Die Pflichten des EU AI Act für Anbieter von General-Purpose-AI-Modellen (GPAI) sind seit dem 2. August 2025 verbindlich – ein freiwilliger KI-Verhaltenskodex der EU soll die Konformität mit den Anforderungen zu Transparenz, Urheberrecht und Sicherheit konkretisieren (Quelle: Heise, 19.08.2025). Unternehmen, die GPAI-Modelle anbieten oder einsetzen, stehen vor konkretem Handlungsdruck: Wer den Verhaltenskodex nicht befolgt, muss gegenüber den Aufsichtsbehörden eigenständig nachweisen, wie er die Anforderungen der KI-Verordnung erfüllt. Der AI Act gilt seit dem 1. August 2024 und wird bis zum 2. August 2027 schrittweise vollständig wirksam. Entscheider sollten jetzt prüfen, ob ihre KI-Systeme unter die GPAI-Kategorie fallen, und interne Compliance-Prozesse entsprechend aufsetzen, bevor verschärfte Prüfpflichten greifen.

EU AI Act 2025: Was GPAI-Anbieter über Konformitätsbewertung, Kodex und Haftung wissen müssen

Seit dem 2. August 2025 gelten die Pflichten des EU AI Act für Anbieter sogenannter General-Purpose-AI-Modelle (GPAI) verbindlich. Damit rückt für Unternehmen, die große Sprachmodelle entwickeln oder in der EU vertreiben, ein konkreter Handlungsbedarf in den Vordergrund: Konformitätsnachweise, Dokumentationspflichten und ein neu veröffentlichter Verhaltenskodex definieren den regulatorischen Rahmen, den Anbieter nun einhalten oder erklären müssen.

Risikobasierter Ansatz als Grundprinzip

Der AI Act, offiziell Verordnung (EU) 2024/1689, verfolgt laut IBM einen risikobasierten Regulierungsansatz. Je nach dem von einem KI-System ausgehenden Risiko kommen unterschiedliche Anforderungen zum Tragen. Bestimmte Anwendungen sind vollständig verboten, für andere gelten strenge Vorgaben zu Steuerung, Risikomanagement und Transparenz. Das Gesetz trat am 1. August 2024 in Kraft; die schrittweise Umsetzung läuft bis zur vollständigen Einführung am 2. August 2027.

Für GPAI-Modelle, also Systeme mit allgemeinem Verwendungszweck wie große Sprachmodelle, sind die Pflichten seit dem 2. August 2025 wirksam. Zu den relevantesten Anforderungen zählen Transparenz, Urheberrechtsfragen sowie Sicherheit und Gefahrenabwehr, wie der im August 2025 veröffentlichte KI-Verhaltenskodex der EU auf Heise Online konkretisiert.

Der KI-Verhaltenskodex: Freiwillig, aber mit Nachweispflicht

Der KI-Verhaltenskodex der EU soll die Anforderungen der Verordnung für GPAI-Modelle praxisnah konkretisieren. Seine Einhaltung ist freiwillig. Wer ihn jedoch nicht befolgt, muss gegenüber den zuständigen Behörden nachweisen, auf welchem anderen Weg er die Konformität mit dem AI Act sicherstellt. Diese Beweislastumkehr ist für GPAI-Anbieter eine zentrale praktische Implikation.

Der Kodex liefert laut Heise Online konkrete technische Hilfestellungen, bleibt aber in einigen Punkten unvollständig. Insbesondere bei der Transparenz über Trainingsdaten fehlt es an klarer Operationalisierung. Das Thema Sicherheit und Gefahrenabwehr wird behandelt, die Anforderungen sind jedoch teils offen formuliert.

Praktische Implikationen für Entscheider

1. Dokumentationspflichten ab sofort: GPAI-Anbieter müssen ihre Konformität nachweisen können, sobald sie ihre Modelle in der EU anbieten. Wer den freiwilligen Verhaltenskodex nicht unterzeichnet, trägt die Nachweislast selbst. Das erfordert interne Governance-Strukturen, die Trainingsdaten, Sicherheitsmaßnahmen und Transparenzpraktiken lückenlos dokumentieren. Weitere Details zu Dokumentations- und Meldepflichten finden Sie in unserem Beitrag zu den EU AI Act GPAI Benachrichtigungspflichten und Fristen.

2. Transparenzanforderungen bleiben interpretationsoffen: Der Verhaltenskodex konkretisiert Transparenzpflichten, lässt aber gerade bei Trainingsdaten Spielraum. Anbieter sollten frühzeitig rechtlichen Rat einholen, wie sie Offenlegungspflichten gegenüber Behörden und Nutzern ausgestalten. Informationen zur Konformitätsbewertung und Zertifizierungspflichten bietet unser Überblick zu Konformitätsbewertung und Zertifizierung für Hochrisiko-KI.

