KI-Kennzeichnung für Unternehmen: Pflichten, Fristen, Umsetzung

Stand: 13. Oktober 2026. Dieser Beitrag wird aktualisiert, wenn sich Fristen oder Leitlinien ändern.

Kurzantwort

Artikel 50 der EU-KI-Verordnung gilt seit dem 2. August 2026.
Als Unternehmen mit Website bist du in der Regel Betreiber (Art. 50 Abs. 4). Deine Pflicht: Wenn du ein Deepfake-Bild veröffentlichst, also ein KI-erzeugtes oder KI-verändertes Bild, das reale Personen, Orte, Objekte oder Ereignisse authentisch erscheinen lässt, legst du offen, dass es künstlich erzeugt oder manipuliert ist.
Die Offenlegung muss klar erkennbar sein, spätestens bei der ersten Wahrnehmung des Bildes (Abs. 5). Für Betreiber gibt es keine Übergangsfrist.
Die maschinenlesbare Markierung KI-erzeugter Inhalte ist Pflicht der Anbieter der KI-Werkzeuge (Abs. 2). Für Systeme, die vor dem 2. August 2026 am Markt waren, gilt dafür eine Frist bis zum 2. Dezember 2026.
Verstöße können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Für kleine und mittlere Unternehmen sowie für kleine Midcap-Unternehmen gilt der jeweils niedrigere Betrag.
In WordPress hilft ein Plugin, das Herkunftsdaten beim Upload erkennt, die Kennzeichnung in jede Bildgröße schreibt und ein sichtbares Label setzt. Die Entscheidung, welches Bild ein Deepfake ist, bleibt bei dir.

Wer ist von der KI-Kennzeichnung betroffen?

Artikel 50 unterscheidet zwei Rollen:

Rolle	Wer ist das?	Pflicht
Anbieter (Abs. 2)	Hersteller generativer KI-Systeme, z. B. Bildgeneratoren	Ausgaben maschinenlesbar als künstlich erzeugt markieren (Metadaten, Wasserzeichen)
Betreiber (Abs. 4)	Wer KI-Inhalte veröffentlicht, also auch jedes Unternehmen mit Website, Shop oder Blog	Offenlegung bei Deepfakes, für Menschen wahrnehmbar

Wenn du Bilder aus Midjourney, DALL·E, Adobe Firefly oder ähnlichen Werkzeugen auf deiner Website einsetzt, bist du Betreiber. Eine Anmelde- oder Meldepflicht für KI-Bilder auf der eigenen Website gibt es nicht.

Welche Fristen gelten?

Datum	Was gilt
2. August 2026	Artikel 50 gilt. Betreiber müssen Deepfakes offenlegen.
2. Dezember 2026	Ende der Übergangsfrist für Anbieter generativer Systeme, die schon vor dem 2. August 2026 am Markt waren (Art. 111 Abs. 4, eingeführt mit dem Digital Omnibus). Neue Systeme müssen von Beginn an die maschinenlesbare Markierung liefern.

Für Betreiber gibt es keine Übergangsfrist. Eine Rückwirkung besteht nicht: Bilder, die vor dem 2. August 2026 veröffentlicht wurden, müssen nicht nachträglich gekennzeichnet werden. Wer seinen Bestand freiwillig einheitlich kennzeichnen möchte, kann das tun.

Die Konsequenz aus der Anbieterfrist: Bis zum 2. Dezember 2026 können KI-Bilder noch ohne Herkunftsdaten bei dir ankommen. Deine Offenlegungspflicht als Betreiber hängt davon nicht ab.

Welche Bilder musst du kennzeichnen?

Die Offenlegung gilt für Deepfakes. Das sind KI-erzeugte oder KI-veränderte Bilder, die bestehenden Personen, Orten, Objekten oder Ereignissen ähneln und für echt gehalten werden könnten.

