KI-Bilder kennzeichnen: KI-Verordnung, Pflichten & Gratis-Plugin

Wenn auf Ihrer Website KI-generierte Bilder liegen, gilt seit Kurzem eine europäische Regel unmittelbar für Sie – und ein erstaunlich großer Teil dessen, was dazu im deutschsprachigen Netz kursiert, ist im entscheidenden Detail falsch.

Das ist nachvollziehbar. Die KI-Verordnung verteilt die Verantwortung auf zwei getrennte Rollen: auf das Unternehmen, das das KI-Werkzeug gebaut hat, und auf das Unternehmen, das das Bild veröffentlicht. Fast jeder Ratgeber wirft beides zusammen. Das Ergebnis: Websitebetreiber glauben, sie müssten Dinge tun, die sie technisch gar nicht tun können – und übersehen dabei die eine Pflicht, die sie tatsächlich trifft.

Dieser Beitrag räumt damit auf. Was sich geändert hat, ob es für Sie gilt, wofür Sie konkret verantwortlich sind, wer in Deutschland kontrolliert – und wie Sie eine komplette Mediathek mit einem Klick kennzeichnen.

Vorab: Dieser Text ist praktische Orientierung, keine Rechtsberatung. Er stammt von Leuten, die selbst sehr viele KI-Bilder veröffentlichen. Für eine verbindliche Einschätzung Ihres konkreten Falls sprechen Sie bitte mit einer Anwältin oder einem Anwalt.

Das Wichtigste in Kürze

• Seit dem2. August 2026gelten die Transparenzpflichten aus Artikel 50 der KI-Verordnung (Verordnung (EU) 2024/1689).

• Es gibt zwei verschiedene Pflichten. Der Hersteller des KI-Werkzeugs muss unsichtbare, maschinenlesbare Markierungen setzen. Sie als Unternehmen, das das Bild veröffentlicht, müssen eine sichtbare Kennzeichnung anbringen– aber nur, wenn das Bild als „Deepfake“im Sinne der Verordnung gilt.

• Nicht jedes KI-Bild ist ein Deepfake. Ein fotorealistisches Bild einer plausibel existierenden Person, eines Ortes, Objekts oder Ereignisses ist es sehr wahrscheinlich. Etwas offensichtlich Fantastisches ist es nicht.

• Verstöße gegen die Transparenzpflichten können mit bis zu15 Mio. € oder 3 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist.

• Zuständig ist in Deutschland die Bundesnetzagentur als Marktüberwachungsbehörde; die Deutsche Akkreditierungsstelle (DAkkS) ist die notifizierende Behörde.

• Der praktische Weg besteht aus drei Schritten: KI-Bilder inventarisieren → sichtbar kennzeichnen → dokumentieren, was Sie getan haben.

• Unter WordPress erledigt KI-Transparenz-EU den Kennzeichnungsschritt im Stapel – Bilder auswählen, einmal klicken, fertig. Kostenlos.

Was sich am 2. August 2026 geändert hat

Die KI-Verordnung tritt gestaffelt über mehrere Jahre in Kraft. Der2. August 2026war der Stichtag für die Transparenzpflichten aus Artikel 50.

Artikel 50 deckt vier Konstellationen ab: Menschen, die mit Chatbots sprechen; KI-generierte Inhalte, die als solche markiert werden müssen; Emotionserkennung und biometrische Kategorisierung; sowie Deepfakes und KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse. Für die meisten Websitebetreiber sind nur die Bild- und die Chatbot-Regel relevant.

Zwei Punkte werden regelmäßig übersehen:

Es betrifft nicht nur EU-Unternehmen. Die Verordnung erfasst Anbieter und Betreiber, die KI-Systeme in der Union in Verkehr bringen oder deren KI-Ergebnisse in der Union verwendet werden. Ein Schweizer, britisches oder US-amerikanisches Unternehmen, dessen Website europäische Besucher bedient, kann damit klar im Anwendungsbereich liegen – dazu unten mehr im DACH-Abschnitt.

