Ein Label kennzeichnete seinen Katalog mit C2PA für den EU AI Act. Ich sah zu, wie eine Transcodierung alles entfernte.

Als ich zum ersten Mal einen meiner eigenen Testtracks durch eine schlichte Social-Transcodierung schickte, sah ich zu, wie die C2PA-Provenienz, für die ein Label bezahlt hätte, in einem einzigen Durchgang verschwand. Auf dem Bildschirm passierte nichts Dramatisches. Die Datei ging mit einem signierten Provenienz-Header hinein, der Encoder machte seinen gewöhnlichen Job, und die Datei kam sauber, leichter und gestrippt heraus. Die Provenienz war einfach weg — so, wie sie verschwindet, sobald ein echter Track TikTok oder Instagram trifft. Ich saß da und fühlte mich leicht übel, weil ich die ganze Demo auf der Annahme aufgebaut hatte, C2PA hinzuzufügen sei die Antwort, und ich hatte gerade zugesehen, wie die Antwort verdampfte.

Darum geht es in diesem Essay. Ich machte mich daran, ein Ingest-Gate nach Artikel 50 des EU AI Act für KI-generiertes Audio zu bauen — etwas, das die App Tessera nennt —, und der Bau nahm leise die Annahme auseinander, mit der fast alle in der Musikrechtebranche ankommen. Die Annahme lautet, Artikel 50 sei ein Wasserzeichen-Problem, das man löst, indem man seinen Katalog markiert. Das ist es nicht. Es ist ein Überlebensproblem, und das meiste, was die Branche eifrig hinzufügt, überlebt nicht. Wenn Sie zusehen wollen, wie das Gate selbst entscheidet, lebt es hier: veriprajna.com/de/demos/eu-ai-act-artikel-50-audio-ingest-gate-provenienz-die-die-social-transcodierung-uberlebt.

Der Reflex, mit dem ich anfing, war „einfach C2PA hinzufügen“

Ich startete diesen Bau im Glauben an dasselbe, was jedes Rights-Tech-Deck glaubte, das ich gelesen hatte: dass die Compliance nach Artikel 50 eine Kennzeichnungsübung sei.

Die Regulierung ist real, und die Uhr ist real. Artikel 50 des EU AI Act trat am 2. August 2026 in Kraft und verlangt, dass generative Audio-Outputs in einem maschinenlesbaren Format markiert werden und erkennbar bleiben — in der Sprache des Entwurfs des Verhaltenskodex der Kommission vom Januar 2026 „nach gängigen Modifikationen“. Artikel 99 setzt die Zähne: Strafen bis zu 15 Mio. € oder 3 % des weltweiten Umsatzes. Der Maßstab darunter ist auch nicht klein. Etwa 28 % der täglichen Uploads bei Deezer sind inzwischen vollständig KI-generiert (Beatdapp/Beatport, zitiert in der Veriprajna-WP31-Forschung, 2026). Der natürliche Zug — der Zug, den ich in meiner ersten Skizze der Pipeline machte — ist also, jedem KI-Track ein C2PA-Manifest anzuhängen und den Katalog als abgedeckt zu bezeichnen.

Hier ist das Scheitern, das ich nicht verinnerlicht hatte, bis ich es geschehen sah. C2PA, so wie die meisten es einsetzen, ist harte Bindung. Die Provenienz lebt in den Metadaten der Datei. Und harte Bindung wird von praktisch jeder Social-Plattform-Transcodierung beim Upload entfernt — was die Veriprajna-WP31-Solution-Forschung (2026) die größte operative Schwäche im heutigen C2PA-Ökosystem nennt. Ein Label, das pflichtbewusst seinen gesamten Katalog markierte, ist also operativ ungeschützt, in dem Moment, in dem ein Track die saubere Übergabe verlässt und in die Wildnis trifft.

Das Label tat alles, was die Leitlinien sagten. Es fügte C2PA hinzu. Und es war ungeschützt, in dem Moment, in dem der erste Track Social traf, weil der Teil, den es hinzufügte, genau der Teil ist, der entfernt wird.

Was tatsächlich überlebt, ist weiche Bindung. Ein unmerkliches Wasserzeichen trägt einen winzigen Identifier, und nachdem die Metadaten weg sind, nutzen Sie diesen Identifier, um das Manifest aus einem Ledger neu aufzulösen. Es ist unglamouröse Integrationsarbeit. Es ist auch, soweit ich das beurteilen kann, das ganze Spiel.

