KI Bilder kennzeichnen: Anleitung in 4 Schritten (EU AI Act 2026)

Stand: 21. Juli 2026

Sie möchten KI Bilder kennzeichnen, wissen aber nicht, was ab dem 2. August 2026 technisch und rechtlich wirklich verlangt ist? Diese Anleitung führt Sie in vier nummerierten Schritten durch den vollständigen Prozess, vom sichtbaren EU-Icon über die maschinenlesbare Einbettung bis zum revisionssicheren Nachweis. Sie ist bewusst praxisnah gehalten: mit konkreten Beispielen, typischen Grenzfällen und einer Übersicht, welche Plattformen Ihre Kennzeichnung beim Upload zerstören. Ab diesem Datum greifen die Transparenzpflichten aus Artikel 50 der KI-Verordnung (EU AI Act), wer KI-generierte Bilder veröffentlicht, sollte den Ablauf bis dahin sicher beherrschen.

Das Wichtigste in Kürze

• Zwei Ebenen sind Pflicht-relevant: ein für Menschen sichtbares KI-Label am Bild selbst (nicht im Footer) und eine maschinenlesbare Markierung in der Datei.
• Stichtag ist der 2. August 2026. Die sichtbare Betreiber-Kennzeichnung (Art. 50 Abs. 4) gilt ab diesem Tag ohne Aufschub.
• Für Shops, D2C-Marken und Marketingteams gilt: Sie sind in der Regel Betreiber (Deployer), Sie müssen Deepfakes und irreführend echte KI-Bilder sichtbar offenlegen.
• Metadaten allein genügen nicht: Viele Plattformen entfernen sie beim Upload. Deshalb ist das ins Pixelbild eingebrannte Icon die verlässlichste Ebene.
• Bußgeld-Risiko: bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes.
• In einem Durchgang erledigt: sichtbares EU-Icon, IPTC/XMP-Metadaten, C2PA, Wasserzeichen, Prüfung und Nachweis-Register mit dem kostenlosen Tool von KI-Kennzeichnung.

Inhalt

1. Wer muss KI-Bilder kennzeichnen, und wer nicht?
2. Schritt 1: Sichtbares EU-Icon setzen
3. Schritt 2: Maschinenlesbar einbetten
4. Schritt 3: Nach dem Upload prüfen
5. Schritt 4: Nachweis dokumentieren
6. Grenzfälle: Retusche, Symbolbilder, Stockfotos
7. Zusammenfassung & Checkliste
8. Häufige Fragen (FAQ)

Eine ausführliche Einordnung der Rechtslage finden Sie im Überblicksbeitrag zur KI-Kennzeichnungspflicht nach dem EU AI Act. Hier geht es rein um die Praxis: wie Sie ein KI-Bild richtig kennzeichnen.

Wer muss KI-Bilder kennzeichnen, und wer nicht?

Kurz vorab, damit Sie den Aufwand richtig einordnen. Die Kennzeichnungspflicht für KI-Bilder greift, sobald Sie KI-generierte oder KI-veränderte Inhalte öffentlich verbreiten. Die KI-Verordnung unterscheidet dabei zwei Rollen:

• Anbieter (Provider) eines KI-Systems, etwa der Betreiber eines Bildgenerators, müssen synthetische Outputs technisch so markieren, dass sie maschinenlesbar als KI erkennbar sind. Die Markierung muss „wirksam, interoperabel, robust und zuverlässig, soweit technisch machbar" sein (Art. 50 Abs. 2).
• Betreiber (Deployer), also Unternehmen, Shops und Marketingteams, die ein Tool wie Midjourney, DALL·E oder Nano Banana nutzen, müssen Deepfakes und täuschend echte KI-Bilder sichtbar offenlegen (Art. 50 Abs. 4). Ein leichterer Standard gilt für erkennbar künstlerische, satirische oder fiktionale Werke.

Für die allermeisten Leserinnen und Leser gilt: Sie sind Deployer. Die Details zur Abgrenzung stehen im Beitrag Provider oder Deployer, Pflichten nach Art. 50 KI-VO. Praktisch heißt das: Sie sind auf der sicheren Seite, wenn Sie beide Ebenen bedienen, das sichtbare Label und die maschinenlesbaren Metadaten. Genau das leistet die folgende Anleitung.

