TransparAI: EU AI Act Compliance, KI-Kennzeichnung & KI-Bilderkennung

FAQ

Kann das Plugin jedes KI-Bild erkennen?

Nein, und kein Plugin kann das. Die Erkennung stützt sich auf Metadaten, die Generatoren einbetten. Bilder, deren Metadaten entfernt wurden (erneute Uploads aus sozialen Medien, Screenshots, Einfügen aus der Zwischenablage), tragen keine Signale. Unsichtbare Pixel-Wasserzeichen wie Google SynthID lassen sich nur über den Dienst des Anbieters selbst verifizieren; TransparAI gibt nichts anderes vor. Erkannte Metadaten sind ein Indiz, kein kryptografischer Beweis. Genau dafür gibt es die Prüfliste.

Welche KI-Bildgeneratoren werden erkannt?

Alles, was eine Standardmarkierung in der Datei hinterlässt. In der Praxis sind das ChatGPT und DALL-E, GPT-Image, Google Gemini inklusive Nano-Banana-Ausgaben, Adobe Firefly und Photoshop Generative Fill, Bing Image Creator, Midjourney, Stable Diffusion (AUTOMATIC1111, ComfyUI, InvokeAI, SwarmUI, Fooocus), NovelAI, Flux von Black Forest Labs, Leonardo.Ai, Ideogram, Recraft und Seedream, plus jedes Tool, das ein C2PA-Manifest oder den IPTC Digital Source Type schreibt, und genau dorthin bewegt sich die gesamte Branche. Neue Signaturen lassen sich per Filter ergänzen, ohne den Code zu forken. TransparAI ist ein unabhängiges Plugin und steht in keiner Verbindung zu einem dieser Anbieter oder zu den Herstellern der Plugins in seiner KI-Systeme-Liste.

Muss ich jedes KI-Bild auf meiner Website kennzeichnen?

Meist nicht, und das Plugin tut auch nicht so. Wer eine Website betreibt, ist im Sinne des EU AI Act Betreiber. Artikel 50(4) verlangt von Betreibern, Deepfakes offenzulegen: KI-generierte oder KI-manipulierte Bilder, die echten Personen, Orten, Gegenständen oder Ereignissen ähneln und für echt gehalten werden könnten. Dazu zählen auch realistische Produktfotos und Bilder im Stil von Stockfotos. Eine offensichtliche Illustration, ein Cartoon oder ein klar künstlerisches Bild ist kein Deepfake, und Inhalte, die vor dem 2. August 2026 veröffentlicht wurden, sind nicht rückwirkend erfasst. Die maschinenlesbare Markierung nach Artikel 50(2) ist Pflicht des Anbieters des Generators; das Plugin schreibt sie in deine Dateien, damit sie auf deiner Website nicht verloren geht, und die Prüfliste zeigt drei Fragen, die dir bei der Entscheidung über die sichtbare Kennzeichnung helfen. Nichts davon ist Rechtsberatung.

Welche Fristen gelten?

Artikel 50 gilt seit dem 2. August 2026. Die Kommission hat den endgültigen Verhaltenskodex zur Transparenz KI-generierter Inhalte zusammen mit den EU-Symbolen am 10. Juni 2026 veröffentlicht, ihre Leitlinien zu Artikel 50 am 20. Juli 2026. Der seit dem 27. Juli 2026 geltende Digital-Omnibus gibt Anbietern von Generatoren, die bereits auf dem Markt waren, bis zum 2. Dezember 2026 Zeit, die maschinenlesbare Markierung nachzurüsten. Für den sichtbaren Hinweis durch Betreiber gibt es keine solche Übergangsfrist.

Verwendet das Plugin die offiziellen EU-Symbole?

Ja, als Badge-Stil. Es sind die Symbole, die die Europäische Kommission am 10. Juni 2026 veröffentlicht hat (vollständig KI-generiert, teilweise KI-verändert und das einfache KI-Symbol, jeweils in Schwarz und Weiß), unverändert mitgeliefert. Die Kommission erlaubt allen, sie kostenlos und ohne Namensnennung zu verwenden. Die Symbole sind optional, ihre Nutzung macht deine Website nicht zum Unterzeichner des Verhaltenskodex, und weder die Symbole noch das Plugin bescheinigen Konformität.