Die Nacht, in der mein eigenes Wasserzeichen als Müll zurückkam

Ich hätte die weiche Bindung an einem Dienstagabend fast aufgegeben, als mein eigener Wasserzeichen-Decoder anfing, Rauschen zurückzugeben.

Ich hatte die Pipeline End-to-End laufen. Ein Track ging durch den Delivery-Kanal, ein Spread-Spectrum-Decoder las die Markierung aus der ausgelieferten Wellenform zurück, und der wiederhergestellte Schlüssel schlug das Manifest nach. Dann ließ ich einen Batch erneut laufen, den ich am Vortag freigegeben hatte, und die wiederhergestellten Schlüssel kamen als Müll zurück. Die Bitfehlerrate des Wasserzeichens lag bei etwa 0,5 — ein Münzwurf, die Art, wie ein Decoder sagt, dass er Rauschen liest. Mein erster Gedanke war, dass weiche Bindung tatsächlich nicht funktioniert, dass die Markierung einen echten Codec nicht überlebt und dass die gesamte Prämisse der Demo falsch war.

Ich verbrachte ein paar Stunden in der Überzeugung, der Ansatz sei tot. Es war nicht der Ansatz. Es war ein veralteter On-Disk-Korpus. Ein früherer Cache war aus dem Sync mit den deterministischen Seeds geraten, aus denen die Tracks erzeugt werden, sodass der Decoder Markierungen las, die nicht mehr zum Audio passten. Ich baute den Korpus aus den Seeds neu auf, ließ alles durch echte ffmpeg-Transcodierungen laufen, und die Schlüssel kamen sauber zurück. Dieses Scheitern war mir mehr wert als jeder saubere Lauf, weil es mich lehrte, einer guten Zahl zu misstrauen, bis ich genau weiß, was sie erzeugt hat. Jeder Benchmark in dieser Demo wurde erst nach diesem Neuaufbau aufgezeichnet.

Als es funktionierte, war dieser Kontrast das Klarste, was ich je auf einen Bildschirm gebracht hatte. Nehmen Sie Neon Tide, eine synthetische In-House-KI-Veröffentlichung, ausgeliefert über den Social-Kanal (jeder Track in diesem Korpus ist prozedural erzeugter Ton, keine echte Musik und keine echten Künstler, und die Namen sind Fixtures). Seine harte Bindung wird durch die Transcodierung entfernt. Sein Wasserzeichen der weichen Bindung wird bei Konfidenz 0,989 wiederhergestellt, und das C2PA-Manifest löst sich aus dem Ledger neu auf. Harte Bindung starb. Weiche Bindung trug die Provenienz durch. Seite an Seite, auf demselben Track, in demselben Durchgang. Dieses eine Panel ist das Argument.

Habe ich also nur ein besseres Wasserzeichen gebaut?

Ich bekomme irgendeine Version dieser Frage in fast jedem Gespräch, und die Antwort ist nein — was die Leute oft überrascht.

Ich habe kein Wasserzeichen gebaut, das irgendjemandes schlagen soll, und ich sage das bewusst, weil die Versuchung, etwas anderes anzudeuten, stark ist. Die marktführenden Detektoren — Googles SynthID-Audio, Metas AudioSeal, Digimarc — sitzen in dieser Demo als Stub-Adapter hinter einer dokumentierten Swap-for-SDK-Schnittstelle. SynthIDs Detektor ist Google-geschlossen und AudioSeal braucht eine GPU, daher melden sie in der Demo nur Präsenz bei fester Konfidenz und nichts weiter. Die Spread-Spectrum-Markierung, die ich selbst geschrieben habe, existiert für genau einen Job: einen 32-Bit-Asset-Schlüssel und eine CRC zu tragen, damit das Manifest neu aufgelöst werden kann. Sie steht in keinem Robustheitswettbewerb, und ich behaupte nicht, dass sie einen Vendor schlägt.

Was ich gebaut habe, ist die Schicht um den Algorithmus. Google und Meta können das Wasserzeichen besitzen. Der Teil, den niemand als einzelnes Produkt ausliefert, ist die Integration: der Multi-Standard-Detektor, die Architektur der weichen Bindung, die DDEX-Middleware und das regulierungsbereite Dossier. Genau in dieser Schicht wird das Überlebensproblem tatsächlich gelöst, und das ist der Teil, den kein einzelner Vendor Ihnen eilig in die Hand drückt.

