#109 | Wasserzeichen, Agenten und das Ende des Ratespiels

Lukas

In dieser Episode geht es um das Ende des Ratespiels bei KI-Inhalten. Es geht um Anthropic, das offenlegt, wie Claude seine eigenen Texte kennzeichnet. Es geht um die Frage, ob Wasserzeichen KI-Texte schlechter machen — und weitere interessante Themen. Herzlich Willkommen, ich bin Dein Gastgeber Lukas, hier erfährst Du alles rund um das Thema EU AI Act, Governance und Compliance. Wir sind in der Episode einhundertneun von Layer acht aus dem August zweitausendsechsundzwanzig. Lasst uns starten.

Lukas

Zweihundert Token. (kurze Pause) Einhundertfünfzig Wörter. Merkt euch diese Zahl. Sie ist der einzige harte Wert in einer Debatte, die diesen Monat ziemlich hitzig geführt wurde. Und ich komme später darauf zurück. Fangen wir beim Gesetzgebungsprozess an. Erster Punkt. Das vierte Treffen der GPAI-Signatory-Taskforce. Das KI-Büro der Europäischen Kommission hat über die Sitzung vom siebzehnten Juli zweitausendsechsundzwanzig berichtet. Auf dem Tisch lagen zwei Kapitel des GPAI-Verhaltenskodex, Sicherheit — im Original "Safety and Security" — und Urheberrecht. Zum Thema Sicherheit hat das Büro erläutert, wie die Analyse der Modellnutzung Teil der Marktbeobachtung nach Maßnahme drei Punkt fünf sein kann. (...) Klingt nach Verwaltungssprache. Ist aber ein wichtiger Gedanke. Heißt — Informationen darüber, wie ein Modell tatsächlich genutzt wird, und wie es sich während der Nutzung verhält, ergänzen die Evaluierungen, die vor der Bereitstellung gemacht werden. Und sie fließen in mehrere Phasen der Bewertung systemischer Risiken ein. Übersetzt — Es reicht nicht, ein Modell einmal vor dem Start durchzutesten und dann Haken dran. Ihr müsst hinschauen, was danach draußen passiert. Und was ihr da seht, verändert eure Risikobewertung. Rückwirkend. Dann wurde etwas diskutiert, das mich stutzig gemacht hat. Sogenannte "Marginal-Risk"-Klauseln. (...)

Lukas

Was ist das? Diese Klauseln besagen, dass ein Anbieter erwägen könnte, es Wettbewerbern gleichzutun — sollten diese damit beginnen, durch den Einsatz unsicherer Modelle die Grenzen der Leistungsfähigkeit zu verschieben. Lest euch das nochmal in Ruhe durch. (kurze Pause) Wenn der Wettbewerb anfängt, unsicher zu werden, darf ich nachziehen. Das ist im Kern eine Wettrüst-Klausel. Formuliert in der Sprache des Risikomanagements. Das Büro hat betont, dass solche Klauseln nur in Ausnahmefällen in Anspruch genommen werden können. Und nur unter angemessenen Beweis- und Verfahrensgarantien. Gut. Das ist die Bremse. Meine Meinung dazu? Ich verstehe die Logik. Ein Anbieter, der sich als Einziger an Sicherheitsgrenzen hält, verliert Marktanteile an den, der es nicht tut. Das ist ein echtes Problem. Aber die Antwort darauf kann nicht sein, dass alle nach unten dürfen. Die Antwort muss sein, dass der, der ausschert, Konsequenzen spürt. Genau dafür gibt es Durchsetzung. Eine Klausel, die das Nachziehen legitimiert, ist eine Notausgangstür, die zu leicht aufgeht. Ich hoffe, die Beweisgarantien sind wirklich streng. Zweiter Punkt aus dem Sicherheits- und Urheberrechtskapitel, Maßnahme eins Punkt drei, Absatz vier. Die verpflichtet die Unterzeichner, Informationen zu veröffentlichen, die es betroffenen Rechteinhabern ermöglichen zu erfahren, welche Web-Crawler eingesetzt werden — und welche robots-Punkt-t-x-t-Merkmale diese aufweisen. Plus — Sie müssen automatisch über Aktualisierungen informieren. Das ist unspektakulär und trotzdem stark. Wenn ihr eine Website betreibt und wissen wollt, wer eure Inhalte für Modelltraining abgreift, hattet ihr bisher im Wesentlichen Vermutungen. Jetzt gibt es eine Pflicht zur Offenlegung. Mit automatischer Benachrichtigung, wenn sich etwas ändert. Das ist praktisch nutzbar. Und jetzt zum zweiten großen Thema im Gesetzgebungsteil. Wie werden KI-Agenten im AI Act behandelt? Der AI Act Service Desk der Kommission hat dazu ein FAQ veröffentlicht. Und der Service Desk macht etwas, das ich sehr angenehm finde. Er räumt zuerst ein, dass der Begriff "Agent" in der öffentlichen Debatte uneinheitlich verwendet wird und nicht klar definiert ist. (...) Endlich sagt es mal jemand. Dann verweist er auf den breiten Konsens. Ein Agent muss in der Lage sein, Eingaben aus seiner Umgebung entgegenzunehmen und zu verarbeiten — und auf Grundlage dieser Verarbeitung Handlungen auszuführen. Wahrnehmen, verarbeiten, handeln. Auf dieser Basis kommt die entscheidende Aussage. Agenten sind keine eigene Kategorie im Sinne des Gesetzes. (kurze Pause) Es gibt keinen Agenten-Paragrafen. Es wird keinen geben. Stattdessen — Die Definition eines KI-Systems in Artikel drei Absatz eins und die Definition eines KI-Modells mit allgemeinem Verwendungszweck in Artikel drei Absatz dreiundsechzig reichen aus, um Agenten zu erfassen. Was folgt daraus? Mehrere Dinge, und die solltet ihr euch mitschreiben.