Prüft das Plugin Content Credentials?

Ja, auf deinem eigenen Server und ohne eine Anfrage an einen externen Dienst. Bei jeder Datei mit C2PA-Manifest prüft das Plugin die Signatur des Manifests (ES256, ES384, ES512, PS256, PS384, PS512 und Ed25519), die Hashes aller Assertions, auf die es verweist, ob dessen Daten-Hash die Bytes der Datei noch abdeckt, ob das signierende Zertifikat Content Credentials signieren darf und ob seine Kette bei einer Stelle auf der C2PA-Vertrauensliste endet, die mit dem Plugin ausgeliefert wird. Ein RFC-3161-Zeitstempel wird ebenfalls geprüft und legt den Zeitpunkt der Signatur fest. Das Ergebnis lautet „gültig, auf der C2PA-Vertrauensliste“, „gültig, Unterzeichner nicht gelistet“ oder „ungültig“ mit Begründung und wird zusammen mit Unterzeichner, Claim-Generator und Zeitstempel angezeigt. Ein Manifest, das die Prüfung nicht besteht, landet in der Prüfliste, statt automatisch zu kennzeichnen. Zertifikatssperrungen (OCSP) werden nicht geprüft, und über einen Filter kannst du eigene Vertrauensanker hinzufügen.

Warum verlieren meine Vorschaubilder die Content Credentials?

WordPress kodiert jede Größenvariante, die es erzeugt, neu, und dabei geht das C2PA-Manifest des Originals verloren; dasselbe passiert in Bildoptimierern. Die Anhang-Details und wp transparai verify-meta nennen, wie vielen Dateien eines Anhangs das Manifest fehlt. Der IPTC Digital Source Type, den dieses Plugin schreibt, ist davon nicht betroffen: Er steht in jeder Größenvariante und wird wiederhergestellt, nachdem ein Optimierer ihn entfernt hat.

Macht das Plugin meine Website konform mit dem EU AI Act?

Es liefert dir die technischen Bausteine, die Artikel 50 verlangt (einen sichtbaren Hinweis und eine maschinenlesbare Markierung), und dokumentiert deine Entscheidungen. Ob und wie der EU AI Act oder ein anderes Gesetz auf deine Website anwendbar ist und ob dein konkretes Setup ihm genügt, ist eine Rechtsfrage, die nur du (oder dein Anwalt) beantworten kannst. Der Readiness-Score ist ein Selbstcheck, kein Urteil. Siehe Abschnitt Haftungsausschluss.

Was bedeutet der Readiness-Score?

Er ist der Anteil der erledigten Prüfpunkte, wobei jeder Prüfpunkt etwas ist, das das Plugin in seinem eigenen Zustand verifizieren kann: KI-geschriebene Beiträge tragen eine Stufe (oder du hast erklärt, dass es keine gibt), gekennzeichnete Medien existieren und nichts wartet in der Prüfliste, die Chatbot-Frage ist beantwortet, die KI-Systeme sind mit einer Sichtbarkeitsentscheidung inventarisiert, und die Selbsteinschätzung und die Artikel-4-Checkliste sind vollständig. 100 bedeutet, dass jeder technische Baustein vorhanden und dokumentiert ist. Es bedeutet nicht, dass deine Website konform ist; der Haftungsausschluss gilt.

Wie funktioniert die Selbsteinschätzung?

Sechs Ja-Nein-Fragen dazu, wie deine Website KI nutzt: Chatbot, KI-Texte, KI-Bilder, Personalisierung, Übersetzung und synthetische Medien. Die Antworten listen die voraussichtlich geltenden Pflichten auf, jeweils mit dem Artikel des EU AI Act und der Plugin-Seite, die sie abdeckt. Die Antworten werden auf deiner Website mit dem Namen der Person gespeichert, die sie gespeichert hat, sind jederzeit änderbar und erscheinen im Compliance-Bericht.

Was ist die Artikel-4-Checkliste zur KI-Kompetenz?

