Überblick über die KI-VO
„KI-VO? – Betrifft mich das?“ werden sich viele Fotoprofis und andere Kreative fragen. Dabei nutzen sie alle längst KI – unbewusst, z.B. in Kameras mit KI-gestützten Autofokus-Systemen, in Bildbearbeitungsprogrammen, zum Sortieren von Fotoserien, oder gezielt durch den Einsatz von Bildgeneratoren wie Midjourney, Firefly oder Dall.E, um neue synthetische Bildwelten zu erzeugen.
Doch das ist nur der Anfang. KI eröffnet noch viele weitere neue Möglichkeiten, wie z.B. bei der Ideenfindung, der Erstellung von Moodboards und Skribbles oder um den geschäftlichen Workflow zu optieren. So kann KI wie ein unsichtbarer, Studiomanager agieren und ungeliebte Aufgaben übernehmen, wie z.B. Kundenanfragen annehmen, E-Mails zusammenfassen und entwerfen, Termine planen, Aufgaben priorisieren, Texte übersetzen oder zusammenfassen oder Kosten kalkulieren. KI kann wie ein unsichtbarer Kollege agieren, der aber nie Kaffee braucht, sich nicht über Überstunden beschwert und trotzdem jeden Tag mit voller Energie loslegt.
Im Idealfall bleibt durch den intelligenten Einsatz von KI mehr Zeit für die wichtigen Aufgaben: Kreativität entfalten, Fotoshootings machen und persönliche Kundenkontakte pflegen.
Für alle, die KI einsetzen, bedeutet dies aber auch, nicht nur deren technische Funktionsweisen zu verstehen, sondern auch, sich mit den rechtlichen Rahmenbedingungen auseinanderzusetzen – und das bedeutet auch, sich mit der KI-VO zu beschäftigen.
Die Serie „KI-VO für Fotoprofis und Kreativschaffende“ unterstützt dabei, indem sie über die aktuelle Rechtslage aufklärt und praktische Hinweise gibt, worauf man in der Kreativbranche beim Einsatz achten sollte.
Künstliche Intelligenz und KI-VO
Die Geschichte der Künstlichen Intelligenz (KI) begann bereits in den 1950er Jahren: Kurz nach der Erfindung des Computers fragten sich Forscher, ob dieser auch „denken“ kann. Der US-amerikanische Informatiker John McCarthy prägte daraufhin den der Begriff artificial intelligence (künstliche Intelligenz) und widmete sich zusammen mit weiteren Wissenschaftlern einem Forschungsprojekt dieser Thematik. In den 19070er und 1980er Jahren konnten erste einfache Programme mathematische Aufgaben lösen und Schach spielen. Ab 2010 setzten sich das maschinelle Lernen und neuronale Netze durch. Es folgten Sprachassistenten, Bild- und Spracherkennung, Chatbots und zuletzt autonom fahrende Autos. Die Einführung von ChatGPT im November 2022 läutete die KI-Revolution ein. Seitdem entwickelt sich die Technik rasant und zieht zunehmend in den Alltag ein.
Es gibt zahlreiche Definitionen dessen, was KI ist. So kann man KI definieren als ein Computersystem, das menschliche Fähigkeiten wie Lernen, Planen, Argumentieren, Antizipieren nachahmt. Es trifft selbständige Entscheidungen, ohne dass ein Mensch mit seiner natürlichen Intelligenz in diesen Prozess eingreift. Dabei ist KI selbst nicht „intelligent“ im menschlichen Sinne, sondern arbeitet mit Mustern, Wahrscheinlichkeiten und Berechnungen, die sie aus zuvor eingespeisten Daten ableitet.
Am 1. August 2024 erhielt der Einsatz von KI durch die KI-Verordnung (KI-VO, auch AI-Act genannt) erstmals einen rechtlichen, europaweit einheitlichen Rahmen. Es handelt sich dabei um die weltweit erste Vorschrift zur Regulierung von KI. Die KI-VO soll gewährleisten, dass KI sicher, ethisch und vertrauenswürdig ist. Potentielle Risiken die von KI in Bezug auf Gesundheit, Sicherheit und Grundrechte der EU-Bürger ausgehen können, sollen durch sie ausgeschlossen werden.
Die insgesamt 13 Kapitel der KI-VO treten sukzessive in Kraft, und zwar von Februar 2025 bis August 2027.
Wer muss die KI-VO beachten?