Lukas

Erstens — Die Verbote der schädlichen Manipulation und der Ausnutzung von Schutzbedürftigkeit können Schutzmaßnahmen bereits in der Entwurfs- und Entwicklungsphase erfordern. Heißt — Nicht erst beim Launch drüber nachdenken. Beim Design.

Lukas

Zweitens — Die Transparenzvorschriften gelten ab dem zweiten August zweitausendsechsundzwanzig — sofern ein Agent dazu bestimmt ist, mit natürlichen Personen zu interagieren oder Inhalte zu erzeugen. Dieses Datum ist nicht in der Zukunft. Das ist Vergangenheit. Das gilt jetzt.

Lukas

Drittens — Die Anforderungen für Hochrisiko-Systeme folgen im Dezember zweitausendsiebenundzwanzig beziehungsweise im August zweitausendachtundzwanzig — sofern der Agent als hochriskant eingestuft wird. Und viertens, der Punkt, der am wenigsten Aufmerksamkeit bekommt und am meisten verdient. Autonomie und Werkzeugnutzung können ausschlaggebend dafür sein, ob das Modell als Modell mit systemischem Risiko eingestuft wird. Lasst das kurz sacken. (...) Ihr baut einen Agenten. Ihr gebt ihm mehr Werkzeuge. Ihr gebt ihm mehr Autonomie. Und genau damit schiebt ihr das zugrunde liegende Modell möglicherweise in eine höhere Regulierungsklasse. Die Fähigkeiten, die euer Produkt attraktiv machen, sind dieselben, die euren Compliance-Aufwand vergrößern. Das ist kein Fehler im Gesetz. Das ist genau der Zusammenhang, den das Gesetz abbilden will.

Lukas

Erstes Analyse-Thema. Pieter Haeck von POLITICO. Titel — Die eigene KI-Nutzung zu verbergen, wird dank Brüssel deutlich schwerer. Haeck untersucht, wie die neuen Wasserzeichen-Anforderungen der EU — in Kraft seit diesem Monat — den Umgang von Internetnutzern mit KI-generierten Bildern, Videos und Texten grundlegend verändern könnten. Die Vorgeschichte — Führende KI-Unternehmen hatten erklärt, sie wollten dem Risiko für die sogenannte fotografische Wahrheit begegnen, indem sie die Herkunft der von ihren Modellen erzeugten Inhalte kenntlich machen. (kurze Pause) Nur — Ihre Bemühungen waren weitgehend freiwillig. Und freiwillig heißt in dieser Branche erfahrungsgemäß, solange es nicht wehtut. Seit dem zweiten August ist damit Schluss. Anbieter der modernsten generativen KI-Modelle — Anthropic, OpenAI und die anderen — müssen sicherstellen, dass ihre Nutzer wissen, dass sie mit einer KI interagieren. Und dass die Ausgabe als KI-generiert gekennzeichnet ist. Ashley Casovan vom AI Governance Center der IAPP bezweifelt, dass den Menschen das Ausmaß dieser Veränderung überhaupt bewusst ist. Sie beschreibt es als Übergang von einer fundierten eigenen Einschätzung, ob etwas KI-generiert ist, hin zu einem verifizierten Symbol oder einer Einblendung. Das ist ein größerer Sprung, als es klingt. Bisher war das ein Ratespiel. Man schaut sich ein Bild an, achtet auf die Hände, auf die Schrift im Hintergrund, auf diesen leichten Plastikglanz — und tippt. Künftig steht es da. Verifiziert. Walter Pasquarelli von der University of Cambridge ergänzt zwei Punkte.

