Die Grok-Affäre: Was der Deepfake-Skandal über das KI-Gesetz offenbart

Januar 2026. In weniger als zwei Wochen produziert Grok - die generative Bild-KI von xAI, dem Unternehmen von Elon Musk - rund 3 Millionen nicht-konsensuale sexualisierte Bilder. Berühmtheiten werden digital "entkleidet". Politikerinnen. Minderjährige. Die Inhalte verbreiten sich rasend schnell auf X, früher Twitter. Die internationale Reaktion ist sofort: Ermittlungen in Frankreich, Indien, dem Vereinigten Königreich, Australien, Brasilien. Malaysia und Indonesien sperren die Plattform. Die Europäische Kommission ordnet an, alle internen Dokumente von X im Zusammenhang mit Grok bis Ende 2026 aufzubewahren.

Für AiActo ist dieser Skandal keine technische Anekdote. Es ist eine Demonstration in Originalgröße dessen, was das KI-Gesetz (Verordnung EU 2024/1689) zu verhindern sucht - und warum diese Regeln existieren.

Was Grok getan hat - und was das KI-Gesetz dazu sagt

Die Funktion, die den Skandal auslöste, war einfach: Nutzer luden Fotos echter Personen in Grok hoch und baten die KI, diese digital zu "entkleiden", in sexualisierte Posen zu setzen oder explizite Inhalte aus ihrem Bild zu generieren. Grok führte diese Anfragen mit einer nahezu null Ablehnungsrate aus - eine Studie zeigte, dass die KI keine der 60 getesteten Anfragen zur Generierung täuschender Wahlbilder ablehnte, gegenüber 72 bis 97 % Ablehnungen bei Konkurrenten wie ChatGPT, Claude oder Gemini.

Diese Art von System hat einen Namen: eine "Nudifier"-App. Und im Rahmen des KI-Gesetzes ist ihr Status eindeutig.

Artikel 5: Verbotene Praktiken seit Februar 2025

Artikel 5 des KI-Gesetzes listet Praktiken mit inakzeptablem Risiko auf, die im Gebiet der Europäischen Union verboten sind. Diese Verbote sind am 2. Februar 2025 in Kraft getreten - sie gelten also bereits, unabhängig vom restlichen Regulierungskalender.

Darunter: Systeme, die menschliche Schwächen ausnutzen, um schädliches Verhalten hervorzurufen, und Systeme, die die Würde von Personen verletzen. Ein System, das sexualisierte Inhalte aus dem Bild einer echten Person ohne deren Einwilligung generieren kann, fällt direkt in diese Kategorie.

Das Europäische Parlament ist bei der IMCO/LIBE-Abstimmung vom 18. März 2026 zum Digital Omnibus noch einen Schritt weiter gegangen: Die Abgeordneten haben vorgeschlagen, das ausdrückliche Verbot von "Nudifier"-Anwendungen in die Liste der verbotenen Praktiken aufzunehmen. Das ist keine neue Einschränkung - es ist eine Klarstellung eines bestehenden Verbots, die durch die Grok-Affäre notwendig geworden ist.

Artikel 50: Transparenzpflichten bei Deepfakes

Über das direkte Verbot hinaus erlegt Artikel 50§4 des KI-Gesetzes eine Pflicht auf, die für alle generativen KI-Systeme gilt, auch solche ohne inakzeptables Risiko: Alle Audio- oder Videoinhalte, die durch KI generiert oder manipuliert wurden, um echten vorhandenen Personen ähnlich zu sehen, müssen klar als synthetisch gekennzeichnet werden.

Diese Pflicht tritt am 2. August 2026 in Kraft. Sie betrifft:

• Deepfake-Videos, die echte Personen zeigen
• KI-manipulierte Bilder identifizierbarer Personen
• Audioinhalte, die eine vorhandene Stimme imitieren
• Jede visuelle Synthese, die als real präsentiert wird

Das ist kein technischer Fehler - es ist eine Designentscheidung. Und genau das sucht das KI-Gesetz zu verhindern, indem es Risikomanagementpflichten ab der Entwurfsphase auferlegt (Artikel 9).

Die Regulierungsantwort: schnell, international, koordiniert

• Europäische Kommission (8. Januar): ordnet X an, alle internen Dokumente zu Grok bis Ende 2026 aufzubewahren
• Pariser Staatsanwaltschaft (Anfang Januar): Ermittlung eröffnet, gefolgt von einer Durchsuchung der Pariser X-Büros im Februar mit Europol
• Ofcom UK (12. Januar): Untersuchung der Konformität von X mit Nutzerschutzregeln
• Malaysia und Indonesien (10. Januar): erste Länder, die den Zugang zu Grok vorübergehend sperren
• Australien, Brasilien, Indien: Ermittlungen und Abmahnungen in den folgenden Wochen
• Europäisches Parlament (18. März): IMCO/LIBE-Abstimmung integriert das ausdrückliche Verbot von "Nudifier-Apps" in den Digital Omnibus

Was die Grok-Affäre für Ihr Unternehmen ändert

1. Sie verwenden möglicherweise ähnliche Tools

Hunderte von KI-Bild-Generierungs- oder -Manipulationsanwendungen zirkulieren in Unternehmensumgebungen - für die Erstellung von Marketingmaterialien, Produktfotobearbeitung, Avatar- oder Charaktererstellung. Wenn eines dieser Tools missbraucht werden kann, um sexualisierte Bilder echter Personen ohne deren Einwilligung zu generieren, trägt Ihr Unternehmen - als Betreiber - eine regulatorische Mitverantwortung.