Bild	Sichtbare Offenlegung
Fotorealistisches KI-Bild einer Person, eines Ortes oder einer Szene	Ja
KI-Retusche, die den Bildinhalt wesentlich verändert (Objekte austauschen, Personen ergänzen)	Ja
Erkennbar künstliche Illustration, Icon, Symbolbild	In der Regel nein, im Zweifel kennzeichnen
Klar erkennbares Kunst- oder Satirewerk	Ja, aber dezent (eine Offenlegung, die die Darstellung nicht stört)
Standardbearbeitung (Zuschnitt, Belichtung, Komprimierung)	Nein
Rein private, nicht veröffentlichte Nutzung	Nein

Im Zweifel kennzeichnest du das Bild. Der Aufwand ist gering, die Unsicherheit entfällt.

Wie muss die Kennzeichnung aussehen?

Die Offenlegung muss für Menschen wahrnehmbar sein, etwa als sichtbares Label am Bild. Nach den Leitlinien der EU-Kommission zu Artikel 50 können sich Betreiber nicht darauf verlassen, dass der Anbieter die Metadaten gesetzt hat: Maschinenlesbare Markierungen sind für Besucher nicht ohne Weiteres erkennbar. Die Information muss laut Abs. 5 klar und unterscheidbar gegeben werden, spätestens bei der ersten Wahrnehmung. In der Praxis gehört der Hinweis direkt an das Bild und nicht in den Footer oder ins Impressum.

Zusätzlich gilt: Die maschinenlesbare Markierung des Anbieters (z. B. C2PA-Content-Credentials) sollte auf deiner Website nicht verloren gehen. Sie ist für Suchmaschinen, Plattformen und Prüfwerkzeuge relevant.

Warum geht die Kennzeichnung in WordPress verloren?

WordPress erzeugt beim Upload mehrere Bildgrößen. Die Bildbibliotheken GD und Imagick übernehmen C2PA-Manifeste dabei standardmäßig nicht. Im Frontend wird über srcset meist eine abgeleitete Größe ausgespielt, nicht das Original. Die maschinenlesbare Markierung fehlt dann genau in der Datei, die Besucher sehen. Die technischen Hintergründe stehen im Beitrag KI-Bilder in WordPress kennzeichnen: C2PA, Thumbnails und der EU AI Act.

Wie setzt du die Kennzeichnung in WordPress um?

Herkunft klären. Halte fest, welche Bilder aus welchem KI-Werkzeug stammen. Firefly, DALL·E und Imagen betten Herkunftsdaten ein, bei anderen Werkzeugen fehlen sie oft.
Herkunftsdaten erhalten. Ein Plugin muss die Kennzeichnung beim Erzeugen der Bildgrößen übernehmen.
Bilder ohne Herkunftsdaten einstufen. Wo nichts automatisch erkannt wird, stufst du das Bild selbst ein.
Sichtbar kennzeichnen. Ein Label am Bild macht die Offenlegung für Besucher wahrnehmbar.
Dokumentieren. Eine einfache Liste mit Bild, Werkzeug, Datum und Art der Kennzeichnung hilft bei Rückfragen.

Die ausführliche Anleitung: Checkliste: KI-Bilder rechtssicher in WordPress einbinden.

Was übernimmt IMG Performer, und was nicht?

IMG Performer prüft jeden Upload auf Herkunftsdaten (C2PA-Manifeste, EXIF-Hinweise, Signaturen bekannter KI-Werkzeuge), schreibt die Kennzeichnung als XMP-/IPTC-Metadaten (DigitalSourceType) in das Original und in jede erzeugte Bildgröße, auch in die WebP-Varianten, und blendet ein sichtbares Label am Bild ein. Die Verarbeitung läuft auf deinem eigenen Server, ohne CDN und ohne Konto.

Die Kennzeichnung läuft zweistufig: Die automatische Erkennung greift beim Upload, wenn Herkunftsdaten vorhanden sind. Für Grenzfälle und Bilder ohne Herkunftsdaten stufst du das Bild in der Mediathek selbst mit einem Klick ein, ebenso korrigierst du dort eine automatische Einstufung. IMG Performer schreibt keine C2PA-Manifeste, sondern XMP-/IPTC-Metadaten.

Funktion	Free	Pro
Erkennung beim Upload, XMP-/IPTC-Marker, sichtbares Label (neue Uploads)	✅	✅
WebP-Konvertierung	✅	✅
AVIF-Konvertierung (PHP 8.1 oder neuer)	–	✅
Retroaktiv-Scan der bestehenden Mediathek	–	✅
Anpassbares Label (Position, Farbe, Kontrast, eigenes Label-Bild)	–	✅
KI-Alt-Texte mit eigenem API-Key	–	✅

Pro kostet 69 Euro pro Jahr oder 9 Euro pro Monat.

