Ein Bild, das es vorher nicht gab

Bis hierhin handelte der Kurs von einem einzigen Vorgang: Ein Modell bewertet Token und wählt eines aus (Kapitel 12). Ein Bild entsteht auf einem anderen Weg, und der lässt sich in zwei Sätzen sagen.

Erst kaputtmachen, dann den Rückweg lernen

Die Arbeit, auf der Stable Diffusion und seine Linie stehen, ist von 2015 und nennt den Trick beim Namen. Die Grundidee, angeregt von der statistischen Physik ungleich­ge­wich­tiger Systeme, ist nach der Arbeit (externe Seite, arxiv.org), die Struktur in einer Verteilung von Daten systematisch und langsam zu zerstören, in einem schrittweisen Vorwärtsprozess der Diffusion.

Ein Bild wird also Schritt für Schritt in Rauschen verwandelt, bis nichts mehr davon übrig ist. Das ist die leichte Hälfte, denn kaputtmachen kann man ohne zu lernen. Gelernt wird die andere Richtung (externe Seite, arxiv.org): ein rückwärts laufender Prozess, der die Struktur wiederherstellt. Daraus entsteht nach den Autoren ein sehr anpassungsfähiges Modell, das neue Daten erzeugt und sich dabei noch berechnen lässt.

Wer den Rückweg beherrscht, braucht kein zerstörtes Bild mehr als Ausgangspunkt. Es genügt ein zufälliges Rauschmuster. Daraus entsteht Schritt für Schritt etwas, das aussieht wie ein Bild, und der eingegebene Text lenkt dabei, wohin die Schritte führen.

seitlich verschiebbar

eigene Darstellung nach dem Verfahren aus diffusion-2015, Stand 07.08.2026

Seit 2025 ein zweites Verfahren

So arbeiten die Forschungslinie und die 2022 freigegebene Umsetzung. Im März 2025 brachte der bekannteste Anbieter eine zweite Bauform: Die Bilderzeugung von OpenAIs GPT-4o saß im Sprachmodell selbst und baute ein Bild Stück für Stück auf, so wie das Modell einen Text schreibt. Die Modellkarte (externe Seite, openai.com) begründet damit, was das neue Modell kann: Weil die Bilderzeugung tief im Aufbau von GPT-4o sitzt, das mehrere Medien in einem Modell verarbeitet, kann sie alles nutzen, was dieses Modell weiß.

Was sich dadurch ändert und was gleich bleibt, steht in Ebene 2. Die drei Folgen im nächsten Abschnitt gelten für beide Verfahren.

Was daraus für den Alltag folgt

Es wird nichts nachgeschlagen. In den Gewichten liegt kein Bildarchiv, aus dem etwas herausgesucht wird. Was entsteht, entsteht in diesem Moment.

Zweimal derselbe Auftrag gibt zwei Bilder. Beim Entrauschen ist der Ausgangspunkt ein Zufallsmuster, und ein anderes Muster führt zu einem anderen Ergebnis; beim zweiten Verfahren wird jedes Stück gezogen wie ein Token. Dieselbe Beobachtung wie beim Text, aus demselben Grund (Kapitel 12).

Ein Bild kommt fertig heraus. Es gibt darin keine Ebenen, keine Textfelder und keine Formen, die sich verschieben ließen. Wer ein Ergebnis braucht, das sich später ändern lässt, ist mit einem erzeugten Bild schlecht bedient.

Und was daraus für das Vertrauen folgt

Ein Bild zu erzeugen, kostet heute Sekunden und Cent. Damit verschiebt sich die Frage, die man vor einem Foto stellt. Bisher lautete sie, ob jemand die Aufnahme verändert hat. Jetzt kommt die Frage davor: ob es überhaupt eine gab.

Die naheliegende Hoffnung, ein anderes Modell könne das erkennen, erfüllt sich nicht. Kapitel 13 belegt das mit Anthropics Dokumentation: Ob ein Bild von einer Maschine stammt, kann Claude beim Ansehen nicht sagen. Googles Gemini-App, die Suche und Chrome geben auf Nachfrage trotzdem eine Antwort. Sie lesen dafür ein Zeichen, das beim Erzeugen ins Bild kam.

