Wasserzeichen in KI-Texten: Wer kann es eigentlich prüfen?

Jemand schickt mir einen Text und fragt, ob der aus einer KI stammt. Ich kann es ihm nicht sagen. Nicht weil das Werkzeug fehlt, sondern weil der Schlüssel dazu jemand anderem gehört. Seit dem 2. August 2026 verlangt die KI-Verordnung von den Anbietern, dass sie erzeugte Texte maschinenlesbar kennzeichnen. Über die andere Hälfte der Sache, wer diese Kennzeichnung eigentlich lesen darf, steht dort kein Wort.

Unsichtbar heißt: in der Wortwahl, nicht in der Datei

Die meisten denken bei einem Wasserzeichen an etwas, das in der Datei steckt. Ein Feld in den Metadaten, ein Eintrag im Dokumentkopf. So etwas wäre in zwei Sekunden entfernt. Bei Text funktioniert es anders, und dieser Unterschied ist der Grund, warum das Thema in ein Audit gehört und nicht in die IT-Abteilung.

Google DeepMind hat das Verfahren im Oktober 2024 in Nature veröffentlicht, Dathathri und andere, Band 634, Seiten 818 bis 823. Es heißt SynthID-Text und setzt genau an der Stelle an, an der ein Sprachmodell das nächste Wort auswählt. Dort hat das Modell fast immer mehrere gleich brauchbare Möglichkeiten. Das Verfahren lässt diese Kandidaten in mehreren Runden gegeneinander antreten, gesteuert von einer Zufallsfunktion, die an einen geheimen Schlüssel gebunden ist. Es gewinnt, wer zum Schlüssel passt.

Das Ergebnis ist ein Text, der sich für Sie völlig normal liest, in seiner Wortwahl aber ein statistisches Muster trägt. Das Muster liegt nicht neben dem Text, es ist der Text. Kopieren Sie ihn in ein anderes Dokument, bleibt es erhalten. Streichen Sie einen Absatz, bleibt es erhalten. Google nennt das Verfahren robust gegenüber dem Zuschneiden von Textteilen, dem Ändern einzelner Wörter und leichtem Umformulieren.

Das ist kein Laborzustand. Google gibt an, das Verfahren in Gemini ausgeliefert und dabei rund 20 Millionen Antworten verglichen zu haben, ohne dass sich die Bewertungen der Nutzenden zwischen markierten und unmarkierten Antworten nennenswert unterschieden. Wer heute mit einem der großen Anbieter arbeitet, hat also mit einiger Wahrscheinlichkeit längst markierte Texte im Haus, ohne davon zu wissen.

Der Prüfschlüssel gehört dem Anbieter, nicht Ihnen

Jetzt kommt der Teil, der im Audit zählt. Ein statistisches Muster findet nur, wer die Funktion kennt, die es erzeugt hat. Ohne den Schlüssel ist der markierte Text von jedem anderen Text nicht zu unterscheiden.

Google beschreibt in der eigenen Dokumentation drei Stufen, wie ein Anbieter mit dem Prüfwerkzeug umgehen kann. Vollständig privat, dann prüft nur er selbst. Halb offen, dann gibt es eine Schnittstelle. Offen, dann lässt sich der Detektor herunterladen. Welche Stufe gilt, entscheidet die Organisation, die das Verfahren einsetzt.

Lesen Sie den letzten Satz ruhig ein zweites Mal. Ob Sie nachprüfen können, ob ein Text aus einer Maschine kam, ist keine technische Frage. Es ist die Geschäftsentscheidung eines Unternehmens, an dem Sie nicht beteiligt sind.

Damit dreht sich die übliche Erzählung um. Das Wasserzeichen wird gern als Schutz für die Öffentlichkeit verkauft. Praktisch ist es zuerst einmal ein Nachweismittel, das dem Anbieter gehört. Er kann seine eigenen Ausgaben wiedererkennen. Sie können das nicht, weder bei fremden Texten noch bei Ihren eigenen.

Ein Nachweis, den nur eine Seite führen kann, ist im Audit kein Nachweis. Er ist eine Auskunft.

Dazu kommt, dass die Verfahren untereinander nicht zusammenpassen. Ein Detektor findet das Muster, für das er gebaut wurde, und sonst keines. Wer drei Anbieter im Haus hat, bräuchte drei Prüfwege. Dass Artikel 50 Absatz 2 ausdrücklich verlangt, die technischen Lösungen sollten interoperabel sein, ist deshalb kein Lob an den Stand der Technik. Es ist die Beschreibung dessen, was fehlt.