Lukas

Erstens — Anbieter müssen mit Plattformen zusammenarbeiten, damit solche Kennzeichnungen überhaupt sichtbar werden. Ein Wasserzeichen, das niemand angezeigt bekommt, ist ein Wasserzeichen, das es nicht gibt. Und zweitens — das ist der unangenehme Teil. Pasquarelli verweist auf Hinweise darauf, dass die Interaktion mit Medieninhalten deutlich zurückgeht, sobald Menschen wissen, dass diese KI-generiert sind. Meine Meinung dazu? Das ist das Transparenzparadoxon, und niemand redet gerne darüber. Wir wollen Kennzeichnung, weil wir Ehrlichkeit wollen. Aber Ehrlichkeit hat einen Preis. Wenn ihr im Marketing sitzt und eure Reichweite bricht ein, sobald das Label dran ist — dann habt ihr ein sehr konkretes betriebswirtschaftliches Problem. Meine Antwort darauf ist trotzdem klar. Die Lösung ist nicht, das Label zu vermeiden. Die Lösung ist, Inhalte zu produzieren, die auch mit Label funktionieren. Wer nur deshalb Aufmerksamkeit bekommt, weil das Publikum sich über die Herkunft täuscht, hat kein Geschäftsmodell. Der hat eine Frist.

Lukas

Zweites Analyse-Thema. Und jetzt wird es technisch interessant. Wie das Textwasserzeichen von Claude funktioniert. Anthropic hat angekündigt, dass künftige Claude-Modelle Texte mit Wasserzeichen erzeugen werden. Zweck — ein Mittel, um die Wahrscheinlichkeit zu bestimmen, dass Claude an der Entstehung eines Textes beteiligt war. Die Änderung erfolgt gemeinsam mit mehreren anderen großen KI-Anbietern, um dem EU AI Act zu entsprechen. Und jetzt die technischen Aussagen des Unternehmens. Ich gehe sie einzeln durch, weil jede einzelne einen Einwand entkräftet, den ich in den letzten Wochen mehrfach gehört habe. Erstens — Das gewählte Verfahren habe keine praktischen Auswirkungen auf die Qualität oder den Inhalt der Ausgaben. Zweitens — Leserinnen und Leser werden Texte mit Wasserzeichen nicht von solchen ohne unterscheiden können. Dem Text wird nichts hinzugefügt. Es gibt keine versteckten Zeichen. (kurze Pause) Das ist wichtig, weil die verbreitete Vorstellung eine andere ist. Viele denken an unsichtbare Sonderzeichen oder seltsame Leerzeichen, die man mit einem Klick entfernt. So funktioniert es nicht. Drittens — Da keine zusätzlichen Token erforderlich sind, wird das Wasserzeichen auch nicht teurer. Kein Aufschlag auf eure API-Rechnung. Viertens — und das ist der Punkt für alle, die beim Wort Wasserzeichen sofort an Überwachung denken. Das Wasserzeichen enthält keinerlei identifizierende Informationen. Es lässt sich nicht zu einer Person zurückverfolgen. Nicht zu einer Organisation. Nicht zu einem Chat. Heißt — Es beantwortet die Frage "kam das von diesem Modell?" — nicht die Frage "wer hat das geschrieben?". Das ist ein entscheidender Unterschied, und er ist datenschutzfreundlich gebaut. Fünftens — Das Verfahren bleibt nicht auf Claude beschränkt. Weitere Entwickler, die denselben Verhaltenskodex unterzeichnet haben, werden eigene Wasserzeichen umsetzen. Und da sind wir bei etwas, das man in dieser Debatte selten sieht. Ein Verhaltenskodex, der freiwillig unterzeichnet wurde, führt zu koordinierter technischer Umsetzung bei konkurrierenden Anbietern. Das ist genau der Mechanismus, den sich die Kommission von den Kodizes erhofft hat. Hier funktioniert er. Drittes Analyse-Thema. Und jetzt kommen wir zurück zu den zweihundert Token. Maximilian Henning von Euractiv berichtet, wie Fachleute die Kennzeichnung KI-generierter Texte gegen die Sorge verteidigen, sie verschlechtere die Ergebnisse. Anlass — Anthropic war ausgerechnet für einen Transparenzschritt kritisiert worden, der nach EU-Regeln bevorzugt wird. Kurz zur Einordnung — Der AI Act verpflichtet die erfassten Entwickler dazu, Audio, Bild, Video und Text unsichtbar zu kennzeichnen. Ziel — Nutzern helfen, synthetische Inhalte zu erkennen, und Risiken wie Desinformation verringern. Der Kritikpunkt geht so — Das Wasserzeichen beeinflusst die Wortwahl eines Modells geringfügig.