Für Ihre Seite der Pflicht gibt es keine Schonfrist. Eine begrenzte Verlängerung existiert: Nach der Omnibus-Einigung vom Mai 2026 haben generative KI-Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren, bis zum2. Dezember 2026Zeit, die maschinenlesbare Markierung umzusetzen. Diese Verlängerung gilt jedoch für die Anbieter der KI-Systeme, nicht für Sie. Die Pflicht zur sichtbaren Offenlegung für Unternehmen, die Inhalte veröffentlichen, gilt bereits jetzt.

Gilt das überhaupt für Sie?

Drei Fragen, der Reihe nach. Wenn Sie die zweite mit „nein“ beantworten, können Sie aufhören.

Anbieter oder Betreiber – die Unterscheidung, an der fast alle scheitern

Das ist der Kern des gesamten Themas, und die deutsche Übersetzung der Verordnung macht es glücklicherweise sehr klar.

Ein Anbieter ist, wer ein KI-System entwickelt und auf dem Markt bereitstellt – also OpenAI, Adobe mit Firefly, Midjourney, Google, Stability AI. Nach Artikel 50 Absatz 2müssen Anbieter dafür sorgen, dass die erzeugten Ausgaben in einem maschinenlesbaren Format markiert und als künstlich erzeugt oder manipuliert erkennbar sind. Gemeint sind unsichtbare Wasserzeichen und signierte Herkunftsmetadaten, die schon bei der Erzeugung eingebettet werden. Die Verordnung verlangt, dass diese Lösungen wirksam, interoperabel, robust und zuverlässig sind, soweit dies technisch machbar ist.

Ein Betreiber ist, wer das KI-System verwendet – also Sie, wenn Sie ein Bild generieren und auf Ihrer Website veröffentlichen. Nach Artikel 50 Absatz 4müssen Betreiber, die mit KI Bild-, Audio- oder Videoinhalte erzeugen oder manipulieren, die einen Deepfake darstellen, offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden.

Warum das praktisch so wichtig ist: Sie können die Anbieterpflicht nicht erfüllen – und Sie müssen es auch nicht. Niemand kann nachträglich kryptografische Wasserzeichen in die Ausgabe eines fremden Modells schreiben. Wenn ein Ratgeber Ihnen erzählt, Ihr Unternehmen müsse seine KI-Bilder „maschinenlesbar mit Wasserzeichen versehen“, hat er die beiden Rollen verwechselt.

Ihre Aufgabe ist die für Menschen sichtbare Kennzeichnung. Mehr nicht – und genau dieser Teil liegt vollständig in Ihrer Hand.

Merksatz für Ihr Team: Anbieter = wer das Werkzeug gebaut hat (unsichtbare Markierung). Betreiber = wer das Bild veröffentlicht (sichtbare Kennzeichnung).

Ist Ihr KI-Bild ein „Deepfake“? Der eigentliche Test

„Deepfake“ klingt nach gefälschten Promi-Videos und politischer Desinformation. In der KI-Verordnung ist der Begriff deutlich weiter gefasst – und genau daran scheitern viele.

Die Definition erfasst durch KI erzeugte oder manipulierte Bild-, Audio- oder Videoinhalte, die wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähneln oder realistisch wirken und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen würden.

Daraus folgen zwei Dinge, die regelmäßig überraschen:

Eine Täuschungsabsicht ist nicht erforderlich. Sie müssen niemanden hinters Licht führen wollen. Wenn das Bild echt aussieht und etwas Plausibles zeigt, kann es die Definition erfüllen.

„Gegenstände, Orte und Ereignisse“ zählen mit, nicht nur Personen. Deshalb greift die Regel bis in ganz gewöhnliche Werbebilder hinein: Ein KI-generiertes Foto eines Hotelzimmers, eines Produkts auf einem Tisch, einer Werkstatt, eines Büros oder eines Tellers kann die Definition erfüllen, obwohl kein Mensch darauf zu sehen ist.

Was außerhalb der Definition liegt:

• Offensichtlich Fantastisches oder physikalisch Unmögliches– Drachen, frei fliegende Menschen, erkennbar surreale Szenen. Niemand hält das für authentisch, also ist es kein Deepfake.

