Wenn KI-Texte sichtbar werden: was Unternehmen jetzt regeln müssen

Anthropic hat zum selben Datum umgestellt. Claude-Modelle, die am oder nach dem 2. August 2026 erscheinen, betten ein für Menschen unsichtbares Wasserzeichen direkt in jeden erzeugten Text ein. Das gilt weltweit und nicht nur für europäische Nutzer, und es gilt auf allen Wegen: Chat-Oberfläche, Programmierschnittstelle, Claude Code und die Unternehmensvarianten. Für ältere Modelle ist die Nachrüstung angekündigt. Erzeugt Claude eine Datei wie .png, .jpg oder .svg, hängt es zusätzlich signierte Herkunftsdaten nach dem offenen Standard C2PA an.

Ein Sprachmodell setzt Text zusammen, indem es für jeden nächsten Wortbaustein (Token) Wahrscheinlichkeiten berechnet und daraus auswählt. Ein statistisches Wasserzeichen greift genau dort ein: Es verschiebt diese Wahrscheinlichkeiten nach einem geheimen Muster, sodass die getroffene Wortwahl über viele Bausteine hinweg eine Signatur bildet. Google beschreibt sein eigenes Verfahren SynthID auf dieselbe Weise, als Eingriff in die Verteilung im Moment der Erzeugung.

Daraus folgen vier Eigenschaften, die in der Praxis zählen.

Der Text sieht normal aus. Anthropic gibt an, dass Bedeutung, Qualität und Lesbarkeit unverändert bleiben. Mit bloßem Auge ist nichts zu finden, auch nicht in der Formatierung oder in versteckten Sonderzeichen.

Kopieren und Einfügen schadet nicht. Die Signatur steckt in der Wortwahl selbst, nicht in den Metadaten einer Datei. Sie wandert mit, wenn Text aus dem Chatfenster in Word, Outlook oder ein Redaktionssystem gezogen wird. Leichte Bearbeitung übersteht sie nach Angaben des Anbieters ebenfalls.

Starkes Umschreiben löscht sie. Wer Sätze umbaut, den Text übersetzt, ihn neu tippt oder durch ein anderes Modell schickt, zerstört das Muster. Google berichtet denselben Effekt für SynthID.

Kurze Texte tragen sie nicht zuverlässig. Der EU-Verhaltenskodex zur Transparenz KI-erzeugter Inhalte, veröffentlicht am 10. Juni 2026, senkt die Zuverlässigkeitsanforderungen für Texte unter 200 Token, grob unter 150 Wörter. Eine Betreffzeile oder ein Zweizeiler trägt kein belastbares Signal.

Hier verrutscht die öffentliche Diskussion regelmäßig. Anthropic selbst formuliert zurückhaltend: Eine erkannte Markierung sei ein Signal, dass der Inhalt von Claude verarbeitet wurde, aber nicht abschließend beweiskräftig.

Verarbeitung ist nicht Urheberschaft. Wer einen selbst geschriebenen Angebotstext von Claude Korrektur lesen, kürzen oder ins Englische bringen lässt, hält danach einen markierten Text in der Hand. Der Fund belegt, dass das Modell beteiligt war. In welchem Umfang, sagt er nicht. Umgekehrt beweist eine fehlende Markierung ebenfalls nichts. Sie kann bedeuten, dass kein Modell im Spiel war, dass ein anderer Anbieter im Spiel war oder dass jemand kräftig umgeschrieben hat.

Dazu kommt eine schlichte Lücke. Prüfen kann die Markierung derzeit niemand außer dem Anbieter selbst. Anthropic schreibt, man arbeite daran, Nutzern und Dritten die Erkennung zu ermöglichen; Einzelheiten sollen in technischer Dokumentation folgen. Der Verhaltenskodex verlangt von Unterzeichnern, eine Erkennungslösung bereitzustellen, in der Regel kostenlos. Ausgeliefert ist sie zum Zeitpunkt dieses Textes nicht. Wer seine Regeln darauf stützt, dass man Verdachtsfälle später prüfen könne, stützt sie auf ein Werkzeug, das es noch nicht gibt.

Google kennzeichnet Text. SynthID ist in der Gemini-App und im Web-Angebot ausgerollt. Die Grenzen sind dieselben: Bei gründlichem Umschreiben oder Übersetzen fällt die Erkennungssicherheit stark ab, und bei kurzen Faktenantworten bleibt kaum Spielraum für eine Signatur. Das öffentliche Prüfportal SynthID Detector nimmt Bild-, Video- und Tondateien entgegen; Text steht dort nicht in der Liste.

