Welche APIs markieren KI-Inhalte? 16 APIs, 10 Gesetze

Sechs Staatenverbünde und Länder sowie vier US-Bundesstaaten verlangen inzwischen, dass KI-generierte Medien eine maschinenlesbare Kennzeichnung in der Datei tragen. Deshalb haben wir über 16 einzeln bepreiste API-SKUs Bilder, Videos und Sprache erzeugt und anschließend die zurückgelieferten Bytes untersucht: 7 enthalten ein C2PA-Manifest, 4 Chinas implizites Label, keine enthält beides. Die Video- und Audio-SKUs enthalten gar keine Kennzeichnung. Danach haben wir die markierten Dateien mit gängiger Bildverarbeitung bearbeitet. In beiden getesteten Bibliotheken ging jedes C2PA-Manifest bereits beim ersten Re-Encode, Resize oder Crop verloren. Dieser Beitrag zeigt, wo genau die Lücken liegen und was es kostet, sie zu schließen.

TL;DR

• 7 von 11 Bild-SKUs betten C2PA ein (OpenAI, ByteDance); 4 betten Chinas implizites Label ein (Alibaba); keine bettet beides ein.
• Die Video-SKU und alle 4 Sprach-SKUs lieferten Dateien ohne jede Kennzeichnung, obwohl die Regeln der EU und Kaliforniens beide Medientypen erfassen.
• Die Signatur von OpenAI lässt sich gegen die offizielle C2PA-Vertrauensliste validieren. Die von ByteDance ist gültig, aber nicht vertrauenswürdig, da ihre Zertifikatskette zu einem Root führt, der nicht auf der Liste steht.
• Kein C2PA-Manifest überstand eine Transformation. Chinas Label bleibt bei PNG-zu-PNG-Verarbeitung mit ImageMagick erhalten, nicht aber mit Pillow. Einen Formatwechsel übersteht keines von beiden.

Welche Vorschriften verlangen tatsächlich etwas in der Datei?

Deutlich weniger, als die Menge der KI-Gesetze vermuten lässt. Die meisten Vorschriften zu KI-Inhalten fordern ein für Menschen sichtbares Label oder verlangen die Entfernung synthetischer Medien, wenn sie Schaden verursachen. Die folgenden Regeln greifen direkt in die Datei ein. API-Nutzer müssen sie daher bereits bei der Generierung berücksichtigen. Dies ist eine technische Einordnung der zitierten Texte, keine Rechtsberatung. Für die rechtliche Bewertung bieten sich die Leitlinien der Kommission zu Artikel 50 und der globale KI-Gesetzestracker der IAPP als Ausgangspunkte an.

Alle anderen verlangen entweder ein für Menschen sichtbares Label oder gar nichts: Mehr als dreißig US-Bundesstaaten schreiben bei Wahl-Deepfakes einen Hinweis vor. Im US-Bundesrecht, im Vereinigten Königreich, in Japan, Australien und Singapur gibt es keine allgemeine Kennzeichnungspflicht. (Zwei häufige Irrtümer: Norwegen fällt noch nicht unter Artikel 50, da der AI Act nicht Teil des EWR-Abkommens ist. Und Italiens KI-Gesetz von 2025 enthält entgegen weitverbreiteten Berichten keine Kennzeichnungspflicht.)

Daraus folgen drei technische Fakten. Die Regelwerke sind inkompatibel spezifiziert: Die EU nennt kein Format, China schreibt ein eigenes Schema vor, Indien und Vietnam verlangen Herkunftsnachweise, ohne deren Art festzulegen. C2PA, das von den meisten westlichen Anbietern eingesetzte Format, wird fast nirgends in verbindlichem Recht genannt: Nur Connecticut und Washington erwähnen es, kein einziges nationales Regelwerk. Außerdem haben fünf Gesetzgeber Anforderungen an die Beständigkeit formuliert. Herkunftsnachweise sollen „schwer zu manipulieren, zu entfernen oder vom Inhalt zu trennen“ sein (Connecticut), „schwer zu entfernen oder zu manipulieren“ (Washington), als „dauerhafte Metadaten“ vorliegen (Indien), „manipulationserkennbar“ sein (Utahs Gesetz zu Wahlwerbung) oder „dauerhaft beziehungsweise nicht einfach entfernbar“ sein (Colorado). Die folgenden Transformationstests zeigen, wie gut die verfügbare Technik diese Anforderungen erfüllt.

