unternehmenskommunikation nichts verloren. Das bedeutet konkret:
- Verzicht auf ungekennzeichnete KI‑„Inszenierungen“, in denen Führungskräfte scheinbar etwas sagen oder tun, was so nie stattgefunden hat, selbst wenn es „nur“ für interne Events oder Motivationsvideos gedacht ist.
- Klare Kennzeichnung bei künstlerischen oder satirischen Formaten, in denen reale Personen durch KI verfremdet werden – etwa in Kampagnen, die mit „Alterung“, „Verjüngung“ oder fiktiven Situationen arbeiten.
- Sensibilisierung von Marketing‑ und Kreativabteilungen dafür, dass die Grenze zur Persönlichkeitsrechtsverletzung schnell überschritten ist, insbesondere bei sexualisierten, entwürdigenden oder politisch aufgeladenen Darstellungen.
- Stringente Freigabeprozesse, in denen juristisch geprüft wird, ob eine Einwilligung der betroffenen Personen notwendig ist, ob Kennzeichnung ausreichend ist oder ob ein Projekt aus rechtlichen Gründen verworfen werden sollte.
Deepfakes sind juristisch nicht per se verboten. Aber sie bewegen sich in einem Umfeld, in dem Täuschungsgefahr, Reputationsrisiko und Verletzungsgefahr besonders hoch sind. Unternehmen tun gut daran, hier freiwillig strengere Maßstäbe anzulegen, als das Minimalrecht verlangt.
KI-Texte: Transparenz bei öffentlichem Interesse und sensiblen Inhalten
Texte aus KI‑Systemen sind aus Managementsicht oft die erste Berührung mit generativer KI: Entwürfe für Pressemitteilungen, interne Richtlinien, Produktbeschreibungen, Social‑Media‑Beiträge. Art. 50 adressiert Texte aber nur in einem speziellen Kontext: wenn sie die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Das ist enger als die Praxis, aber für Unternehmen gerade in Kommunikations‑, Policy‑ und CSR‑Bereichen hoch relevant. Praktisch bietet sich ein gestuftes Modell an:
- Interne Arbeitsentwürfe: Hier genügt eine interne Markierung („Entwurf, erstellt unter Nutzung von KI“) in Versionssystemen, um im Nachhinein nachvollziehen zu können, welche Passagen weitgehend von KI stammen. Eine externe Kennzeichnung ist nicht erforderlich.
- Externe Routinekommunikation (Produkttexte, interne Newsletter mit begrenztem Empfängerkreis): Hier ist entscheidend, ob es sich um rechtlich oder reputationsseitig sensible Inhalte handelt. Je stärker ein Text Meinungen formt oder Erwartungen weckt, desto sinnvoller ist eine transparente Kennzeichnung des KI‑Einsatzes.
- Öffentlichkeitsrelevante Inhalte (Pressemitteilungen, Stellungnahmen zu politischen oder gesellschaftlichen Themen, Nachhaltigkeits‑ und ESG‑Berichte, Investor‑Relations‑Material): In diesem Bereich sollte Kennzeichnung die Regel sein. Nicht, weil KI‑Texte per se verboten wären, sondern weil schon der Vorwurf, zentrale Aussagen beruhten auf unkontrollierten KI‑Outputs, Vertrauen zerstören kann.
Auch hier gilt: Kennzeichnung bedeutet nicht „dieser Text ist ungeprüft“, sondern „hier wurde KI unterstützend eingesetzt, aber die Verantwortung liegt beim Unternehmen“. Das ist ein wichtiger Unterschied, der im Wording deutlich werden sollte.
KI-Governance: Regeln, Prozesse, Verantwortlichkeiten
Transparenz lässt sich nicht an „die IT“ delegieren. Sie ist Ergebnis von Governance. Unternehmen sollten deshalb verbindliche Regeln schaffen, die festlegen:
- Welche KI‑Tools zugelassen sind – idealerweise in einer Positivliste, die neben technischen Kriterien auch rechtliche und ethische Anforderungen abbildet.
