Was die Stimme noch beweist

Wer ans Telefon geht, zieht zwei Schlüsse, ohne darüber nachzudenken. Am anderen Ende ist ein Mensch. Und wenn die Stimme bekannt klingt, ist es die Person, zu der sie gehört. Beide Schlüsse gelten nicht mehr.

Für den ersten gibt es seit Kurzem eine Rechtspflicht.

Der Satz, um den es geht

Artikel 50 Absatz 1 der KI-Verordnung (externe Seite, eur-lex.europa.eu) ist seit dem 02.08.2026 anwendbar. Er verpflichtet die Anbieter: Ein KI-System, das dafür bestimmt ist, unmittelbar mit Menschen zu interagieren, muss so entworfen und entwickelt sein, dass diese Menschen erfahren, dass sie es mit einem KI-System zu tun haben.

Die unmittelbare Interaktion mit Menschen ist genau das, wovon dieser Lernpfad handelt. Ein Sprachagent am Telefon ist der Musterfall, und ein Chatfenster auf einer Webseite ebenso.

Die Pflicht trifft die Anbieter, also diejenigen, die das System entwickeln und unter eigenem Namen bereitstellen. Sie ist eine Bauvorgabe: Das System soll so entworfen sein, dass die Information ankommt. Wer ein solches System nur einsetzt, ist Betreiber und hat andere Pflichten. Die Unterscheidung führt der Beitrag Wen die Kenn­zeich­nungs­pflicht für KI-Texte trifft aus.

Die Ausnahme gehört dazu

Im Absatz steht außerdem eine Einschränkung, und die Pflicht ohne sie wäre nur halb wiedergegeben: Sie entfällt, wenn es nach den Umständen und dem Zusammenhang der Nutzung offensichtlich ist (externe Seite, eur-lex.europa.eu), gemessen an einer Person, die ausreichend Bescheid weiß, aufmerksam ist und die Lage vernünftig einschätzt.

Der Maßstab ist also eine gedachte Person, die aufmerksam ist und sich auskennt. Die Leitlinien der Europäischen Kommission legen die Ausnahme eng aus: Sie soll nur greifen, wenn für eine durchschnittliche Person aus dem erwartbaren Publikum fast kein Zweifel bleibt (Randnummer 45 (externe Seite, digital-strategy.ec.europa.eu)). Als Fall, in dem die Pflicht gilt, nennen sie ausdrücklich den Chatbot im Kundendienst einer Plattform. Ein allgemeiner Hinweis wie „Assistent“ genügt ihnen nicht (Randnummer 38).

Für die Stimme führen die Leitlinien ein eigenes Merkmal an, den Klang: Roboterstimme oder echt klingende menschliche Stimme. Damit dreht die Ausnahme sich gegen das eigentliche Ziel der Entwicklung. Je besser eine synthetische Stimme wird, desto weniger ist offensichtlich, was sie ist. Ein System, das an dieser Stelle gut arbeitet, verliert seine Ausnahme.

Eine zweite Ausnahme betrifft Systeme, die gesetzlich zur Verfolgung von Straftaten zugelassen sind. Für einen Sprachagenten im Kundendienst spielt sie keine Rolle.

Wann die Ansage fällig ist

Der Zeitpunkt steht weiter unten im selben Artikel (externe Seite, eur-lex.europa.eu): Die Informationen aus den Absätzen 1 bis 4 müssen die betroffenen Menschen klar und eindeutig erreichen, spätestens bei der ersten Interaktion oder beim ersten Kontakt mit dem Inhalt.

Der Artikel nennt den spätesten Zeitpunkt, die erste Interaktion, und verlangt im nächsten Satz Barrierefreiheit. Für den Sprachkanal werden die Leitlinien konkret. Sie empfehlen eine ausdrücklich gesprochene Ansage zu Beginn, in langen Gesprächen ergänzt um Erinnerungen, vor allem nach einer Unterbrechung oder wenn das System seine Rolle wechselt. Ein Signalton kann beim Erkennen helfen, allein genügt er ihnen nicht (Randnummer 37 (externe Seite, digital-strategy.ec.europa.eu)). Für ein Telefonat heißt das: Die Ansage kommt vor dem ersten inhaltlichen Satz.

Meist reicht eine deutliche Ansage vor der ersten Interaktion. In heikleren Lagen halten die Leitlinien Erinnerungen für nötig und nennen dafür unter anderem Finanzberatung, Versicherungen, Rechtsbeistand, Gesund­heits­aus­künfte und Beschwerden (Randnummer 40). Das sind die typischen Anliegen einer Telefon-Hotline. Und fragt jemand, ob er mit einer Maschine spricht, muss das System es sagen.