Wie sieht eine C2PA-Kennzeichnung technisch aus?

Es handelt sich um einen Block signierter JSON-Daten, der der Datei hinzugefügt wird und im Bild selbst unsichtbar bleibt. C2PA, entwickelt von der Coalition for Content Provenance and Authenticity, definiert in seiner technischen Spezifikation ein „Manifest“: einen kryptografisch signierten Datensatz darüber, wer ein Asset erstellt und wie es bearbeitet wurde. Dadurch lassen sich Manipulationen erkennen. In PNG-Dateien liegt das Manifest in einem eigenen Chunk neben den Pixeldaten. Die Chunks eines unserer generierten Bilder zeigen genau, wo es sitzt und wie viel Speicher es benötigt:

IHDR       13 bytes      image header
caBX   21,767 bytes      C2PA manifest store   <- the mark
IDAT  2,115,575 bytes    the actual pixels
IEND        0 bytes

Bei einem 2-MB-Bild sind das rund 22 KB beziehungsweise etwa 1%. Die Pixel bleiben unverändert: Auf das Bild wird nichts gezeichnet, deshalb sieht es in jedem Viewer gleich aus. Ein „Content Credentials“-Badge erscheint nur in Software, die gezielt danach sucht.

Das Manifest eines OpenAI-Bildes enthält für einen Verifier die folgenden wesentlichen Felder:

{
  "claim_generator_info": [{ "name": "OpenAI Media Service API" }],
  "signature_info": {
    "issuer": "OpenAI OpCo, LLC",
    "time": "2026-08-22T13:47:29Z"
  },
  "assertions": [{
    "label": "c2pa.actions.v2",
    "data": { "actions": [{
      "action": "c2pa.created",
      "when": "2026-08-22T00:00:00Z",
      "softwareAgent": { "name": "gpt-image", "version": "pre-2.0" },
      "digitalSourceType": ".../digitalsourcetype/trainedAlgorithmicMedia"
    }]}
  }]
}

Drei Bestandteile sind entscheidend. Die Aktion gibt an, dass das Asset erstellt und nicht bearbeitet wurde. digitalSourceType: trainedAlgorithmicMedia ist der IPTC-Vokabularbegriff für „von einem generativen Modell erzeugt“. Dieses Feld kennzeichnet den Inhalt tatsächlich maschinenlesbar als KI-generiert. Der Software-Agent nennt das Modell. Die Signatur verknüpft alle Angaben mit einem Zertifikat. Ein Verifier kann damit feststellen, ob die Aussage verändert wurde und wer dafür einsteht.

Chinas implizites Label ist in GB 45438-2025 definiert, dem verbindlichen nationalen Standard zu den Kennzeichnungsregeln. Es löst dasselbe Problem ohne Signierungsstelle. Das Label ist ein einfacher Text-Chunk mit JSON:

{ "Label": "1",
  "ContentProducer": "001191330106MA2CFLDG4R10001",
  "ProduceID": "U-9TlH0PCIQomj9MzIc5VUuQ",
  "ReservedCode1": "K-LBkc9peJ0Gox..." }

Label: 1 bedeutet KI-generiert, ContentProducer ist der registrierte Unternehmenscode des Anbieters, ProduceID die Content-Nummer des Anbieters und ReservedCode ein Signaturwert. Das Ziel ist gleich, das Vertrauensmodell ein anderes: Bei C2PA bestätigt eine Zertifizierungsstelle die Aussage. Das chinesische Label verweist auf ein registriertes Unternehmen und überlässt die Prüfung der jeweiligen Gegenstelle.

Was betten die APIs tatsächlich ein?

Sieben von elf Bild-SKUs betten C2PA ein, vier das chinesische Label. Die Trennlinie verläuft strikt zwischen den Anbietern:

Beide C2PA-Gruppen setzen genau die oben gezeigten Felder, c2pa.created und trainedAlgorithmicMedia. Auch die beiden Anbieter mit chinesischem Label verwenden dieselbe GB-45438-Struktur, ergänzt um ein zweites Feldpaar für denjenigen, der die Datei weitergibt. Drei Details sind wichtiger als die Ja/Nein-Spalten.