Artikel 4 verlangt von Anbietern und Betreibern Maßnahmen, soweit ihnen das möglich ist, für ein ausreichendes Maß an KI-Kompetenz der Personen, die in ihrem Auftrag KI-Systeme betreiben oder nutzen; ein Schulungsformat oder Zertifikat schreibt er nicht vor. Die fünf Punkte sind die Maßnahmen, die üblicherweise als Nachweis dienen: Die Mitarbeitenden wissen, welche KI-Tools im Einsatz sind, eine interne Richtlinie ist schriftlich festgehalten, Personen, die mit KI-Tools arbeiten, wurden angeleitet, ein Überprüfungstermin ist gesetzt, und der Nutzungskontext sowie die betroffenen Personen wurden berücksichtigt. Hake ab, was zutrifft; die Checkliste zählt zum Readiness-Score und wird mit Name und Datum der letzten Speicherung im Compliance-Bericht ausgegeben.

Wie werden KI-Systeme ohne externe Anfragen erkannt?

Eine Liste bekannter KI-Plugins liegt TransparAI bei und wird auf deinem Server mit den installierten Plugins verglichen, genauso wie die Chatbot-Erkennung arbeitet. Die Liste wird mit dem Plugin aktualisiert, nichts wird nachgeladen und nichts über deine Website wird irgendwohin gesendet. Aktive Plugins, die die Liste nicht kennt, werden vorgeschlagen, wenn ihr eigener Name oder ihre Beschreibung KI erwähnt, und jedes andere System lässt sich von Hand deklarieren. Entwickler können die Liste über den Filter transparai_systems_registry erweitern.

Kann ich einen Compliance-Bericht exportieren?

Ja. Die Druckansicht umfasst den Readiness-Score, die Antworten der Selbsteinschätzung, die Artikel-4-Checkliste, die erkannten und deklarierten KI-Systeme, den Stand jedes Hinweises, die als KI markierten Inhalte, die Medien-Auditliste und die letzten Aktivitäten, zusammen mit einem Dokument-Hash über die Fakten, sodass zwei Berichte einer unveränderten Website denselben Hash tragen. GET /wp-json/transparai/v1/report liefert denselben Datensatz als JSON, der CSV-Export listet die Zeilen des Medien-Audits und der JSON-Download speichert den gesamten Datensatz als Datei.

Ist das eine Rechtsberatung?

Nein. TransparAI ist ein technisches Werkzeug, keine Rechtsberatung, und seine Nutzung begründet keine Garantie für die Konformität mit irgendeiner Verordnung. Siehe Abschnitt Haftungsausschluss.

Verändert das Plugin meine Bilddateien?

Nur wenn eine Datei gekennzeichnet und die Metadaten-Option aktiviert ist. Das Plugin schreibt dann einen kleinen XMP-Block in die JPEG-, PNG-, WebP- oder AVIF-Datei und ihre Größenvarianten. Die Bildpixel bleiben unberührt. Dateien werden atomar ersetzt und vorher validiert. Das Aufheben der Kennzeichnung entfernt genau die Metadaten, die dieses Plugin geschrieben hat; fremde Metadaten werden nie angetastet.

Wo sehe ich, was in eine Datei geschrieben wurde?

Öffne die Anhang-Details und klicke auf „Dateimetadaten anzeigen“. Dort steht jede Datei dieses Anhangs mit ihrem Zustand (Deklaration vorhanden, fehlend oder ein Format, das keine tragen kann), dem aktuell deklarierten Digital Source Type, den vollständigen Erkennungsbelegen, der aufgezeichneten Historie und dem rohen XMP-Paket der Hauptdatei. Während du hinsiehst, wird nichts geschrieben; es ist ein Lesen der Dateien, wie sie gerade auf der Festplatte liegen.

Überlebt die Markierung mein CDN?

Nicht immer, und das lohnt sich zu prüfen. Bildoptimierer am Edge, darunter Cloudflare Polish und Jetpack Photon, kodieren Bilder bei der Auslieferung neu und verwerfen dabei jeden Metadatenblock. Die Datei auf deinem Server bleibt perfekt, während Besucher und Suchmaschinen ein nacktes Bild erhalten, und nichts in WordPress zeigt das an. Aktiviere die Auslieferungsprüfung in den Einstellungen und drücke dann bei einem gekennzeichneten Bild auf „Auslieferung prüfen“: Das Plugin ruft dieses Bild von deiner eigenen öffentlichen URL ab und sagt dir, ob die Deklaration angekommen ist. Wenn nicht, liegt die Lösung in deiner CDN-Konfiguration (Metadaten behalten oder gekennzeichnete Bilder von der Neukodierung ausnehmen), nicht in diesem Plugin.

