KI verändert Bilder – aber muss das gekennzeichnet werden?

Warum Datenschutz und AI Act unterschiedliche Fragen beantworten

In unserem letzten Beitrag haben wir gezeigt, dass ein Widerspruch oder der Widerruf einer Einwilligung nicht automatisch bedeutet, dass jede weitere Nutzung personenbezogener Daten ausgeschlossen ist. Am Beispiel von Fotos wurde deutlich: Wird eine Person vollständig aus einem Bild entfernt und ist anschließend nicht mehr identifizierbar, kann die datenschutzrechtliche Bewertung anders ausfallen als bei der ursprünglichen Aufnahme.

Mit dem zunehmenden Einsatz künstlicher Intelligenz rückt jedoch ein weiterer Aspekt in den Fokus: Muss ein so bearbeitetes Bild zusätzlich nach dem AI Act gekennzeichnet werden?

Zwei Gesetze – zwei unterschiedliche Fragen

Ob ein Bild mit künstlicher Intelligenz bearbeitet wurde, ist zunächst keine datenschutzrechtliche Frage.

Die DSGVO beschäftigt sich damit,

• ob personenbezogene Daten verarbeitet werden,
• ob hierfür eine Rechtsgrundlage besteht
• und welche Rechte betroffene Personen haben.

Der AI Act verfolgt dagegen ein anderes Ziel.

Hier geht es darum, Transparenz beim Einsatz künstlicher Intelligenz zu schaffen. Unter bestimmten Voraussetzungen sollen Betrachter erkennen können, wenn Inhalte mithilfe eines KI-Systems erzeugt oder wesentlich verändert wurden.

Deshalb reicht es nicht aus, nur die DSGVO oder nur den AI Act zu betrachten.

Wann gilt die Transparenzpflicht nach Art. 50 AI Act?

Art. 50 AI Act sieht für bestimmte KI generierte oder wesentlich KI manipulierte Bild, Audio oder Videoinhalte Transparenzpflichten vor. Damit sollen Betrachter erkennen können, wenn künstliche Intelligenz Inhalte erzeugt oder in einer Weise verändert hat, die geeignet ist, den Eindruck eines echten oder unveränderten Inhalts zu vermitteln. Gleichzeitig soll verhindert werden, dass manipulierte Inhalte unbemerkt für authentisch gehalten werden.

Dabei ist jedoch wichtig: Nicht jede Bearbeitung mit KI löst automatisch eine Kennzeichnungspflicht aus. Maßgeblich sind insbesondere Art und Umfang der Veränderung sowie der konkrete Einsatzzweck.

Was ist überhaupt eine wesentliche Veränderung?

Genau hier entstehen derzeit die meisten Missverständnisse.

Nicht jede Bildbearbeitung ist automatisch eine KI-Manipulation im Sinne des AI Act.

Typische Beispiele, die regelmäßig keine wesentliche Veränderung darstellen können, sind etwa:

• Helligkeit anpassen,
• Kontraste verändern,
• Farben optimieren,
• Bildrauschen entfernen,
• kleinere Retuschen
• oder das Zuschneiden eines Bildes.

Anders verhält es sich beispielsweise, wenn

• Personen entfernt oder ergänzt,
• Gesichter ausgetauscht,
• Hintergründe vollständig ersetzt,
• Gegenstände eingefügt
• oder realistische Bildinhalte neu erzeugt werden.

Ausschlaggebend ist dabei nicht allein der Einsatz künstlicher Intelligenz. Vielmehr kommt es darauf an, ob sich der Aussagegehalt oder die Wahrnehmung des Fotos durch die Bearbeitung wesentlich verändert.

In solchen Fällen ist zu prüfen, ob der Eindruck eines unveränderten Fotos entsteht und deshalb die Transparenzpflicht nach Art. 50 AI Act zu prüfen ist.

Unser Praxisbeispiel aus dem vorherigen Beitrag

Ein Beschäftigter widerruft seine Einwilligung zur Veröffentlichung eines Gruppenfotos. Das Unternehmen entscheidet sich, das Bild nicht vollständig zu löschen, sondern die Person mithilfe eines KI-Bildeditors aus dem Foto zu entfernen.

Aus Sicht der DSGVO ist zunächst zu prüfen, ob die betroffene Person auf der bearbeiteten Aufnahme überhaupt noch identifizierbar ist. Ist dies nicht mehr der Fall, kann die ursprüngliche personenbezogene Verarbeitung beendet sein.

Damit ist die datenschutzrechtliche Prüfung jedoch nicht zwangsläufig abgeschlossen. Denn unabhängig davon stellt sich eine zweite Frage: Führt die KI-Bearbeitung zu einer Transparenzpflicht nach Art. 50 AI Act?

