Seit August gilt die KI-Kennzeichnungspflicht — was das für Ihre Website bedeutet

Was tatsächlich gilt

Artikel 50 der KI-Verordnung unterscheidet zwei Rollen. Anbieter von KI-Systemen müssen ihre Ausgaben maschinenlesbar markieren. Für die allermeisten Website-Betreiber ist aber die zweite Rolle einschlägig: die des Betreibers nach Absatz 4. Wer generative KI beruflich einsetzt, um Inhalte zu erzeugen, muss in zwei Fallgruppen offenlegen.

Erstens bei realistisch wirkenden Bild-, Audio- und Videoinhalten. Die Verordnung spricht von Deepfakes und meint damit deutlich mehr als gefälschte Politikervideos: Es geht um KI-erzeugte oder manipulierte Inhalte, die den Eindruck erwecken, echt zu sein. Ein fotorealistisches Produktbild aus dem Bildgenerator fällt darunter. Eine erkennbar comicartige Illustration in aller Regel nicht.

Zweitens bei Texten zu Angelegenheiten von öffentlichem Interesse. Hier gibt es eine Ausnahme, die in der Praxis fast immer greift: Wurde der Text redaktionell geprüft und trägt eine benannte Person die Verantwortung dafür, entfällt die Pflicht. Entscheidend ist, dass Sie diese Prüfung im Zweifel auch belegen können.

Nicht erfasst sind rein interne Inhalte und das bloße Teilen oder Zitieren fremder KI-Inhalte. Und ein Punkt, der viel Erleichterung bringt: Inhalte, die vor dem 2. August 2026 erzeugt wurden, müssen nicht nachträglich gekennzeichnet werden. Maßgeblich ist bei Bildern der Zeitpunkt der Erzeugung, nicht der Veröffentlichung.

Zum Bußgeldrahmen, weil die Frage sicher kommt: Er reicht bis 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes. Für mittelständische Unternehmen ist das allerdings nicht das realistische Szenario. Praktisch relevanter ist, dass die Wettbewerbszentrale angekündigt hat, Verstöße wettbewerbsrechtlich zu verfolgen. Abmahnungen kommen erfahrungsgemäß schneller als Behördenverfahren — ein Muster, das viele aus der DSGVO-Umsetzung kennen.

Drei hartnäckige Missverständnisse

„Jedes KI-Bild muss gekennzeichnet werden." Diese Verkürzung geistert durch viele Beiträge und ist schlicht falsch. Die Pflicht knüpft an den realistischen, authentischen Eindruck an. Ein Symbolbild im Illustrationsstil erzeugt diesen Eindruck nicht. Bei fotorealistischer Werbung sollten Sie sich auf die Ausnahme allerdings nicht verlassen.

„Ein Hinweis im Impressum genügt." Ausdrücklich nicht. Die Offenlegung muss spätestens beim ersten Kontakt mit dem Inhalt erfolgen, klar erkennbar und ohne besondere technische Hilfsmittel. Ein Satz im Impressum, in den AGB oder am Ende eines langen Textes erfüllt das nicht. Der Hinweis gehört an den Inhalt, nicht ans Seitenende.

„Das wurde doch alles verschoben." Die Betreiberpflichten nach Absatz 4 nicht. Sie gelten seit dem 2. August 2026 unverändert. Was in den vergangenen Monaten an Verschiebungen diskutiert wurde, betraf andere Teile der Verordnung.

Ein vierter Punkt kommt seltener zur Sprache, ist technisch aber wichtig: Eine unsichtbare Markierung in der Bilddatei genügt für die Betreiberpflicht nicht. Metadaten sind nützlich und die Verordnung fördert sie an anderer Stelle — die sichtbare Kennzeichnung ersetzen sie nicht.

Die offiziellen EU-Symbole

Die Europäische Kommission stellt seit Juni 2026 drei Symbole bereit: eines für „KI war beteiligt", eines für vollständig KI-erzeugte Inhalte und eines für KI-bearbeitete Mischformen. Es gibt sie in Schwarz und Weiß, jeweils auch halbtransparent, als SVG und PNG.

Die drei Symbole in der schwarzen Fassung. Es gibt sie zusätzlich in Weiß und beide halbtransparent — welche passt, hängt vom Bild darunter ab.

Die Nutzung ist kostenfrei und ohne Attributionspflicht — und freiwillig. Die Symbole allein machen eine Website auch nicht automatisch rechtskonform. Wir empfehlen sie trotzdem: Sie sind europaweit einheitlich, und Wiedererkennung ist bei einer Kennzeichnung genau der Punkt. Ein hausgemachtes Symbol muss Ihr Besucher erst entschlüsseln.

Praktisch wichtiger als die Wahl des Symbols ist die Platzierung. Es gehört direkt an den Inhalt — also an das Bild, nicht in die Bildunterschrift drei Absätze weiter unten und erst recht nicht in eine Fußzeile.

Umsetzung in TYPO3 — mehr als ein Bildchen im Eck

Wer das zum ersten Mal angeht, unterschätzt es meist. „Wir setzen ein Icon aufs Bild" klingt nach einer Stunde Arbeit. Vier Dinge machen daraus ein Projekt.

Erstens die Bestandsaufnahme. Bei einer gewachsenen Website liegen schnell einige hundert Bilder in der Dateiliste. Welche davon sind KI-erzeugt? Ohne einen Ort, an dem dieser Status gepflegt wird, beantwortet das niemand zuverlässig — und schon gar nicht ein zweites Mal in einem halben Jahr.