Ein konkretes Beispiel: Ein Modeshop generiert mit KI ein Lifestyle-Foto, auf dem ein fiktives Model die neue Kollektion trägt. Das Bild sieht aus wie eine echte Fotoproduktion, also besteht Täuschungspotenzial und die sichtbare Offenlegungspflicht greift. Nutzt derselbe Shop KI nur, um bei einem echten Produktfoto Staub zu entfernen, liegt kein kennzeichnungspflichtiger Deepfake vor. Zwischen diesen Polen liegen die Grenzfälle, die wir weiter unten auflösen.

Der Aufwand lohnt sich auch aus Haftungssicht: Bei Verstößen gegen die KI-Verordnung drohen Bußgelder von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes (EU-Leitlinien zu den Transparenzpflichten). Wie sich Bußgeld und Abmahnung im Detail unterscheiden, lesen Sie unter KI-Kennzeichnung: Strafe & Abmahnung sowie zur Fristensystematik unter AI-Act-Fristen & Bußgelder.

Hinweis zur Frist: Der Kern-Stichtag 2. August 2026 steht fest. Die maschinenlesbare Markierung für Systeme, die vor diesem Datum in Verkehr gebracht wurden, ist im Rahmen des „Digital Omnibus" (Stand Mai 2026, vorläufig) auf den 2. Dezember 2026 aufgeschoben. Die sichtbare Betreiber-Kennzeichnung (Abs. 4) ist nicht verschoben, sie gilt ab dem 2. August 2026.

Schritt 1: Sichtbares EU-Icon auf das Bild setzen

Die erste und wichtigste Ebene ist das, was Ihr Publikum direkt sieht. Ein Hinweis, der nur im Impressum oder im Footer der Seite steht, reicht nicht, die Kennzeichnung muss am Inhalt selbst erfolgen und ohne technisches Hilfsmittel erkennbar sein.

Die EU-Kommission stellt dafür ein offizielles, aber optionales Icon-Set bereit. Es umfasst drei Motive, jeweils als SVG und PNG:

Die Nutzung ist freiwillig, aber empfohlen: Ein einheitliches, wiedererkennbares Symbol schafft mehr Vertrauen als selbstgebastelte Formulierungen und signalisiert Behörden wie Kundschaft Sorgfalt. Mehr zur Auswahl des richtigen Motivs lesen Sie unter EU-Icons für KI-Inhalte.

So gehen Sie vor:

1. Icon auswählen. Vollständig KI-generiertes Bild? Nutzen Sie das „fully AI-generated"-Icon. Nur teilweise KI-bearbeitet (z. B. Hintergrund ersetzt)? Dann das „partially AI-modified"-Motiv.
2. Platzierung wählen. Setzen Sie das Icon gut sichtbar in eine Ecke (üblich: unten rechts). Es darf nicht durch Zuschnitt, Sticker oder Overlays verdeckt werden, auch nicht, wenn die Plattform das Bild später automatisch beschneidet.
3. Kontrast sicherstellen. Auf hellem Hintergrund die dunkle Variante, auf dunklem die helle, das Label muss lesbar bleiben, sonst gilt es als nicht wahrnehmbar.
4. Optional Text ergänzen. Ein knapper Zusatz wie „KI-generiert" erhöht die Klarheit. Vage Begriffe wie „Symbolbild", „Digital Art" oder „bearbeitet" gelten dagegen nicht als ausreichende KI-Kennzeichnung.

Mit dem kostenlosen Web-Tool von KI-Kennzeichnung ziehen Sie das offizielle EU-Icon per Drag & Drop auf Ihr Bild und exportieren die gekennzeichnete Datei in Sekunden, ohne Bildbearbeitungsprogramm und ohne dass Ihr Bild auf fremden Servern landet. Auch bewegte Inhalte lassen sich so kennzeichnen; die Vorgehensweise für Clips beschreibt der Beitrag KI-Videos kennzeichnen.