- Welche Anwendungsfälle erlaubt sind – beispielsweise: KI als Entwurfswerkzeug ja, aber keine autonome Veröffentlichung ohne menschliche Prüfung.
- Welche Kennzeichnungspflichten wo gelten – etwa: „Jeder KI‑generierte Inhalt im Außenverhältnis ist inhaltlich zu kennzeichnen; technische Kennzeichnung erfolgt nach Standard X.“
- Welche Freigabeprozesse greifen – insbesondere für heikle Inhalte (politische Aussagen, Gesundheitsinformationen, rechtliche Hinweise, interne Compliance‑Dokumente).
- Wer im Zweifel entscheidet – etwa durch Benennung eines KI‑Beauftragten oder eines interdisziplinären Gremiums aus Legal, IT, Compliance und Kommunikation.
Ohne solche Regeln bleibt KI‑Nutzung schnell im Schatten, wo einzelne Mitarbeiter Tools nutzen, die sie gerade zur Hand haben, ohne dass das Unternehmen noch weiß, welche Inhalte wie entstanden sind („Schatten-KI“). Transparenz im Sinne von Art. 50 KI‑VO setzt Transparenz im eigenen Haus voraus.
Schulung und Kultur: KI-Kompetenz als Schutzfaktor
Regeln entfalten nur Wirkung, wenn Menschen sie verstehen. Deshalb gehört zur Umsetzung von Kennzeichnungspflichten eine systematische Schulung relevanter Zielgruppen:
- Kommunikations‑ und Marketingteams müssen wissen, welche rechtlichen Folgen fehlende Kennzeichnung haben kann und wie sie praktisch kennzeichnen.
- HR‑Abteilungen sollten verstehen, wann der Einsatz von KI in Recruiting‑ oder Mitarbeiterkommunikation transparent zu machen ist – und wo Persönlichkeitsrechte besonders berührt sind.
- Führungskräfte müssen erkennen, dass der Einsatz ihrer Stimme oder ihres Bildes in KI‑Projekten eine Frage von Einwilligung, Lizenz und Reputation ist, nicht nur von „coolen Tools“.
- IT‑ und Produktteams benötigen ein Verständnis dafür, wie technische Kennzeichnung gelingt und welche Standards sich in der Praxis abzeichnen.
Langfristig geht es um mehr als einzelne Schulungen. Unternehmen werden sich daran gewöhnen müssen, dass KI‑Kompetenz – im Sinne eines grundlegenden Verständnisses von Funktionsweise, Risiken und Regulierungsrahmen – Teil der allgemeinen Compliance‑Kultur wird. Vertraut man blind auf „Black‑Box‑Systeme“, ist man schnell in dem Dilemma, dass man weder die eigene Kommunikation noch die eigenen Pflichten wirklich kontrolliert.
Reaktionsfähigkeit: Wenn synthetische Inhalte gegen das Unternehmen eingesetzt werden
Schließlich hat die Transparenzdebatte eine Abwehrseite, denn Unternehmen müssen damit rechnen, dass synthetische Medien gegen sie selbst eingesetzt werden: Deepfake‑Videos, in denen Vorstände angeblich Insiderinformationen verraten; KI‑Audios, in denen Geschäftsführer scheinbar interne Anweisungen geben; pornografische Deepfakes von Mitarbeiterinnen, die im beruflichen Kontext zirkulieren. Hier braucht es einfache Reaktionspfade:
- Früherkennung: Monitoring von öffentlichen Kanälen, um problematische Inhalte frühzeitig zu identifizieren – sei es durch eigene Tools oder spezialisierte Dienstleister.
- Beweissicherung: Dokumentation und rechtssichere Sicherung von Inhalten, bevor Löschung erfolgt, um zivil‑ und strafrechtliche Schritte zu ermöglichen.
- Takedown‑Strategien: Standardisierte Abläufe, um Plattformen auf Rechtsverstöße hinzuweisen, Kennzeichnung oder Entfernung zu verlangen und, falls nötig, gerichtliche Hilfe in Anspruch zu nehmen.
- Schutz der Betroffenen: Interne Ansprechstellen für Mitarbeiter, die von Deepfakes betroffen sind, inklusive arbeitsrechtlicher und psychologischer Unterstützung.
