sendnrw/ai-disclosure-standard
2
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
1.6
ai-disclosure-standard/docs/EU-AI-ACT-COMPLIANCE.md
jbergner 133fb10a93
All checks were successful
release-tag / release-image (push) Successful in 1m47s
Details
RC-5 Versiopn: 1.6.3
2026-07-22 05:58:38 +02:00

11 KiB
Raw Permalink Blame History

EU AI Act: Compliance-Grenzen und Betreiber-Checkliste

Rechtsstand: 21. Juli 2026

Diese Datei beschreibt, welche Teile des EU AI Act (Verordnung (EU) 2024/1689) dieses Projekt technisch unterstützen kann und welche Pflichten außerhalb seines Funktionsumfangs liegen. Sie ersetzt keine Prüfung des konkreten Einsatzes.

1. Was dieses Projekt ist

Die mitgelieferte Anwendung erzeugt deterministisch SVG-Hinweise, Erklärungsseiten und JSON-LD aus den vom Nutzer eingegebenen Angaben. Sie enthält selbst kein KI-Modell und führt keine Modellinferenz aus.

Der AI Act erfasst nur Systeme, die unter die Definition eines „AI system“ in Artikel 3 Absatz 1 fallen. Ob eine konkrete, veränderte oder erweiterte Installation diese Definition erfüllt, ist anhand der tatsächlichen technischen Funktion zu prüfen.

Offizielle Quelle:

2. Dieses Projekt ist keine vollständige AI-Act-Compliance-Lösung

Der Generator unterstützt vor allem die sichtbare und dokumentierte Offenlegung von KI-Nutzung. Er kann insbesondere bei freiwilliger Transparenz und bei bestimmten Betreiberpflichten aus Artikel 50 Absatz 4 helfen.

Er erfüllt oder prüft nicht automatisch:

  • die Anbieterpflicht zur technischen, maschinenlesbaren Markierung von generierten oder manipulierten Ausgaben nach Artikel 50 Absatz 2;
  • die Transparenzpflicht bei direkter Mensch-KI-Interaktion nach Artikel 50 Absatz 1;
  • Informationspflichten bei Emotionserkennung oder biometrischer Kategorisierung nach Artikel 50 Absatz 3;
  • die Pflicht zur AI Literacy nach Artikel 4;
  • Verbote nach Artikel 5;
  • die Einstufung und Pflichten für Hochrisiko-KI nach Kapitel III;
  • Pflichten für Anbieter von General-Purpose-AI-Modellen nach Kapitel V;
  • sonstige Pflichten aus Datenschutz-, Urheber-, Verbraucher-, Medien- oder Produktsicherheitsrecht.

3. Artikel 50: sichtbare Offenlegung durch Betreiber

Artikel 50 gilt ab 2. August 2026. Betreiber bestimmter generativer KI-Systeme müssen insbesondere Deepfakes und bestimmte KI-generierte oder manipulierte Texte zu Angelegenheiten von öffentlichem Interesse offenlegen.

Für solche sichtbaren Offenlegungen gilt nach Artikel 50 Absatz 5 und den Leitlinien der Kommission insbesondere:

  1. Der Hinweis muss klar und unterscheidbar sein.
  2. Er muss spätestens bei der ersten Exposition gegenüber der betroffenen natürlichen Person erscheinen.
  3. Er muss die geltenden Anforderungen an Barrierefreiheit berücksichtigen.
  4. Bei Deepfakes genügt eine nur maschinenlesbare Markierung des Anbieters nicht als sichtbare Betreiber-Offenlegung.

Daher gilt für die Einbettung dieses Projekts:

  • Badge oder Klartext unmittelbar am betroffenen Inhalt platzieren;
  • nicht ausschließlich im Footer, Impressum oder auf einer erst später erreichbaren Unterseite;
  • aussagekräftigen Alternativtext verwenden;
  • bei der quadratischen Emoji-Variante zusätzlich einen unmittelbar verständlichen Text oder eine gleichwertig eindeutige sichtbare Kennzeichnung verwenden.