Deshalb setzen die Anbieter das Zeichen beim Erzeugen. Wie das aussieht, was es aushält und was seit dem 2. August 2026 rechtlich verlangt wird, steht in Ebene 3.

Zwischen der Arbeit von 2015 und dem Bildgenerator im Browser liegen sieben Jahre und vier Stationen, die alle datiert sind.

Vier Stationen

2015, das Verfahren. Sohl-Dickstein und Mitautoren beschreiben den Vorwärts- und den Rückweg, beide Schritte erklärt Ebene 1 dieses Kapitels. Es ist eine Arbeit über eine Idee, und die Bilder darin sind klein.

2020, die brauchbare Trai­nings­vor­schrift. Ho, Jain und Abbeel bauen das Training um und liefern die erste Zahl, die aufhorchen lässt: Auf dem Datensatz CIFAR10, ohne Vorgabe einer Bildklasse, erreicht ihr Verfahren (externe Seite, arxiv.org) einen Inception Score von 9,46 und einen FID von 3,17, damals der Bestwert.

Beides sind Maße für die Qualität erzeugter Bilder, gemessen auf einem Standarddatensatz aus Fotos von 32 mal 32 Bildpunkten. Der Bestwert von 2020 sagt nichts über heutige Bilder. Er sagt, dass das Verfahren ab hier konkurrenzfähig war.

Dezember 2021, der Schritt, der es bezahlbar machte. Bis dahin fand jeder Ent­rau­schungs­schritt auf den Bildpunkten selbst statt, und bei einem großen Bild sind das Millionen Zahlen je Schritt. Rombach und vier Mitautoren verlegen die Arbeit in einen verdichteten Zwischenraum: Sie wenden die Diffusion im latenten Raum (externe Seite, arxiv.org) leistungsfähiger, vorab trainierter Autoencoder an.

Ein zweites Netz übersetzt das Bild vorher in diese kleinere Darstellung und hinterher zurück. Was ein solches Netz ist, steht in KI jenseits der Sprachmodelle, Kapitel 03. Die Arbeit (externe Seite, arxiv.org) beschreibt den Gewinn als Gratwanderung, die aufgeht: Auf dieser Darstellung zu trainieren, erreicht erstmals einen nahezu optimalen Punkt zwischen weniger Rechenaufwand und erhaltenen Einzelheiten.

Von einem Lenkmechanismus ohne neues Training spricht dieselbe Arbeit schon für Diffusionsmodelle allgemein: Sie lassen sich laut Kurztext (externe Seite, arxiv.org) bei der Bilderzeugung steuern, ohne dafür neu trainiert zu werden. Den Text als Lenkung bringt die Arbeit selbst dazu, über zusätzliche Schichten der Kreuz-Aufmerksamkeit im Netz.

August 2022, die Freigabe. Die Umsetzung dieser Arbeit erscheint samt Gewichten (externe Seite, stability.ai), drei Monate vor ChatGPT. Ab diesem Tag lässt sich Bilderzeugung auf einer einzelnen Grafikkarte betreiben, und die Aus­ein­an­der­set­zung über die Trainingsdaten beginnt. Sie ist bis heute nicht abgeschlossen und steht deshalb in diesem Kapitel als offene Frage, ohne Antwort.

Belegt ist das Verfahren damit für die Forschungslinie und für die 2022 freigegebene Umsetzung. Für die Produkte von heute gilt es nur zum Teil.

Ein zweites Verfahren, seit März 2025

Für sein eigenes Bildmodell nennt OpenAI seit dem 25.03.2025 eine andere Bauform. Die Ergänzung zur Modellkarte von GPT-4o sagt, anders als DALL·E, das als Diffusionsmodell arbeite, sei die neue Bilderzeugung ein autoregressives Modell, das im Chatprogramm selbst eingebettet ist. Autoregressiv heißt: Das Bild entsteht wie ein Text, Stück für Stück, jedes aus dem, was schon da ist (Kapitel 02). Als Folge nennt die Modellkarte (externe Seite, openai.com) unter anderem die Schrift im Bild: Das Modell folge auch ausführlichen Anweisungen und baue Text zuverlässig in Bilder ein.