• Erkennbare Illustration und stilisierte Grafik– Cartoons, Diagramme, abstrakte Kunst, offensichtlich künstliche 3D-Renderings.

• Inhalte in einem offenkundig künstlerischen, kreativen, satirischen oder fiktionalen Kontext werden milder behandelt; Transparenz wird dort in angemessener Weise erwartet, ohne die Darbietung zu beeinträchtigen.

Ein brauchbarer Arbeitstest: Würde eine durchschnittliche Besucherin beim flüchtigen Blick auf dieses Bild annehmen, dass es mit einer Kamera aufgenommen wurde? Wenn ja, behandeln Sie es als erfasst. Wenn es offensichtlich gezeichnet, gerendert oder unmöglich ist, liegt es sehr wahrscheinlich außerhalb.

Wichtig, weil es oft falsch verkürzt wird: Es ist nicht verboten, KI-Bilder zu verwenden. Die Verordnung verbietet keine KI-Bilder. Sie verlangt in bestimmten Fällen, dass Sie sie kennzeichnen.

Wann Sie gar nicht betroffen sind

Sie liegen außerhalb der Bildregeln des Artikels 50, wenn Sie keine KI-generierten oder KI-manipulierten visuellen Inhalte veröffentlichen. Echte Fotografie, von Menschen fotografierte Stockbilder und Ihre eigenen Illustrationen lösen nichts aus.

Auch normale Bildbearbeitung verwandelt ein echtes Foto nicht in einen Deepfake: Die Verordnung nimmt Standardbearbeitung in den Blick, die die Realität der zugrunde liegenden Aufnahme nicht wesentlich verändert. Zuschnitt, Farbkorrektur und Retusche eines echten Fotos Ihrer echten Räume sind nicht gemeint. Wenn Sie per generativer Füllung ein Gebäude einfügen, das nie dort stand, sieht die Sache anders aus.

Was die Verordnung konkret verlangt

Ihre Pflicht: eine sichtbare, verständliche Offenlegung

Bei Bildern, die unter die Deepfake-Definition fallen, muss die Offenlegung ohne Hilfsmittel oder Erkennungswerkzeug für Menschen wahrnehmbar sein. In der Praxis heißt das: eine sichtbare Kennzeichnung – eine Bildunterschrift, ein Badge, ein Overlay oder ein eindeutig zugeordneter Hinweis – dort, wo jemand dem Bild begegnet.

Drei praktische Qualitätsmerkmale:

1. Sichtbar am Bild. Ein pauschaler Satz im Impressum oder in der Datenschutzerklärung genügt nicht. Der Hinweis muss mit dem Bild reisen.

2. Klare Sprache. „KI-generiert“ versteht jeder; ein kryptisches Icon nicht. Auch „Mit KI erstellt“ oder „KI-generiertes Bild“ funktionieren.

3. Beim ersten Kontakt vorhanden. Nicht erst nach Hover, Klick oder drei Scroll-Bewegungen.

Die Anbieterpflicht: maschinenlesbare Markierung

Der Vollständigkeit halber – dieser Teil wird stromaufwärts erledigt. Anbieter betten maschinenlesbare Signale ein, meist nach dem C2PA-Standard: ein kryptografisch signierter Nachweis darüber, wie eine Datei erstellt und bearbeitet wurde, eingebettet in die Metadaten. C2PA ist ein offener Standard, getragen von einer breiten Industrieallianz mit Adobe, Microsoft, Google, BBC und AP.

Die Grenze sollten Sie kennen: C2PA-Metadaten sind fragil. Ein Screenshot, ein erneuter Upload bei einer Social-Plattform oder eine Formatkonvertierung – und die Herkunftsdaten sind in der Regel weg. Genau deshalb existiert die menschenlesbare Kennzeichnung als eigenständige Anforderung, und deshalb beschreibt der Verhaltenskodex der Kommission zur Transparenz KI-generierter Inhalte einen mehrschichtigen Ansatz – Metadaten plus Wasserzeichen plus sichtbares Label – statt sich auf einen einzelnen Mechanismus zu verlassen.