Die KI-VO adressiert an verschiedene Personen bzw. Unternehmen, für die sie den Oberbegriff des „Akteur“ (Art. 3 Nr. 8) verwendet und ihnen unterschiedliche Rollen mit unterschiedlichen Bezeichnungen zuweist.
Für Fotoprofis und andere Kreative ist vorrangig die Rolle des sog. „Betreibers“ einschlägig. Denn Betreiber (Art. 3 Nr. 4 KI-VO) ist, wer ein KI-System in eigener Verantwortung im beruflichen / wirtschaftlichen Kontext verwendet, um bestimmte Dienstleistungen oder Produkte anzubieten.
Wenn also Kreative mit KI-gestützten Tools arbeiten, um Aufträge ihrer Kunden zu erledigen, übernehmen sie die Rolle des Betreibers eines KI-Systems. KI-Tools sind aber nicht nur die o.g. Bildgeneratoren, sondern jegliche Technik und Programme, in denen KI integriert ist. Da fast jeder professionell arbeitende Kreative inzwischen in irgendeiner Weise mit KI in Berührung kommt, wird fast ausnahmslos jeder auch Betreiber irgendeiner KI sein. Es ist wichtig, sich dies klarzumachen, da die KI-VO dem „Betreiber“ bestimmte Pflichten auferlegt.
Die Kreativbranche kann u.U. auch die Rolle des „Anbieters“ (Art. 3 Nr. 3) einschlägig sein. Denn Anbieter ist, wer ein KI-Systems entwickelt bzw. entwickeln lässt und es sodann unter seinem Namen / seiner Marke in den Verkehr bringt oder in Betrieb nimmt.
Wenn also eine Werbeagentur ein KI-Tool entwickelt, das anhand der Erfahrungen der Werbefotografie trainiert wurde und es seinen Kunden zur Implementierung in die eigene, hausinterne Software-Landschaft anbietet, damit anhand dessen schnell und individuell Content erstellt werden kann, agiert diese Werbeagentur als „Anbieter“.
Daneben nennt die KI-VO noch weitere Rollen, nämlich die des Einführers (Art. 3 Nr. 6), Händlers (Art. 3 Nr. 7) und Bevollmächtigten (Art. 3 Nr. 5).
Abhängig von der Art der Rolle, die die KI-VO den verschiedenen Akteuren zuweist, bestehen für sie auch unterschiedlich weitreichende Verantwortlichkeiten und Pflichten. Diese Verantwortlichkeiten und Pflichten können sich dann – abhängig vom Risikograd des jeweiligen KI-Systems, weiter konkretisieren und strenger gestalten.
Was ist der Unterschied zwischen KI-Modellen und KI-Systemen?
Außerdem unterscheidet die KI-VO zwischen KI-Modellen und KI-Systemen. Die Begriffe dürfen nicht verwechselt werden, da sie Verschiedenes bedeuten und die KI-VO hier unterschiedliche regulatorische Anforderungen stellt.
Das KI-Modell bildet den technischen Kernbaustein eines KI-Systems. Er enthält die mathematische und algorithmische Struktur, die durch maschinelles Lernen anhand von Daten trainiert wurde, um z.B. Muster erkennen, Vorhersagen und medizinische Diagnosen machen oder Bilder sowie Sprachen identifizieren zu können. Das KI-Modell selbst ist nicht unmittelbar anwendbar. In der KI-VO ist das KI-Modell nicht definiert, gleichwohl aber an verschiedenen Stellen begrifflich verwendet.
Das KI-System ist hingegen die Anwendungsarchitektur, in die das KI-Modell integriert ist. Während das KI-Modell die eigentliche Intelligenz beinhaltet, bildet das KI-System die technische Infrastruktur (d.h. Software, Hardware, Benutzeroberfläche, Schnittstellen, Datenflüsse etc.), um es bedienen zu können. Erst die Komponenten des KI-Systems ermöglichen es, das KI-Modell durch menschliche Interaktion für einen bestimmten Zweck anzuwenden. Das KI-System ist in Art. 3 Nr. 1 KI-VO definiert.
Die Unterscheidung ist deshalb wichtig, weil die KI-VO in Bezug auf KI-Systeme verlangt, dass sie bestimmte Anforderungen (z.B. Transparenz, Sicherheit, Verantwortung) erfüllen müssen.