Offizielle Quellen:

4. Menschliche Prüfung und redaktionelle Kontrolle

Für bestimmte veröffentlichte KI-generierte oder manipulierte Texte zu Angelegenheiten von öffentlichem Interesse kann die Kennzeichnungspflicht nach Artikel 50 Absatz 4 entfallen, wenn die gesetzlichen Voraussetzungen tatsächlich erfüllt sind.

Die Kommission stellt klar:

  • „human review“ erfordert eine bewusste inhaltliche Prüfung durch Personen mit einschlägigem Wissen und professionellem Urteil;
  • „editorial control“ setzt tatsächliche inhaltliche Entscheidungsbefugnis voraus, also insbesondere die Möglichkeit, Inhalte aus sachlichen Gründen zu genehmigen, zu ändern oder abzulehnen;
  • rein oberflächliche, formale oder prozedurale Prüfungen wie Rechtschreib- oder Grammatikprüfung genügen nicht;
  • zusätzlich muss eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung tragen.

Aus diesem Grund setzt der Generator seit dieser Härtung keine menschliche oder redaktionelle Prüfung mehr automatisch voraus. Der Nutzer muss den tatsächlich durchgeführten Prozess ausdrücklich auswählen.

Die Felder editorialResponsibility.name und editorialResponsibility.url dienen nur der Dokumentation. Ihre Angabe beweist nicht automatisch, dass die gesetzlichen Voraussetzungen vorliegen.

5. Artikel 50 Absatz 2: JSON-LD ist kein Ersatz für Provider-Marking

Anbieter generativer KI-Systeme müssen in den erfassten Fällen dafür sorgen, dass generierte oder manipulierte Inhalte maschinenlesbar markiert und als künstlich generiert oder manipuliert erkennbar sind. Nach Artikel 50 Absatz 2 müssen die technischen Lösungen wirksam, interoperabel, robust und zuverlässig sein, soweit dies technisch machbar ist.

Das von diesem Projekt erzeugte JSON-LD ist ergänzende Dokumentation. Es ist nicht als Ersatz für die technische Markierung gedacht, die der Anbieter des generativen KI-Systems in oder an der Ausgabe implementieren muss.

Wer selbst Anbieter eines generativen KI-Systems im Sinne des AI Act ist, muss deshalb zusätzlich eine geeignete Provider-Marking-Lösung umsetzen und dokumentieren. Der von der Kommission positiv bewertete Code of Practice kann hierfür als freiwilliger Compliance-Rahmen genutzt werden.

Offizielle Quellen:

6. Artikel 4: AI Literacy

Artikel 4 gilt bereits seit 2. Februar 2025. Anbieter und Betreiber von KI-Systemen müssen nach besten Kräften Maßnahmen treffen, um ein ausreichendes Maß an AI Literacy bei Mitarbeitenden und sonstigen Personen sicherzustellen, die in ihrem Auftrag mit Betrieb oder Nutzung von KI-Systemen befasst sind.

Ein Badge oder eine Veröffentlichungserklärung erfüllt diese Organisationspflicht nicht. Betreiber sollten mindestens dokumentieren:

  • welche KI-Systeme eingesetzt werden;
  • welche Rollen sie bedienen;
  • welche Kenntnisse und Schulungen erforderlich sind;
  • welche internen Regeln für Prüfung, Freigabe und Eskalation gelten;
  • wann Schulungen oder Richtlinien zuletzt aktualisiert wurden.

Offizielle Quelle:

7. Risiko- und Rollenprüfung vor Produktivnutzung

Vor dem Einsatz sollte die Organisation dokumentieren:

  1. Ist die eingesetzte Software überhaupt ein KI-System im Sinne von Artikel 3 Absatz 1?
  2. Welche Rolle liegt vor: Anbieter, Betreiber, Importeur, Distributor oder Produkthersteller?
  3. Fällt das konkrete KI-System unter ein Verbot des Artikels 5?
  4. Ist es ein Hochrisiko-KI-System nach Artikel 6 bzw. Anhang III?
  5. Handelt es sich um ein General-Purpose-AI-Modell oder ein darauf basierendes System mit zusätzlichen Pflichten?
  6. Greift eine Transparenzpflicht aus Artikel 50?
  7. Welche anderen Rechtsgebiete sind zusätzlich betroffen, insbesondere DSGVO, Urheberrecht, Verbraucher- und Medienrecht?