Zweitens die Nachweisführung. Wenn Sie sich entscheiden, ein Bild nicht zu kennzeichnen, weil es comicartig ist oder vor dem Stichtag entstand, ist diese Entscheidung genauso dokumentationswürdig wie die gegenteilige. Im Zweifel wollen Sie zeigen können, dass Sie es geprüft haben.

Drittens die Barrierefreiheit der Kennzeichnung selbst. Ein Symbol, das nur als Bild ohne Textalternative im Markup steht, ist für Screenreader-Nutzer nicht vorhanden — die Offenlegung fällt für sie also aus. Ein Symbol mit zu wenig Kontrast auf hellem Bilduntergrund ebenso. Und eine aufklappbare Detailebene muss mit der Tastatur bedienbar sein. Seit dem BFSG ist das für viele Websites ohnehin Pflicht; wie sich Barrierefreiheit und KI in TYPO3 zusammenbringen lassen, steht auf der zugehörigen Leistungsseite.

Viertens ein technisches Detail, das gern übersehen wird: TYPO3 entfernt beim Skalieren von Bildern standardmäßig alle Profile. Damit verliert jede abgeleitete Variante ihre Herkunftsdaten — die maschinenlesbare Markierung überlebt den ersten Aufruf im Frontend nicht. Wir haben das nachgemessen: Mit der Standardkonfiguration ist das XMP-Paket nach der Skalierung weg, bei ImageMagick wie bei GraphicsMagick.

Noch interessanter war der zweite Teil der Messung. Schaltet man das Entfernen ab, überträgt GraphicsMagick die C2PA-Signatur zwar mit — sie ist dann aber ungültig, weil die Bilddaten sich durch die Skalierung verändert haben. Die abgeleitete Datei behauptet dann von sich selbst, manipuliert worden zu sein. Eine Signatur unverändert mitzukopieren ist also nicht bloß nutzlos, sondern eine falsche Aussage über die Datei.

Für diese vier Punkte haben wir nt_aimark entwickelt. Die Extension ergänzt die Dateimetadaten um einen Reiter „KI-Transparenz" — dort, wo Ihre Redaktion ohnehin arbeitet. Beim Upload liest sie vorhandene Herkunftsdaten aus: Content Credentials nach C2PA, die IPTC-Angabe zur digitalen Quelle und bekannte Signaturen in den EXIF-Feldern. Das Ergebnis erscheint als Vorschlag.

Dass es beim Vorschlag bleibt, ist eine bewusste Entscheidung. „Dieser Inhalt ist KI-generiert" ist eine Behauptung über einen Inhalt, und die sollte ein Mensch treffen, nicht eine Automatik. Ein Bild automatisch als KI-erzeugt zu markieren, obwohl es das nicht ist, wäre der schlechtere Fehler.

Im Frontend entsteht daraus eine barrierefreie Kennzeichnung mit den offiziellen Symbolen, mit Textalternative, aufklappbarer Detailebene und ohne Layout-Verschiebung. Den Kontrast misst die Extension am tatsächlichen Bildausschnitt hinter dem Symbol; wo das nicht eindeutig ist, bekommt das Symbol eine deckende Fläche. Ein Backend-Modul zeigt, was geprüft ist und was offen — und jede Statusänderung landet in einem Protokoll.

Was jetzt zu tun ist

Vier Schritte, in dieser Reihenfolge.

1. Bestandsaufnahme. Verschaffen Sie sich einen Überblick, wo auf Ihrer Website überhaupt KI im Spiel war — bei Bildern, bei Texten, bei Übersetzungen. Ohne diese Grundlage diskutieren Sie im Nebel.

2. Einordnung. Gehen Sie die Fälle durch und entscheiden Sie je Inhalt: kennzeichnungspflichtig oder nicht, und warum. Häufig ist das Ergebnis erfreulicher als befürchtet. Halten Sie beides fest, auch die Entscheidung gegen eine Kennzeichnung.

3. Technische Umsetzung. Erst jetzt geht es um Symbole und Templates. Wer die Reihenfolge umdreht, kennzeichnet am Ende zu viel oder das Falsche.

4. Laufend mitführen. Der nächste Inhalt kommt bestimmt, und die Regulierung steht auch nicht still — zum 2. Februar 2027 folgt die nächste Stufe. Wer den Status beim Einpflegen mitpflegt, hat später keinen Nachholbedarf — in der laufenden TYPO3-Wartung ist das ein Handgriff, nachträglich ein Projekt.

Fazit: Transparenz ist kein reines Compliance-Thema

Es wäre schade, die Kennzeichnungspflicht nur als lästige Auflage zu sehen. Der Anteil der Menschen, die genau hinschauen, woher ein Bild stammt, wächst — und offen auszuweisen, wo KI im Spiel war, wirkt auf diese Zielgruppe nicht abschreckend, sondern souverän. Wer ohnehin sauber arbeitet, kann das ruhig zeigen.

Und der ehrlichste Satz zum Schluss: Manchmal lautet das Ergebnis einer Bestandsaufnahme, dass Sie wenig tun müssen. Das sagen wir Ihnen dann auch — fragen Sie uns.

Dieser Beitrag gibt den Stand vom August 2026 wieder und stellt keine Rechtsberatung dar. Ob ein konkreter Inhalt kennzeichnungspflichtig ist, ist eine Einzelfallentscheidung. Für die rechtliche Bewertung ziehen Sie bitte anwaltlichen Rat hinzu.