Seit dem 2. August gilt in der EU eine neue Pflicht: Wer ein KI-System anbietet, das Texte, Bilder, Audio oder Video erzeugt, muss diese Ausgaben maschinenlesbar markieren. Anthropic, der Hersteller der Claude-Modelle, hat dazu eine Richtlinie im eigenen Support-Center veröffentlicht. Der Kern: Neue Claude-Modelle bekommen ein unsichtbares Wasserzeichen im Text, erzeugte Dateien einen digital signierten Herkunftsstempel. Und zwar weltweit, nicht nur für europäische Nutzer.
Was das Gesetz verlangt - und was freiwillig ist
Hier lohnt sich ein genauer Blick, weil in der Berichterstattung zwei Dinge oft vermischt werden.
Die Kennzeichnungspflicht selbst ist verbindliches Recht. Nach Artikel 50 Absatz 2 der Verordnung (EU) 2024/1689 müssen Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, sicherstellen, dass die Ausgaben in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Die technischen Lösungen müssen wirksam, interoperabel, robust und zuverlässig sein, soweit das technisch machbar ist. Anzuwenden ist die Vorschrift laut Artikel 113 seit dem 2. August 2026. Wer dagegen verstößt, riskiert nach Artikel 99 Absatz 4 Buchstabe g ein Bußgeld von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Eine gut lesbare Fassung der Artikel findet sich im AI Act Explorer des Future of Life Institute.
Freiwillig ist nur der Verhaltenskodex. Die EU-Kommission hat im Juni 2026 einen "Code of Practice on Transparency of AI-generated Content" veröffentlicht. Er beschreibt konkrete Maßnahmen, mit denen Unternehmen den Nachweis führen können, dass sie die Pflicht erfüllen. In ihrer amtlichen FAQ stellt die Kommission ausdrücklich klar, dass die Unterzeichnung freiwillig sei und eine Nichtunterzeichnung für sich genommen keinen Verstoß gegen die Verordnung darstelle.
Drei Stufen, nicht ein Warnschild
Ein verbreitetes Missverständnis vorweg: Der AI Act verpflichtet niemanden, jede KI-Ausgabe mit einem sichtbaren Hinweis zu versehen. Artikel 50 ist gestaffelt, und die drei Stufen treffen unterschiedliche Adressaten.
- Absatz 1 - "Du sprichst mit einer Maschine": KI-Systeme, die unmittelbar mit Menschen interagieren, müssen so gebaut sein, dass die Person das erfährt. Ausgenommen, wenn es ohnehin offensichtlich ist. Betrifft also vor allem Chatbots und Sprachassistenten.
- Absatz 2 - die unsichtbare Markierung: Das ist die Regel, um die es hier geht. Sie richtet sich an die Anbieter der KI-Systeme und verlangt eine maschinenlesbare Kennzeichnung. Für Leser bleibt sie unsichtbar.
- Absatz 4 - der sichtbare Hinweis: Nur hier geht es um eine Offenlegung gegenüber Menschen, und nur in zwei Fällen. Erstens bei Deepfakes, also erzeugten oder manipulierten Bild-, Ton- und Videoinhalten. Zweitens bei KI-erzeugtem oder manipuliertem Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Bei erkennbar künstlerischen, satirischen oder fiktionalen Werken beschränkt sich die Pflicht darauf, das Vorhandensein solcher Inhalte angemessen offenzulegen, ohne den Genuss des Werks zu beeinträchtigen.
Wer den Verhaltenskodex unterschrieben hat
Die Kommission hat am 31. Juli 2026 eine Bilanz samt vollständiger Unterzeichnerliste veröffentlicht. Danach haben rund 190 Organisationen den Kodex unterzeichnet, etwa die Hälfte davon kleine und junge Unternehmen. Der Kodex hat zwei Abschnitte, die einzeln unterzeichnet werden können: Abschnitt 1 richtet sich an Anbieter, Abschnitt 2 an Betreiber. Abschnitt 1 zählt 82 Unterzeichner, Abschnitt 2 deren 152.
In Abschnitt 1 finden sich neben Anthropic unter anderem OpenAI, Google, Meta, Microsoft, Mistral, Cohere, Aleph Alpha, Black Forest Labs und Synthesia. Abschnitt 2 wurde unter anderem von Bulgari, Getty Images, Iberdrola, Lenovo und der Deutschen Lufthansa unterzeichnet. Kommission und KI-Ausschuss haben den Kodex als angemessenes Nachweisinstrument bewertet. Ab September 2026 sollen zwei Arbeitsgruppen der Unterzeichner die praktische Umsetzung begleiten.
