Die Intuition, „KI-generiert“ bedeute „keine Rechtefragen“, ist der teuerste Irrtum im aktuellen Zyklus generativer Inhalte. Das Gegenteil kommt der Wahrheit näher: KI-generierte Gesichter bündeln Rechtefragen aus mehreren Rechtsgebieten, und die Risiken addieren sich, statt sich aufzuheben.
Das Persönlichkeitsrecht ist das Fundament
Die meisten Rechtsordnungen kennen ein Persönlichkeitsrecht (in Deutschland das allgemeine Persönlichkeitsrecht, in Frankreich das Droit à l’image, in den USA das Right of Publicity). Es schützt das erkennbare Erscheinungsbild vor unautorisierter kommerzieller Nutzung. Der Schutz hängt nicht vom fotografischen Ursprung ab, ein gemaltes Porträt, eine Büste oder ein generiertes Bild lösen dieselbe Prüfung aus. Der rechtliche Maßstab ist die Erkennbarkeit.
Erkennbarkeit ist eine niedrige Hürde. Klagende müssen nicht beweisen, dass die Nutzung ihres Erscheinungsbilds beabsichtigt war. Sie müssen beweisen, dass ein verständiger Betrachter sie erkennen würde. Gleicht ein generiertes Gesicht ihrem Haaransatz, ihrer Kieferpartie, der Augenstellung oder dem Hautton so weit, dass man es für sie halten könnte, ist die Hürde genommen.
Das Recht am eigenen Bild macht es konkret
§ 22 KUG verlangt in Deutschland (wie vergleichbare Vorschriften in anderen EU-Staaten) eine ausdrückliche Einwilligung für die Verbreitung des Bildnisses einer Person. Die Norm ist älter als KI, gilt aber auch für sie. Die Einwilligung muss sich konkret auf die Nutzung und den Kontext beziehen und ist (bei laufenden Nutzungsverhältnissen) widerruflich.
Es gibt gesetzliche Ausnahmen: Personen der Zeitgeschichte, Personen, die nur als Beiwerk neben einer Landschaft erscheinen, und einige weitere. Keine davon deckt ernsthaft den Fall ab, dass eine Marke ein „modelhaftes“ Gesicht für einen Werbespot will. Die Ausnahmen sind eng, die Regel ist weit.
Art. 9 DSGVO erhöht den Einsatz
Die Datenschutz-Grundverordnung stuft Gesichtsdaten als biometrische Daten ein, eine besondere Kategorie nach Art. 9. Ihre Verarbeitung erfordert eine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) oder eine der engen Ausnahmen im öffentlichen Interesse. Kommerzielle KI-Bildgenerierung fällt unter keine dieser Ausnahmen.
Das gilt auch, wenn das gezeigte Gesicht „synthetisch“ ist. Wurde die Synthese aus echten Gesichtsdaten gelernt, war die Verarbeitung dieser echten Daten eine Frage des Art. 9, und die Marke, die den Output veröffentlicht, steht in der Kette der Verarbeiter. Datenschutzbehörden signalisieren zunehmend, dass sie das verfolgen werden. Italiens Garante tat es Anfang 2023 gegen ChatGPT, die norwegische Datenschutzbehörde davor gegen Clearview AI, und das Muster weitet sich aus.
Die EU-KI-Verordnung kommt jetzt obendrauf
Die EU-KI-Verordnung (AI Act) ergänzt Transparenz- und Kennzeichnungspflichten speziell für synthetische Medien (Art. 50 KI-VO). Deepfakes müssen offengelegt werden. KI-generierte Inhalte in kommerziellen Kontexten müssen als solche erkennbar sein. Die KI-VO ersetzt weder das Persönlichkeitsrecht noch die DSGVO; sie setzt auf ihnen auf.
Für eine Marke mit KI-Kampagne bedeutet das drei unabhängige Compliance-Linien: (1) Persönlichkeitsrecht für die Einwilligung in die Nutzung, (2) DSGVO für die rechtmäßige Verarbeitung zugrunde liegender biometrischer Daten, (3) KI-VO für die Kennzeichnung des synthetischen Outputs. Ein Versäumnis auf einer einzigen Linie schafft Haftungsrisiko.
Warum Modellanbieter nicht die Antwort sind
Es ist verlockend zu glauben, der Modellanbieter regele all das. Tut er nicht. Seine Nutzungsbedingungen schließen die Haftung für die nachgelagerte Nutzung fast ausnahmslos aus. Er bietet Werkzeuge an, keine Rechteketten. Trifft die Abmahnung ein, trifft sie die Marke. Das Vertragsverhältnis zwischen Marke und Anbieter erstreckt sich nicht auf die abgebildete Person, und die abgebildete Person hat keinen Vertrag mit dem Anbieter.
Der Modellanbieter liefert Ihnen Werkzeuge. Die Lizenz-Ebene liefert Ihnen eine verteidigungsfähige Position.
Was die Ebene der lizenzierten Identität leistet
Eine lizenzierte Identität führt die drei Compliance-Linien in einem einzigen dokumentierten Vertrag zusammen. Die persönlichkeitsrechtliche Einwilligung steht in der Lizenz. Die ausdrückliche Einwilligung nach Art. 9 DSGVO steht in der Lizenz. Die Kennzeichnung nach der KI-VO lässt sich in die Asset-Pipeline der Kampagne einhängen, weil jeder Output einer bekannten Lizenz zugeordnet ist. Die Marke publiziert weiterhin, jetzt aber mit Unterlagen.
Das beseitigt nicht jedes Risiko. Auch ein lizenziertes Gesicht darf nicht so genutzt werden, wie es die Lizenz ausschließt, Politik, Pharma oder was immer die abgebildete Person festgelegt hat. Aber es verschiebt die Risikofläche von „Hatten wir überhaupt Rechte?“ zu „Haben wir uns im Lizenzumfang bewegt?“. Das ist eine Frage, die sich verteidigen lässt.
Jedes KI-generierte Gesicht ist ein Rechtsrisiko. Es sei denn, es ist lizenziert.
Agentur-Zugang anfragen