KI Bilder kennzeichnen: Anleitung in 4 Schritten (EU AI Act 2026)

Stand: 21. Juli 2026

Du möchtest KI Bilder kennzeichnen, weißt aber nicht, was ab dem 2. August 2026 technisch und rechtlich wirklich verlangt ist? Diese Anleitung führt dich in vier nummerierten Schritten durch den vollständigen Prozess, vom sichtbaren EU-Icon über die maschinenlesbare Einbettung bis zum revisionssicheren Nachweis. Sie ist bewusst praxisnah gehalten: mit konkreten Beispielen, typischen Grenzfällen und einer Übersicht, welche Plattformen deine Kennzeichnung beim Upload zerstören. Ab diesem Datum greifen die Transparenzpflichten aus Artikel 50 der KI-Verordnung (EU AI Act), wer KI-generierte Bilder veröffentlicht, sollte den Ablauf bis dahin sicher beherrschen.

Das Wichtigste in Kürze

• Zwei Ebenen sind Pflicht-relevant: ein für Menschen sichtbares KI-Label am Bild selbst (nicht im Footer) und eine maschinenlesbare Markierung in der Datei.
• Stichtag ist der 2. August 2026. Die sichtbare Betreiber-Kennzeichnung (Art. 50 Abs. 4) gilt ab diesem Tag ohne Aufschub.
• Für Shops, D2C-Marken und Marketingteams gilt: Du bist in der Regel Betreiber (Deployer), du musst Deepfakes und irreführend echte KI-Bilder sichtbar offenlegen.
• Metadaten allein genügen nicht: Viele Plattformen entfernen sie beim Upload. Deshalb ist das ins Pixelbild eingebrannte Icon die verlässlichste Ebene.
• Bußgeld-Risiko: bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes.
• In einem Durchgang erledigt: sichtbares EU-Icon, IPTC/XMP-Metadaten, C2PA, Wasserzeichen, Prüfung und Nachweis-Register mit dem kostenlosen Tool von KI-Kennzeichnung.

Inhalt

1. Wer muss KI-Bilder kennzeichnen, und wer nicht?
2. Schritt 1: Sichtbares EU-Icon setzen
3. Schritt 2: Maschinenlesbar einbetten
4. Schritt 3: Nach dem Upload prüfen
5. Schritt 4: Nachweis dokumentieren
6. Grenzfälle: Retusche, Symbolbilder, Stockfotos
7. Zusammenfassung & Checkliste
8. Häufige Fragen (FAQ)

Eine ausführliche Einordnung der Rechtslage findest du im Überblicksbeitrag zur KI-Kennzeichnungspflicht nach dem EU AI Act. Hier geht es rein um die Praxis: wie du ein KI-Bild richtig kennzeichnest.

Wer muss KI-Bilder kennzeichnen, und wer nicht?

Kurz vorab, damit du den Aufwand richtig einordnest. Die Kennzeichnungspflicht für KI-Bilder greift nicht pauschal bei jeder Veröffentlichung, sondern in bestimmten Fällen, vor allem bei Deepfakes, also täuschend echt wirkenden Inhalten. Ob und wie sie dich trifft, hängt von deiner Rolle ab. Die KI-Verordnung unterscheidet dabei zwei Rollen:

• Anbieter (Provider) eines KI-Systems, etwa der Betreiber eines Bildgenerators, müssen synthetische Outputs technisch so markieren, dass sie maschinenlesbar als KI erkennbar sind. Die Markierung muss „wirksam, interoperabel, robust und zuverlässig, soweit technisch machbar" sein (Art. 50 Abs. 2).
• Betreiber (Deployer), also Unternehmen, Shops und Marketingteams, die ein Tool wie Midjourney, DALL·E oder Nano Banana nutzen, müssen Deepfakes und täuschend echte KI-Bilder sichtbar offenlegen (Art. 50 Abs. 4). Ein leichterer Standard gilt für erkennbar künstlerische, satirische oder fiktionale Werke.

Für die allermeisten Leserinnen und Leser gilt: Du bist Deployer. Die Details zur Abgrenzung stehen im Beitrag Provider oder Deployer, Pflichten nach Art. 50 KI-VO. Praktisch heißt das: Am besten abgesichert bist du, wenn du beide Ebenen bedienst, das sichtbare Label und die maschinenlesbaren Metadaten. Genau das leistet die folgende Anleitung.