Wie weit das reicht, steht zwei Abschnitte weiter unten, aus derselben Hand: Die Anleitung zur Schnittstelle führt die genaue Platzierung von Text weiterhin als Schwäche. Welches Verfahren hinter den GPT-Image-Modellen steht, mit denen dort abgerechnet wird, sagt die Anleitung nicht. Googles Anleitung zur Bilderzeugung nennt das Verfahren hinter Gemini ebenso wenig; für beide bleibt die Frage offen.

Wie es heute abgerechnet wird

Bei den großen Anbietern läuft die Bilderzeugung über dieselbe Schnittstelle wie der Text (Kapitel 11). Bei OpenAI erzeugt und bearbeitet man laut Anleitung zur Bilderzeugung (externe Seite, developers.openai.com) Bilder aus Textanweisungen mit den Modellen gpt-image-2.5-sunburst und gpt-image-2.5-flare.

Bezahlt wird ebenfalls in Token. Das Bild selbst kostet Ausgabe-Token, und wie viele es sind, ergibt sich aus drei Angaben, die der Aufrufende selbst wählt: dem Modell, der gewünschten Güte und der Bildgröße. Dazu kommen Eingabe-Token für den Text der Anweisung und für jedes mitgegebene Bild, etwa beim Bearbeiten oder als Vorlage. Wer über die Responses API erzeugt, bezahlt zusätzlich die Token des Sprachmodells, das das Bildwerkzeug aufruft. Ein festes Stückgeld je Bild gibt es also nicht, und ein Preisvergleich braucht Modell, Güte, Größe und die Eingaben.

Einen günstigeren Satz für zwi­schen­ge­spei­cherte Eingaben gibt es, aber nur begrenzt: Er gilt laut Anleitung (externe Seite, developers.openai.com) bei GPT Image 2 und 2.5 allein für das Bildwerkzeug der Responses API. Direkte Aufrufe der Images API sind davon ausgenommen, ausdrücklich auch das Bearbeiten über deren Endpunkt /v1/images/edits. Ob der Satz gegriffen hat, zeigt erst die Rechnung, denn in der Antwort der Responses API fehlen die zwi­schen­ge­spei­cherten Token.

Zur Dauer nennt dieselbe Seite (externe Seite, developers.openai.com) eine Hausnummer, die man beim Bauen einplanen sollte: Bei aufwendigen Anweisungen kann die Verarbeitung bis zu zwei Minuten dauern.

Für ein Gespräch ist das zu lang. Wer Bilderzeugung in einen Ablauf einbaut, in dem jemand wartet, braucht dafür eine eigene Antwort (Conversational AI, Kapitel 03).

Was diese Modelle weiterhin schlecht können

Die Dokumentation ist an dieser Stelle offen, und beide Punkte kennt jeder, der solche Bilder schon benutzt hat.

Schrift im Bild. OpenAIs Anleitung (externe Seite, developers.openai.com) schreibt, dass das Modell mit der genauen Platzierung und der Lesbarkeit von Text weiterhin Mühe haben kann.

Google beschreibt für dieselbe Schwäche einen Umweg, der sie zugleich erklärt: erst den Text erzeugen lassen, dann das Bild dazu bestellen. Laut Googles Anleitung (externe Seite, ai.google.dev) gelingt Gemini Text im Bild am besten in genau dieser Reihenfolge.

Dieselbe Figur zweimal. Bei wiederkehrenden Figuren oder Markenzeichen kann es dem Modell nach OpenAIs Anleitung (externe Seite, developers.openai.com) gelegentlich schwerfallen, das Aussehen gleich zu halten. Google nennt dafür eine Obergrenze: Nano Banana 2.1 und Nano Banana 2 halten laut Googles Anleitung (externe Seite, ai.google.dev) in einem Ablauf bis zu vier Figuren und bis zu zehn Gegenstände wiedererkennbar.