Noch eine Pflicht: KI-generierte Texte

Wenn Sie KI-generierte oder KI-manipulierte Texte veröffentlichen, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, muss auch das offengelegt werden – es sei denn, ein Mensch hat die redaktionelle Verantwortung übernommen und den Inhalt geprüft; dann sollten Sie benennen können, wer das war. Werbetexte über Ihre eigenen Produkte sind nicht gemeint; ein KI-geschriebener Nachrichten- oder Zeitgeschehensbeitrag schon. Wer einen automatisierten Blog zu Themen von öffentlichem Interesse betreibt, sollte sich das genauer ansehen.

Wer in Deutschland zuständig ist: Bundesnetzagentur und DAkkS

Anders als bei der DSGVO, wo Sie es mit sechzehn Landesdatenschutzbehörden plus dem Bund zu tun haben, ist die Zuständigkeit hier vergleichsweise übersichtlich.

Die Bundesnetzagentur ist die Marktüberwachungsbehörde für die KI-Verordnung in Deutschland. Sie ist damit die Stelle, die überprüft, ob Anbieter und Betreiber ihre Pflichten einhalten, die Beschwerden entgegennimmt und die Aufsichtsmaßnahmen ergreift. Wenn sich jemand über ein nicht gekennzeichnetes KI-Bild auf Ihrer Website beschwert, landet das im Grundsatz dort.

Die Deutsche Akkreditierungsstelle (DAkkS) ist die notifizierende Behörde. Ihre Aufgabe ist es, Konformitätsbewertungsstellen zu akkreditieren und zu benennen – also die Prüfstellen, die Hochrisiko-KI-Systeme bewerten. Für Transparenzpflichten bei Bildern ist die DAkkS nicht Ihre Anlaufstelle. Sie ist relevant, wenn Sie selbst Hochrisiko-KI entwickeln oder in Verkehr bringen; für ein Restaurant, eine Agentur oder einen Onlineshop mit KI-Bildern auf der Website ist das kein Thema.

Für die allermeisten Leserinnen und Leser dieses Beitrags lautet die Antwort auf „Wer kontrolliert das?“ also schlicht: Bundesnetzagentur.

Ehrlicher Zwischenstand: Die Infrastruktur ist noch im Aufbau

Ein Punkt, den seriöse Beratung nicht verschweigen sollte: Der europäische Vollzugsapparat ist noch nicht fertig. Stand März 2026 hatten erst 8 von 27 Mitgliedstaaten ihre zentrale Anlaufstelle nach Artikel 70 benannt– viele haben die Frist aus dem August 2025 verstreichen lassen.

Was heißt das für Sie? Nicht, dass die Pflicht nicht gilt – sie gilt seit dem 2. August 2026. Aber es heißt, dass in den ersten Monaten kaum jemand mit flächendeckenden, proaktiven Prüfungen rechnen muss. Wer Ihnen erzählt, im Herbst 2026 rollten die Kontrolleure an, verkauft Ihnen Angst. Wer Ihnen erzählt, Sie könnten es deshalb ignorieren, verkauft Ihnen ein Risiko, das Sie für zwanzig Minuten Arbeit nicht eingehen müssten.

Wie Durchsetzung im DACH-Raum realistisch aussieht

Deutschland. Das wahrscheinlichste Szenario ist keine Behördenrazzia, sondern eine Beschwerde– von einem Wettbewerber, einer Kundin oder einem aufmerksamen Verband – über ein nicht gekennzeichnetes Bild, das offen sichtbar auf Ihrer Website liegt. Deutsche Unternehmen kennen dieses Muster: Es ist derselbe Mechanismus, der auch bei Impressum, Cookie-Bannern und Preisangaben greift.

Es lohnt sich, eine zweite Risikoebene mitzudenken, die mit der KI-Verordnung gar nichts zu tun hat: Ein KI-Bild, das ein Produkt, eine Räumlichkeit oder eine Leistung zeigt, die es so nicht gibt, kann unabhängig davon wettbewerbs- und lauterkeitsrechtlich angreifbar sein. Die sichtbare Kennzeichnung entschärft das nicht vollständig – aber sie ist ein deutliches Signal, dass Sie nicht täuschen wollten.