Lukas

Also — sagen manche — muss es den Text per Definition schlechter machen. Wenn du die Wortwahl einschränkst, wird das Ergebnis schlechter. Klingt logisch. Kalina Bontcheva hält dagegen. Sie ist Professorin für Textanalytik an der University of Sheffield und Ko-Vorsitzende bei der Ausarbeitung des Transparenz-Kodex. Ihre Entgegnung — Die Qualität leidet nur bei sehr kurzen Texten. Und diese Schwelle ist keine Schätzung. Sie wurde mit großen Anbietern erörtert und festgelegt. Zweihundert Token. Das sind etwa einhundertfünfzig Wörter. Dino Pedreschi, Professor für Informatik an der Universität Pisa und ebenfalls Ko-Vorsitzender, stimmt dem zu. Und auch ein Sprecher der Kommission weist die Behauptung zurück, die Regeln verschlechterten die Ergebnisse. Lasst uns das einmal praktisch machen. (...) Einhundertfünfzig Wörter, das ist ungefähr ein kurzer Produkttext. Eine Push-Nachricht. Eine Bildunterschrift. Ein Absatz. Alles, was länger ist — ein Blogartikel, eine E-Mail mit Substanz, ein Bericht, ein Skript wie dieses hier — liegt weit oberhalb der Schwelle. Meine Meinung dazu? Der Einwand ist technisch nicht falsch, aber er ist rhetorisch aufgeblasen. Ja, unterhalb von zweihundert Token gibt es einen messbaren Effekt. Nein, das ist kein Argument gegen Kennzeichnung. Das ist ein Argument dafür, den Anwendungsbereich sauber zu definieren — und genau das ist passiert. Wenn eine Regel eine benannte, quantifizierte Grenze hat, die mit den betroffenen Unternehmen abgestimmt wurde, dann ist das gute Regulierungsarbeit. Wer trotzdem "Qualitätsverlust" ruft, führt keine technische Debatte. Der führt eine politische. Letztes Thema. Was der EU AI Act für Sie und Ihr Unternehmen bedeutet. Romain Digneaux, Public Policy Manager bei Proton, erklärt, wie sich der AI Act auf diejenigen auswirkt, die in der EU KI-gestützte Produkte oder Dienste nutzen. Privat oder geschäftlich. Und eine Auswirkung ist bereits sichtbar — die meisten von euch haben sie diesen Monat gesehen, ohne groß darüber nachzudenken. Die Kennzeichnungen und Hinweise auf Plattformen wie Instagram und TikTok. Die, die anzeigen, dass Inhalte mithilfe von KI erzeugt oder verändert wurden. Genau die wurden im August zweitausendsechsundzwanzig im Rahmen der Transparenzvorschriften anwendbar.