Was das für den Bau bedeutet

Die Ansage am Anfang trifft auf einen Kanal, in dem der Anfang teuer ist. Was Kapitel 06 über die Ansage vor einer Wartezeit sagt, gilt hier sinngemäß: Ein Satz, der die Sache nicht voranbringt, verlängert das Warten.

Der Unterschied ist, dass dieser Satz gesetzlich verlangt wird. Damit wird aus einer Abwägung eine Vorgabe, und die Gestaltungsfrage verschiebt sich. Sie lautet jetzt, wie kurz die Ansage ausfallen kann und wann sie wiederkommt.

Der zweite Schluss, den man beim Telefonieren zieht, betrifft die Stimme selbst: Wer so klingt, ist die Person, die so klingt. Dieser Schluss ist jünger unter Druck geraten als der erste, und die Anbieter gehen damit bemerkenswert offen um.

Die Zustimmung als Tonaufnahme

Voice Cloning heißt das Nachbilden einer Stimme aus Aufnahmen. Wie das technisch geht, steht in KI jenseits der Sprachmodelle, Kapitel 08. Wer es bei OpenAI benutzen will, liefert dafür zwei Aufnahmen, und eine davon ist die Zustimmung des Sprechers. Der vorgegebene Satz steht in der Dokumentation (externe Seite, developers.openai.com) auch auf Deutsch: Der Sprecher erklärt, dass ihm die Stimme gehört und dass OpenAI sie für ein synthetisches Stimmmodell verwenden darf.

Der Satz muss gesprochen werden, und zwar genau so: Die Aufnahme der Zustimmung darf nur einen der vorgegebenen Sätze enthalten, und jede Abweichung vom Text (externe Seite, developers.openai.com) lässt den Vorgang scheitern.

Die zweite Aufnahme ist die eigentliche Stimmprobe, und sie wird gegen die erste gehalten: Die Stimme muss zur Aufnahme der Zustimmung passen (externe Seite, developers.openai.com).

Daran hängt die Bauform. Die Zustimmung ist hier ein Prüfschritt im Ablauf: Wer sie falsch aufsagt oder die Probe eines anderen Sprechers hochlädt, kommt nicht weiter. Damit wird aus einer rechtlichen Bedingung eine technische, und die lässt sich schwerer übergehen als ein Häkchen in einem Formular.

Beim Anbieter ElevenLabs steht für das gründliche Verfahren, das Professional Voice Cloning, eine zweite Einschränkung: Vorerst lässt der Anbieter nur die eigene Stimme klonen (externe Seite, elevenlabs.io), und vor dem Auftrag zum Abstimmen des Modells steht ein Prüfverfahren. Ist alles aufgenommen und hochgeladen, muss man die Stimme als die eigene bestätigen.

Hier stehen zwei Zusagen: die Beschränkung auf die eigene Stimme und ein Nachweisverfahren dafür. Das Wort „vorerst“ sagt dabei am meisten: Diese Regel beruht auf einer Entscheidung des Anbieters und könnte jederzeit anders lauten. Die häufigen Fragen auf derselben Seite fassen sie schärfer: Auch mit Zustimmung darf niemand die Stimme eines anderen klonen. Wer seine Stimme teilen will, legt den Klon im eigenen Konto an und gibt ihn per Link weiter.

Der schnelle Weg desselben Anbieters, das Instant Voice Cloning aus einer kurzen Aufnahme, kennt diesen Nachweis nicht. Vor dem Speichern genügt eine Bestätigung im Dialog: Man benennt den Klon, versieht ihn mit Etiketten und bestätigt, dass man das Recht (externe Seite, elevenlabs.io) und die Zustimmung zum Klonen der Stimme hat.

Das ist eine Erklärung im Formular, und eine Prüfung der Stimme beschreibt die Anleitung dafür nicht. Der technische Prüfschritt gehört bei ElevenLabs also zu einem der beiden Verfahren.

Der Umkehrschluss, den viele ziehen

Wenn eine Stimme sich nachbilden lässt, taugt sie dann noch als Ausweis? Die Frage ist alt, sie hat einen Namen, und es gibt seit Jahren einen Wettbewerb, der sie beantwortet.

ASV steht für Automatic Speaker Verification, also für die maschinelle Prüfung, ob eine Stimme zu einer hinterlegten Person gehört. Die Reihe ASVspoof misst, wie gut sich diese Prüfung täuschen lässt. ASVspoof 5 (externe Seite, arxiv.org) ist die fünfte Auflage einer Reihe von Wettbewerben, die die Erforschung gefälschter Sprache und von Deepfake-Angriffen voranbringen sollen, und ebenso den Bau von Verfahren, die sie erkennen.