Beeinflusst die KI-Kennzeichnung mein SEO und GEO?

Es liefert Suchmaschinen genau die Signale, die sie dokumentieren. Google liest den IPTC Digital Source Type, den TransparAI in die Bilddateien schreibt, und kann in der Bildersuche ein Label „KI-generiert“ anzeigen; das Schema.org JSON-LD in der Seite trägt dieselbe Deklaration für Suchmaschinen und KI-Crawler, die die Datei nie öffnen. Alles wird serverseitig gerendert, fügt keine Anfrage hinzu und verschiebt kein Layout, es entstehen also keine Kosten bei den Core Web Vitals. Ob und wie eine Suchmaschine gekennzeichnete Bilder im Ranking behandelt, ist ihre Entscheidung und nichts, was ein Plugin versprechen kann; was die Kennzeichnung vermeidet, ist das gegenteilige Risiko, ein nicht gekennzeichnetes KI-Bild, auf das eine Plattform oder ein Wettbewerber später hinweist. Für GEO, Generative Engine Optimization, sagen dieselben strukturierten Daten KI-Suchen und Antwortmaschinen, woher deine Bilder und Texte stammen, und das ist Teil dessen, was sie beim Zitieren einer Quelle gewichten.

Erkennt das Plugin meinen Chatbot?

Es erkennt mehr als 40 Chat- und Chatbot-Anbieter an ihrem Plugin-Verzeichnis, ihren Skript-Hosts, ihren JavaScript-Globals und ihrem Widget-Markup, vollständig lokal. Der Fund erscheint auf der Einstellungsseite mit einem Hinweis, ob dort üblicherweise ein Bot oder Menschen antworten. Du entscheidest, ob der Hinweis erscheint; das Plugin schaltet ihn nie allein aufgrund eines Funds ein, weil ein Live-Chat mit einem Menschen dahinter kein KI-System ist.

Kann ich auch KI-Texte kennzeichnen?

Ja. Jeder Beitrag und jede Seite hat in der Editor-Seitenleiste eine KI-Stufe (keine KI genutzt, KI-unterstützt, KI-generiert, KI-generiert und geprüft), auch in QuickEdit und Bulk-Bearbeitung der Beitragsliste. KI-Stufen zeigen einen konfigurierbaren Hinweis vor oder nach dem Inhalt oder auf beiden Seiten; der Block „KI-Hinweis“ und der Shortcode [transparai_notice] platzieren ihn stattdessen von Hand, und zwar ausschließlich, wenn die Position auf „nur wo ein Block oder Shortcode platziert ist“ steht. Geprüfte Texte speichern die prüfende Person, das Datum und einen Fingerabdruck des Inhalts, sodass eine spätere Änderung als „seit der Prüfung geändert“ sichtbar ist. Optional geht der Hinweis auch in Auszüge und RSS-Feed-Einträge. Außerdem gibt es einen optionalen siteweiten Hinweis am Ende von Seiten, die gekennzeichnete Medien enthalten.

Kann ich das Aussehen des KI-Hinweises ändern?

Ja. Unter Einstellungen, KI-Texte wählst du zwischen einem Block auf eigener Zeile, einem Inline-Hinweis im Text, einem schließbaren Banner, einem kleinen Badge und einem Modal (ein Button, der einen Dialog öffnet), und ob er vor dem Inhalt, danach, auf beiden Seiten oder nur dort erscheint, wo ein Block oder Shortcode platziert ist. Zwei weitere Optionen ergänzen ein kleines KI-Badge am Beitragstitel in Listen und Archiven und ein [AI]-Präfix an Feed-Titeln. Das Schließen eines Banners blendet es nur für diesen Seitenaufruf aus; im Browser des Besuchers wird nichts gespeichert.

Welche Blöcke fügt das Plugin hinzu?