Österreich. Dieselbe Verordnung, dieselben Fristen, dieselben Bußgeldrahmen – Österreich ist EU-Mitglied, und Artikel 50 gilt dort wortgleich. Welche nationale Stelle die Marktüberwachung übernimmt, klären Sie bitte aktuell vor Ort; die inhaltliche Pflicht für Betreiber ist identisch mit der deutschen.

Schweiz. Die Schweiz ist nicht Teil der EU, und die KI-Verordnung gilt dort nicht als nationales Recht. Präzise formuliert greift sie trotzdem in einem sehr häufigen Fall: nämlich dann, wenn die Ausgabe des KI-Systems in der Union verwendet wird. Ein Zürcher Hotel, dessen Website deutsche und französische Gäste anspricht, ein Basler Onlineshop, der in die EU liefert, eine Berner Agentur, die Bildmaterial für einen Münchner Kunden produziert – in all diesen Konstellationen kann die Pflicht sehr wohl greifen. Wer ausschließlich für den Schweizer Binnenmarkt publiziert, ist von Artikel 50 nicht erfasst; praktisch ist das selten sauber trennbar, weshalb viele Schweizer Betriebe die Kennzeichnung schlicht mitnehmen.

Warum das deutschen Unternehmen leichter fällt, als sie denken

Es gibt einen kulturellen Vorteil, den man ruhig benennen darf: Deutsche Unternehmen sind Offenlegungspflichten gewohnt. Impressumspflicht, Datenschutzerklärung, Cookie-Einwilligung, Preisangabenverordnung, Allergenkennzeichnung, Grundpreisangabe – die DSGVO hat ganze Abteilungen darin trainiert, kleine, standardisierte, rechtlich verlangte Hinweise sauber und unaufgeregt in Oberflächen zu integrieren, ohne dass die Marke daran zerbricht.

Die KI-Kennzeichnung ist genau dasselbe Handwerk, nur auf Bilder angewandt. Wer 2018 ein Cookie-Banner überstanden hat, schafft auch eine 11-Pixel-Bildunterschrift.

Was passiert, wenn Sie es ignorieren

Verstöße gegen die Transparenzpflichten aus Artikel 50 fallen in einen Bußgeldrahmen von bis zu15 Mio. € oder 3 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist (siehe Artikel 99). Die Verordnung sagt ausdrücklich, dass bei KMU und kleinen Unternehmen mit mittlerer Kapitalisierung die Verhältnismäßigkeit zu berücksichtigen ist. Ein Handwerksbetrieb mit vierzig Mitarbeitenden steht also nicht vor einem Schlagzeilenbußgeld – „klein“ heißt aber nicht „ausgenommen“.

Der Vollzug läuft über die nationalen Marktüberwachungsbehörden, in Deutschland also über die Bundesnetzagentur.

Das ist das ehrliche Risikobild: geringe Wahrscheinlichkeit einer proaktiven Kontrolle in der nächsten Zeit, aber eine billige und dauerhafte Lösung verfügbar. Damit ist die Entscheidung eigentlich einfach.

In vier Schritten zur Kennzeichnung

Schritt 1 – Jedes veröffentlichte KI-Bild inventarisieren

Sie können nicht kennzeichnen, was Sie nicht gefunden haben. Arbeiten Sie durch:

• Website-Seiten – Hero-Bilder, Hintergründe, Team- und Gebäudefotos, Sektionsgrafiken

• Beitragsbilder und Illustrationen im Blog

• Produkt- und Speisekartenbilder

• Landingpages und Kampagnen-Microsites

• Alles, was in den letzten zwei Jahren in Ihrer CMS-Mediathek veröffentlicht wurde

Notieren Sie je Bild: wo es eingesetzt wird, ob es KI-generiert oder KI-verändert ist, welches Werkzeug es erzeugt hat und ungefähr wann. Wenn in Ihrem Team spontan Bilder generiert wurden, rechnen Sie mit mehr Treffern, als Sie erwarten.