2. Ihre Art. 50-Pflichten zu Deepfakes kommen im August 2026

Auch wenn Ihre Nutzung vollkommen legitim ist, verlangt Artikel 50§4, dass alle KI-Inhalte, die das Bild echter Personen manipulieren, klar gekennzeichnet werden. Das betrifft Ihre Marketingkampagnen mit Avataren, Synthesevideos und mit Tools wie Midjourney oder DALL-E generierte Inhalte.

3. Reputation geht vor Sanktion

Die Grok-Affäre hat es gezeigt: Bevor Bußgelder kamen, war es die internationale Reaktion - Ländersperren, Ermittlungen, Geschäftsverluste - die xAI am meisten schadete. Für ein KMU oder einen SaaS-Anbieter kann ein ähnlicher Vorfall in kleinerem Maßstab fatal sein, lange bevor eine nationale Behörde eingreift.

Das kostenlose AiActo-Diagnose-Tool hilft Ihnen, Ihre Pflichten gemäß Ihrem Betreiberprofil zu identifizieren.

Häufig gestellte Fragen

Gilt das KI-Gesetz für Grok und xAI, ein US-amerikanisches Unternehmen?

Ja. Das KI-Gesetz gilt für jedes KI-System, dessen Ergebnisse in der Europäischen Union genutzt werden, unabhängig vom Niederlassungsland des Anbieters. xAI, das Grok in Europa vertreibt, unterliegt dem KI-Gesetz. Deshalb konnten die Europäische Kommission und europäische Regulatoren ab Januar 2026 direkt eingreifen.

Waren Groks Praktiken bereits vor dem KI-Gesetz illegal?

Teilweise. Nicht-konsensuale sexualisierte Inhalte und Bilder von Minderjährigen fallen unter vorbestehende Verbote - nationales Strafrecht, DSA, DSGVO. Das KI-Gesetz fügt eine spezifische Schicht hinzu: Es verbietet die Konzeption von Systemen, die diese Praktiken ermöglichen, nicht nur deren missbräuchliche Nutzung. Das ist ein Paradigmenwechsel: von der Inhaltskontrolle zur Design-Governance.

Was ändert der Digital Omnibus konkret bei diesem Thema?

Die IMCO/LIBE-Abstimmung vom 18. März 2026 schlägt vor, ein ausdrückliches Verbot von "Nudifier"-Systemen in die Liste der verbotenen Praktiken des Artikels 5 aufzunehmen. Das ist keine neue Regel - es ist eine Klarstellung, die das Verbot eindeutig macht und Strafverfolgungen erleichtert. Der Text muss noch im Plenum und nach Trilogen angenommen werden, aber die politische Richtung ist klar.

Mein Unternehmen nutzt Midjourney oder DALL-E - bin ich betroffen?

Wenn Sie diese Tools für legitime Zwecke nutzen, sind Sie nicht in derselben Situation wie Grok. Aber zwei Pflichten betreffen Sie trotzdem: Sicherstellen, dass die von Ihnen verwendeten Tools ausreichende Schutzmaßnahmen haben (Betreiberpflicht Art. 26), und KI-generierte Inhalte, die echte Personen zeigen, ab August 2026 klar kennzeichnen (Art. 50§4).

Welche Sanktionen sieht das KI-Gesetz für diese Art von Verstößen vor?

Verstöße gegen Artikel 5 (verbotene Praktiken) sind die am strengsten sanktionierten im gesamten Regelwerk: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für ein Unternehmen von der Größe xAIs stellen diese Zahlen eine potenzielle Exposition von Hunderten von Millionen Euro dar.

Die Grok-Affäre ist kein Grenzfall - sie ist eine Echtzeit-Demonstration dessen, was das KI-Gesetz zu verhindern sucht. Sie bestätigt, dass die durch Artikel 5 verbotenen Praktiken keine theoretischen Hypothesen sind: Sie passieren, sie verursachen echten Schaden, und Regulatoren sind in der Lage, schnell zu reagieren. Verfolgen Sie den KI-Gesetz-Zeitplan auf AiActo, um alle wichtigen Daten zu verfolgen und Ihre Pflichten vorausschauend zu planen.