Die Signaturen haben nicht denselben Vertrauensstatus. Die Prüfung besteht aus zwei Schritten: Zuerst wird das Manifest gelesen. Danach wird geprüft, ob die Zertifikatskette des Signaturzertifikats zu einem Root auf der C2PA-Vertrauensliste führt. Ein Verifier vertraut standardmäßig niemandem und meldet für jede Datei signingCredential.untrusted, auch für korrekte Dateien. Wer Dateien in größerem Umfang verifiziert, muss deshalb zuerst die offizielle Liste laden. Mit dieser Liste werden OpenAI-Bilder als vertrauenswürdig eingestuft, da ihre ausstellende CA zu den 17 gelisteten Stellen gehört. Bei ByteDance ist das nicht der Fall: Dessen Manifeste werden über ein GlobalSign-S/MIME-Intermediate signiert, also einen für E-Mail vorgesehenen Zertifikatstyp. Das zugehörige Root-Zertifikat steht nicht auf der Liste. Nach der Spezifikation sind die ByteDance-Manifeste gültig - die Signatur stimmt und das Bild wurde seit der Signierung nicht verändert -, aber nicht vertrauenswürdig. Ein konformer Verifier bestätigt daher nicht, wer die Aussage erstellt hat.

Der Zeitstempel von OpenAI enthält keine Uhrzeit. Jedes OpenAI-Manifest enthielt 2026-08-22T00:00:00Z, also Mitternacht des Generierungsdatums. ByteDance erfasste dagegen die tatsächliche Sekunde. Diese Vergröberung kann aus Datenschutzsicht sinnvoll sein. Kaliforniens latente Offenlegung verlangt jedoch „Uhrzeit und Datum“, weshalb der Punkt juristisch geprüft werden sollte.

Audio und Video sind unmarkiert. Sowohl der AI Act als auch die kalifornischen Regeln erfassen synthetisches Audio und Video. Am Dateiformat liegt es nicht, denn die C2PA-Spezifikation unterstützt MP4, WAV und MP3 als Träger. Das generierte MP4 enthielt nur übliche QuickTime-Containerfelder. Die vier Sprachdateien enthielten ausschließlich Codec-Header. Bei Bildern waren die Kennzeichnungen außerdem identisch, unabhängig davon, ob die Dateien als base64 oder per URL zurückgegeben wurden. Auf dem Auslieferungsweg wird die Provenienz also weder ergänzt noch entfernt.

Überstehen die Kennzeichnungen normale Verarbeitungsschritte?

Das C2PA-Manifest übersteht keinen davon. Das chinesische Label bleibt nur erhalten, wenn das Bildverarbeitungstool Text-Chunks übernimmt. Dieser Unterschied zeigte sich, als wir dieselben fünf Operationen mit Python Pillow und ImageMagick auf drei markierten Dateien ausführten: einem C2PA-Bild von OpenAI, einem C2PA-Bild von ByteDance und einem Alibaba-Bild mit chinesischem Label.

Pillow verlor bei jeder Operation jede Kennzeichnung, also 0 von 15. ImageMagick behielt 3 von 15, jeweils das chinesische Label bei einer PNG-zu-PNG-Verarbeitung. Die Bildqualität ist nicht der entscheidende Faktor: Ein Re-Encode in das verlustfreie PNG-Format zerstört ein C2PA-Manifest genauso vollständig wie eine verlustbehaftete JPEG-Konvertierung.

Die Ursache für den Unterschied ist einfach. Chinas Label liegt in einem normalen PNG-Text-Chunk (tEXt, dem Standardfeld für Schlüssel-Wert-Strings). Ein Tool, das Text-Chunks kopiert, übernimmt es automatisch. ImageMagick tut das standardmäßig, Pillow nur auf ausdrückliche Anweisung. Das C2PA-Manifest liegt dagegen in einem benutzerdefinierten Chunk, den gängige Bildverarbeitungstools nicht kennen. Sie entfernen ihn deshalb unabhängig davon, ob die Übernahme von Metadaten angefordert wird. ImageMagick verwarf das Manifest bereits bei einem einfachen Resize und erneut mit der Option, die ausdrücklich alle Chunks einschließt. Bei einem Formatwechsel gehen beide Kennzeichnungen verloren, weil ein PNG-Text-Chunk in JPEG oder WebP keinen direkten Zielplatz hat.