- Abstimmung mit Strafverfolgungsbehörden: Bereitschaft, Strafanzeigen zu erstatten und Ermittlungen zu unterstützen, wenn strafrechtlich relevante Deepfakes im Raum stehen.
Das geplante Gesetz gegen digitale Gewalt wird hier voraussichtlich zusätzliche Instrumente bereitstellen, etwa erleichterte Löschungs‑ und Sperransprüche. Entscheidend bleibt aber: Unternehmen müssen organisatorisch in der Lage sein, diese Instrumente auch zu nutzen.
Executive Summary
Wer KI in der Kommunikation nutzt, hat künftig kein Transparenz‑„Nice to have“, sondern eine harte Pflichtaufgabe: Art. 50 KI‑VO verlangt, dass interaktive Systeme, synthetische Medien und Deepfakes klar als KI‑basiert erkennbar sind – technisch und für Menschen. Die zentrale Frage lautet deshalb nicht mehr, ob KI eingesetzt wird, sondern ob das Unternehmen jederzeit nachweisen kann, wo sie eingesetzt wird und wie Kennzeichnung umgesetzt ist.
Erstens brauchen Unternehmen eine saubere Inventur: Welche Chatbots, Bild‑ und Videotools, Voice‑Cloner und Textgeneratoren werden wo genutzt – intern wie extern? Daraus folgt zweitens ein klares Rollenverständnis: In welchen Projekten sind wir Anbieter (Systemverantwortliche), wo sind wir Betreiber (Nutzer) und welche Pflichten knüpfen sich jeweils daran? Drittens muss die Kennzeichnungspraxis verbindlich geregelt werden: Standardhinweise bei Bots, sichtbare Labels bei KI‑Bildern und ‑Videos, transparente Hinweise bei KI‑Texten zu öffentlichen Themen und eindeutige Offenlegung bei Deepfakes.
Viertens gehört das Thema in die Governance: Es braucht interne Policies, Freigabeprozesse, eine Positivliste zugelassener KI‑Tools und klar benannte Verantwortliche in Legal/Compliance, IT und Kommunikation. Schulungen sind kein Beiwerk, sondern Voraussetzung dafür, dass Mitarbeiter verstehen, wann sie KI‑Inhalte kennzeichnen müssen – und welche persönlichen und unternehmerischen Risiken fehlende Transparenz auslöst. Schließlich fünftens: Unternehmen sollten vorbereitet sein, wenn synthetische Inhalte gegen sie oder ihre Mitarbeiter eingesetzt werden – mit definierten Meldewegen, Beweissicherung, Takedown‑Strategien und einem klaren Schulterschluss mit Strafverfolgungsbehörden.
Kurz gesagt: KI‑Transparenz ist Chefsache. Wer jetzt Strukturen, Technik und Kultur auf Kennzeichnung ausrichtet, reduziert nicht nur rechtliche Risiken, sondern schützt vor allem eines, was sich mit keiner Regulierung zurückholen lässt – das Vertrauen in die eigene Stimme und Kommunikation.
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (zu IT-Strafprozessrecht und digitalen Beweismitteln). Weiterhin spricht er über die rechtsstaatlichen Grundlagen moderner Arbeit, speziell zu IT-/KI-Kompetenz und Cybersecurity-Awareness.
Wir sind hochspezialisiert, was bedeutet, dass wir im IT-Recht und Strafrecht nur bestimmte Bereiche übernehmen. So im IT-Recht nur im Softwarerecht mit darauf bezogebem IT-Vertragsrecht & Lizenzrecht und rund um Cybersicherheit. Im Strafrecht übernehmen wir nur Strafverteidigungen in Bereichen auf die wir spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht
- Eigene Plattformen rechtssicher betreiben … (?) – 15. Juli 2026
- Missbrauchsanleitung: Strafbarkeit fiktiver Inhalte nach § 176e StGB – 14. Juli 2026
- Lichtbildschutz und KI-Bearbeitung: reduzierter Schutzumfang beim einfachen Foto – 14. Juli 2026