Eine Ausnahme, die viele übersehen
Artikel 50 Absatz 2 endet mit einer Einschränkung: Die Pflicht greift nicht, soweit das KI-System lediglich eine unterstützende Funktion für die Standardbearbeitung erfüllt oder die eingegebenen Daten und deren Bedeutung nicht wesentlich verändert.
Im Klartext: Wer seinen eigenen Text von einer KI Korrektur lesen, übersetzen oder zusammenfassen lässt, fällt möglicherweise gar nicht unter die Markierungspflicht, weil die KI hier nur assistiert. Anthropic markiert diese Fälle trotzdem, weil das Wasserzeichen auf Modellebene sitzt. Das Unternehmen benennt genau diese Konstellation an anderer Stelle selbst als Grenze der Aussagekraft: Ein Text könne eine Claude-Markierung tragen, obwohl die zugrundeliegenden Ideen von einem Menschen stammten.
Zwei Techniken für zwei Arten von Inhalten
| Kennzeichnung | Gilt für | Funktionsweise | Wann das Signal verloren geht |
|---|---|---|---|
| Wasserzeichen im Text | Texte aus Claude-Modellen, die die Kennzeichnung unterstützen | Ein für Menschen nicht wahrnehmbares statistisches Muster, das direkt beim Schreiben entsteht | Bei starker Umformulierung, Übersetzung, Vermischung mit anderem Text oder sehr kurzen Passagen |
| C2PA-Herkunftsdaten | Dateien, z. B. .svg, .png, .jpg |
Digital signierte Zusatzinformationen nach einem offenen Industriestandard, die an die Datei angehängt werden | Bei Screenshots, Formatumwandlung oder erneutem Abspeichern |
C2PA steht für Coalition for Content Provenance and Authenticity, ein Branchenbündnis, das ein einheitliches Format für Herkunftsangaben in Dateien entwickelt hat. Man kann es sich wie einen fälschungssicheren Aufkleber vorstellen: Er verrät, welches Programm die Datei bearbeitet hat, und lässt erkennen, ob jemand nachträglich daran manipuliert hat. Wie bei jedem Aufkleber gilt: Wer ihn abreißt, ist ihn los. Ein Screenshot reicht.
Wie ein unsichtbares Text-Wasserzeichen funktioniert
Bei Bildern ist die Sache anschaulich. Aber wie versteckt man ein Signal in reinem Text, ohne dass sich der Text verändert?
Wichtig vorweg: Anthropic hat bislang nicht offengelegt, welches Verfahren zum Einsatz kommt. Angekündigt ist lediglich eine technische Dokumentation zu einem späteren Zeitpunkt. Ein vielbeachtetes Verfahren aus der Forschung stammt von einem Team der University of Maryland und wurde 2023 unter dem Titel "A Watermark for Large Language Models" auf der Konferenz ICML vorgestellt. Es funktioniert so:
Ein Sprachmodell schreibt nicht wortweise, sondern in Token - kleinen Bausteinen, meist ein Wort oder eine Silbe. Bei jedem Schritt hat das Modell tausende Möglichkeiten, wie es weitergehen könnte, und wählt eine davon aus. Genau in dieser Wahlfreiheit steckt der Platz für das Wasserzeichen:
- Schritt 1 - würfeln: Bevor der nächste Baustein ausgewählt wird, berechnet ein Zufallsgenerator aus dem vorangegangenen Baustein einen Wert. Wichtig ist nur: Wer denselben Text vor sich hat, kommt später auf denselben Wert.
- Schritt 2 - teilen: Anhand dieses Werts wird der gesamte Wortschatz in zwei Gruppen geteilt, eine "grüne" und eine "rote". Bei jedem Baustein sieht diese Aufteilung anders aus.
- Schritt 3 - schubsen: Beim Auswählen erhalten die grünen Bausteine einen kleinen Bonus. Sie sind nicht vorgeschrieben und die roten sind nicht verboten, grün wird lediglich etwas wahrscheinlicher. Die Autoren beziffern die Auswirkung auf die Textqualität als vernachlässigbar, beschreiben aber einen Zielkonflikt: Je stärker der Bonus, desto sicherer der Nachweis und desto größer der Eingriff in den Text.
- Schritt 4 - nachzählen: Ein Prüfprogramm rechnet dieselbe Aufteilung nach und zählt, wie viele grüne Bausteine im Text stehen. Bei einem Menschen liegt der Anteil beim Zufallswert. Liegt er deutlich darüber, ist das ein starkes statistisches Indiz. Das Ergebnis wird als p-Wert ausgegeben, also als Wahrscheinlichkeit, dass reiner Zufall dieses Muster erzeugt hat.