Offizielle Einstiegsquellen:

8. Zeitlicher Stand

Nach Artikel 113 gilt der AI Act grundsätzlich ab 2. August 2026; einzelne Teile gelten bereits früher. Insbesondere gelten Kapitel I und II, einschließlich Artikel 4 und der Verbote des Artikels 5, seit 2. Februar 2025.

Für Artikel 50 beginnen die Transparenzpflichten am 2. August 2026. Die Kommission weist für bestimmte bereits vor diesem Datum in Verkehr gebrachte generative KI-Systeme auf eine begrenzte Übergangsregel für die Anbieter-Markierung nach Artikel 50 Absatz 2 bis 2. Dezember 2026 hin.

Offizielle Quellen:

9. Praktische Mindestregel für dieses Projekt

Wenn ein Inhalt möglicherweise unter Artikel 50 Absatz 4 fällt, ist die rechtlich defensivere Konfiguration:

  • KI-Nutzung wahrheitsgemäß als partial, mostly oder full angeben;
  • die konkrete Tätigkeit angeben;
  • humanReview nur dann auf editorial oder expert setzen, wenn eine tatsächlich substanzielle inhaltliche Prüfung stattgefunden hat;
  • die redaktionell verantwortliche Person oder Organisation dokumentieren, wenn dies zutrifft;
  • einen sichtbaren textlichen Hinweis oder ein verständliches Standard-Badge spätestens bei der ersten Exposition platzieren;
  • das Emoji nicht als alleinige gesetzliche Kennzeichnung verwenden;
  • das JSON-LD nur als zusätzliche Dokumentation behandeln.

Bei Zweifeln über die Ausnahme wegen menschlicher Prüfung ist eine zusätzliche Offenlegung regelmäßig die risikoärmere technische Entscheidung, solange dadurch keine anderen rechtlichen Pflichten verletzt werden.

Strukturierter rechtlicher Kontext in Schema 1.2

Die Deklaration kann optional legalContext.categories enthalten. Unterstützt werden deepfake, publicInterestText, artisticCreativeSatiricalFictional und otherVoluntary. Diese Angaben sind ausdrücklich als Selbsteinordnung konzipiert und ersetzen keine rechtliche Subsumtion.

Der Generator trennt damit zwei Ebenen:

  1. Erstkennzeichnung am Inhalt: Bei einer als voraussichtlich offenlegungspflichtig eingeordneten Nutzung wird eine verständliche Beschriftung wie „KI-generierter / manipulierter Inhalt“ oder „KI-generierte / bearbeitete Inhalte“ erzeugt.
  2. Zweite Ebene: Die /declaration-Seite dokumentiert KI-Anteil, Tätigkeiten, menschliche Prüfung, Nachweisgrundlage, rechtlichen Kontext und gegebenenfalls redaktionelle Verantwortung.

Für publicInterestText wird eine mögliche Ausnahme nur als Möglichkeit angezeigt, wenn sowohl eine substanzielle Prüfung (editorial oder expert) als auch eine ausdrücklich benannte redaktionelle Verantwortung dokumentiert sind. Formale Prüfung (basic) reicht dafür nicht. Bei deepfake bleibt die Einschätzung auf Offenlegung gerichtet; die zusätzliche Kategorie artisticCreativeSatiricalFictional weist auf die begrenzte, angemessene Offenlegungsform für evident kreative Werke hin.

Das System formuliert bewusst „spricht vieles dafür“ beziehungsweise „kann in Betracht kommen“ und gibt keine verbindliche Rechtsentscheidung aus.

Reference in New Issue View Git Blame Copy Permalink