Abkürzung: Dateinamen und das EXIF-Feld „Software“ nennen häufig noch den Generator (DALL·E, Firefly, Midjourney, Stable Diffusion), und Dateien aus C2PA-fähigen Werkzeugen tragen teils noch Herkunftsmetadaten. Damit kommen Sie im Audit sehr schnell sehr weit.

Schritt 2 – Festlegen, wie Ihre Kennzeichnung aussieht

Einmal entscheiden, dann überall anwenden:

• Wortlaut. „KI-generiert“ ist am klarsten. „Mit KI erstellt“ und „KI-generiertes Bild“ sind ebenso in Ordnung. Eines auswählen und konsequent verwenden.

• Platzierung. Bildunterschrift direkt unter dem Bild oder ein kleines Badge in einer Ecke. Beides funktioniert; Bildunterschriften sind gestalterisch verträglicher.

• Umfang. Kennzeichnen Sie die Bilder, die den Deepfake-Test bestehen. Alles zu kennzeichnen ist zulässig und in der Verwaltung einfacher – nur echte Fotografie sollten Sie nicht fälschlich als KI ausweisen, das ist ein eigenes Genauigkeitsproblem.

Schritt 3 – Kennzeichnung im Stapel anwenden

Hier bleiben die meisten Projekte stecken. Vierzig Bilder von Hand durch ein CMS zu schleusen ist ein verdorbener Nachmittag; vierhundert sind ein Projekt, das niemand beginnt. Dazu unten mehr.

Schritt 4 – Aufschreiben, was Sie getan haben

Führen Sie eine kurze interne Notiz: Datum des Audits, Ihre Kennzeichnungsregel, welche Bilder als erfasst eingestuft wurden, wer es freigegeben hat. Das kostet zehn Minuten und ist der Unterschied zwischen „Wir nehmen das ernst, hier ist unser Prozess“ und „Daran hatten wir nicht gedacht“, falls jemand fragt. Deutsche Unternehmen kennen das Prinzip aus dem Verarbeitungsverzeichnis – dieselbe Logik, ein Bruchteil des Aufwands.

Auf WordPress: KI-Transparenz-EU

Wir veröffentlichen selbst sehr viele KI-Bilder, sind also direkt in das Problem aus Schritt 3 gelaufen und haben ein Werkzeug dafür gebaut. Es ist kostenlos.

Plugin-Status – Stand 7. August 2026. v1.0 ist fertig und ab sofort kostenlos herunterladbar. Wir haben es zusätzlich beim offiziellen WordPress.org-Verzeichnis eingereicht; die Prüfung dauert erfahrungsgemäß einige Wochen, und wir aktualisieren diese Seite am Tag der Freigabe.

Was es macht

KI-Transparenz-EU ergänzt Ihre bestehende WordPress-Mediathek um eine Stapel-Kennzeichnung – für Bilder und Videos:

• Viele Bilder auf einmal auswählen– Mediathek filtern, KI-generierte Bilder markieren

• Ein Klick zur Kennzeichnung– der Hinweis wird angewendet und überall dort öffentlich angezeigt, wo die Bilder erscheinen

• Funktioniert mit bereits Veröffentlichtem– nichts muss neu hochgeladen oder neu erzeugt werden

• Kostenlos, ohne Konto, ohne Lock-in– deaktivieren Sie es, und Ihre Website ist unverändert

Der entscheidende Unterschied: Vorhandene Werkzeuge lassen Sie Bilder meist einzeln auszeichnen. Wenn Sie eine über zwei Jahre gewachsene Mediathek haben, ist genau das das Problem. Dieses Plugin ist dafür gebaut, vierhundert Bilder in etwa der Zeit zu kennzeichnen, die vier Bilder von Hand brauchen.

Was es macht – und was nicht

Klare Ansage zu den Grenzen, weil Sie das hier aus Compliance-Gründen lesen:

• Es wendet die sichtbare, menschenlesbare Offenlegung an– die Betreiberpflicht aus Artikel 50 Absatz 4.

• Es fügt keine kryptografischen Wasserzeichen in die Bildpixel ein. Das ist die Pflicht des KI-Anbieters und nichts, was ein Publishing-Plugin leisten kann.