Fünf, alle serverseitig gerendert, sodass eine Textänderung in den Einstellungen jeden platzierten Block auf einmal erreicht, und alle still, wenn nichts deklariert ist. „KI-Hinweis“ platziert den Hinweis des aktuellen Beitrags in einem der fünf Stile, auch mehrfach pro Beitrag oder in einem Block-Theme-Template, wo er den automatischen Hinweis ersetzt. „KI-Bildkennzeichnung“ zeigt die Kennzeichnung einer Datei aus der Mediathek, KI-generiert mit Generatorname oder Von Menschen gemacht, für Galerien, Bildunterschriften und Builder-Bilder, die das automatische Badge nicht erreicht. „KI-Systeme-Hinweis“ ist der Ein-Satz-Hinweis, der die sichtbaren KI-Systeme nennt, „KI-Systeme-Liste“ dieselben Systeme als Liste mit Kategorien für eine Transparenzerklärung. „Chatbot-KI-Hinweis“ sagt Besuchern, dass im Chat eine KI antwortet. Jeder Block hat einen Shortcode-Zwilling in [transparai_notice].

Warum ist ein echtes Kamerafoto in der Prüfliste gelandet?

Moderne Kameras betten C2PA Content Credentials in echte Fotos ein. Ein C2PA-Manifest allein kennzeichnet deshalb nie automatisch. Es landet in der Prüfliste, es sei denn, das Manifest deklariert eine KI-Quelle. Verwirf es mit einem Klick; verworfene Dateien werden nicht erneut eingereiht.

Welche Page Builder und Editoren werden unterstützt?

Das sichtbare Badge funktioniert im Block-Editor (jeder Block mit Bild, inkl. Cover, Medien und Text, Galerien, Inline-Bilder im Text, Video und Audio), im klassischen Editor, bei Beitragsbildern, Template-Bildern und Text-Widgets, in Elementor Free und Pro (Bild, Galerien, Karussells, Slides, Image Box, Hotspot, Flip Box, Call to Action, Beiträge, Theme Builder), im WPBakery Page Builder (Einzelbilder, Galerien, Karussells, Zeilen- und Spaltenhintergründe, Parallax, Grids), im Bricks Builder (jedes Element, das ein Image-Tag ausgibt) und in Divi (Bild-, Galerie-, Blurb-, Slider- und Fullwidth-Header-Module über den Content-Filter; Hintergrundbilder von Sektionen, Zeilen, Spalten, Slides und Modulen über die weiter unten beschriebene Option unter Extras). In den Bearbeitungsansichten der Builder selbst werden bewusst keine Badges eingefügt, auch nicht im Divi Visual Builder und im Backend Builder. Markup, das ein Theme selbst ausgibt, lässt sich durch apply_filters( 'transparai_label_media', $html ) leiten. Für Bilder, die ein Theme ohne Anhang-ID ausgibt (ACF-Felder vom Typ URL oder Array), und für CSS-Hintergründe aktivierst du die Option unter Extras: Ein kleines Skript gleicht diese Bilder mit deinen gekennzeichneten Dateien ab. Die maschinenlesbare XMP-Kennzeichnung hängt von keinem Builder ab und funktioniert immer.

Lässt sich das Badge an mein Design anpassen?

Ja. Unter Einstellungen, Sichtbares Badge stehen neben den vier Ausprägungen eine Hintergrundfarbe, eine Textfarbe und eine Deckkraft zur Wahl. Beide Farbfelder sind ab Werk leer, und solange sie leer sind, sieht das Badge genau so aus wie bisher. Ein Update ändert also nichts an einer Website, die mit dem neutralen Aussehen zufrieden ist. Die Textfarbe zeichnet auch den Rahmen, den die Ausprägung Outline und das Badge „Von Menschen gemacht“ nutzen; Outline hat keine eigene Fläche, dort wirkt eine Hintergrundfarbe deshalb nicht. Wer die Farben lieber im eigenen Stylesheet setzt, nutzt die drei CSS-Custom-Properties --trai-badge-bg, --trai-badge-fg und --trai-badge-opacity, die dasselbe leisten und sich auf einen einzelnen Container begrenzen lassen.

Wird das Badge durch eigene Farben schwer lesbar?