Ich will genau sagen, was diese Überlebensmatrix bedeutet, denn ehrlicher Scope ist der ganze Punkt beim Bauen in einem Unternehmen namens Veriprajna, was wahre Weisheit bedeutet. Auf einem festen synthetischen Korpus von 12 Releases dekodiert meine Markierung, neu kodiert durch mp3-128, aac-128 und opus-96, bei Bitfehlerrate 0,0 neu, während harte Bindung keinen dieser Social-Kanäle überlebt. Das ist eine echte Messung mit echtem ffmpeg. Es ist keine universelle „überlebt alles“-Behauptung, und die Demo selbst enthält einen Track, bei dem die Markierung überhaupt nicht überlebt — und darauf bin ich am stolzesten.

Ich habe kein besseres Wasserzeichen gebaut. Ich habe die Schicht gebaut, die entscheidet, ob die Provenienz, die Sie noch haben, ausreicht, um zu zertifizieren, und ablehnt, wenn nicht.

Der Track, den ich dringend durchwinken wollte

Ich erinnere mich, wie ich auf Radio Imaging Sweep 7 starrte und ihn durchlassen wollte, und das ist der Moment, in dem diese ganze Demo ihren Namen verdiente.

Es ist ein Broadcast-Cut, der über das ankam, was ich als die analoge Lücke modelliere — eine Lautsprecher-zu-Mikrofon-Neuerfassung von einem FM-Monitor. Seine Markierung überlebte diesen Pfad nicht. Der Decoder las sie bei Konfidenz 0,699 zurück, die CRC scheiterte, und es blieb kein wiederherstellbarer Identifier, mit dem man ein Manifest auflösen könnte. Hier saß die Versuchung, direkt auf dem Bildschirm. Die Überlebensmatrix, auf dem sauberen Master durch die Social-Codecs gelaufen, zeigt, dass die Markierung würde eine normale Transcodierung überleben. Also konnte ich eine Logikversion sehen, die sagte: die Markierung ist im Grunde in Ordnung, das ist nur ein schlechter Kanal, wink ihn durch. Artikel 99 ist das, was diesen Instinkt tötete. Ein falsches „compliant“ unter einem Strafregime von 15 Mio. € oder 3 % ist die teure Art von falsch.

Das Gate tut also das Härtere. Wenn eine Markierung den Kanal, über den ein Track tatsächlich kam, wirklich nicht überlebt, gibt es NEEDS PROOF zurück und leitet den Track an einen Menschen weiter — mit dem Fehler der analogen Lücke und einem benannten Owner. Es zertifiziert nicht. Ich habe das als unit-getestete Invariante geschrieben, einen Test wörtlich danach benannt, dass das Wasserzeichen in der analogen Lücke stirbt, weil ich wollte, dass die Enthaltung eine Eigenschaft des Systems ist und keine Stimmung. Enthaltung ist nicht das Scheitern des Gates. Enthaltung ist, dass das Gate sich weigert zu bluffen, und sich zu weigern zu bluffen ist das, was ein Head of Trust and Safety tatsächlich kauft.

Ein falsches „compliant“ ist unter den Strafen von Artikel 99 kein kleiner Fehler. Es ist die teure Art von falsch — genau deshalb ist das Gate so gebaut, dass es sich enthält, bevor es blufft.

Reicht ein wiederhergestelltes Wasserzeichen nicht?

Ich nahm früh an, die Wiederherstellung des Wasserzeichens sei im Grunde die Ziellinie, und Glasshouse ist der Track, der mich korrigierte.

Glasshouse stellte seine Markierung sauber wieder her — bei Konfidenz 0,992, Bitfehlerrate 0,0 über alle drei Codecs. Provenienz im engen Sinn war perfekt. Und das Gate blockierte ihn trotzdem. Der Grund ist der Rest der Kette. DDEX ERN 4.3 hat keine KI-Offenlegungsfelder, und die meisten Aggregatoren (CD Baby, DistroKid, Believe) geben granulare Offenlegung nicht durch — laut der Veriprajna-WP31-Forschung (2026). Glasshouse kam über DistroKid an, mit drei von vier Offenlegungsfeldern fehlend: Instrumentation, Mixing und Mastering. Unter Artikel 50(4) wäre der Versand so, wie er ist, ein aktiver Offenlegungsverstoß, also lautet das Urteil BLOCKED, mit genau dieser Klausel auf dem Bildschirm zitiert.

