Ab sofort müssen KI-Inhalte in der EU gekennzeichnet werden, sichtbar für Menschen und maschinenlesbar. Doch Wasserzeichen sind leicht zu zerstören, offene Modelle umgehen Labels. Was ist heute technisch möglich, und was in Zukunft?
Effektiv, robust und zuverlässig sollen KI-Inhalte in Zukunft gekennzeichnet werden. Bisher war das freiwillig, ab dem 2. August ist das in der Europäischen Union aber Pflicht – „soweit technisch machbar“, heißt es im Gesetz.
Diese Formulierung ist kein Zufall, denn KI-Inhalte können zwar gekennzeichnet werden, wirklich sicher sind die Techniken aber noch nicht. Was ist also heute alles technisch machbar, was wird in Zukunft möglich sein?
Unsichtbare Wasserzeichen: Pixelrauschen als KI-Signatur
Die großen Tech-Konzerne und KI-Anbieter stehen längst unter Druck und setzen mittlerweile unsichtbare Wasserzeichen in den KI-Inhalten ein. Dieses Wasserzeichen ist für den Menschen nicht sichtbar und besteht aus einem feinen Rauschen in den KI-Bildern, das nur Maschinen erkennen können, erklärt Martin Steinebach vom Fraunhofer-Institut für Sichere Informationstechnologie: „Die sind dann untrennbar mit diesem Medium verknüpft.“ Eine ähnliche Technik gebe es auch für Audioclips.
Doch dieses Rauschen kann wieder entfernt werden, sagt KI-Experte Andreas Müller von der Ruhr-Universität Bochum. Der Informatiker forscht selbst zu Wasserzeichen für KI-Inhalte: „Jemand, der versucht, ein Wasserzeichen zu entfernen – zum Beispiel von einem Bild -, hat gerade viele Tools, die auch sehr gut funktionieren.“
Teilweise wird das Wasserzeichen auch durch Uploads auf Social-Media-Plattformen und Messengerdiensten zerstört – wenn Bilder, Video und Audios komprimiert werden oder wenn Screenshots gemacht werden. Auch dann geht ein Teil der Daten verloren, wie zum Beispiel Metadaten, also Zusatzinformationen über den Ursprung der Bilder in einer Bilddatei.
Robustere Wasserzeichen werden bisher selten eingesetzt
Die Tech-Konzerne und viele Forschungsteams arbeiten weltweit an neuen Lösungen. Für Bilder lassen sich zum Beispiel bereits tief in die Struktur eingebettete Wasserzeichen nutzen, sagt Andreas Müller: „Das Wasserzeichen ist sehr viel tiefer in der Komposition des Bildes eingebettet, daher schwerer zu entfernen, ohne die Komposition des Bildes so weit zu stören, dass es nicht mehr das originale Bild ist.“
Dieses Wasserzeichen ist also deutlich robuster. Es ist tief in Kanten und Objektpositionen eingebettet und entsteht direkt bei der Bildgenerierung. Wird das Wasserzeichen gelöscht, verändert sich das Bild deutlich. Doch die Technik ist teuer, sagt Müller: „Die KI-Anbieter betten das Wasserzeichen nicht während der Generierung ein.“ Stattdessen werde das KI-Wasserzeichen erst nach dem Generieren durch ein leichtes Pixel-Rauschen eingefügt. Das spare Kosten.
Wer offene KI-Modelle nutzt und anpasst, kann tricksen
Wer heute den KI-Ursprung eines Inhalts verheimlichen möchte, schafft das mit dem passenden Werkzeug aber trotz den besseren KI-Wasserzeichen eigentlich immer, sagt Informatiker Martin Steinebach: „Diejenigen werden sich offene Modelle und Systeme herunterladen und die gegebenenfalls so modifizieren, dass die Kennzeichnung nicht erfolgt.“ Wer eigene KI-Modelle betreibt, kann also die Wasserzeichen direkt vermeiden.
In Zukunft auch echte Inhalte kennzeichnen?