Die Einstellungen sagen es, bevor die Besucher es merken. Eine Ampel neben den Farbfeldern bewertet schon bei der Auswahl den Kontrast zwischen Badge-Text und Badge-Fläche, gemessen an der WCAG-Schwelle von 4,5 zu 1, die bei dieser Schriftgröße gilt, und schreibt das Urteil in Worten aus, statt es allein der Farbe zu überlassen. Weil eine Badge-Fläche durchscheinend ist (die dunkle Ausprägung liegt ab Werk bei 70 Prozent) und auf Fotos landet, die niemand vorhersehen kann, geht die Bewertung vom schlechtesten Fall aus: Das Badge wird auf einem weißen und auf einem schwarzen Foto gemessen, angezeigt wird der schlechtere der beiden Werte. Eine Kennzeichnung wirkt nur, wenn man sie lesen kann, und eine helle Badge-Farbe mit weißem Text ist der kürzeste Weg, das zu verspielen.

Mein Theme legt Overlays über Bilder; verschwindet das Badge darunter?

Normalerweise nicht, und nie stillschweigend. Badges liegen über typischen Theme-Ebenen (Hover-Effekte, Zoom-Icons, Sale-Badges), und ein kleines Skript prüft zusätzlich die tatsächliche Zeichenreihenfolge: Ein Badge, das weiterhin verdeckt ist, wird angehoben, in eine freie Ecke verschoben oder als letzter Ausweg als Bildunterschrift unter dem Bild gezeigt (dieser Guard lässt sich unter Sichtbares Badge, Extras abschalten). Für manuelle Kontrolle gibst du einem beliebigen Container eine der Utility-Klassen trai-badge-top-left, trai-badge-top-right, trai-badge-bottom-left, trai-badge-bottom-right, trai-badge-below oder trai-badge-hidden, oder du wählst für ein einzelnes Bild in seinen Anhang-Details eine Position („Badge-Position“). Beide Wege schalten den Guard für diese Badges ab, und trai-badge-manual tut dasselbe, ohne die Position zu ändern, für den seltenen Fall, dass der Guard dein Layout falsch einschätzt. Das Ausblenden des sichtbaren Badges eines Bildes berührt nie die maschinenlesbaren Dateimetadaten oder die strukturierten Daten in der Seite; dieser Teil der Kennzeichnung bleibt intakt.

Sendet das Plugin Daten nach außen?

Nein. Es gibt keinerlei externe Anfragen. Die gesamte Erkennung liest die Dateibytes lokal auf deinem Server, und die Liste der KI-Systeme ist eine Datei innerhalb des Plugins.

Verarbeitet das Plugin personenbezogene Daten?

Es hält fest, wer in deinem eigenen WordPress was getan hat: Der Datei-Verlauf und das Website-Protokoll speichern Benutzer-ID und Anzeigename der Person, die etwas gekennzeichnet, bestätigt, deklariert oder verworfen hat, die Selbsteinschätzung und die Checkliste speichern Name und Datum der letzten Speicherung, und ein als geprüft markierter Beitrag speichert den Namen der prüfenden Person, der nur dann öffentlich angezeigt wird, wenn du das aktivierst. Nichts verlässt den Server, es werden keine Cookies gesetzt, und bei der Deinstallation mit aktivierter Datenlöschung wird alles entfernt. Siehe Abschnitt Datenschutz.

Was passiert bei der Deinstallation des Plugins?

Standardmäßig bleiben deine Kennzeichnungen in der Datenbank (eine Neuinstallation stellt sie wieder her), und bereits geschriebene Metadaten bleiben in den Dateien. Wenn du eine vollständige Bereinigung bevorzugst, aktiviere vor der Deinstallation „Alle Plugin-Daten löschen“ in den Einstellungen. Hebe zuerst die Kennzeichnung der Dateien auf, wenn auch die Metadaten in den Dateien entfernt werden sollen.

Kann ich Medien programmatisch kennzeichnen?

Ja. Der Meta-Key _transparai_ai ist für die REST API registriert, WP-CLI-Befehle decken Massenarbeiten ab, und andere Plugins können do_action( 'transparai_mark_ai', $attachment_id, 'Generator name' ) aufrufen.

Wo bekomme ich Hilfe?

Schreib im Support-Forum hier auf wordpress.org oder an TransparAI@cms-admins.de. Das Plugin wird von Patrick Schlesinger (cms-admins.de) entwickelt und gepflegt.