Schritt 2: Kennzeichnung maschinenlesbar einbetten

Das sichtbare Icon deckt die Offenlegung gegenüber Menschen ab. Für Suchmaschinen, Plattformen und Prüf-Tools braucht es zusätzlich eine maschinenlesbare KI-Kennzeichnung, eine Information, die unsichtbar in der Datei steckt. Für Anbieter ist das Pflicht (Art. 50 Abs. 2); für Betreiber ist es die technisch saubere Absicherung. In der Praxis erfüllen das drei etablierte Verfahren:

Am robustesten ist die Kombination: IPTC/XMP als breit unterstützter Standard, C2PA für die manipulationssichere Herkunftskette und optional ein Wasserzeichen als zusätzliche Absicherung. So bleibt selbst dann noch eine Ebene erhalten, wenn eine Plattform eine der anderen entfernt. Wie diese Formate zusammenspielen, erklärt der Beitrag C2PA, IPTC & Wasserzeichen: maschinenlesbar kennzeichnen.

Wichtig: Metadaten schreiben Sie nicht zuverlässig mit Bordmitteln. Übliche Bildbearbeitung setzt das korrekte DigitalSourceType-Feld in der Regel nicht, und ein manuell ins Kommentarfeld getippter Hinweis erfüllt den Standard nicht. Ein spezialisiertes Werkzeug übernimmt das: Bei KI-Kennzeichnung werden IPTC/XMP-Felder und optional C2PA plus Wasserzeichen in einem Durchgang zusammen mit dem sichtbaren Label eingebettet, lokal im Browser und ohne Upload auf fremde Server.

Schritt 3: Prüfen, ob die Plattform die Kennzeichnung entfernt

Jetzt kommt der Schritt, den fast alle übersehen, und der über Erfolg oder Scheitern Ihrer Kennzeichnung entscheidet. Viele Plattformen strippen Metadaten beim Upload: Sie komprimieren das Bild neu, benennen es um und entfernen dabei EXIF-, XMP- und teils auch C2PA-Daten. Ihre sorgfältig eingebettete Kennzeichnung ist danach unter Umständen weg, während das eingebrannte Icon bleibt.

Die grobe Tendenz nach Kanal:

Diese Werte sind Erfahrungswerte und können sich je nach Format und Zeitpunkt ändern, deshalb gilt: Nach dem Upload prüfen, nicht davor annehmen.

1. Testbild hochladen. Veröffentlichen Sie ein gekennzeichnetes Bild auf dem Zielkanal (Website, Shop, Social-Media-Plattform).
2. Datei zurückladen und verifizieren. Laden Sie die veröffentlichte Version herunter und prüfen Sie mit einem C2PA-Viewer oder der Datei-prüfen-Funktion, ob Icon und Metadaten erhalten sind.
3. Ergebnis bewerten:
   • Sichtbares Icon erhalten, Metadaten weg → Ihr Bild ist gegenüber Menschen weiterhin korrekt gekennzeichnet. Das sichtbare Label ist ins Pixelbild eingebrannt und überlebt die Kompression. Für die Betreiber-Pflicht (Abs. 4) ist das entscheidend.
   • Beides erhalten → optimal.
   • Icon durch Zuschnitt verdeckt → Platzierung anpassen und erneut testen.

Der praktische Merksatz: Verlassen Sie sich nie allein auf die Metadaten, wenn die Zielplattform sie entfernt. Das ins Bild eingebrannte, sichtbare EU-Icon ist die Ebene, die keine Plattform wegkomprimieren kann, und der Grund, warum Schritt 1 und Schritt 2 zusammengehören.

Ein verbreiteter Irrtum betrifft Social Media: Das automatische „Mit KI erstellt"-Label von Instagram oder TikTok ist eine Funktion der Plattform-AGB, kein Ersatz für die gesetzliche Kennzeichnung nach Art. 50. Wie Sie beides sauber trennen, steht im Beitrag KI-Werbung auf Meta, Instagram & Ads kennzeichnen. Für Produktbilder auf Marktplätzen gelten teils eigene Vorgaben, dazu KI-Produktbilder für Amazon & eBay kennzeichnen und allgemein KI-Kennzeichnung im E-Commerce & Marketing.