3. Haftungsregime erfordert Risikoanalyse: Der AI Act verpflichtet Anbieter, Risiken ihrer Modelle zu bewerten und entsprechende Maßnahmen zu dokumentieren. Das Haftungsregime knüpft an die Risikoklassifizierung an: Höheres Risiko bedeutet strengere Anforderungen und potenziell höhere Bußgelder bei Nichtkonformität. Einen Überblick zu Sanktionen und Durchsetzungsmechanismen gibt unser Artikel zu EU AI Act Durchsetzungsmechanismen und Sanktionen.

4. Übergangsfristen strategisch nutzen: Die vollständige Einführung des AI Act erfolgt erst am 2. August 2027. Anbieter, die noch nicht alle Anforderungen erfüllen, sollten die verbleibende Zeit für strukturierte Compliance-Projekte nutzen. Ein gestufter Implementierungsplan reduziert das Risiko kurzfristiger Konformitätslücken. Mehr zu Übergangsphasen und Ausnahmen für kleinere Anbieter lesen Sie in unserem Beitrag zu EU AI Act Übergangsfristen und kleinen Sprachmodellen.

Beratungsstruktur und institutioneller Rahmen

Ein Beratungsgremium aus Vertreterinnen und Vertretern der Zivilgesellschaft, der Wissenschaft und der Wirtschaft unterstützt laut IBM die Standardisierung und Umsetzung des Gesetzes. Das EU AI Office koordiniert die Durchsetzung auf europäischer Ebene. Für GPAI-Anbieter bedeutet das: Regulatorische Anforderungen werden nicht statisch bleiben, sondern durch Leitlinien und Entscheidungen des AI Office fortlaufend konkretisiert.

Quellen

• Was ist der EU AI Act? | IBM
• AI Act: Was im KI-Verhaltenskodex der EU für Anbieter steht | Heise Online
• AI Act: Überblick und Umsetzungsschritte | Plattform Lernende Systeme

Häufige Fragen

Wann gelten die Pflichten des EU AI Act für Anbieter von General-Purpose-AI-Modellen verbindlich?

Die Pflichten für Anbieter sogenannter General-Purpose-AI-Modelle (GPAI) sind seit dem 2. August 2025 verbindlich anzuwenden. Der AI Act selbst ist bereits am 1. August 2024 in Kraft getreten, die Umsetzung erfolgt jedoch schrittweise. Die vollständige Einführung aller Anforderungen ist für den 2. August 2027 vorgesehen.

Was regelt der EU AI Act grundsätzlich, und welcher Ansatz liegt ihm zugrunde?

Der AI Act, offiziell Verordnung (EU) 2024/1689, regelt die Entwicklung und Nutzung von KI-Systemen innerhalb der Europäischen Union. Er verfolgt einen risikobasierten Ansatz: Je nach dem von einem KI-System ausgehenden Risiko gelten unterschiedlich strenge Vorschriften. Bestimmte Anwendungen werden vollständig verboten, etwa Social Scoring. Für andere Systeme legt die Verordnung Anforderungen an Steuerung, Risikomanagement und Transparenz fest. Ziel ist eine sichere, grundrechtskonforme und menschenzentrierte KI.

Welche Themen deckt der KI-Verhaltenskodex der EU für GPAI-Anbieter ab, und ist seine Einhaltung verpflichtend?

Der KI-Verhaltenskodex konkretisiert die Anforderungen des AI Act speziell für GPAI-Modelle in drei Kernbereichen: Transparenz, Urheberrechte sowie Sicherheit und Gefahrenabwehr. Die Einhaltung des Kodex ist freiwillig. Entscheiden sich Anbieter jedoch gegen die Befolgung, müssen sie auf anderem Weg nachweisen, wie sie die Konformität mit dem AI Act sicherstellen. Der Kodex liefert zwar konkrete technische Hilfestellungen, bleibt aber in einigen Punkten, etwa bei der Transparenz zu Trainingsdaten, nach Einschätzung von Fachmedien noch zu vage.

Ab wann gilt das Verbot von KI-Systemen mit unannehmbarem Risiko?

Das Verbot von KI-Systemen, die als Risiko der höchsten Kategorie eingestuft werden, ist seit dem 2. Februar 2025 verbindlich. Darunter fallen unter anderem Anwendungen wie Social Scoring durch staatliche Stellen. Dieser Schritt war der erste verbindliche Meilenstein nach dem Inkrafttreten des AI Act am 1. August 2024.

Welche Rolle spielt das beratende Gremium beim AI Act, und wer ist darin vertreten?

Zur fachlichen Begleitung der Umsetzung des AI Act ist ein Beratungsgremium eingerichtet worden, dem Vertreter aus Zivilgesellschaft, Wissenschaft und Wirtschaft angehören. Es stellt fachliches Know-how bereit und unterstützt bei Standardisierungs- und Umsetzungsfragen. Damit soll sichergestellt werden, dass die Regulierung praxisnah und technisch fundiert erfolgt.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.