Die Klassifizierung der KI-Systeme
Die KI-VO unterteilt KI-Systeme wiederum in vier Risikokategorien, jeweils gestaffelt nach der Risikointensität, die von ihnen ausgehen kann. Dies basiert auf dem Grundgedanken, dass die unterschiedlichen Einsatzmöglichkeiten von KI-Systemen in den verschiedensten Lebenssachverhalten nicht alle gleichermaßen risikobehaftet sind.
Dabei meint „Risiko“ die Kombination aus der Wahrscheinlichkeit des Auftretens eines Schadens und der Schwere dieses Schadens (Art. 3 Nr. 3 KI-VO). Da es erklärtes Ziel der KI-VO ist, einerseits menschenzentrierte, integre KI zu fördern und andererseits gleichzeitig Grundrechte, Gesundheit und Sicherheit der EU-Bürger zu schützen sowie eine demokratische Kontrolle zu ermöglichen, bemisst sich das Risiko danach, wie wahrscheinlich die Verletzung dieser Rechte und Schutzgüter sowie des möglichen Schadens ist, wenn ein KI-System zum Einsatz kommt.
Daraus folgt auch, dass je risikobehafteter ein KI-Systems ist, desto höher sind die Sicherheitsanforderungen und Pflichten sind, die eingehalten werden müssen.
KI-Systeme mit unvertretbarem Risiko
Das durchgestufte Risikosystem stellt sich als Pyramide dar, anderen Spitze KI-Systeme mit unvertretbarem Risiko (Kapitel II, Art. 5) stehen. Hierzu zählen beispielsweise KI-basierte Täuschung, Manipulation, Emotionserkennung am Arbeitsplatz, „Social Scoring“ u.v.m. Derartige KI-Systeme sind grundsätzlich und schon seit Februar 2025 verboten.
Hochrisiko-KI-Systeme
Dem schließen sich auf der zweithöchsten Stufe der Pyramide Hochrisiko-KI-Systeme (Kapitel III, Art. 6-49). Sie bilden das Herzstück der KI-VO. Was als Hochrisiko-KI-System zählt, ist im separaten Anhang III zur KI-VO aufgelistet. Hierzu zählen beispielsweise KI-Systeme, die in Medizin (z.B. KI-gestützte Systeme zur Analyse von MRT-Bildern), Verkehr, Personalmanagement; Beruflicher Bildung, Bankwesen (z.B. zur Kreditvergabe) usw. eingesetzt werden. Sie müssen sehr hohe Anforderungen (Art. 8 bis 15 KI-VO) erfüllen, weil von ihnen ein bedeutendes Risiko für Gesundheit, Sicherheit oder Grundrechte ausgehen kann. Anbieter und Betreiber solcher Hochrisiko-KI-Systeme müssen besondere Pflichten erfüllen (Art. 16-27 KI-VO). Die Regelung betreffend der Hochrisiko-KI-Systeme treten sukzessive zwischen August 2025 und August 2027 in Kraft.
KI-Systeme mit begrenztem Risiko
Auf der dritten Stufe sind KI-Systeme mit begrenztem Risiko (Kapitel IV, Art. 50) einzuordnen. Hier sind Transparenz- und Täuschungsrisiken gemeint, die dadurch entstehen, dass die Leistungen solcher KI-Systeme menschlichen Fähigkeiten sehr nahekommen und zu Verwechslungen führen können. Hier gilt: offenlegen, aufklären und kennzeichnen.
Beispielsweise sollen Menschen bei der Nutzung von Chat-Bots darauf hingewiesen werden, dass sie mit einer Maschine interagieren, um zu erkennen, dass sie nicht mit einem anderen Menschen kommunizieren und eine fundierte Entscheidung treffen können. Ebenso fällt hierunter die Kennzeichnungspflicht von Deepfakes und die Watermarking-Pflicht für KI-Erzeugnisse. Derartige Offenlegungspflichten gelten ab dem 02.08.2026.
KI-Systeme mit minimalem bzw. ohne Risiko
Die Basis der Pyramide bilden KI-Systeme mit minimalem bzw. ohne Risiko, die die KI-VO nicht regelt. Hierunter fallen beispielsweise KI-fähige Videospiele, Spamfilter, Rechtschreib- und Auto-Korrekturprogramme etc.
GPAI: KI-Modelle mit allgemeinem Verwendungszweck und generative KI
Eine eigene Gruppe bilden KI-Modelle mit allgemeinem Verwendungszweck (sog. General Purpose Artificial Intelligence, GPAI – Kapitel V, Art. 51-56 KI-VO). Sie stehen außerhalb der vorgenannten Pyramide.