Schritt 4: Nachweis dokumentieren

Kennzeichnen ist die eine Hälfte, belegen können, dass Sie gekennzeichnet haben, die andere. Bei einer Abmahnung oder behördlichen Nachfrage zählt, was Sie dokumentiert haben, nicht was Sie erinnern. Ein revisionssicherer Nachweis besteht aus:

• Prüfsumme (SHA-256) der gekennzeichneten Datei, identifiziert genau diese Version eindeutig und belegt, dass sie nicht nachträglich verändert wurde.
• Zeitstempel, wann die Kennzeichnung erfolgt ist.
• Verwendetes Verfahren, welches Icon, welche Metadaten-Felder, ob Wasserzeichen.
• Export als CSV oder Register-Eintrag für Ihre Compliance-Ablage.

Genau hier setzt das Kennzeichnungs-Register von KI-Kennzeichnung an: Jede gekennzeichnete Datei wird mit SHA-256-Hash und Zeitstempel protokolliert und lässt sich als Nachweis exportieren. Bei größeren Mengen verarbeitet die Batch-Funktion bis zu 50 Bilder auf einmal und liefert das Ergebnis als ZIP samt Registerprotokoll; über die REST-API binden Sie den Vorgang direkt in Ihren Publishing-Workflow ein. Das ist der Unterschied zu rein clientseitigen Overlay-Tools, die zwar ein Label malen, aber keinen Nachweis führen.

Ein dokumentierter Prozess schützt Sie doppelt: Er belegt Ihre Sorgfalt und macht Abläufe im Team wiederholbar. Eine kompakte Prüfliste für den gesamten Workflow finden Sie unter KI-Kennzeichnung Checkliste.

Grenzfälle: Retusche, Symbolbilder und Stockfotos

Die meisten Unsicherheiten entstehen nicht bei offensichtlich KI-generierten Bildern, sondern in der Grauzone dazwischen. Diese Übersicht ordnet typische Fälle ein:

Die Faustregel dahinter: Sobald ein Bild einen täuschend echten Eindruck erweckt oder Inhalte generativ hinzukommen, entsteht Offenlegungsbedarf. Kosmetische Korrekturen an einem real aufgenommenen Foto lösen die Pflicht dagegen nicht aus. Im Zweifel ist die Kennzeichnung der günstigere Weg, sie kostet Sekunden, ihr Fehlen kann eine Abmahnung kosten. Für die besondere Kategorie der Deepfakes gilt eine eigene, strengere Logik, die der Beitrag Deepfake-Kennzeichnung auflöst. Begriffe wie IPTC, C2PA oder DigitalSourceType schlagen Sie kompakt im KI-Kennzeichnung Glossar nach. Wie Sie neben Bildern auch Texte aus ChatGPT & Co. behandeln, zeigt KI-Texte kennzeichnen.

Zusammenfassung: KI Bilder kennzeichnen in vier Schritten

1. Sichtbares EU-Icon ins Bild einbrennen (überlebt Kompression und Metadaten-Stripping).
2. Maschinenlesbar einbetten, IPTC/XMP, optional C2PA und Wasserzeichen.
3. Nach dem Upload prüfen, ob die Plattform die Kennzeichnung entfernt.
4. Nachweis dokumentieren, SHA-256-Hash, Zeitstempel, Register-Export.

Kurz-Checkliste zum Abhaken:

• Richtiges Motiv gewählt (fully / partially / basic)?
• Icon gut sichtbar, kontrastreich, nicht verdeckt?
• IPTC/XMP-Feld DigitalSourceType gesetzt, optional C2PA + Wasserzeichen?
• Nach dem Upload gegengeprüft?
• Hash + Zeitstempel im Register abgelegt?

Alle vier Schritte in einem Durchlauf, sichtbares Label, Metadaten, Prüfung und Register, erledigen Sie kostenlos mit dem Tool auf ki-kennzeichnen.de.

Häufige Fragen (FAQ)

Muss ich KI-Bilder überhaupt kennzeichnen?

Ja, wenn Sie sie öffentlich verbreiten und sie einen Deepfake bzw. täuschend echten Eindruck erzeugen oder Sie als Betreiber unter Art. 50 Abs. 4 fallen. Für kommerzielle Nutzung, Shop, Werbung, Website, ist die Kennzeichnung ab dem 2. August 2026 der Standard. Rein private, nicht veröffentlichte Bilder sind nicht erfasst.

Ab wann gilt die Kennzeichnungspflicht für KI-Bilder?