• Es entscheidet nicht für Sie, welche Bilder rechtlich erfasst sind. Es liefert den Mechanismus; die Einstufung bleibt Ihre Entscheidung (siehe Test oben).

• Kein Plugin kann Sie „compliant“ machen– Compliance ist ein Prozess, kein Häkchen. Dieses Werkzeug hilft Ihnen, die sichtbare Kennzeichnung sauber und in großem Umfang anzuwenden.

Installation

1. ZIP herunterladen: https://github.com/IbramDawwaGmbH/KI-Transparenz-EU– der Quellcode liegt offen auf GitHub, falls Sie ihn vorher lesen möchten

2. In WordPress: Plugins → Installieren → Plugin hochladen → Aktivieren

3. Unter Medien die KI-Bilder auswählen und die Kennzeichnung anwenden

Lieber aus dem offiziellen Verzeichnis installieren? Wir aktualisieren diesen Beitrag mit dem offiziellen Link, sobald er freigegeben ist – Sie können auch dem WordPress.org-Entwicklerprofil folgen. Die Shopify- und Wix-Versionen sind in Entwicklung.

Kein WordPress?

Die Pflicht ist dieselbe, nur der Mechanismus ändert sich.

• Shopify, WooCommerce und andere Shopsysteme– die meisten Themes erlauben ein Bildunterschriftsfeld oder ein Overlay. KI-generierte oder stark KI-veränderte Produktbilder sind einer der eindeutigsten erfassten Fälle; fangen Sie dort an.

• Webflow, Squarespace, Wix, Jimdo– ein Caption-Element unter KI-Bildern einfügen oder ein kleines dauerhaftes Badge in die Bildkomponente einbauen, damit es standardmäßig gesetzt wird.

• Individuell entwickelte Websites– lösen Sie es auf Komponentenebene: ein FeldisAIGeneratedim Bilddatenmodell, und die Komponente rendert den Hinweis. Einmal gemacht, erbt jedes künftige Bild die Kennzeichnung.

• Digitale Speisekarten– wenn die Karte ein eigenes System nutzt, setzen Sie den Hinweis am Gericht, damit er in jede Sprachversion mitwandert.

• Social Media– die großen Plattformen haben inzwischen eigene Schalter zur KI-Kennzeichnung. Nutzen Sie sie; Ihr Website-Label reist nicht mit einer neu hochgeladenen Datei mit.

Fünf Fehler, die Sie vermeiden sollten

1. Anzunehmen, Sie müssten maschinenlesbar markieren. Sie können es nicht, und Sie müssen es nicht. Das ist die Anbieterpflicht. Ihre Pflicht ist die sichtbare Kennzeichnung.

2. Anzunehmen, jedes KI-Bild brauche ein Label. Offensichtlich fantastische oder erkennbar illustrative Bilder fallen in der Regel nicht unter die Deepfake-Definition. Wenden Sie den Test an, statt aus Angst pauschal zu kennzeichnen – wobei pauschales Kennzeichnen zulässig ist, wenn Sie es einfacher finden.

3. Den Hinweis im Impressum oder in den AGB zu verstecken. Die Offenlegung muss dort wahrnehmbar sein, wo die Person dem Bild begegnet, und zwar ohne Erkennungswerkzeug.

4. Zu glauben, es gelte nicht, weil Sie nicht in der EU sitzen. Wenn Ihre Ausgabe in der EU verwendet wird, sind Sie im Anwendungsbereich. Das ist die entscheidende Nuance für Schweizer und britische Betriebe.

5. Einmal kennzeichnen und dann vergessen. Jede Woche kommen neue KI-Bilder dazu. Machen Sie die Kennzeichnung zum festen Bestandteil Ihres Publishing-Workflows, nicht zur einmaligen Aufräumaktion.

Häufige Fragen

Verlangt die KI-Verordnung, dass ich KI-generierte Bilder auf meiner Website kennzeichne? Wenn das Bild die „Deepfake“-Definition erfüllt – also KI-generierte oder manipulierte Inhalte, die realistisch wirkenden Personen, Gegenständen, Orten oder Ereignissen ähneln und als echt erscheinen könnten –, dann ja: Als Betreiber müssen Sie offenlegen, dass es künstlich erzeugt wurde. Die Offenlegung muss ohne Erkennungswerkzeug für Menschen wahrnehmbar sein. Offensichtlich fantastische oder erkennbar illustrative Bilder sind in der Regel nicht erfasst.