Laut Abstract des Papers braucht die Prüfung weder Zugriff auf die Programmierschnittstelle des Modells noch auf dessen Parameter. Man braucht aber den Schlüssel, mit dem die grün-rot-Aufteilung berechnet wurde. Solange nur der Hersteller ihn kennt, kann auch nur der Hersteller prüfen. Ein öffentliches Werkzeug hat Anthropic bisher nicht bereitgestellt.
Was die anderen Anbieter machen
Anthropic ist beim Text-Wasserzeichen nicht der Erste. Der Stand bei den großen Anbietern ist sehr unterschiedlich, und öffentlich dokumentiert ist er nur teilweise.
Google ist am weitesten. Der Konzern beschreibt auf der SynthID-Seite von Google DeepMind, dass digitale Wasserzeichen in KI-erzeugte Bilder, Audio, Text und Video eingebettet würden. Für Text heißt es dort, man habe SynthID auf Text aus der Gemini-App und der Weboberfläche ausgeweitet. Die Funktionsweise beschreibt Google selbst so: Ein Sprachmodell erzeuge Text Baustein für Baustein, jeder möglichen Fortsetzung werde ein Wahrscheinlichkeitswert zugewiesen, und SynthID passe diese Wahrscheinlichkeitswerte an, um daraus ein Wasserzeichen zu bilden. Die Qualität der Ausgabe leide darunter nicht.
Beim Nachweisen ist Google ebenfalls weiter, aber nicht offen: Wer ein Bild, Video oder eine Audiodatei in Gemini hochlädt, kann nachfragen, ob Google-KI im Spiel war. Für den Textnachweis ist auf der Seite kein entsprechender Weg beschrieben. Ein eigenes Prüfportal, der SynthID Detector, wird laut Google derzeit gemeinsam mit Journalisten und Medienschaffenden getestet, der Zugang läuft über eine Warteliste.
OpenAI hat Abschnitt 1 des Kodex unterzeichnet, ein eingesetztes Text-Wasserzeichen ist öffentlich aber nicht dokumentiert. Aufschlussreich ist die Schilderung von Scott Aaronson, der das Verfahren während einer zweijährigen Auszeit bei OpenAI selbst entwickelt hat. In einem Vortragstext vom Dezember 2025 schreibt er, OpenAI habe seine Methode nie ausgeliefert, unter anderem aus Sorge um das Produkt und weil Kunden zur Konkurrenz abwandern könnten. Google DeepMind habe dagegen mit SynthID etwas sehr Ähnliches ausgerollt, gebe das Prüfwerkzeug aber nur zurückhaltend heraus.
Was ausserhalb dieser drei passiert, ist weitgehend unbekannt. Meta, Microsoft, Mistral, Cohere und Aleph Alpha haben ebenfalls Abschnitt 1 unterzeichnet. Ob und wie sie Text bereits kennzeichnen, ist nicht öffentlich dokumentiert. Belastbare Aussagen dazu sind derzeit nicht möglich.
Was offen bleibt
Kein Verfahren genannt: Ob Claude nach dem beschriebenen oder einem anderen Prinzip arbeitet, ist nicht bekannt. Dass es unterschiedliche Wege gibt, zeigt schon der Vergleich der Beschreibungen: Google spricht davon, Wahrscheinlichkeiten anzupassen. Aaronson beschreibt sein eigenes Verfahren dagegen so, dass die Wahrscheinlichkeiten unverändert blieben und nur deren Nutzung geändert werde. Wie sich das zueinander verhält, lässt sich von außen nicht klären.
Kein Detektor: Anthropic kündigt Prüfwerkzeuge an, nennt aber keinen Termin. Bis dahin lässt sich von außen nicht überprüfen, ob und wie gut das Wasserzeichen funktioniert.
Was der Wegbereiter über die Grenzen sagt
Aaronsons Text ist auch deshalb lesenswert, weil er die Schwächen offen benennt. Sein Ansatz nutze die Tatsache, dass ein Sprachmodell auf dieselbe Anfrage sehr viele verschiedene Antworten geben könne. Ein Teil dieser Beliebigkeit werde durch ein berechenbares Muster ersetzt. Wer den Schlüssel besitze, könne ein Dokument mit über 99,9 Prozent Konfidenz zuordnen.
