Transparenzpflichten: Chatbots, Deepfakes und GPAI

🔄 Kurzer Rueckblick: In der letzten Lektion hast du die neun Hochrisiko-Anforderungen und die Deployer-Pflichten kennengelernt. Jetzt geht es um die Transparenzpflichten — die betreffen praktisch jedes Unternehmen, das KI-generierte Inhalte erstellt.

Transparenz ist das zweite grosse Thema des EU AI Act neben Hochrisiko. Und mal ehrlich: Wenn dein Unternehmen ChatGPT, Claude oder Copilot nutzt, um Texte, Bilder oder Videos zu erstellen, bist du betroffen. Die gute Nachricht — die Pflichten sind ueberschaubarer als bei Hochrisiko.

Transparenzpflichten fuer KI-Interaktionen (Art. 50)

Ab August 2025 gelten klare Regeln:

Situation	Pflicht	Wer ist verantwortlich?
Chatbot auf Website	Nutzer muss wissen, dass er mit KI interagiert	Deployer
KI-generierte Texte	Kennzeichnung als maschinell erstellt	Deployer
KI-generierte Bilder	Kennzeichnung als KI-generiert	Deployer
Deepfakes (Video/Audio)	Kennzeichnung als synthetisch + maschinenlesbar	Deployer
Emotionserkennung (nicht verboten)	Betroffene informieren	Deployer

Chatbots: Was du beachten musst

Jeder Chatbot, der mit Menschen interagiert, braucht eine Kennzeichnung. Das klingt simpel, hat aber Nuancen:

Was reicht:

Deutlicher Hinweis: “Dieser Chat wird von einer KI gefuehrt”
Sichtbar vor oder zu Beginn der Interaktion
Nicht versteckt in AGB oder Footer

Was nicht reicht:

Ein kleines Icon ohne Erklaerung
Kennzeichnung nur in den Nutzungsbedingungen
“Powered by AI” als Marketingslogan statt als Information

Ausnahme: Wenn der KI-Einsatz offensichtlich ist (z.B. ein Sprachassistent, der sich als KI vorstellt), kann die Kennzeichnungspflicht entfallen. Im Zweifel: lieber kennzeichnen.

✅ Quick Check: Hat dein Unternehmen Chatbots auf der Website, im Kundenservice oder in internen Tools? Pruefe, ob eine klare KI-Kennzeichnung vorhanden ist — ab August 2025 ist das Pflicht.

KI-generierte Inhalte: Die Kennzeichnungspflicht

Art. 50 Abs. 2 betrifft alle Deployer, die KI-generierte Inhalte veroeffentlichen:

Betroffen:

Newsletter-Texte, die mit ChatGPT geschrieben wurden
Produktbilder, die mit DALL-E oder Midjourney erstellt wurden
Social-Media-Posts, die KI-generiert sind
Praesentationen mit KI-erstellten Grafiken

Nicht betroffen (Ausnahmen):

KI als Rechtschreibhilfe oder Zusammenfassungstool (unterstuetzende Rolle)
Offensichtlich kuenstlerische oder satirische Inhalte
Rein intern genutzte Inhalte, die nicht veroeffentlicht werden

Kennzeichnungsformat: Der EU AI Act verlangt maschinenlesbare Kennzeichnung. Der C2PA-Standard (Content Provenance and Authenticity) ist der derzeit fuehrende Ansatz — Adobe, Microsoft und Google unterstuetzen ihn bereits.

Deepfakes: Strengere Regeln

Deepfakes — also synthetische Inhalte, die echte Personen oder Ereignisse zeigen — unterliegen strengeren Regeln:

Muessen als KI-generiert gekennzeichnet werden
Die Kennzeichnung muss maschinenlesbar sein (Wasserzeichen, Metadaten)
Gilt fuer Audio, Video und Bilder
Ausnahme: Offensichtliche Satire, Parodie oder kuenstlerische Nutzung

GPAI-Modelle: Die Regeln fuer Foundation Models (ab August 2025)

Kapitel V regelt General Purpose AI (GPAI) — also Modelle wie GPT-4, Claude, Gemini und Llama. Das betrifft primaer die Provider dieser Modelle, hat aber Auswirkungen auf alle Nutzer.