Die praktische Regel lautet daher nicht nur „Metadaten sind fragil“. Wer transformieren muss, sollte im selben Format bleiben und eine Bibliothek verwenden, die Text-Chunks übernimmt. Dann bleibt das chinesische Label erhalten. Für C2PA gibt es in gewöhnlichen Tools keinen Weg, das Manifest zu bewahren. Der unterstützte Ansatz ist, die Datei nach der Transformation erneut zu signieren. Das funktioniert, verändert aber die Aussage: Das neue Manifest nennt die eigene Pipeline statt des Modellanbieters als Signierer und gilt so lange als nicht vertrauenswürdig, bis das eigene Zertifikat auf einer Vertrauensliste steht.

Das widerspricht den fünf oben genannten gesetzlichen Formulierungen zur Beständigkeit. Ein Thumbnailer, eine CDN-Transformation, das Entfernen von EXIF-Daten aus Datenschutzgründen oder ein Screenshot löschen diese Kennzeichnungen. Die von den Gesetzen vorausgesetzte Technik kann die geforderte Beständigkeit daher nicht allein liefern. Die einzige Ebene, die Transformationen übersteht, ist ein nicht wahrnehmbares Wasserzeichen in den Pixeln. Googles SynthID ist am weitesten verbreitet, bietet aber keinen öffentlichen Detektor. Das Prüfportal ist nur über eine Warteliste zugänglich, sodass Dritte nicht feststellen können, ob ein solches Wasserzeichen vorhanden ist. Direkt aus der Datei lässt sich nur die Metadatenebene verifizieren. Über zwei Bibliotheken und drei Kennzeichnungen hinweg überstand sie eine Transformation genau in einer Kombination: ImageMagick mit dem chinesischen Label.

Lohnt sich die Kennzeichnung, wenn sie ohnehin verloren geht?

Ja. Die relevanten Plattformen lesen sie genau in dem Moment, in dem sie noch vorhanden ist: beim Upload. Auch wenn ein Manifest den eigenen Thumbnailer nicht übersteht, wird es gelesen, sobald die Originaldatei an die Plattform übergeben wird. Das von der Plattform am Beitrag angebrachte Label bleibt deutlich länger bestehen als die Metadaten.

Damit ändert sich die technische Bewertung. Die Metadatenebene ist keine dauerhafte Eigenschaft der Datei. Sie ist ein einmaliges Signal an den Empfänger der Original-Bytes. Wer es mitsendet, ermöglicht TikTok und YouTube, daraus ein Label in der eigenen Datenbank zu machen, das nicht mehr vom PNG abhängt. Ohne Signal müssen die Plattformen über ihre Klassifikatoren raten. Zwei Einschränkungen: Keine der Plattformen dokumentiert, ob das C2PA-Manifest in den anschließend ausgelieferten Dateien erhalten bleibt. Das haben wir nicht getestet. X dokumentiert überhaupt keine Auswertung von Herkunftsnachweisen.

Was tun, wenn eine Datei unmarkiert ankommt?

Dann muss die Kennzeichnung selbst ergänzt werden. Entscheidend ist, welche Ebene ergänzt werden kann und an welcher Stelle. Wir haben den Metadatenpfad gemessen: Das Signieren eines unmarkierten Alibaba-Bildes mit einem eigenen C2PA-Manifest dauerte 59 ms und vergrößerte die Datei um etwa 8%, von 1.18 MB auf 1.28 MB. Das neue Manifest deklarierte c2pa.created mit trainedAlgorithmicMedia, nannte das Upstream-Modell und bestand neben dem bereits vorhandenen chinesischen Label. Eine Datei kann also beide Systeme tragen, obwohl kein Anbieter beide ausliefert. Dabei gelten zwei Einschränkungen: Unser selbst signiertes Manifest wurde aus demselben Grund wie das von ByteDance als nicht vertrauenswürdig eingestuft. Außerdem zerstörte ein Re-Encode die neue Kennzeichnung genauso schnell wie die des Anbieters.

Offline-Signierung und Signierung im API-Pfad sind dieselbe Operation auf denselben Bytes. Der Unterschied liegt darin, wen die Signatur nennt. Bei der Signierung im Gateway bestätigt das Gateway den Ursprung der Datei. Bei der Signierung in der Anwendung übernimmt das eigene Unternehmen diese Rolle, einschließlich eigenem Zertifikat und eigener Schlüsselverwaltung. Wenn die Pflicht darin besteht, offenzulegen, dass das eigene Produkt etwas mit KI erzeugt hat, gehört die Bestätigung an die Stelle, an der diese Pflicht liegt.