Die fünfte Auflage bedeutet, dass diese Frage lange vor den heutigen Sprachagenten aktuell war. Eine der beiden Disziplinen stellt dabei genau den Fall dieses Lernpfads nach: Die zweite Disziplin (externe Seite, arxiv.org) geht von einem Telefonat aus, bei dem erzeugte und umgewandelte Sprache direkt in ein Über­tra­gungs­system eingespeist wird, etwa in eine Telefonleitung, ohne Umweg über Lautsprecher und Raum.

Das Ergebnis (externe Seite, arxiv.org) fasst die Arbeit in einem Satz zusammen, und beide Hälften zählen: Die Angriffe setzen den Grundsystemen erheblich zu, und die eingereichten Gegenmaßnahmen bessern deutlich nach. Die Zahlen dazu nennt der Volltext für die reine Erkennung gefälschter Sprache. Gemessen ist die Gleichfehlerrate (EER), also der Punkt, an dem ein System gleich oft echte Sprache als gefälscht einstuft wie gefälschte als echt. Die Grundsysteme (externe Seite, arxiv.org) lagen über 29 Prozent, bei einem minDCF über 0,7, einem zweiten Fehlermaß des Wettbewerbs. Die fünf besten Einreichungen kamen unter 15 Prozent und unter 0,5, nach den Autoren rund die Hälfte besser als die Grundsysteme.

Mit vorgegebenen Trainingsdaten lagen die fünf besten Einreichungen zwischen 8,6 und 14,8 Prozent (Tabelle 4 der Arbeit). Das ist der Stand eines Wettlaufs, und ein Wettlauf hat kein Ende. Wer eine Stimme als alleinigen Ausweis benutzt, sollte das wissen.

Was daraus für eine Sprachanwendung folgt

Zwei Dinge, und sie zeigen in verschiedene Richtungen.

Auf der eigenen Seite ist die Stimme des Systems eine Gestaltungsfrage mit Rechtsfolgen. Die Sprachsynthese, englisch Text-to-Speech und abgekürzt TTS, bringt bei jedem Anbieter einen Satz fertiger Stimmen mit. Wer eine davon nimmt, hat die Frage der Zustimmung ausgelagert. Wer eine eigene nachbilden lässt, führt sie selbst und braucht die Aufnahme, von der oben die Rede war.

Ausgelagert ist dabei nur die Zustimmung des Sprechers. Ruft das System selbst an, braucht es in den USA eine zweite Zustimmung, die des Angerufenen. Dabei spielt es keine Rolle, ob die Stimme fertig mitgeliefert oder nachgebildet ist. Die Tele­kom­mu­ni­ka­ti­ons­be­hörde FCC hat am 08.02.2024 festgestellt, dass die bestehenden Regeln für künstliche und vorab aufgenommene Stimmen auch KI-Technik erfassen, die menschliche Stimmen nachahmt; Voice Cloning nennt die Entscheidung ausdrücklich (FCC 24-17, Absatz 5 (externe Seite, docs.fcc.gov)). Wer so anruft, braucht vorher die ausdrückliche Zustimmung des Angerufenen. Ausgenommen sind Anrufe in einem Notfall und Fälle, die eine Ausnahme ausdrücklich freistellt (Absatz 2). Im Absatz nach der Feststellung schließt die Behörde eigens aus, dass ein System sich darauf berufen kann, einem menschlichen Mitarbeiter gleichzukommen.

Auf der Seite des Anrufers ist die Stimme ein schwaches Erkennungsmerkmal geworden. Kapitel 02 beschreibt, was in einer Aufnahme über den Inhalt hinaus steckt, und die Diarisierung, also das Auseinanderhalten mehrerer Sprecher. Beides bleibt technisch nützlich. Als Nachweis, dass jemand die Person ist, für die er sich ausgibt, taugt es weniger als früher.

Für den Bau heißt das: Wo eine Auskunft davon abhängt, wer fragt, gehört ein zweiter Faktor dazu. Was das im Einzelnen ist, hängt an der Anwendung und liegt außerhalb dieses Kapitels.

Die Ansage am Gesprächsanfang richtet sich an einen Menschen. Daneben steht eine zweite Pflicht, die sich an Maschinen richtet, und sie trifft erzeugte Tonaufnahmen.