Lukas

Das ist der Punkt, an dem der AI Act aufhört, ein Brüsseler Thema zu sein, und anfängt, auf dem Bildschirm in eurer Hand zu erscheinen. Digneaux arbeitet dann durch, wie das Gesetz Risiken behandelt. Von Systemen mit inakzeptablem Risiko über Hochrisiko-Systeme bis hin zu solchen mit Transparenzrisiko und geringem Risiko. Danach kommt er zu den Pflichten für GPAI-Modelle. Zu der Frage, ob das Gesetz die Nutzung personenbezogener Daten für das Training beschränkt. Wie weit es geistiges Eigentum schützt. Und wann welche Bestimmung gilt. Sein zentraler Satz für Unternehmen ist einfach — und ich finde ihn richtig. Compliance beginnt damit, die eigene Rolle und die Art der eingesetzten KI zu bestimmen. Das klingt banal. Ist es nicht. Ich erlebe regelmäßig, dass Unternehmen mit der Frage einsteigen "was müssen wir alles dokumentieren?" — bevor sie überhaupt geklärt haben, ob sie Anbieter oder Betreiber sind. Und ob das System, um das es geht, überhaupt in eine Risikoklasse fällt, die Pflichten auslöst. Das ist, als würdet ihr eine Steuererklärung ausfüllen, bevor ihr wisst, in welchem Land ihr steuerpflichtig seid. Erst die Rolle. Dann die Klasse. Dann die Pflichten. In dieser Reihenfolge. Was bedeutet das alles jetzt für euch? Schnelle Aufschlüsselung. (kurze Pause) Wenn ihr GPAI-Anbieter seid — Die Marktbeobachtung ist keine Formalie mehr. Die Nutzungsanalyse nach Maßnahme drei Punkt fünf wird Teil eurer Risikobewertung, laufend, nicht einmalig. Und wenn ihr den Verhaltenskodex unterzeichnet habt, prüft Maßnahme eins Punkt drei, Absatz vier. Crawler-Informationen veröffentlichen, Rechteinhaber automatisch über Aktualisierungen benachrichtigen. Wenn ihr Agenten baut — Es kommt keine eigene Agenten-Regulierung. Ihr fallt unter Artikel drei Absatz eins und Artikel drei Absatz dreiundsechzig.

Lukas

Die Transparenzpflichten gelten seit dem zweiten August. Und passt auf beim Ausbau von Autonomie und Werkzeugnutzung — genau diese beiden Eigenschaften können euer Modell in die Klasse mit systemischem Risiko schieben. Wenn ihr KI-Inhalte produziert oder veröffentlicht — Kennzeichnung ist jetzt Realität, nicht Vorbereitung. Rechnet damit, dass gekennzeichnete Inhalte weniger Interaktion bekommen. Plant damit, statt euch davon überraschen zu lassen. Wenn ihr KI in Produkten oder im Betrieb einsetzt — Fangt bei der Rollenbestimmung an. Seid ihr Anbieter oder Betreiber? Welche Risikoklasse? Erst danach lohnt es sich, über Dokumentation zu reden. Und wenn ihr euch Sorgen um Überwachung durch Wasserzeichen macht — Nach der Beschreibung von Anthropic enthält das Verfahren keine identifizierenden Informationen und ist nicht zu Person, Organisation oder Chat rückverfolgbar. Es beantwortet die Frage nach dem Modell, nicht die Frage nach dem Menschen. Mein Fazit zu dieser Newsletter-Ausgabe? Diese Ausgabe hat einen ungewöhnlichen Charakter. In den letzten Monaten ging es fast immer um Fristen, Verschiebungen und Trilog-Verhandlungen — also um Regeln, die irgendwann kommen. Diesmal geht es um Regeln, die da sind. Die Transparenzpflichten gelten. Die Anbieter setzen um. Die Labels sind auf euren Bildschirmen. Was ich besonders mitnehme — Erstens die zweihundert Token. Eine benannte, abgestimmte, überprüfbare Schwelle — das ist die Art von Regulierung, über die man sinnvoll streiten kann, weil beide Seiten dieselbe Zahl vor sich haben. Zweitens die Klarstellung zu den Agenten. Keine neue Kategorie, sondern konsequente Anwendung des Bestehenden — und die stille Warnung, dass Autonomie und Werkzeugnutzung Einstufungen verschieben können. Und drittens die Marginal-Risk-Klauseln. Da behalte ich ein wachsames Auge. Eine Regel, die erlaubt, dem unsichersten Wettbewerber zu folgen, kann sehr schnell zum Maßstab für alle werden.

Lukas

Wenn euch die Folge was gebracht hat — abonniert den Podcast, lasst eine Bewertung da, leitet's weiter an alle, die im Geschäft sind. Wir sind in einer Phase, in der gut informierte Entscheidungen bares Geld wert sind. Ich bin Lukas, das war's für heute. Bleibt neugierig, bleibt kritisch — und bis zum nächsten Mal.