Weshalb braucht es eine
Regulierung von Deepfakes?
Deepfake-Technologien können sowohl für schädliche (also z.B. erpresserische) als auch nützliche (z.B. künstlerische) Zwecke eingesetzt werden. Die Diskussion rund um die Regulierung von Deepfakes fokussiert darauf, negative Konsequenzen zu verhindern oder zumindest einzudämmen, während die Potenziale erhalten bleiben.
Ausgangspunkt für die Regulierungsdebatten ist die Erkenntnis, dass die Betreiber der großen Social-Media-Plattformen seit ihrem Bestehen nicht ausreichende Schritte gegen die Verbreitung von Des- und Misinformationen sowie die Bedrohung oder Bloßstellung Betroffener unternommen haben. Angesichts des Scheiterns der Plattformselbstregulierung
Weil Deepfakes häufig auf Social-Media-Plattformen geteilt werden und darüber zirkulieren, gilt die Plattformregulierung als ein zentraler Pfeiler im Umgang mit Deepfakes. Und weil für die Produktion von Deepfakes regelmäßig auf Videos, Fotos und Audiomaterial von Personen zurückgegriffen wird, spielen außerdem das Datenschutzrecht sowie das Urheberrecht eine wichtige Rolle. Zudem werden Deepfakes in der EU-KI-Verordnung mittels Transparenzvorgaben adressiert.
Regulierung der Zirkulation:
Plattformregulierung, Datenschutz- und Urheberrecht
Im Herbst 2022 verabschiedete die EU das „Gesetz über digitale Dienste“, besser bekannt unter dem Namen „Digital Services Act“ bzw. kurz: DSA. Diese Verordnung hat zum Ziel, ein „sicheres, vorhersehbares und vertrauenswürdiges Online-Umfeld“ zu schaffen, was insbesondere dadurch erreicht werden soll, indem Plattformunternehmen reguliert werden, die das Online-Umfeld dominieren. Besonders hohe Vorgaben gelten für sehr große Online-Plattformen und sehr große Online-Suchmaschinen mit monatlich mehr als 45 Millionen Nutzer*innen in der EU. Wie oben erwähnt, sind große Social Media-Plattformen das zentrale Vehikel zur Erreichung eines möglichst großen Rezipientenkreises mit einem Deepfake, womit dem DSA eine zentrale Rolle beim Umgang mit den Herausforderungen durch Deepfakes zukommt. Dabei sind zahlreiche der DSA-Vorgaben relevant.
Der DSA sieht vor, dass Plattformbetreiber transparent machen müssen, welche Moderationsregeln auf ihrer Plattform gelten und welche Maßnahmen sie zu deren Durchsetzung ergreifen. Wenn auf einer Plattform ein Notice-and-Takedown-Verfahren zur Anwendung kommt, haben sowohl Meldende als auch von einer Meldung Betroffene Melde- und Widerspruchsrechte. Personen und Institutionen, die Ziel eines Deepfakes sind, erhalten demnach die Möglichkeit, den entsprechenden Inhalt zu melden. Die Betreiber werden verpflichtet, die Meldung zu überprüfen und abhängig vom Prüfungsergebnis die meldende Person oder Institution über das Prüfungsergebnis und über etwaige Handlungen, die darauf folgen, wie z. B. die Sperrung oder Löschung eines Inhalts, in Kenntnis zu setzen. Sollte der Betreiber z. B. im Ergebnis der Prüfung einer Meldung einen begründeten Verdacht auf eine Straftat haben, müssen Strafverfolgungsbehörden darüber informiert werden.
Zugleich ist vorgesehen, dass auch die von einer solchen Sperrung oder Löschung Betroffenen wirksame Widerspruchsmöglichkeiten erhalten, mittels derer sie die Maßnahme anfechten können. Dies soll sicherstellen, dass keine ungerechtfertigten Eingriffe in die Meinungsäußerungsfreiheit erfolgen. Vorgeschrieben ist auch, dass Plattformbetreiber mit Strafverfolgungsbehörden und Gerichten kooperieren müssen, falls der Betreiber durch diese auf einen rechtswidrigen Inhalt hingewiesen wird. Das heißt, dass der Plattformbetreiber Strafverfolgungsbehörden bei der Verfolgung des Urhebers eines strafbewehrten Deepfake-Inhalts unterstützen muss, indem z. B. die IP-Adresse weitergegeben wird, was der Rechtedurchsetzung von Deepfake-Betroffenen zuträglich sein kann.