Weil KI-Inhalt nie zu hundert Prozent sicher gekennzeichnet werden kann, wollen Forschungsteams stattdessen eindeutig echte, nicht KI-generierte Inhalte kennzeichnen. Für Fotoaufnahmen wird etwa vertrauenswürdige Hardware genutzt, die Bilddaten bei der Aufnahme unveränderlich verschlüsselt und signiert.
Wird das Bild später verändert, bricht das mathematische Siegel auf, und jede Software erkennt sofort, dass die Aufnahme verändert wurde, erklärt Informatiker Steinebach: „Es ist halt noch ein relativ teures Szenario.“
Die Technik kommt bisher vor allem bei Profi-Fotografen zum Einsatz. Microsoft, Adobe, die BBC und andere haben 2021 die Initiative für den Standard C2PA gegründet – die „Coalition for Content Provenance and Authenticity“, eine Koalition für Herkunft und Echtheit digitaler Inhalte.
Damit lassen sich Bearbeitungsschritte als verschlüsselte Zusatzinfos dokumentieren: Wer hat das Foto gemacht, welche Software hat es wann verändert? Für einen breiten Einsatz müssten etwa auch Smartphones Aufnahmen auf diese Weise absichern – was diese Technik wiederum angreifbar macht, sagt KI-Experte Müller: „Ein sehr, sehr guter Hacker würde immer in der Lage sein zu sehen, was da genau passiert.“
Idee einer durchgängigen Herkunftsspur
Denkbar wäre in Zukunft auch, dass Inhalte – ganz egal ob mit oder ohne KI – fest mit einer Art Content-ID verbunden werden, die stets auf die veröffentlichende Person zurückführt. Das zeige nicht, ob KI im Spiel war, mache die Quelle aber auffindbar, sagt Informatiker Steinebach: „Dann braucht man eigentlich nur eine Infrastruktur, in dem Fall in Anführungsstrichen zu sehen, bei der man die Inhalte immer auf die Person zurückverfolgen kann.“
Eine Infrastruktur, die in diesem Szenario alle nutzen würden. Wer sie nicht nutzt, wäre direkt verdächtig. Ob sich solch eine Idee durchsetzen kann, ist aber offen. Es gibt aber auch Hoffnung, KI-Inhalte künftig technisch besser zu erkennen können – vor allem Deepfake-Bilder und -Videos.
Ein wichtiges Verfahren: Die Erkennungssoftware erstellt ein möglichst ähnliches Bild oder Video. Klappt das gut, spricht viel dafür, dass der verdächtige Inhalt selbst von KI stammt: „Wir geben das Bild dann in einem Bildgenerator und sagen: ‚Mach uns das mal nach‘. Darauf basierend messen wir dann den Rekonstruktionsfehler.“ Heißt: Schafft das KI-Analysetool, das Bild sehr ähnlich nachzubauen, stammt das untersuchte Bild wahrscheinlich auch aus einer KI.
Zwei Labels für die Zukunft: KI-Inhalt vs. gesicherte Quelle?
Wie selbstverständlich werden KI-Kennzeichnungen künftig in unserem Alltag sein? Gut möglich, dass es zwei Labels geben wird: eins für KI-Inhalte, eins für gesicherte Quellen. Also zwei Kennzeichnungen, bei der auch authentischen Quelle und deren Entstehungsgeschichte nachvollzogen werden kann.
Viele Plattformen könnten dank automatischer KI-Checks trotz Schlupflöchern einen Großteil der KI-Beiträge erkennen, sagt KI-Experte Müller: „Über 95 Prozent, glaube ich. Da werden wir die richtige Entscheidung sehen, das richtige Label sehen, was Anbieter dann zum Beispiel in Social-Media draufpacken.“
Wer gegen die neuen KI-Transparenz-Regeln der EU verstößt, muss mit hohen Strafen rechnen: mit bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes. Unternehmen müssen also KI-Inhalte so gut wie möglich markieren – sichtbar für Menschen und maschinenlesbar.