Eine Maßnahme kommt ganz ohne Änderungen an der Datei aus und wird oft übersehen: ein Generierungslog. China verlangt von Anbietern, die Inhalte ohne sichtbares Label ausgeben - also von jeder API -, mindestens sechs Monate lang zu protokollieren, wer sie erhalten hat. Ein Log ist außerdem die Grundlage, um Compliance nachzuweisen, nachdem eine Datei eine Verarbeitungspipeline durchlaufen und ihre Metadaten verloren hat. Wer bereits Request-IDs, Modelle und Zeitstempel protokolliert, benötigt meist nur noch einen Hash der ausgelieferten Bytes. Damit lässt sich ein Logeintrag später einer Datei zuordnen, auch wenn deren Metadaten inzwischen entfernt wurden.

FAQ

Kennzeichnen chinesische Bildmodelle ihre Ausgaben?

Ja, aber nicht mit C2PA. Die qwen-image- und wan2.7-SKUs von Alibaba betten das in GB 45438-2025 definierte implizite Label ein: ein Metadatenfeld mit dem registrierten Unternehmenscode des Produzenten, einer Content-ID und einem Signaturwert. Die seedream-SKUs von ByteDance machen das Gegenteil: Sie betten C2PA ein, aber kein chinesisches Label. Von 11 Bild-SKUs enthielt keine beide Kennzeichnungen.

Übersteht eine C2PA-Kennzeichnung das Resize in meiner Pipeline?

Nein, nicht mit gängigen Bildverarbeitungstools. Ein Resize mit Pillow oder ImageMagick entfernt das C2PA-Manifest. Es liegt in einem benutzerdefinierten Chunk, den beide Bibliotheken verwerfen, selbst wenn sie angewiesen werden, alle Chunks zu übernehmen. Der einzige unterstützte Weg besteht darin, die transformierte Datei erneut zu signieren. Dadurch wird jedoch die eigene Pipeline zum Signierer. Chinas Label liegt in einem normalen PNG-Text-Chunk, den ImageMagick standardmäßig übernimmt. Pillow übernimmt ihn, wenn er ausdrücklich kopiert wird. Bei einer Konvertierung zu JPEG oder WebP geht das Label in beiden Bibliotheken verloren.

Sind unmarkierte API-Ausgaben für mich ein Compliance-Problem?

Ob eine unmarkierte Datei in den eigenen Verantwortungsbereich fällt, hängt davon ab, ob das jeweilige Regelwerk das Unternehmen als Anbieter oder Betreiber einstuft. Das muss juristisch geklärt werden. Die Messungen beantworten den technischen Teil: Wer über diese APIs Sprache oder Video generiert oder Alibaba-SKUs für Bilder eines EU-Publikums verwendet, erhält eine Datei ohne Kennzeichnung, die ein europäischer Verifier erkennen würde. Das Hinzufügen der Kennzeichnung bleibt dann am eigenen Team hängen.

Gemessen am 2026-08-22 über das Synthorai-Gateway: 11 Bild-SKUs wurden jeweils zweimal generiert und sowohl als base64 als auch per URL ausgeliefert, dazu eine Video-SKU und vier Text-to-Speech-SKUs. Jede Datei wurde auf C2PA-Manifeste, IPTC- und XMP-Felder sowie GB-45438-Label-Chunks untersucht. Die C2PA-Signaturen wurden mit geladener offizieller Vertrauensliste sowie gegen die vorläufige Liste des öffentlichen Content-Credentials-Verifiers validiert. Für die Beständigkeitstests wurden fünf Operationen - PNG-Re-Encode, Resize, Crop sowie JPEG- und WebP-Konvertierung - mit jeweils einer markierten Datei pro Familie in Pillow und ImageMagick ausgeführt, einschließlich der Optionen beider Bibliotheken zur Übernahme von Metadaten. Die Werte für die Nachbearbeitung stammen aus der Signierung eines unmarkierten Bildes mit einem eigenen Manifest und der anschließenden Prüfung vor und nach der Transformation. Die regulatorischen Zeilen sind technische Einordnungen der zitierten Texte, keine Rechtsberatung. Anbieter können ihr Kennzeichnungsverhalten ohne Vorankündigung ändern; vor einer Abhängigkeit von einer Tabellenzeile sollte deshalb erneut gemessen werden.

Weitere Beiträge aus derselben Reihe: Kosten der Bilderzeugung, Qwen-Image 3.0 im Messvergleich, Preise für Videogenerierung, Kosten von Voice Agents.

← Zurück zum Blog