Pflichten fuer alle GPAI-Provider

Pflicht	Was das bedeutet	Art.
Technische Dokumentation	Beschreibung des Modells, seiner Faehigkeiten und Grenzen	53(1)(a)
Urheberrechtsrichtlinie	Einhaltung der EU-Urheberrechtsrichtlinie, insb. Text-and-Data-Mining	53(1)(c)
Trainingsdaten-Zusammenfassung	Hinreichend detaillierte Zusammenfassung der verwendeten Trainingsdaten	53(1)(d)
Kooperation mit Deployern	Informationen bereitstellen, damit Deployer ihre Pflichten erfuellen koennen	53(1)(b)

Zusatzpflichten fuer GPAI mit systemischem Risiko

Modelle mit systemischem Risiko (Schwelle: 10^25 FLOP beim Training, oder per Kommissionsbeschluss) haben zusaetzliche Pflichten:

Adversarial Testing (Red Teaming) — systematische Sicherheitstests
Cybersicherheitsmassnahmen — angemessener Schutz
Energieverbrauchsberichterstattung — Transparenz ueber Rechenressourcen
Meldepflicht — Schwerwiegende Vorfaelle an das AI Office melden

GPAI Code of Practice: Am 10. Juli 2025 wurde der finale GPAI Code of Practice veroeffentlicht — eine Selbstverpflichtung der Anbieter zu Transparenz, Urheberrecht und Sicherheit. Wer den Code of Practice befolgt, hat gute Chancen, die Kommission von der Einhaltung der Pflichten zu ueberzeugen.

Betroffene Modelle (Stand 2025/26): GPT-4, GPT-4o und Gemini Ultra ueberschreiten die Schwelle sicher. Neuere Modelle wie OpenAI o3, Claude 4 Opus und Gemini 2.5 Pro liegen mit hoher Wahrscheinlichkeit ebenfalls darueber — die genaue Liste wird vom AI Office gefuehrt und laufend aktualisiert. Anbieter muessen die Kommission innerhalb von zwei Wochen benachrichtigen, wenn ein Modell die Schwelle erreicht.

✅ Quick Check: Nutzt dein Unternehmen ein GPAI-Modell (ChatGPT, Claude, Gemini)? Dann frage den Anbieter nach seiner technischen Dokumentation und den Informationen, die du als Deployer brauchst — ab August 2025 ist der Anbieter verpflichtet, diese bereitzustellen.

Was das fuer dein Unternehmen bedeutet

Sofort-Massnahmen (jetzt):

Bestandsaufnahme: Wo werden KI-generierte Inhalte veroeffentlicht?
Chatbot-Kennzeichnung pruefen und ggf. ergaenzen
Interne Richtlinie: Wann muss KI-Nutzung gekennzeichnet werden?

Bis August 2025:

Kennzeichnungssystem implementieren (Label, Disclaimer, C2PA-Metadaten)
Mitarbeiter schulen: Was muss gekennzeichnet werden, was nicht?
GPAI-Provider kontaktieren: Technische Dokumentation anfordern

Key Takeaways

Chatbots muessen als KI gekennzeichnet werden — sichtbar und verstaendlich, nicht versteckt in AGB
KI-generierte Inhalte (Text, Bild, Audio, Video) muessen bei Veroeffentlichung gekennzeichnet werden — Ausnahmen fuer unterstuetzende Nutzung und Satire
Deepfakes haben strengere Regeln: maschinenlesbare Kennzeichnung Pflicht
GPAI-Provider (OpenAI, Google, Anthropic) muessen ab August 2025 technische Dokumentation und Trainingsdaten-Zusammenfassung bereitstellen
GPAI mit systemischem Risiko: Red Teaming, Cybersicherheit, Energieverbrauch, Meldepflicht

Up Next

In der naechsten Lektion wird’s richtig praktisch: Was muessen Unternehmen jetzt konkret tun? Du bekommst den Schritt-fuer-Schritt-Fahrplan — von der KI-Bestandsaufnahme bis zur Compliance-Dokumentation.