OpenAI kennzeichnet Text nicht. Die Herkunftssignale von OpenAI decken laut eigener Entwicklerdokumentation Bilder (C2PA und SynthID) sowie Ton (SynthID) ab. Für erzeugten Text ist nichts vorgesehen.

Für die Praxis heißt das: Texte aus Claude und aus Gemini tragen eine Markierung, Texte aus ChatGPT derzeit nicht. Wer daraus ein Erkennungsregime für das eigene Haus bauen will, baut es auf ungleichem Grund.

Für Unternehmen, die KI-Systeme einsetzen statt sie anzubieten, zählt Absatz 4 des Artikels 50. Wer KI-erzeugten Text veröffentlicht, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, muss die künstliche Erzeugung offenlegen. Die Pflicht entfällt, wenn der Inhalt einer menschlichen Prüfung unterlag und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt. Praktisch heißt das: festlegen, wer für welche Textsorte geradesteht, und diese Prüfung nachweisbar machen.

Der zweite Punkt hat mit der Markierung nur mittelbar zu tun, wiegt aber schwerer. Ein markierter Text im Haus ist der sichtbare Rest eines Vorgangs, der vorher stattgefunden hat: Firmeninhalt hat das Haus verlassen. Das Wasserzeichen ist nicht der Schaden. Es macht nachträglich sichtbar, dass ein Angebot, ein Vertragsentwurf, eine Personalakte oder ein Kundendatensatz an einen externen Dienst gegangen ist. Wer jetzt zuerst nach Prüfwerkzeugen sucht, behandelt das Symptom.

Die Zahlen dazu sind eindeutig. Software AG befragte 6.000 Wissensarbeiter in den USA, Großbritannien und Deutschland. Über die Hälfte nutzt KI-Werkzeuge, die nicht freigegeben sind. 46 Prozent gaben an, sie würden persönliche KI-Werkzeuge weiter nutzen, selbst wenn ihr Arbeitgeber sie vollständig verbietet. 33 Prozent sagen, die eigene IT stelle die benötigten Werkzeuge nicht bereit.

Der zweite und der dritte Wert gehören zusammen gelesen. Beschäftigte weichen nicht aus Trotz aus. Sie weichen aus, weil die Arbeit fertig werden muss und es intern nichts gibt, womit sie fertig würde. Ein Verbot ohne Alternative verschiebt den Vorgang vom Dienstrechner auf das private Gerät und den privaten Zugang. Dort hat das Unternehmen weder Protokoll noch Zugriff noch einen Auftragsverarbeitungsvertrag. Die Nutzung sinkt nicht, die Sichtbarkeit sinkt. Das war bei Cloud-Speichern und privaten Messengern nicht anders.

Kontrolle ist der andere untaugliche Weg. Selbst wenn die Erkennungslösung kommt, prüft sie einen Anbieter, arbeitet erst ab einer gewissen Textlänge, unterscheidet Korrekturlesen nicht vom Verfassen und zerbricht an gründlichem Umschreiben. Ein Regelwerk auf dieser Grundlage erzeugt Streitfälle statt Klarheit.

Wer intern ein brauchbares Werkzeug bereitstellt, muss weder verbieten noch kontrollieren. Die Frage, ob ein Text markiert ist, verliert ihre Schärfe, sobald die Unterlagen das Firmennetz nicht mehr verlassen.

Die IonKon GmbH trainiert aus den Dokumenten eines Unternehmens ein eigenes Sprachmodell. Verwendet wird LoRA-Feinabstimmung, ein Verfahren, das ein vorhandenes Basismodell gezielt auf den eigenen Bestand ausrichtet. Es gibt zwei Größen: M mit 9 Milliarden Parametern auf Basis von Qwen3.5-9B für 25.000 Euro netto einmalig, L mit 27 Milliarden Parametern auf Basis von Qwen3.8-27B für 60.000 Euro netto einmalig. Der Betrieb läuft lokal auf Kundenhardware im Firmennetz. Es gibt keinen Lizenzserver; das Modell geht in das Eigentum des Kunden über. Die Bedienoberfläche AnythingLLM wird mitgeliefert. Die Verarbeitung bei der Erstellung findet in der EU und der Schweiz statt, hochgeladene Dokumente werden spätestens 30 Tage nach Auslieferung gelöscht.

Die Kennzeichnungspflicht gilt auch hier, und das gehört dazugesagt: Ausgaben eines IonKon-Modells tragen signierte Metadaten nach Artikel 50 Absatz 2 der KI-Verordnung, prüfbar mit einem mitgelieferten Werkzeug. Der Unterschied zum eingangs beschriebenen Fall liegt also nicht darin, ob gekennzeichnet wird. Er liegt darin, wohin die Unterlagen gehen.