Für eine Reihe von Bildern mit derselben Person oder demselben Logo ist das die entscheidende Grenze. Sie ist der Grund, warum solche Reihen in der Praxis mehr Anläufe brauchen als ein Einzelbild. Bei bewegten Bildern wird aus dieser Nebenfrage die Hauptfrage, und was daran hängt, steht in KI jenseits der Sprachmodelle, Kapitel 13.

Wo ein Programm die bessere Antwort ist

Aus dem eigenen Bestand ein Fall, der beide Grenzen zusammenführt. Für eine Schulung sollten zwanzig Folien entstehen, aus vorhandenem Material und für eine andere Zielgruppe zugeschnitten. Naheliegend wäre gewesen, die Folien erzeugen zu lassen.

Gemacht wurde es anders: Ein Programm schrieb die Prä­sen­ta­ti­ons­datei, Folie für Folie, über eine Bibliothek. Das Ergebnis blieb bearbeitbar, ließ sich wiederholen und stand unter Versionskontrolle (Vibe-Coding / Agentic Engineering, Kapitel 04). Der eigene Zeitaufwand lag bei 15 bis 20 Minuten für Auftrag, Durchsicht und Rückmeldung.

Vor jedem erzeugten Bild steht deshalb die Frage, ob am Ende wirklich ein Bild gebraucht wird. Ein Diagramm, eine Folie und ein Formular sind Dinge mit Struktur, und die entsteht besser aus Code als aus Rauschen.

Ein erzeugtes Bild lässt sich hinterher nicht als solches erkennen. Daraus folgt alles, was in diesem Abschnitt steht: Soll die Herkunft überhaupt sichtbar sein, muss sie beim Erzeugen angebracht werden. Dafür gibt es zwei Wege, und sie sind verschieden haltbar.

Weg eins, das Zeichen im Bild

Google hinterlegt ein Wasserzeichen in den Bildpunkten selbst, und die Zusage dazu kennt keine Ausnahme: Laut Googles Anleitung (externe Seite, ai.google.dev) enthält jedes erzeugte Bild ein Wasserzeichen namens SynthID.

Das Verfahren ist auf Bilder nicht beschränkt. Nach der Seite zu SynthID (externe Seite, deepmind.google) bettet es seine Zeichen direkt in Bilder, Ton, Text und Video ein, die eine KI erzeugt hat.

Zum Nachprüfen gibt es den SynthID Detector, der seit dem 07.10.2026 (externe Seite, blog.google) weltweit allen offensteht, auf Englisch. Er erkennt das Zeichen auch bei anderen Anbietern: Jeder kann damit laut Google (externe Seite, deepmind.google) prüfen, ob ein Bild, ein Video oder eine Tondatei mit KI von Google oder einem Partner entstand. Genannt sind OpenAI, NVIDIA und Kakao, Apple soll bald folgen.

Dieselbe Prüfung steckt in Googles Anwendungen. Wer ein Bild in die Gemini-App lädt und nach seiner Herkunft fragt, bekommt laut Google (externe Seite, deepmind.google) Bescheid, ob es ein SynthID-Zeichen enthält; die Suche und Chrome prüfen ebenso. Die Antwort kommt dabei aus dem Zeichen, das beim Erzeugen hineinkam.

Die Reichweite ist damit eine Liste. Ein Bild bekommt das Zeichen, wenn sein Anbieter das Verfahren einsetzt. Ein Bild von einem Anbieter außerhalb dieser Liste hat kein solches Zeichen, und der Detector findet daran nichts.

Weg zwei, der Nachweis an der Datei

Der zweite Weg hängt einen signierten Nachweis an die Datei, in dem steht, womit sie erzeugt und was daran verändert wurde. Die Spezifikation (externe Seite, spec.c2pa.org) dafür, C2PA, ist offen und benennt ihre eigene Schwachstelle: Eine Datei kann ihren Nachweis verlieren, wenn ihre Metadaten entfernt oder beschädigt werden.

Genau das passiert im Alltag ständig. Ein Bildschirmfoto, ein erneutes Speichern oder ein Dienst, der beim Hochladen aufräumt, und der Nachweis ist weg. Die Spezifikation (externe Seite, spec.c2pa.org) beschreibt dafür ein Gegenmittel in der Möglichkeitsform: Mit einem Fingerabdruck des Inhalts ließe sich eine Datenbank durchsuchen und die Datei samt unversehrtem Nachweis wiederfinden.