Die Kennzeichnung, die niemand hört

Artikel 50 Absatz 2 verlangt von den Anbietern etwas anderes als Absatz 1. Wer ein KI-System anbietet, das synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt, auch eines mit allgemeinem Verwendungszweck, muss nach der Verordnung (externe Seite, eur-lex.europa.eu) dafür sorgen, dass jede Ausgabe eine Kennzeichnung trägt, die eine Maschine lesen kann, und dass sie sich so als künstlich erzeugt oder verändert erkennen lässt.

Audio steht an erster Stelle der Aufzählung. Verlangt ist eine Kennzeichnung, die eine Maschine lesen kann, und dazu die Erkennbarkeit als erzeugter Inhalt. Die Leitlinien der Kommission lesen daraus zwei Pflichten: Wer markiert, muss auch ein Mittel zum Erkennen bereitstellen (Randnummer 70 (externe Seite, digital-strategy.ec.europa.eu)).

Der nächste Satz des Absatzes verlangt, dass die technischen Lösungen wirksam, interoperabel, belastbar und zuverlässig sind, soweit das technisch möglich ist. Dabei zählen die Art des Inhalts, die Kosten und der Stand der Technik. Der dritte Satz nimmt Systeme aus, die vorhandene Inhalte nur unwesentlich verändern. Die Leitlinien rechnen dazu Hilfsmittel, mit denen Menschen mit Behinderung über eine synthetische Stimme sprechen. Die Synthese realistischer Sprache in der Stimme einer bestimmten Person ist dagegen zu markieren (Randnummer 92).

Die Pflicht gilt seit dem 02.08.2026, für ältere Systeme mit Aufschub. Die Ände­rungs­ver­ord­nung von 2026 (externe Seite, eur-lex.europa.eu) hat dafür eine Frist eingefügt: Ein solches System, das vor dem 02.08.2026 in Verkehr gebracht wurde, muss Absatz 2 bis zum 02.12.2026 erfüllen.

Der Aufschub gilt nur für diesen Absatz. Die Ansage aus Absatz 1 schuldet auch ein älteres System seit dem 02.08.2026.

Womit man die Kennzeichnung erfüllt, überlassen die Leitlinien dem Anbieter. Sie zählen mehrere Techniken auf, darunter Wasserzeichen, Metadaten und kryptografische Her­kunfts­nach­weise, auch kombiniert (Randnummer 73). Zwei davon stehen hier im Mittelpunkt, und beide haben eine Grenze, die man kennen sollte, bevor man sich auf sie verlässt.

Erstes Verfahren, das Wasserzeichen

Google DeepMind betreibt eines unter dem Namen SynthID (externe Seite, deepmind.google): Es bettet digitale Wasserzeichen unmittelbar in erzeugte Bilder, Tonaufnahmen, Texte oder Videos ein.

Das Zeichen liegt also im Inhalt selbst, unhörbar, und übersteht das Kopieren einer Datei. Zum Nachprüfen gibt es eine eigene Stelle, seit dem 07.10.2026 (externe Seite, blog.google) weltweit für alle, zunächst auf Englisch. Mit dem SynthID Detector (externe Seite, deepmind.google) kann nach Google jeder prüfen, ob ein Bild, ein Video oder eine Tonaufnahme mit KI von Google oder seinen Partnern entstanden ist; genannt werden OpenAI, NVIDIA, Kakao und, bald, Apple.

Die Grenze steht im selben Satz. Die Reichweite ist eine Liste: Google und die Partner, die das Verfahren einsetzen. Ein Wasserzeichen ist damit eine Aussage über die Werkstatt, in der etwas entstanden ist. Wer einen Sprachagenten bei einem Anbieter außerhalb dieser Liste baut, hat es nicht, und wer eine Aufnahme prüft und kein Zeichen findet, weiß daraus wenig: Sie kann von einem Menschen stammen oder von einem Werkzeug, das keines setzt.

Das ist die übliche Falle bei Nachweisverfahren. Ein gefundenes Zeichen ist ein Befund. Ein fehlendes Zeichen ist keiner.

Zweites Verfahren, der Herkunftsnachweis

Der andere Weg hängt die Auskunft an die Datei. Die Spezifikation der Initiative C2PA (externe Seite, spec.c2pa.org) nennt die Trägerformate: Ein solcher Nachweis, dort Manifest genannt, lässt sich in viele Dateiformate einbetten, für Bilder, Videos, Ton, Schriften und Dokumente.

Ton ist ausdrücklich dabei. Was in einem solchen Nachweis steht, beschreibt die Spezifikation (externe Seite, spec.c2pa.org) als eine Reihe von Angaben: zur Entstehung, zu Bear­bei­tungs­schritten, zum Aufnahmegerät, zur Bindung an den Inhalt und zu vielem mehr.