Für GPAI sind drei Merkmale kennzeichnend: (1) es zeichnet sich durch eine erhebliche allgemeine Verwendbarkeit aus, (2) es ist in der Lage ist, ein breites Spektrum unterschiedlicher Aufgaben kompetent auszuführen und (3) es kann in eine Vielzahl nachgelagerter Systeme oder Anwendungen integriert werden (Art. 3 Nr. 63 KI-VO). GPAI kann somit für viele Zecke eingesetzt zu werden, sowohl zur direkten Verwendung als auch zur Integration in andere KI-Systeme.
Generative KI-Modelle
Große generative KI-Modelle sind ein typisches Beispiel für GPAI, da sie Inhalte, z. B. in Form von Text, Audio, Bildern oder Video, flexibel generieren können und damit leicht für viele unterschiedlicher Aufgaben geeignet sind.
Generative KI-Modelle werden mittels „Scraping“ trainiert. Web- bzw. Screen-Scraping bedeutet so viel wie aus dem Internet bzw. vom Bildschirm „kratzen“. Milliarden von Informationen aus im Internet veröffentlichten, aber zumeist urheberrechtlich geschützten Texten, Bildern, Videos, Musik und sonstigen Informationen werden gezielt durchsucht, analysiert, ausgelesen und für die anschließende Text- und Bildgenerierung strukturiert, um anschließend die Algorithmen zu trainieren.
Dementsprechend gelten beispielsweise ChatGPT (Textgenerierung und -analyse), Whisper (Transkription von Audio zu Text) von OpenAI, sowie Midjourney vom gleichnamigen Anbieter (Bildgenerierung auf Basis von Texteingaben) als GPAI. Gleichzeitig können sie vielfältig in andere, spezifischere KI-Systeme (z.B. durch Fine-Tuning, Nachtrainieren oder ähnliche Anpassungen des integrierten KI-Modells an die jeweiligen Unternehmenszwecke) integriert werden.
GPAI-Modelle werden weiterhin in zwei verschiedene Risiko-Kategorien unterteilt, nämlich in GPAI-Modelle mit und ohne „systemischen Risiko“.
GPAI-Modelle ohne „systemisches Risiko“
Anbieter von GPAI-Modellen ohne „systemisches Risiko“ haben Informations- und Dokumentationspflichten hinsichtlich des Modells, müssen eine Strategie zur Einhaltung des EU-Urheberrechts vorlegen und eine hinreichend detaillierte Zusammenfassung der für das Training des KI‑Modells mit allgemeinem Verwendungszweck verwendeten Inhalte erstellten sowie veröffentlichen. Zudem sind sie zur Zusammenarbeit mit dem europäischen KI-Büro sowie der Kommission und den nationalen Behörden verpflichtet (Art. 53 Abs. 1, 3 KI-VO).
Quelloffene GPAI-Modelle werden hier besonders privilegiert und müssen lediglich eine technische Dokumentation ihres Modells bereit und aktuell halten (Art. 53 Abs. 2 KI-VO). Quelloffene GPAI-Modelle werden im Zuge einer freien und quelloffenen Lizenz bereitgestellt. Diese ermöglicht Zugang, Nutzung, Änderung und Verbreitung des Modells sowie deren Parameter einschließlich Gewichte, Informationen über die Modellarchitekt und die Modell-Nutzung.
Außerdem könne alle Anbieter dieser GPAI-Modelle sich auf einen Praxisleitfaden (Code of Practice, Art. 51 Abs. 4, 56 KI-VO) stützen.
GPAI-Modelle mit „systemischen Risiko“
GPAI-Modelle mit „systemischen Risiko“ hingegen haben Fähigkeiten mit hoher Wirkkraft (Art. 3 Nr .65 KI-VO) und können aufgrund dessen potenziell erhebliche Auswirkungen auf den gesamten Unionsmarkt entfalten. Ob ein GPAI-Modell mit einem „systemischen Risiko“ behaftet ist, prüfen zunächst der Anbieter selbst durch eine Erstbeurteilung und entscheidet sodann die EU-Kommission von Amts wegen. Sie erstellt auch eine Liste mit solchen GPAI-Modellen und hält diese stets aktuell (Art. 52 Abs. 6).