Am aufschlussreichsten ist seine Beschreibung der Umgehung: Man lasse den Text auf Französisch erzeugen und schicke ihn anschließend durch einen Übersetzungsdienst, dann sei das Wasserzeichen weg. Als eigentliche Forschungsfrage bezeichnet er deshalb, ob sich ein Wasserzeichen auf der Ebene der Bedeutung verankern lasse, robust gegen Übersetzung und Umformulierung. Eine Antwort darauf gebe es bislang nicht. Und wo es keine Wahlfreiheit gebe, etwa bei Standardformulierungen oder sehr kurzen Passagen, sei schlicht kein Platz für ein Signal.
Wo die Kennzeichnung bei Claude gilt
- Eigene Produkte: Claude im Web, die API-Plattform, Claude Code, Claude Cowork und Claude Tag.
- Cloud-Partner: Auch bei Aufrufen über AWS, Google Cloud und Microsoft Foundry greife das Text-Wasserzeichen. Die signierten Herkunftsdaten hingen davon ab, welche Dateifunktionen die jeweilige Plattform biete.
- Ältere Modelle: Claude-Modelle, die vor dem 2. August 2026 erschienen sind, tragen die Kennzeichnung noch nicht. Anthropic arbeite daran, sie nachzurüsten. Die Kommission schreibt in ihrer FAQ, die von den Gesetzgebern vereinbarte Vereinfachung der KI-Regeln ("AI Omnibus") sehe für Systeme, die vor diesem Datum auf den Markt kamen, eine Übergangsfrist bis zum 2. Dezember 2026 vor. Sie formuliert das ausdrücklich unter dem Vorbehalt der endgültigen Annahme.
- Nichts rückwirkend: In derselben FAQ hält die Kommission fest, dass KI-erzeugte oder manipulierte Ausgaben, die vor dem 2. August 2026 erzeugt und bereits verfügbar gemacht wurden, nicht nachträglich gekennzeichnet werden müssen. Das ist eine Auslegung der Kommission, im Verordnungstext selbst steht dazu nichts.
Was ein gefundenes Wasserzeichen beweist - und was nicht
Es ist kein Urheberbeleg. Ein Fund zeigt, dass Inhalt möglicherweise durch Claude gelaufen ist. Wer seinen eigenen Text übersetzen oder redigieren lässt, bleibt der Autor der Gedanken, obwohl das Ergebnis das Signal trägt. Anthropic schreibt das selbst.
Ein fehlendes Wasserzeichen beweist nichts. Der Text kann von einem älteren Modell stammen, umgeschrieben, übersetzt oder mit anderem Material vermischt worden sein. Oder er ist schlicht zu kurz für ein verlässliches Signal.
Als Betrugserkennung taugt das System nicht. Weder in der Schule noch in der Personalabteilung. Es ist ein Herkunftshinweis, kein Beweismittel.
🎯 Was das für die Praxis bedeutet
1. Wer selbst veröffentlicht, hat eine eigene Pflicht - oft aber eine Ausnahme: Nach Artikel 50 Absatz 4 der KI-Verordnung müssen Betreiber offenlegen, wenn sie KI-erzeugten oder manipulierten Text veröffentlichen, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Die Pflicht entfällt, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt. Ob das im Einzelfall greift, gehört mit dem eigenen Rechtsbeistand geklärt.
2. Wer Claude in ein eigenes Produkt einbaut, wird selbst zum Anbieter: Die Pflicht aus Absatz 2 trifft Anbieter von KI-Systemen. Anbieter bloßer Modelle sind laut Kommissions-FAQ nicht unmittelbar gebunden. Anthropic schreibt entsprechend, wer Claude im eigenen Produkt einsetze, solle unabhängig bewerten, was Artikel 50 von diesem Produkt verlange.
3. Bildbearbeitung so aufsetzen, dass die Herkunftsdaten überleben: Automatische Verkleinerungs- oder Konvertierungsschritte entfernen C2PA-Daten oft unbemerkt. Wer die Nachweiskette braucht, sollte seine Verarbeitungsschritte einmal darauf prüfen.
4. Keine Personalentscheidung auf einen Wasserzeichen-Fund stützen: Weder Anwesenheit noch Fehlen des Signals sagt etwas Belastbares über Urheberschaft aus. Wer daraus Konsequenzen für Mitarbeiter, Bewerber oder Auftragnehmer ableitet, steht auf sehr dünnem Eis.
5. Den Anbieterwechsel mitdenken: Wer heute Texte aus verschiedenen Modellen mischt, hat je nach Herkunft unterschiedliche oder gar keine Signale im Ergebnis. Einen anbieterübergreifenden Nachweis gibt es nicht.