Das kann ein Plugin nicht leisten: Die rechtliche Entscheidung, welches Bild ein Deepfake ist, trifft der Betreiber. IMG Performer unterstützt dabei, ersetzt aber keine Rechtsberatung. Außerhalb der Website, etwa in Social-Media-Posts, PDFs oder Druckmaterial, greift das Label am Bild nicht.

Zu Alt-Texten: Alt-Texte sind für betroffene Angebote seit Juni 2025 Pflicht (BFSG). Pro erzeugt sie per KI mit deinem eigenen API-Key. Dabei geht das Bild an den KI-Anbieter deiner Wahl, dafür brauchst du einen Auftragsverarbeitungsvertrag (AVV). Mistral ist als EU-Anbieter eine gängige Wahl.

Häufige Fragen

Gilt die KI-Kennzeichnungspflicht auch für meine normale Firmenwebsite?

Ja, sobald du KI-erzeugte oder KI-veränderte Bilder veröffentlichst, die Deepfakes im Sinne von Artikel 50 Abs. 4 sind. Rein private, nicht veröffentlichte Nutzung ist ausgenommen. Mehr dazu: Was bedeutet die KI-Kennzeichnungspflicht für meine Firmenwebsite?

Seit wann gilt die Pflicht?

Artikel 50 gilt seit dem 2. August 2026. Für Betreiber gibt es keine Übergangsfrist. Für Anbieter generativer Systeme, die schon vor diesem Datum am Markt waren, endet die Frist für die maschinenlesbare Markierung am 2. Dezember 2026.

Muss ich Bilder nachträglich kennzeichnen, die vor dem 2. August 2026 veröffentlicht wurden?

Nein, die Offenlegungspflicht wirkt nicht rückwirkend. Eine einheitliche Kennzeichnung des Bestands ist freiwillig möglich.

Die Offenlegung muss klar erkennbar sein, spätestens bei der ersten Wahrnehmung des Bildes. Ein pauschaler Hinweis weit weg vom Bild erfüllt das in der Praxis kaum. Ein Label direkt am Bild ist der sichere Weg.

Genügen C2PA-Metadaten, wenn das KI-Werkzeug sie schon mitliefert?

Für Betreiber nicht. Die Leitlinien der EU-Kommission stellen klar, dass sich Betreiber nicht auf die vom Anbieter eingebettete maschinenlesbare Markierung verlassen können, weil sie für Menschen nicht ohne Weiteres erkennbar ist. Die sichtbare Offenlegung kommt hinzu.

Was kostet ein Verstoß?

Verstöße gegen die Transparenzpflichten des Artikels 50 können mit Bußgeldern bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Für kleine und mittlere Unternehmen sowie für kleine Midcap-Unternehmen gilt der jeweils niedrigere Betrag. Einzelheiten: Bußgelder nach EU AI Act Artikel 50.

Muss ich Bilder aus Midjourney anders behandeln als Bilder aus Firefly?

In der Offenlegung nicht, aber technisch: Firefly und andere Werkzeuge liefern Herkunftsdaten mit, die automatisch erkannt werden. Midjourney-Bilder haben häufig keine, dann stufst du sie in der Mediathek selbst ein. Anleitung: KI-Bilder von Midjourney, DALL·E und Firefly kennzeichnen.

Wie gehen Agenturen mit der Kennzeichnung bei Kundenprojekten um?

Der Auftraggeber veröffentlicht die Bilder, trägt als Betreiber die Pflicht und braucht eine klare Absprache. Einen Workflow für viele Kundenprojekte beschreibt Agentur-Workflow für Bildoptimierung, KI-Kennzeichnung und Alt-Texte.

Quellen

Stand der Prüfung: 13. Oktober 2026.

Dieser Beitrag ist eine allgemeine Einordnung und keine Rechtsberatung. Für verbindliche Auskünfte zu deinem Fall wende dich an eine Rechtsanwältin oder einen Rechtsanwalt.