Pflichten im Kontext mit KI-Systemen
Abhängig von der durch die KI-VO zugewiesene Rolle, treffen die Akteure unterschiedliche Pflichten. Die folgenden genannten Pflichten sind nur eine kleine, nicht abschließende Auswahl, die für Fotoprofis und die Kreativwirtschaft wichtig sind:
KI-Kompetenz
Anbieter und Betreiber von KI-Systemen müssen dafür sorgen, dass sie und ihre Mitarbeiter KI-Kompetenz erwerben, wenn sie in ihrem Betrieb von KI-Systeme benutzen. Dabei sind ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen.
Da alle Fotoprofis mehr oder weniger mit KI-Systemen in Berührung kommen, müssen sie KI-Kompetenz erwerben. Wer außerdem angestellte Mitarbeiter in seinem Fotobusiness beschäftigt, muss dafür sorgen, dass auch sie KI-Kompetenz erwerben.
Ebenso müssen Fotoprofis darauf achten, dass von ihnen beauftragte Subunternehmer (z.B. Bildbearbeiter, CGI-Profis, Assistenten u.v.m.) ebenfalls KI-Kompetenz besitzen, wenn mit sie mit KI-Tools arbeiten. Mehr zum Thema „KI-Kompetenz“ folgt in Teil 2 dieser Reihe.
Kennzeichnungspflicht von Deepfakes
Angesprochen sind hier alle Betreiber von KI-Systemen, die mittels eines solchen Bild-, Ton- oder Videoinhalte erzeugen oder manipulieren. Wer solches nicht-authentisches, verfremdetes Material als Out-Put veröffentlicht, muss die „Deepfake“-Regelung beachten. Sie verlangt, dass Deepfakes zu kennzeichnen sind.
Fotoprofis und andere Kreative, die mit generativer KI synthetische Bilder oder Töne erstellen, müssen sich daher mit Deepfake-Thematik und der Frage, wann überhaupt ein Deepfake vorliegt, auseinandersetzen. Mehr zum Thema Deepfakes und Kennzeichnungspflichten folgt in Teil 3 dieser Reihe.
Watermarking-Pflicht bei KI generierten Inhalten
Anbieter von KI-Systemen und GPAI müssen sicherstellen, dass die synthetischen Ausgaben ihres KI-Systeme in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Denn anhand von KI bearbeite, manipulierte und vollständig KI-generierte Inhalte können schädliche Auswirkungen haben, wenn sie als solche nicht erkennbar sind. So können nicht gekennzeichnete Deepfakes die Meinungsbildung oder Wahlen beeinflussen, zum Identitätsdiebstahl oder Phishing sowie zur Diskreditierung oder sexuellen Belästigung missbraucht werden. Die Watermarking-Pflicht soll dieses Risiko minimieren. Mehr zum Thema Watermarking-Pflicht folgt in Teil 3 dieser Reihe.
Das KI-Büro
Bereits vor Inkrafttreten der KI-VO wurde Anfang 2024 das KI-Büro (auch AI-Office genannt) gegründet. Es handelt sich um eine Einrichtung auf EU-Ebene durch die Europäische Kommission. Es übernimmt zentrale, überstaatliche Funktionen und soll dabei helfen, die KI-VO umzusetzen, zu überwachen und durchzusetzen. Daneben sind aber auch die nationalen Behörden zuständig (in Deutschland z.B. die Bundesnetzagentur, das Bundesministerium für Wirtschaft und Klimaschutz und das Bundesministerium der Justiz), wenn es beispielsweise um Hochrisiko-KI geht.
Das KI-Büro hat ein breites Spektrum an Aufgaben. Dazu zählen u.a. die Aufsicht über die GPAI-Modelle und die Unterstützung bei der Ausarbeitung von Praxisleitfäden. Praxisleitfäden sollen zur ordnungsgemäßen Anwendung der KI-VO beitragen. Einen ersten Praxisleitfaden für Anbieter von GPAI-Modellen (Code of Practice for GPAI-Model) am 10.07.2025 veröffentlicht. Mehr zum Thema Praxisleitfäden folgt in Teil 4 dieser Reihe.
Fazit
Viele stehen der neuen Technologie noch kritisch gegenüber, jedoch ist der KI-Geist aus der Flasche gelassen und wird sich nicht mehr einfangen. Technologische Neugier und aufgeschlossene Geisteshaltung helfen dabei, KI-offen oder vielleicht sogar KI-affin zu werden. Neben den technologischen Chancen und Risiken, die KI mit sich bringen, ergeben sich – neben dem neu zu erlernenden Vokabular und Wording – viele neue organisatorische Aufgaben und rechtliche Fragestellungen, mit denen sich auch Fotoprofis und andere Kreativschaffende vertraut machen müssen.