Seit wann gilt das? Seit dem 2. August 2026. Eine gesonderte Verlängerung bis zum 2. Dezember 2026 betrifft die maschinenlesbare Markierung für generative KI-Systeme, die vorher schon auf dem Markt waren – das betrifft die KI-Anbieter, nicht Unternehmen, die Bilder veröffentlichen.

Muss ich meine KI-Bilder mit einem Wasserzeichen versehen? Nein. Die maschinenlesbare Markierung ist Pflicht des Anbieters des KI-Systems, das den Inhalt erzeugt hat. Als Unternehmen, das das Bild veröffentlicht, schulden Sie die sichtbare, menschenlesbare Offenlegung.

Ist ein KI-generiertes Produktfoto ein Deepfake? Das kann sein. Die Definition erfasst realistisch wirkende Gegenstände und Orte, nicht nur Personen, und eine Täuschungsabsicht ist nicht erforderlich. Ein fotorealistisches KI-Produkt- oder Gebäudebild, das Besucher für eine Aufnahme halten würden, fällt in der Regel darunter.

Wer ist in Deutschland zuständig? Die Bundesnetzagentur ist die Marktüberwachungsbehörde für die KI-Verordnung. Die Deutsche Akkreditierungsstelle (DAkkS) ist die notifizierende Behörde und für die Benennung von Konformitätsbewertungsstellen zuständig – für Transparenzpflichten bei Bildern ist sie nicht Ihre Anlaufstelle.

Wie hoch sind die Bußgelder? Verstöße gegen die Transparenzpflichten aus Artikel 50 können mit bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Bei KMU ist die Verhältnismäßigkeit zu berücksichtigen. Durchgesetzt wird über die nationalen Marktüberwachungsbehörden.

Gilt das auch für Unternehmen aus der Schweiz? Die Schweiz ist nicht in der EU, die Verordnung gilt dort nicht als nationales Recht. Sie greift jedoch, wenn die Ausgabe des KI-Systems in der Union verwendet wird – etwa bei einer Website, die EU-Gäste anspricht, oder bei Lieferungen in die EU.

Muss ich auch KI-geschriebene Texte kennzeichnen? Nur, wenn sie veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, und kein Mensch die redaktionelle Verantwortung übernommen hat. Gewöhnliche Marketingtexte sind nicht gemeint.

Macht mich ein Plugin rechtskonform? Kein Werkzeug kann das. Ein Plugin hilft Ihnen, die sichtbare Kennzeichnung zuverlässig und in großem Umfang anzuwenden – das ist der mechanische Teil. Die Einstufung, welche Bilder erfasst sind, und die dauerhafte Pflege bleiben bei Ihnen.

Weiterführende Beiträge

• KI-Food-Fotos kennzeichnen: was Restaurants nach der KI-Verordnung tun müssen– die Fassung für die Gastronomie

• EU AI Act: how to label AI images on your site– die englische Originalfassung

• KI-Food-Fotografie für Restaurants: das komplette Playbook 2026

• KI-Food-Fotos echt wirken lassen

• Steigern Menüfotos den Umsatz?

• EU 1169/2011: Allergenkennzeichnung im Restaurant– die andere EU-Offenlegungspflicht, die Sie vermutlich längst erfüllen

• Intermenu ausprobieren

Quellen: Verordnung (EU) 2024/1689 (KI-Verordnung), deutsche Fassung auf EUR-Lex · Artikel 50, KI-Verordnung · FAQ der Europäischen Kommission zu den Transparenzpflichten nach Artikel 50· Leitlinien der Kommission zur Transparenz KI-generierter Inhalte · Verhaltenskodex zur Transparenz KI-generierter Inhalte · Bundesnetzagentur · Deutsche Akkreditierungsstelle (DAkkS) · C2PA. Zuletzt geprüft am 7. August 2026.