Ein konkretes Beispiel: Ein Modeshop generiert mit KI ein Lifestyle-Foto, auf dem ein fiktives Model die neue Kollektion trägt. Das Bild sieht aus wie eine echte Fotoproduktion, also besteht Täuschungspotenzial und die sichtbare Offenlegungspflicht greift. Nutzt derselbe Shop KI nur, um bei einem echten Produktfoto Staub zu entfernen, liegt kein kennzeichnungspflichtiger Deepfake vor. Zwischen diesen Polen liegen die Grenzfälle, die wir weiter unten auflösen.

Der Aufwand lohnt sich auch aus Haftungssicht: Bei Verstößen gegen die KI-Verordnung drohen Bußgelder von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes (EU-Leitlinien zu den Transparenzpflichten). Wie sich Bußgeld und Abmahnung im Detail unterscheiden, liest du unter KI-Kennzeichnung: Strafe & Abmahnung sowie zur Fristensystematik unter AI-Act-Fristen & Bußgelder.

Hinweis zur Frist: Der Kern-Stichtag 2. August 2026 steht fest. Die maschinenlesbare Markierung für Systeme, die vor diesem Datum in Verkehr gebracht wurden, ist im Rahmen des „Digital Omnibus" (Stand Mai 2026, vorläufig) auf den 2. Dezember 2026 aufgeschoben. Die sichtbare Betreiber-Kennzeichnung (Abs. 4) ist nicht verschoben, sie gilt seit dem 2. August 2026.

Schritt 1: Sichtbares EU-Icon auf das Bild setzen

Die erste und wichtigste Ebene ist das, was dein Publikum direkt sieht. Ein Hinweis, der nur im Impressum oder im Footer der Seite steht, reicht nicht, die Kennzeichnung muss am Inhalt selbst erfolgen und ohne technisches Hilfsmittel erkennbar sein.

Die EU-Kommission stellt dafür ein offizielles, aber optionales Icon-Set bereit. Es umfasst drei Motive, jeweils als SVG und PNG:

Die Nutzung ist freiwillig, aber empfohlen: Ein einheitliches, wiedererkennbares Symbol schafft mehr Vertrauen als selbstgebastelte Formulierungen und signalisiert Behörden wie Kundschaft Sorgfalt. Mehr zur Auswahl des richtigen Motivs liest du unter EU-Icons für KI-Inhalte.

So gehst du vor:

1. Icon auswählen. Vollständig KI-generiertes Bild? Nutz das „fully AI-generated"-Icon. Nur teilweise KI-bearbeitet (z. B. Hintergrund ersetzt)? Dann das „partially AI-modified"-Motiv.
2. Platzierung wählen. Setze das Icon gut sichtbar in eine Ecke (üblich: unten rechts). Es darf nicht durch Zuschnitt, Sticker oder Overlays verdeckt werden, auch nicht, wenn die Plattform das Bild später automatisch beschneidet.
3. Kontrast sicherstellen. Auf hellem Hintergrund die dunkle Variante, auf dunklem die helle, das Label muss lesbar bleiben, sonst gilt es als nicht wahrnehmbar.
4. Optional Text ergänzen. Ein knapper Zusatz wie „KI-generiert" erhöht die Klarheit. Vage Begriffe wie „Symbolbild", „Digital Art" oder „bearbeitet" gelten dagegen nicht als ausreichende KI-Kennzeichnung.

Mit dem kostenlosen Web-Tool von KI-Kennzeichnung ziehst du das offizielle EU-Icon per Drag & Drop auf dein Bild und exportierst die gekennzeichnete Datei in Sekunden, ohne Bildbearbeitungsprogramm und ohne dass dein Bild auf fremden Servern landet. Auch bewegte Inhalte lassen sich so kennzeichnen; die Vorgehensweise für Clips beschreibt der Beitrag KI-Videos kennzeichnen.