Die Transparenzpflichten aus Artikel 50 gelten ab dem 2. August 2026. Die sichtbare Betreiber-Kennzeichnung greift ab diesem Tag ohne Aufschub. Nur die maschinenlesbare Markierung für vor diesem Datum in Verkehr gebrachte Systeme ist nach vorläufigem Digital-Omnibus-Stand auf den 2. Dezember 2026 verschoben.

Wie kennzeichne ich KI-generierte Bilder richtig?

In vier Schritten: sichtbares EU-Icon ins Bild setzen, maschinenlesbare Metadaten (IPTC/XMP, optional C2PA) einbetten, nach dem Upload prüfen, ob die Plattform die Kennzeichnung entfernt, und den Vorgang mit Hash und Zeitstempel dokumentieren. Ein bloßer Hinweis im Footer reicht nicht, die Kennzeichnung gehört an den Inhalt.

Wer ist verantwortlich, ich oder der Anbieter des KI-Tools?

Beide, auf unterschiedlichen Ebenen. Der Anbieter (Provider) muss den Output maschinenlesbar markieren (Abs. 2); Sie als Betreiber (Deployer) müssen die sichtbare Offenlegung sicherstellen (Abs. 4). Verlassen Sie sich nicht darauf, dass der Generator bereits alles erledigt hat, prüfen und ergänzen Sie selbst.

Muss ich mit KI retuschierte Bilder kennzeichnen?

Es kommt auf den Grad an. Kleine Korrekturen (Belichtung, Staubentfernung) sind in der Regel unkritisch. Sobald Bildinhalte generativ hinzugefügt, ersetzt oder verändert werden, greift die Kennzeichnungspflicht, dann nutzen Sie das „partially AI-modified"-Icon.

Reicht das automatische Label von Instagram oder TikTok aus?

Nein. Das Plattform-Label basiert auf den AGB des Anbieters und ist keine Erfüllung der gesetzlichen Pflicht aus Art. 50 KI-VO. Kennzeichnen Sie Ihr Bild selbst, bevor Sie es hochladen, und behandeln Sie das Plattform-Label nur als Zusatz.

Muss die Kennzeichnung maschinenlesbar sein?

Für Anbieter ja (Art. 50 Abs. 2). Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, ist diese Pflicht nach dem vorläufigen Digital-Omnibus-Stand (Mai 2026) auf den 2. Dezember 2026 aufgeschoben. Unabhängig davon ist die maschinenlesbare Einbettung technisch sinnvoll und empfohlen, weil sie Plattformen und Prüf-Tools die automatische Erkennung ermöglicht.

Was droht, wenn ich KI-Bilder nicht kennzeichne?

Bei Verstößen gegen die Transparenzpflichten sind Bußgelder von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes möglich. Hinzu kommt in Deutschland das Risiko wettbewerbsrechtlicher Abmahnungen. Details unter KI-Kennzeichnung: Strafe & Abmahnung.

Gibt es ein kostenloses Tool zum KI-Bilder-Kennzeichnen?

Ja. Das kostenlose Web-Tool von KI-Kennzeichnung setzt das offizielle EU-Icon per Drag & Drop, bettet IPTC/XMP-Metadaten (optional C2PA und Wasserzeichen) ein, prüft Dateien und führt ein Nachweis-Register mit SHA-256 und Zeitstempel, inklusive Batch-Verarbeitung (bis 50 Bilder als ZIP) und REST-API.

Quellen

• EU-Kommission, Leitlinien zu Transparenzpflichten: https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems
• EU-Kommission, EU-Icons zur Kennzeichnung KI-generierter Inhalte: https://digital-strategy.ec.europa.eu/en/policies/eu-icons-labelling-ai-generated-content
• Artikel 50 KI-Verordnung: https://artificialintelligenceact.eu/article/50/
• EU AI Act, Umsetzungs-Timeline: https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
• Sidley, EU AI Act Transparency Obligations: Preparing for Compliance by 2 August 2026: https://datamatters.sidley.com/2026/06/24/eu-ai-act-transparency-obligations-preparing-for-compliance-by-2-august-2026/
• Gibson Dunn, EU AI Act Omnibus Agreement (verschobene Fristen): https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/

Dieser Beitrag ersetzt keine Rechtsberatung. Für Ihren konkreten Fall konsultieren Sie bitte rechtlichen Rat.