Deshalb prüft das Gate die ganze Kette und nicht nur die Markierung: eine maschinenlesbare Markierung, plus Wiederherstellung der weichen Bindung nach dem Delivery-Kanal, plus vollständige DDEX-Offenlegung, plus ein benannter Takedown-Owner. Fehlt irgendein Glied, gibt es kein Grünlicht. Über den vollen Batch von 12 Releases kam die Aufteilung auf 7 als COMPLIANT zertifiziert, 2 an menschliche Remediation weitergeleitet und 3 blockiert — und jedes der 12 trägt ein Urteil mit zitierter Klausel. Diese Abdeckung ist der Teil, der mir wichtig ist, weil ein Head of Rights Tech keine Blackbox finanziert, sondern etwas, das er kreuzverhören kann („Warum wurde Glasshouse blockiert? Artikel 50(4), drei DDEX-Felder fehlen“).

Und die Entscheidungen mit rechtlichem Gewicht sind absichtlich deterministisch. Wasserzeichen-Wiederherstellung, Überlebensmessung, der Lookup der weichen Bindung und das Pass/Fail nach Artikel 50 sind schlichter Code, außerhalb der Sprachmodelle. Es gibt Agenten im System — einen, der Offenlegungsfelder aus Freitext extrahiert, und einen, der jede Zertifizierung adversariell angreift —, aber sie beraten. Sie entscheiden nicht, und das Ganze läuft keyless auf einem deterministischen Fallback, sodass die Zahlen des Gates mit oder ohne LLM identisch sind. Agenten beraten, Code entscheidet.

Ich sollte ebenso klar sagen, was das nicht ist, denn die Marke überlebt keinen Overclaim. Die Manifeste sind JSON-C2PA-Platzhalter in einem SQLite-Ledger, keine kryptographisch signierten C2PA 2.0. Die DSP- und Aggregator-Konnektoren sind Mocks. Die Releases sind synthetischer Ton, keine echten Aufnahmen, und das Tool unterstützt eine Antwort auf Artikel 50 — es händigt niemandem eine rechtliche Zertifizierung aus. Was real ist, ist der Mechanismus: die Wiederherstellung, die Überlebensmessung, das Ganzketten-Gate und das Dossier, das es exportiert.

Ein wiederhergestelltes Wasserzeichen sagte mir, die Provenienz sei intakt. Der Regulierer kümmert sich trotzdem darum, ob die Offenlegung vollständig ist und wer den Takedown besitzt. Das sind unterschiedliche Fragen, und das Gate muss alle stellen.

Die Frage, die ich stelle, bevor ich irgendetwas zertifizieren lasse

Ich stellte fest, dass dieser Bau etwas Kleineres in mir veränderte als die große These, und das Kleinere hat länger gehalten.

Ich hörte auf zu fragen, ob ein KI-Track Provenienz hat, weil ich das meistens beantworten kann und sich herausstellt, dass es nicht reicht. Neon Tide hatte Provenienz und Glasshouse auch, und einer wurde zertifiziert, während der andere blockiert wurde. Die Frage, die ich jetzt stelle, bevor irgendetwas das Gate als COMPLIANT verlässt, ist, ob ich beweisen kann, dass die Provenienz den spezifischen Kanal überlebt hat, über den dieser Track tatsächlich kam, und ob jedes andere Glied der Kette hält, und ob ich mich lieber enthalte als rate, wenn nicht.

Das ist keine Frage, die ein besseres Wasserzeichen beantwortet. Wenn Googles und Metas Modelle besser werden — und das werden sie —, wandert der Wert nicht zum Algorithmus, weil sie den Algorithmus bereits besitzen. Er bleibt in der Integrationsschicht, die Provenienz in der realen Welt überleben lässt, und in der Disziplin, NEEDS PROOF zu sagen, wenn selbst weiche Bindung scheitert. Der dauerhafte Teil dieses Baus ist kein Robustheitsscore, der altert, sobald SynthID das nächste Mal besser wird. Es ist die Überlebensmessung, das Ganzketten-Gate und die Ehrlichkeits-Invariante — nichts davon wird leichter oder schwerer, wenn das Wasserzeichen besser wird. Wenn Sie sehen wollen, wo ich gelandet bin, ist das Gate hier noch einmal: veriprajna.com/de/demos/eu-ai-act-artikel-50-audio-ingest-gate-provenienz-die-die-social-transcodierung-uberlebt.

Und wenn Sie es lieber ansehen als mich dabei beschreiben zu hören, hier läuft das ganze Gate End-to-End.

Die Frage, die ich Ihnen mitgeben würde, ist die, die die Frist vom 2. August gerade leise jedes Label fragt. Sie haben die Markierung hinzugefügt. Können Sie beweisen, dass sie die Reise überlebt hat? Denn jenseits einer einzigen Social-Transcodierung ist das Tag, auf das Sie zählten, bereits weg, und das Einzige, was zertifiziert, ist das, was Sie gebaut haben, um wiederherzustellen, was übrig bleibt.