Schritt 2: Kennzeichnung maschinenlesbar einbetten

Das sichtbare Icon deckt die Offenlegung gegenüber Menschen ab. Für Suchmaschinen, Plattformen und Prüf-Tools braucht es zusätzlich eine maschinenlesbare KI-Kennzeichnung, eine Information, die unsichtbar in der Datei steckt. Für Anbieter ist das Pflicht (Art. 50 Abs. 2); für Betreiber ist es die technisch saubere Absicherung. In der Praxis erfüllen das drei etablierte Verfahren:

Am robustesten ist die Kombination: IPTC/XMP als breit unterstützter Standard, C2PA für die manipulationssichere Herkunftskette und optional ein Wasserzeichen als zusätzliche Absicherung. So bleibt selbst dann noch eine Ebene erhalten, wenn eine Plattform eine der anderen entfernt. Wie diese Formate zusammenspielen, erklärt der Beitrag C2PA, IPTC & Wasserzeichen: maschinenlesbar kennzeichnen.

Wichtig: Metadaten schreibst du nicht zuverlässig mit Bordmitteln. Übliche Bildbearbeitung setzt das korrekte DigitalSourceType-Feld in der Regel nicht, und ein manuell ins Kommentarfeld getippter Hinweis erfüllt den Standard nicht. Ein spezialisiertes Werkzeug übernimmt das: Bei KI-Kennzeichnung werden IPTC/XMP-Felder und optional C2PA plus Wasserzeichen in einem Durchgang zusammen mit dem sichtbaren Label eingebettet, lokal im Browser und ohne Upload auf fremde Server.

Schritt 3: Prüfen, ob die Plattform die Kennzeichnung entfernt

Jetzt kommt der Schritt, den fast alle übersehen, und der über Erfolg oder Scheitern deiner Kennzeichnung entscheidet. Viele Plattformen strippen Metadaten beim Upload: Sie komprimieren das Bild neu, benennen es um und entfernen dabei EXIF-, XMP- und teils auch C2PA-Daten. Deine sorgfältig eingebettete Kennzeichnung ist danach unter Umständen weg, während das eingebrannte Icon bleibt.

Die grobe Tendenz nach Kanal:

Diese Werte sind Erfahrungswerte und können sich je nach Format und Zeitpunkt ändern, deshalb gilt: Nach dem Upload prüfen, nicht davor annehmen.

1. Testbild hochladen. Veröffentliche ein gekennzeichnetes Bild auf dem Zielkanal (Website, Shop, Social-Media-Plattform).
2. Datei zurückladen und verifizieren. Lade die veröffentlichte Version herunter und prüf mit einem C2PA-Viewer oder der Datei-prüfen-Funktion, ob Icon und Metadaten erhalten sind.
3. Ergebnis bewerten:
   • Sichtbares Icon erhalten, Metadaten weg → Dein Bild ist gegenüber Menschen weiterhin korrekt gekennzeichnet. Das sichtbare Label ist ins Pixelbild eingebrannt und überlebt die Kompression. Für die Betreiber-Pflicht (Abs. 4) ist das entscheidend.
   • Beides erhalten → optimal.
   • Icon durch Zuschnitt verdeckt → Platzierung anpassen und erneut testen.

Der praktische Merksatz: Verlass dich nie allein auf die Metadaten, wenn die Zielplattform sie entfernt. Das ins Bild eingebrannte, sichtbare EU-Icon ist die Ebene, die keine Plattform wegkomprimieren kann, und der Grund, warum Schritt 1 und Schritt 2 zusammengehören.

Ein verbreiteter Irrtum betrifft Social Media: Das automatische „Mit KI erstellt"-Label von Instagram oder TikTok ist eine Funktion der Plattform-AGB, kein Ersatz für die gesetzliche Kennzeichnung nach Art. 50. Wie du beides sauber trennst, steht im Beitrag KI-Werbung auf Meta, Instagram & Ads kennzeichnen. Für Produktbilder auf Marktplätzen gelten teils eigene Vorgaben, dazu KI-Produktbilder für Amazon & eBay kennzeichnen und allgemein KI-Kennzeichnung im E-Commerce & Marketing.