Ob und inwiefern Plattformbetreiber bei der Durchsetzung von Löschungen auf (teil-)automatisierte Systeme zurückgreifen, bleibt ihnen überlassen. Es ist also denkbar, dass Plattformen mittels Upload-Filtern bereits gemeldete Deepfakes beim Versuch des erneuten Hochladens automatisch blockieren. Wenn die Zahl der Deepfakes zunimmt und dadurch z. B. Betroffene nicht mit dem Melden hinterherkommen oder wenn in Deepfakes keine natürlichen Personen abgebildet sind, sondern fiktive oder synthetische Personen, kann das oben beschriebene Meldesystem allerdings an seine Grenzen kommen. Für solche Fälle sieht der DSA daher vor, dass Meldungen auch von sogenannten vertrauenswürdigen Hinweisgebern – das sind Expert*innen-Teams, die von staatlichen Stellen zertifiziert wurden – erfolgen können, und sogar priorisiert berücksichtigt werden müssen.
Damit das Meldesystem der Plattformen keine undurchsichtige Black Box bleibt, müssen die Anbieter schließlich noch Bericht über die Praxis des Umgangs mit Meldungen, Löschungen, Widersprüchen usw. erstatten.
Schließlich ermöglicht der DSA es der Europäischen Kommission, Leitlinien zu empfohlenen Maßnahmen für sehr große Plattformbetreiber zu veröffentlichen, um systemische Risiken zu mindern. In den im März 2024 veröffentlichten Leitlinien wurden die Betreiber zum Schutz der Integrität europäischer Wahlen u. a. zur klaren Kennzeichnung von KI-generierten Inhalten aufgefordert. Dabei gilt: Ob ein Inhalt als rechtswidrig einzustufen ist, wird nicht im DSA geregelt, sondern durch entsprechende Gesetze in den EU-Mitgliedstaaten. In Deutschland ist dies zum Beispiel der Schutz vor
Datenschutz-Grundverordnung
und Urheberrecht
Wenn eine Person in einem Deepfake abgebildet wird, werden in der Regel personenbezogene Daten – Fotos oder Sprachaufnahmen – für die Herstellung verwendet, wodurch auch Datenschutzrechte berührt werden. Der Schutz personenbezogener Daten ist in der EU durch die Datenschutz-Grundverordnung (DS-GVO) geregelt. Als Rechtsgrundlage für die Verarbeitung personenbezogener Daten bei der Herstellung eines Deepfakes kann entweder auf die Einwilligung oder berechtigte Interessen zurückgegriffen werden. Der Rückgriff auf berechtigte Interessen dürfte vor allem dann infrage kommen, wenn Personen des öffentlichen Lebens z.B. in einem satirischen Deepfake unter Berufung auf das Recht auf freie Meinungsäußerung dargestellt werden.
Wenn gewöhnliche Menschen Gegenstand eines Deepfakes sind, dürfte hingegen eine Einwilligung der betroffenen Person notwendig sein. Bei der Meldung eines Deepfakes können Betroffene unter Berufung auf das Datenschutzrecht die Löschung des entsprechenden Inhalts verlangen. Gerade bei strafbaren Deepfakes, die von einer großen Zahl an Nutzer*innen geteilt werden, dürfte es jedoch schwierig sein, die Urheber*innen des entsprechenden Inhalts auszumachen, um weitere rechtliche Schritte einzuleiten.
Deepfakes zeigen häufig Foto- Video und Audiomaterial, das urheberrechtlich geschützt ist. Wenn solche urheberrechtlich geschützten Inhalte wie eine Filmszene verwendet werden, ist folglich auch das Urheberrecht zu beachten. Dieses basiert auf dem Recht der EU-Mitgliedstaaten, ist aber weitgehend harmonisiert. Grundsätzlich müssen Deepfake-Produzent*innen zwar die Erlaubnis der Urheberrechtsinhaber*innen einholen, doch auch hier erlauben Ausnahmen die Nutzung für wissenschaftliche oder künstlerische Zwecke, etwa in Parodien.
Regulierung von Deepfake-Technologien
in der KI-Verordnung
Das „Gesetz über künstliche Intelligenz“ der Europäischen Union, das besser bekannt ist unter dem Namen „AI Act“ oder „KI-Verordnung“ stellt das weltweit erste umfassende Gesetz dar, das Technologien und Anwendungen der künstlichen Intelligenz reguliert. Das Anfang 2024 verabschiedete Gesetz, das ab Mitte 2026 anzuwenden sein wird, regelt auch den Umgang mit Deepfake-Technologien.
Deepfakes fallen gemäß AI Act weder in die Kategorie verbotener KI-Systeme noch in die Hochrisikokategorie. Stattdessen befinden sie sich auf der dritten Risiko-Ebene zu KI-Systemen mit geringem oder minimalem Risiko.