Entstehung, Bear­bei­tungs­schritte, Aufnahmegerät. Das ist mehr als ein Wasserzeichen hergibt, und es hat eine andere Grenze: Der Nachweis beschreibt den Weg einer Datei. Über die Stimme darin sagt er nichts. Eine Aufnahme mit lückenlosem Herkunftsnachweis kann eine perfekt nachgebildete Stimme enthalten, und der Nachweis bestätigt dann wahrheitsgemäß, womit sie erzeugt wurde.

Für den laufenden Sprachdialog kommt eine praktische Schwierigkeit dazu. Ein Telefongespräch ist ein Strom, der Kapitel 04 zufolge in acht Bit je Abtastung durch das Netz geht und unterwegs umgerechnet wird. Der Herkunftsnachweis kennt zwar Live-Ströme, die Spezifikation (externe Seite, spec.c2pa.org) beschränkt sie in Kapitel 19 aber auf Inhalte im Containerformat ISO BMFF und dessen Streaming-Form CMAF. Ein Telefonat steckt in keinem solchen Container.

Das Wasserzeichen sitzt im Signal selbst. Google nennt für Ton drei Veränderungen, die es übersteht: Rauschen, MP3-Kompression und ein geändertes Tempo (SynthID (externe Seite, deepmind.google)). Die Umrechnung auf ein Telefonformat ist nicht darunter, und ob das Zeichen sie übersteht, sagt die Seite nicht.

Wenn die Stimme einer realen Person gehört

Absatz 4 desselben Artikels richtet sich an die Betreiber und an einen engeren Fall: Wer ein KI-System betreibt, mit dem ein Deepfake erzeugt oder bearbeitet wird, ob Bild, Ton oder Video, muss nach der Verordnung (externe Seite, eur-lex.europa.eu) offenlegen, dass dieser Inhalt künstlich entstanden oder verändert ist.

Ein Deepfake ist nach der Verordnung ein Inhalt, der etwa wirklichen Personen, Orten oder Ereignissen ähnelt und fälschlich echt wirken würde. Die Leitlinien nennen als Beispiel einen Podcast, in dem geklonte Stimmen der bekannten Sprecher Nachrichten besprechen. Eine nachgebildete Stimme für eine erfundene Figur im Hörbuch oder im Spiel ist keiner, solange niemand über die Identität der Sprecher getäuscht wird (Abschnitt 6.1.1). Der Hinweis muss ohne technische Hilfsmittel zu hören oder zu sehen sein. Auf die maschinenlesbare Markierung des Anbieters kann sich der Betreiber dafür nicht stützen (Randnummer 117 (externe Seite, digital-strategy.ec.europa.eu)). Bei offensichtlich künstlerischen, satirischen oder fiktionalen Werken genügt ein Hinweis, der das Werk nicht stört.

Was die Anbieter selbst verlangen

Neben dem Gesetz stehen die Regeln der Anbieter, und bei der Stimme gehen sie weiter. OpenAI verweist auf der Seite zur Sprachausgabe auf seine Nut­zungs­richt­li­nien. Nach der Seite zur Sprachausgabe (externe Seite, developers.openai.com) verlangen sie von jedem, der die Stimmen einsetzt, den Hörern klar mitzuteilen, dass die Stimme, die sie hören, von einer KI erzeugt ist.

Das gilt für jede Stimme dieser Schnittstelle, auch für die fertig mitgelieferten. ElevenLabs verbietet in seinen Nutzungsregeln (Stand 09.10.2026), eine lebende Person ohne deren Zustimmung nachzubilden, und nennt dabei ausdrücklich auch das Synthetisieren. Verboten ist nach der Richtlinie (externe Seite, elevenlabs.io), Stimme, Identität oder Erscheinung einer lebenden Person zu klonen, zu synthetisieren oder nachzuahmen, solange keine ausdrückliche Zustimmung nach Aufklärung oder eine andere gültige Berechtigung vorliegt.

Den Hinweis auf die KI verlangt ElevenLabs dort, wo das Gesetz ihn fordert oder sein Fehlen täuschen würde. Dazu kommt ein Satz, der voraussetzt, dass der Anbieter seine Ausgaben selbst markiert: Wasserzeichen, Metadaten und andere Herkunftssignale (externe Seite, elevenlabs.io) von ElevenLabs darf niemand entfernen, ändern oder verbergen, um erzeugte Inhalte zu tarnen oder einer Erkennung zu entgehen.