Schritt 4: Nachweis dokumentieren

Kennzeichnen ist die eine Hälfte, belegen können, dass du gekennzeichnet hast, die andere. Bei einer Abmahnung oder behördlichen Nachfrage zählt, was du dokumentiert hast, nicht was du erinnerst. Ein revisionssicherer Nachweis besteht aus:

• Prüfsumme (SHA-256) der gekennzeichneten Datei, identifiziert genau diese Version eindeutig und belegt, dass sie nicht nachträglich verändert wurde.
• Zeitstempel, wann die Kennzeichnung erfolgt ist.
• Verwendetes Verfahren, welches Icon, welche Metadaten-Felder, ob Wasserzeichen.
• Export als CSV oder Register-Eintrag für deine Compliance-Ablage.

Genau hier setzt das Kennzeichnungs-Register von KI-Kennzeichnung an: Jede gekennzeichnete Datei wird mit SHA-256-Hash und Zeitstempel protokolliert und lässt sich als Nachweis exportieren. Bei größeren Mengen verarbeitet die Batch-Funktion bis zu 50 Bilder auf einmal und liefert das Ergebnis als ZIP samt Registerprotokoll; über die REST-API bindest du den Vorgang direkt in deinen Publishing-Workflow ein. Das ist der Unterschied zu rein clientseitigen Overlay-Tools, die zwar ein Label malen, aber keinen Nachweis führen.

Ein dokumentierter Prozess schützt dich doppelt: Er belegt deine Sorgfalt und macht Abläufe im Team wiederholbar. Eine kompakte Prüfliste für den gesamten Workflow findest du unter KI-Kennzeichnung Checkliste.

Grenzfälle: Retusche, Symbolbilder und Stockfotos

Die meisten Unsicherheiten entstehen nicht bei offensichtlich KI-generierten Bildern, sondern in der Grauzone dazwischen. Diese Übersicht ordnet typische Fälle ein:

Die Faustregel dahinter: Sobald ein Bild einen täuschend echten Eindruck erweckt oder Inhalte generativ hinzukommen, entsteht Offenlegungsbedarf. Kosmetische Korrekturen an einem real aufgenommenen Foto lösen die Pflicht dagegen nicht aus. Im Zweifel ist die Kennzeichnung der günstigere Weg, sie kostet Sekunden, ihr Fehlen kann eine Abmahnung kosten. Für die besondere Kategorie der Deepfakes gilt eine eigene, strengere Logik, die der Beitrag Deepfake-Kennzeichnung auflöst. Begriffe wie IPTC, C2PA oder DigitalSourceType schlägst du kompakt im KI-Kennzeichnung Glossar nach. Wie du neben Bildern auch Texte aus ChatGPT & Co. behandelst, zeigt KI-Texte kennzeichnen.

Zusammenfassung: KI Bilder kennzeichnen in vier Schritten

1. Sichtbares EU-Icon ins Bild einbrennen (überlebt Kompression und Metadaten-Stripping).
2. Maschinenlesbar einbetten, IPTC/XMP, optional C2PA und Wasserzeichen.
3. Nach dem Upload prüfen, ob die Plattform die Kennzeichnung entfernt.
4. Nachweis dokumentieren, SHA-256-Hash, Zeitstempel, Register-Export.

Kurz-Checkliste zum Abhaken:

• Richtiges Motiv gewählt (fully / partially / basic)?
• Icon gut sichtbar, kontrastreich, nicht verdeckt?
• IPTC/XMP-Feld DigitalSourceType gesetzt, optional C2PA + Wasserzeichen?
• Nach dem Upload gegengeprüft?
• Hash + Zeitstempel im Register abgelegt?

Alle vier Schritte in einem Durchlauf, sichtbares Label, Metadaten, Prüfung und Register, erledigst du kostenlos mit dem Tool auf ki-kennzeichnen.de.

Häufige Fragen (FAQ)

Muss ich KI-Bilder überhaupt kennzeichnen?

Ja, wenn du sie öffentlich verbreitest und sie einen Deepfake bzw. täuschend echten Eindruck erzeugen oder du als Betreiber unter Art. 50 Abs. 4 fällst. Für kommerzielle Nutzung in Shop, Werbung oder auf der Website empfiehlt sich die Kennzeichnung solcher Inhalte, entscheidend bleibt aber der Einzelfall. Rein private, nicht veröffentlichte Bilder sind nicht erfasst.

Ab wann gilt die Kennzeichnungspflicht für KI-Bilder?