Wird beispielsweise lediglich ein Mitarbeitender aus einem Gruppenfoto entfernt und entsteht dadurch kein irreführender oder täuschender Eindruck, wird eine Transparenzkennzeichnung regelmäßig nicht erforderlich sein.

Die Entfernung einer einzelnen Person führt nicht automatisch dazu, dass sich der Aussagegehalt eines Bildes wesentlich verändert. Anders kann dies aussehen, wenn die Bearbeitung das Bild inhaltlich neu gestaltet oder einen anderen Gesamteindruck vermittelt. Dies kann beispielsweise der Fall sein, wenn Personen ergänzt oder ausgetauscht, ganze Szenen verändert oder vollständig neue Bildinhalte erzeugt werden. In diesen Fällen sollte sorgfältig geprüft werden, ob die Transparenzpflicht nach Art. 50 AI Act greift.

Die beiden Prüfungen sollten daher immer getrennt erfolgen: Die DSGVO beantwortet die Frage, ob personenbezogene Daten verarbeitet werden. Der AI Act beantwortet die Frage, ob der Einsatz künstlicher Intelligenz gegenüber Dritten transparent gemacht werden muss.

Wann muss gekennzeichnet werden?

Unternehmen sollten insbesondere prüfen,

• ob KI zur Bildbearbeitung eingesetzt wurde,
• ob die Aufnahme lediglich technisch optimiert oder inhaltlich wesentlich verändert wurde,
• ob dadurch für Betrachter der Eindruck eines echten oder unveränderten Fotos entstehen kann,
• und ob sich daraus eine Transparenzpflicht nach Art. 50 AI Act in Betracht kommt.

Als Faustregel gilt: Je stärker KI den Inhalt einer Aufnahme verändert und je realistischer das Ergebnis wirkt, desto eher sollte geprüft werden, ob eine Transparenzpflicht nach Art. 50 AI Act besteht. Reine technische Optimierungen wie Helligkeits- oder Farbkorrekturen werden regelmäßig anders zu bewerten sein als das Entfernen oder Austauschen von Personen oder das Erzeugen vollständig neuer Bildinhalte.

DSGVO und AI Act im Vergleich

Hinweis: Dieses Schaubild wurde mit Unterstützung künstlicher Intelligenz erstellt und anschließend durch unsere Datenschutz- und KI-Experten fachlich geprüft und überarbeitet.

Das Schaubild dient als erste Orientierung und ersetzt keine rechtliche Einzelfallprüfung. Gerade bei Marketingmaßnahmen oder öffentlichkeitswirksamen Veröffentlichungen empfiehlt sich eine sorgfältige Bewertung der konkreten Bildbearbeitung.

Was Unternehmen jetzt prüfen sollten

Aus unserer Beratungspraxis empfiehlt sich insbesondere,

• Datenschutz und AI Act getrennt zu bewerten,
• den Einsatz von KI zur Bildbearbeitung zu dokumentieren,
• zu prüfen, ob Personen nach der Bearbeitung noch identifizierbar sind,
• Marketing- und HR-Abteilungen für die neuen Transparenzpflichten zu sensibilisieren,
• verbindliche interne Prozesse für die Freigabe KI-bearbeiteter Bilder einzuführen,
• und Verantwortlichkeiten für die Kennzeichnung künstlich veränderter Inhalte zu definieren.

Da KI-Bildbearbeitungsfunktionen mittlerweile in vielen Standardprogrammen integriert sind, werden entsprechende Änderungen häufig vorgenommen, ohne dass die rechtlichen Auswirkungen ausreichend berücksichtigt werden.

Fazit

Die Integration von KI-Bildbearbeitung in gängige Software erleichtert Unternehmen zahlreiche Arbeitsabläufe. Gleichzeitig entstehen dadurch neue datenschutzrechtliche und regulatorische Fragestellungen, die häufig unterschätzt werden.

Kurz gesagt: Die DSGVO beantwortet die Frage, ob personenbezogene Daten verarbeitet werden dürfen. Der AI Act beantwortet die Frage, ob der Einsatz künstlicher Intelligenz gegenüber Dritten transparent gemacht werden muss.

Unsere Erfahrung zeigt, dass diese beiden Prüfungen häufig miteinander vermischt werden. Wer beide Regelungsbereiche sauber voneinander trennt und die entsprechenden Anforderungen frühzeitig in bestehende Prozesse einbindet, schafft mehr Rechtssicherheit und reduziert das Risiko späterer Anpassungen.