Wo das Verfahren schwach wird, und warum das im Gesetz steht

Das Verfahren braucht Spielraum. Es kann nur dann etwas einweben, wenn das Modell zwischen mehreren passenden Wörtern wählen darf. Genau dieser Spielraum fehlt überall dort, wo der Text stark festgelegt ist.

Google schreibt das selbst in die Dokumentation: Die Markierung wirke bei faktischen Antworten weniger gut, weil es dort weniger Gelegenheit gebe, die Erzeugung zu beeinflussen, ohne die Richtigkeit zu verschlechtern. Das ist eine ehrliche Angabe, und sie reicht weiter als nur bis zu Faktenfragen.

• Eine kurze Antwort trägt zu wenig Text, als dass sich ein Muster statistisch absichern ließe.
• Eine Zahlenreihe, eine Formel, eine Anschrift: kaum Wahlfreiheit, also kaum Signal.
• Quelltext ist über weite Strecken festgelegt, sonst läuft er nicht. Die Kommentare darin sind normale Sprache und damit der Teil, in dem am ehesten etwas hängen bleibt.
• Wer gründlich umschreibt oder in eine andere Sprache übersetzt, senkt die Trefferwahrscheinlichkeit erheblich. Auch das steht in Googles Dokumentation.

Das Bemerkenswerte ist, dass die Verordnung diese Schwäche kennt. Artikel 50 Absatz 2 verlangt die Kennzeichnung nicht bedingungslos, sondern soweit technisch möglich. Und er verlangt von den Anbietern ausdrücklich, die Besonderheiten und Beschränkungen der verschiedenen Arten von Inhalten zu berücksichtigen, dazu die Umsetzungskosten und den allgemein anerkannten Stand der Technik. Der Gesetzgeber hat also mitgeschrieben, dass das Verfahren Lücken hat.

Für Sie folgen daraus zwei Dinge. Ein fehlendes Wasserzeichen beweist nichts. Und ein Anbieter, der Ihnen Kennzeichnung zusagt, schuldet Ihnen die Angabe, wo sein Verfahren an die Grenze kommt. Diese Angabe steht selten im Datenblatt. Man muss sie erfragen, und man sollte die Antwort schriftlich haben.

Was Artikel 50 von wem verlangt, seit dem 2. August 2026

Die Pflicht trifft zwei verschiedene Rollen, und im Gespräch werden sie fast immer verwechselt.

Der Anbieter steht in Artikel 50 Absatz 2. Wer ein KI-System bereitstellt, das synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt, muss dafür sorgen, dass die Ausgaben in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Das ist die Pflicht des Herstellers, nicht Ihre. Ausgenommen ist, wer nur unterstützend bei der Standardbearbeitung hilft und die Eingaben oder deren Bedeutung nicht wesentlich verändert.

Der Betreiber steht in Artikel 50 Absatz 4. Für Text gilt dort ein enger Fall: Wer mit einem KI-System Text erzeugt oder verändert, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, muss offenlegen, dass der Text künstlich erzeugt oder manipuliert wurde. Dann folgt der Halbsatz, den fast alle überlesen: Die Pflicht entfällt, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.

Ihr Angebot, Ihre Stellenanzeige, Ihr internes Prüfprotokoll fallen nicht darunter. Das ist keine Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse. Wer im Mittelstand KI-Texte im Tagesgeschäft einsetzt, hat aus Artikel 50 Absatz 4 in aller Regel keine Kennzeichnungspflicht. Anders wird es, sobald Sie als Unternehmen zu einem Thema von öffentlichem Interesse publizieren und der Text ungeprüft rausgeht. Dann ist die redaktionelle Kontrolle nicht nur guter Stil, sondern der Grund, warum die Pflicht Sie nicht trifft.

Zur Frist. Artikel 50 gilt seit dem 2. August 2026 und wurde vom Digital Omnibus nicht verschoben. Verschoben wurden die Pflichten für Hochrisiko-Systeme. Für Systeme, die vor diesem Stichtag bereits auf dem Markt waren, sieht die Änderungsverordnung (EU) 2026/1744 einen Übergang von vier Monaten für die Kennzeichnungspflicht nach Absatz 2 vor, also bis zum 2. Dezember 2026. Für alles, was danach auf den Markt kam, gilt sie ohne Schonfrist.