Die Transparenzpflichten aus Artikel 50 gelten ab dem 2. August 2026. Die sichtbare Betreiber-Kennzeichnung greift ab diesem Tag ohne Aufschub. Nur die maschinenlesbare Markierung für vor diesem Datum in Verkehr gebrachte Systeme ist nach vorläufigem Digital-Omnibus-Stand auf den 2. Dezember 2026 verschoben.

Wie kennzeichne ich KI-generierte Bilder richtig?

In vier Schritten: sichtbares EU-Icon ins Bild setzen, maschinenlesbare Metadaten (IPTC/XMP, optional C2PA) einbetten, nach dem Upload prüfen, ob die Plattform die Kennzeichnung entfernt, und den Vorgang mit Hash und Zeitstempel dokumentieren. Ein bloßer Hinweis im Footer reicht nicht, die Kennzeichnung gehört an den Inhalt.

Wer ist verantwortlich, ich oder der Anbieter des KI-Tools?

Beide, auf unterschiedlichen Ebenen. Der Anbieter (Provider) muss den Output maschinenlesbar markieren (Abs. 2); du als Betreiber (Deployer) musst die sichtbare Offenlegung sicherstellen (Abs. 4). Verlass dich nicht darauf, dass der Generator bereits alles erledigt hat, prüf und ergänze selbst.

Muss ich mit KI retuschierte Bilder kennzeichnen?

Es kommt auf den Grad an. Kleine Korrekturen (Belichtung, Staubentfernung) sind in der Regel unkritisch. Sobald Bildinhalte generativ hinzugefügt, ersetzt oder verändert werden, greift die Kennzeichnungspflicht, dann nutz das „partially AI-modified"-Icon.

Reicht das automatische Label von Instagram oder TikTok aus?

Nein. Das Plattform-Label basiert auf den AGB des Anbieters und ist keine Erfüllung der gesetzlichen Pflicht aus Art. 50 KI-VO. Kennzeichne dein Bild selbst, bevor du es hochlädst, und behandle das Plattform-Label nur als Zusatz.

Muss die Kennzeichnung maschinenlesbar sein?

Für Anbieter ja (Art. 50 Abs. 2). Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, ist diese Pflicht nach dem vorläufigen Digital-Omnibus-Stand (Mai 2026) auf den 2. Dezember 2026 aufgeschoben. Unabhängig davon ist die maschinenlesbare Einbettung technisch sinnvoll und empfohlen, weil sie Plattformen und Prüf-Tools die automatische Erkennung ermöglicht.

Was droht, wenn ich KI-Bilder nicht kennzeichne?

Bei Verstößen gegen die Transparenzpflichten sind Bußgelder von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes möglich. Hinzu kommt in Deutschland das Risiko wettbewerbsrechtlicher Abmahnungen. Details unter KI-Kennzeichnung: Strafe & Abmahnung.

Gibt es ein kostenloses Tool zum KI-Bilder-Kennzeichnen?

Ja. Das kostenlose Web-Tool von KI-Kennzeichnung setzt das offizielle EU-Icon per Drag & Drop, bettet IPTC/XMP-Metadaten (optional C2PA und Wasserzeichen) ein, prüft Dateien und führt ein Nachweis-Register mit SHA-256 und Zeitstempel, inklusive Batch-Verarbeitung (bis 50 Bilder als ZIP) und REST-API.

Quellen

• EU-Kommission, Leitlinien zu Transparenzpflichten: https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems
• EU-Kommission, EU-Icons zur Kennzeichnung KI-generierter Inhalte: https://digital-strategy.ec.europa.eu/en/policies/eu-icons-labelling-ai-generated-content
• Artikel 50 KI-Verordnung: https://artificialintelligenceact.eu/article/50/
• EU AI Act, Umsetzungs-Timeline: https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
• Sidley, EU AI Act Transparency Obligations: Preparing for Compliance by 2 August 2026: https://datamatters.sidley.com/2026/06/24/eu-ai-act-transparency-obligations-preparing-for-compliance-by-2-august-2026/
• Gibson Dunn, EU AI Act Omnibus Agreement (verschobene Fristen): https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/

Dieser Beitrag ersetzt keine Rechtsberatung. Für deinen konkreten Fall konsultiere bitte rechtlichen Rat.