Dadurch greifen vor allem gesetzliche Vorgaben zur Transparenz und zum Vertrauensaufbau.
Die Transparenzvorgaben richten sich sowohl an Anbieter als auch Betreiber*innen von KI-Systemen, die sich zur Erstellung eines Deepfakes eignen. Gemäß Art. 50 Abs. 2 sind Anbieter derartiger Systeme dazu verpflichtet, ihre Systeme so zu gestalten, dass die generierten bzw. manipulierten Inhalte mittels technischer Methoden (Wasserzeichen, Metadaten, Fingerprints usw.) als solche zu erkennen sind.
Art. 50 Abs. 4 verpflichtet die Betreiber*innen (natürliche Personen als auch (ausländische) staatliche Stellen, Unternehmen usw.) eines solchen KI-Systems zur Offenlegung, dass ein Inhalt mithilfe von KI generiert bzw. manipuliert wurde. Dies könnte zum Beispiel ein Hinweis in einem Posting, das einen Deepfake-Inhalt enthält, ein Untertitel in einem Video, ein Texthinweis am Rande eines Bildes oder ein einführender Hinweis zu Beginn einer Audiosequenz sein.
Art. 79 Abs. 6 sieht schließlich die Überwachung der Einhaltung der Transparenzvorgaben und Art. 99 Abs. 4 lit. g das Strafmaß im Falle der Nicht-Einhaltung vor. Demnach können Anbieter und Betreiber*innen zur Zahlung eines Ordnungsgelds in Höhe von bis zu 15 Millionen Euro bzw. – im Falle eines Unternehmens – bis zu 3 % des jährlichen Umsatzes verpflichtet werden.
Damit verfolgt der AI Act das Ziel, den Rezipient*innen durch Aufklärung einen informierten Umgang mit Deepfakes zu ermöglichen. Zugleich sollen künstlerische, satirische usw. Verwendungen lediglich auf eine Weise gekennzeichnet werden müssen, die den Genuss des jeweiligen Werkes nicht beeinträchtigen.
Fazit und offene Fragen
Ob die oben vorgestellten regulatorischen Maßnahmen sich als wirkungsvoll gegen missbräuchliche Deepfakes erweisen werden, ist vor allem davon abhängig, wie gut sie durchgesetzt werden. Wenn zum Beispiel eine Person ein Deepfake teilt und dies nicht KI-Verordnungskonform als solches kennzeichnet, ist die Verhängung eines Ordnungsgeldes gegen die Person möglich. Angesichts der Vielzahl von KI-generiertem Material, das tagtäglich zigtausendfach von Nutzer*innen geteilt wird, ist es jedoch äußerst fraglich, dass die zuständigen Behörden in der Lage sein werden, jedem dieser Fälle nachgehen zu können – geschweige denn, zu erkennen, wann es sich um ein Deepfake handelt, dem nachgegangen werden müsste, und wann nicht. Auch die Vorgaben des DSA, des Datenschutz- sowie des Urheberrechts können nur dann Anwendung finden, wenn die Betroffenen bzw. Rechteinhaber*innen Kenntnis über die Verwendung des Deepfake-Materials erlangen und entsprechende Schritte einleiten. Zugleich kann die Verantwortung zur Meldung von Deepfakes nicht allein den Betroffenen selbst übertragen werden. Falls zum Beispiel eine Person Ziel einer Deepfake-basierten Verleumdungskampagne wird, der entsprechende Inhalt sich tausendfach verbreitet und mit Drohungen gegen die Person einhergeht, braucht es Strukturen wie Betroffenenanlaufstellen, vertrauenswürdige Hinweisgeber, die sich für die plattformweite und -übergreifende Löschung der Inhalte einsetzen. Zusätzlich braucht es eine aufgeklärte Zivilgesellschaft, die angesichts der durch Deepfakes und KI-generierten Inhalte veränderten medialen Realität besonders kritisch mit Medieninhalten im Internet umgeht, deren Ursprung und Glaubwürdigkeit nicht seitens vertrauenswürdiger Medienorganisationen klar verifiziert ist. Denn klar ist, dass Desinformation, Erpressung, Rufmordkampagnen usw. gesellschaftliche Phänomene sind, die nicht durch Digitalgesetze alleine zu lösen sind. Gesellschaftliche und mediale Polarisierung und das Zersplittern etablierter Medien- und Parteienstrukturen bzw die Erosion des Vertrauens in diese, sind der Nährboden, auf dem unerwünschte Inhalte wie Desinformationen und Deepfakes gedeihen können.