Dazu braucht es allerdings eine Datenbank, die jemand betreibt. Und eine zweite Frist läuft unabhängig davon. Nach der Spezifikation (externe Seite, spec.c2pa.org) verliert ein Nachweis ohne Zeitstempel seine Gültigkeit, sobald das Zertifikat abläuft oder widerrufen wird, mit dem er unterschrieben ist. Ein Nachweis ohne Zeitstempel altert also mit dem Zertifikat, mit dem er unterschrieben wurde.

Was daraus für den Leser folgt

Zwei Schlüsse, die sich aus dem Bisherigen ergeben und die man leicht falsch zieht.

Ein fehlendes Zeichen beweist nichts. Es kann heißen, dass ein Mensch das Bild aufgenommen hat. Es kann ebenso heißen, dass der Anbieter keines setzt, dass der Nachweis unterwegs abgefallen ist oder dass jemand ihn entfernt hat.

Ein vorhandenes Zeichen beweist etwas. Wer es findet, weiß, womit das Bild erzeugt wurde. Beweiskraft hat also nur die positive Richtung.

Ein Modell, das das Bild nur ansieht, kann keinen der beiden Wege lesen, und der Grund steht in Kapitel 13: Es bekommt die Metadaten einer Bilddatei nicht einmal übergeben. Das SynthID-Zeichen liest nur ein eigenes Prüfwerkzeug, wie das in der Gemini-App.

Was das Gesetz verlangt

Seit dem 2. August 2026 gelten die Trans­pa­renz­pflichten der KI-Verordnung. Artikel 50 verpflichtet Anbieter, erzeugte Bild-, Ton-, Video- und Textinhalte maschinenlesbar zu kennzeichnen, und Betreiber, offenzulegen, wenn ein Deepfake im Spiel ist. Beide Absätze und die Ausnahmen dazu stehen in Conversational AI, Kapitel 09, wo derselbe Artikel für die Stimme aufgeschlagen wird. Ein System, das schon vor dem 02.08.2026 in Verkehr war, hat für die maschinenlesbare Kennzeichnung laut Ände­rungs­ver­ord­nung von 2026 (externe Seite, eur-lex.europa.eu) bis zum 02.12.2026 Zeit.

Für dieses Kapitel zählt die technische Folge. Welche Technik die maschinenlesbare Kennzeichnung erfüllt, regelt die Verordnung (externe Seite, eur-lex.europa.eu) über eine Aufzählung in Erwägungsgrund 133: Wasserzeichen, Metadaten, kryptografische Her­kunfts­nach­weise, Protokollierung und Fingerabdrücke, je nach Sachlage auch in Kombination. Beide Wege oben gehören dazu. Die Kommission hat am 20.07.2026 praktische Leitlinien dazu (externe Seite, digital-strategy.ec.europa.eu) veröffentlicht, 13 Tage vor der Geltung.

Ein Werkzeug hat ein Ablaufdatum

Zum Schluss eine Beobachtung, die für den ganzen Bereich gilt und die man beim Bauen einplanen sollte. Google kündigte am 15.06.2026 in seiner Änderungsliste (externe Seite, ai.google.dev) an, drei Bildmodelle der Imagen-Reihe am 17.08.2026 abzuschalten. Seither sind sie abgeschaltet, und Googles Anleitung (externe Seite, ai.google.dev) schickt jede Bilderzeugung auf die Nano-Banana-Modelle.

Zwischen Ankündigung und Abschaltung lagen gut zwei Monate. Am 06.10.2026 kündigte Google auch Nano Banana 2 (gemini-3.1-flash-image) ab, diesmal noch ohne Termin für die Abschaltung. Wer ein Modell namentlich in seinem Code stehen hat, bekommt damit Termine, die er nicht selbst setzt, und manchmal steht der Termin noch aus. Dieselbe Bewegung gibt es beim Fine-Tuning, wo gleich zwei Anbieter ihr Angebot zurückgezogen haben (Beurteilen und Einordnen, Kapitel 02).