KI-Gesichtstausch wird Alltag: was Unternehmen jetzt regeln müssen

Von der Spezialdisziplin zur Sekundenarbeit

Luma Labs hat am 19. August 2026 einen technischen Leitfaden zum KI-gestützten Gesichtstausch in Fotos und Videos veröffentlicht. Interessant daran ist nicht die Anleitung, sondern die Größenordnung, die sie nebenbei dokumentiert: Was in klassischer Nachbearbeitung 30 bis 90 Minuten gedauert hat, erledigen aktuelle Modelle in 10 bis 20 Sekunden. Das entspricht einer Beschleunigung um den Faktor 100 bis 250.

Der Markt für diese Technik wurde 2024 auf 5,15 Milliarden US-Dollar beziffert, für 2034 werden 17,8 Milliarden prognostiziert. Technisch stehen dahinter zwei Ansätze, Generative Adversarial Networks und Progressive Refinement Models, mit Anforderungen wie mindestens 512 mal 512 Pixel Auflösung und maximal 30 Grad Winkelunterschied zwischen den Gesichtern.

Diese Details sind für die betriebliche Praxis zweitrangig. Entscheidend ist die Schlussfolgerung daraus: Die Technik ist keine Spezialdisziplin mehr, für die man ein Studio beauftragt. Sie ist ein Feature in Werkzeugen, die in Marketingabteilungen ohnehin auf dem Rechner liegen.

Zwei Risiken, die nicht dasselbe sind

Unternehmen begegnen dem Thema aus zwei entgegengesetzten Richtungen, und beide brauchen eine eigene Antwort.

Als Angriffsfläche: Ein überzeugendes Video oder ein synthetischer Videoanruf im Namen der Geschäftsführung ist eine Weiterentwicklung des klassischen CEO-Betrugs. Die Abwehr ist unglamourös und wirksam: verbindliche Freigabewege für Zahlungen, die niemals allein über Video oder Sprache laufen, ein Rückrufverfahren über eine bekannte Nummer, und Schulungen, die den Fall konkret durchspielen. Wer erst im Ernstfall überlegt, wie man eine Identität verifiziert, hat schon verloren.

Als eigene Anwendung: Personalisierte Videos, lokalisierte Sprecher, wiederverwendete Testimonials. Der Nutzen ist real, das Video-Marketing gilt vielen Fachleuten als Kanal mit gutem Return. Hier entstehen die Probleme nicht durch böse Absicht, sondern durch Beiläufigkeit: Ein Gesicht wird wiederverwendet, für das die Einwilligung nur eine Kampagne abdeckte.

Der rechtliche Rahmen in Deutschland

Der Luma-Beitrag verweist auf die US-Lage mit Deepfake-Gesetzen in 46 Bundesstaaten sowie Bundesgesetzen wie dem TAKE IT DOWN Act und dem DEFIANCE Act. Für hiesige Unternehmen gilt ein anderer, in Teilen strengerer Rahmen:

• Recht am eigenen Bild nach Paragraf 22 KUG: Die Verbreitung eines Bildnisses braucht die Einwilligung der abgebildeten Person. Für ein KI-generiertes Gesicht auf einem fremden Körper gilt das ebenso, entscheidend ist die Erkennbarkeit
• DSGVO: Gesichtsdaten sind personenbezogen, biometrische Verarbeitung fällt unter Artikel 9 mit erhöhten Anforderungen
• KI-Verordnung: Deepfakes unterliegen einer Transparenzpflicht, künstlich erzeugte oder manipulierte Inhalte müssen als solche gekennzeichnet werden
• Urheber- und Leistungsschutzrechte an Ausgangsmaterial bleiben unberührt

Praktisch heißt das: Eine Einwilligung, die nur „Verwendung für Werbezwecke“ abdeckt, trägt eine KI-Bearbeitung nicht. Sie muss die synthetische Weiterverarbeitung ausdrücklich benennen, zeitlich begrenzt und widerrufbar sein.

Was in eine Richtlinie gehört

• Klare Trennung erlaubter und unzulässiger Anwendungen, etwa erlaubte Lokalisierung eigener Sprecher gegenüber unzulässiger Darstellung realer Personen in Aussagen, die sie nie getroffen haben
• Einwilligungsvorlage, die synthetische Bearbeitung, Nutzungsdauer, Kanäle und Widerruf abdeckt
• Verbindliche Kennzeichnung im Ausspielmaterial, nicht nur in den Metadaten
• Benannte Freigabestelle, keine Veröffentlichung solcher Inhalte allein aus dem Team heraus
• Dokumentation von Ausgangsmaterial, eingesetztem Werkzeug und Einwilligung, aufbewahrt solange der Inhalt online ist
• Getrennt davon: das Verifizierungsverfahren für eingehende Video- und Sprachkontakte

Fazit

Dass ein Anbieter eine Anleitung zum Gesichtstausch veröffentlicht, ist an sich unspektakulär. Aufschlussreich sind die Sekundenangaben darin. Eine Technik, die 20 Sekunden braucht, wird benutzt, bevor jemand über die Rechtslage nachgedacht hat. Der sinnvolle Zeitpunkt für eine Richtlinie ist deshalb vor der ersten Kampagne, und das Verifizierungsverfahren für Video- und Sprachanfragen gehört unabhängig davon auf die Agenda, ob dein Unternehmen die Technik selbst einsetzen will.