Wem gehört der Nachweis über Ihren eigenen Text?

Hier wird es unangenehm, und hier liegt der eigentliche Punkt für die Steuerung im Unternehmen.

Angenommen, ein Auftraggeber wirft Ihnen vor, ein Prüfbericht sei maschinell erzeugt. Sie sagen, ein Mensch hat ihn geschrieben. Wie belegen Sie das? Ein fehlendes Wasserzeichen hilft Ihnen nicht, denn es fehlt auch bei kurzen Texten, bei stark festgelegten Texten und bei jedem Anbieter, der gar nicht markiert. Ein vorhandenes Wasserzeichen wiederum können Sie selbst nicht sichtbar machen. Sie stehen in beiden Richtungen ohne Mittel da.

Umgekehrt gilt dasselbe. Sie kaufen Texte ein und wollen wissen, welcher Teil davon aus der Maschine kam. Feststellen können Sie es nicht. Zusichern lassen können Sie es sich, und dann sind Sie beim Vertrag gelandet und nicht bei der Technik.

Das ist der Grund, warum ich Kunden von der Kennzeichnung weg und zur eigenen Aufzeichnung führe. Was im eigenen Haus entsteht, können Sie auch selbst belegen, und zwar besser als jeder fremde Detektor es je könnte:

• Welches Modell in welcher Version war beteiligt, und an welcher Stelle des Ablaufs?
• Wer hat den Entwurf freigegeben, und woran ist diese Freigabe festgemacht?
• Liegt die Eingabe noch vor, aus der der Entwurf entstanden ist?
• Ist im Dokument selbst vermerkt, was maschinell entstand und was redigiert wurde?

Das sind vier Fragen, die Sie in Ihren eigenen Unterlagen beantworten. Sie hängen an keinem Schlüssel, den ein anderer verwahrt. Und sie tragen im Streitfall weiter als jedes Wasserzeichen, weil sie den Weg zeigen und nicht bloß die Herkunft.

Eine Warnung zum Schluss dieses Abschnitts. Das Wasserzeichen beantwortet die Frage, ob eine Maschine den Text erzeugt hat. Es beantwortet nicht die Frage, wem der Text gehört. Das sind zwei verschiedene Dinge, und sie werden ständig vermischt. Herkunft ist keine Rechtezuordnung.

Wo das in den Normen andockt

Wenn Sie ein Managementsystem betreiben, ist das kein neues Thema. Es ist ein bekanntes Thema an einer neuen Stelle.

• ISO/IEC 42001:2023 A.8.5, Informationen für interessierte Parteien. Die Maßnahme verlangt, dass Sie Ihre Verpflichtungen zur Weitergabe von Informationen über Ihre KI-Systeme bestimmen und dokumentieren. Artikel 50 ist genau so eine Verpflichtung und gehört mit Rolle und Stichtag in dieses Verzeichnis.
• ISO/IEC 42001:2023 A.8.2, Systemdokumentation und Informationen für Nutzende. Hierhin gehört die Grenze des Verfahrens. Wer seinen Leuten sagt, die Ausgaben seien gekennzeichnet, ohne zu sagen, wann eben nicht, hat sie falsch informiert.
• ISO/IEC 27001:2022 A.5.33, Schutz von Aufzeichnungen. Die vier Fragen von oben werden erst dann zum Nachweis, wenn die Aufzeichnungen unverändert und auffindbar bleiben.
• ISO/IEC 27001:2022 A.8.32, Änderungssteuerung. Ein Modellwechsel beim Anbieter ändert stillschweigend das Verhalten und womöglich auch die Kennzeichnung. Wer den Wechsel nicht mitschreibt, verliert die Zuordnung.
• ISO/IEC 27001:2022 A.5.32, Rechte des geistigen Eigentums. Der richtige Ort für die Frage, wem ein Text gehört. Im Wasserzeichen steht sie nämlich nicht.

Die Prüffrage, die ich im Audit tatsächlich stelle, ist am Ende keine technische. Sie lautet: Wer in Ihrem Haus weiß, welche Ihrer eingesetzten KI-Dienste ihre Ausgaben kennzeichnen, und woher weiß er es? Die ehrliche Antwort ist meistens, dass das niemand geprüft hat. Genau da fängt die Arbeit an.