Seit dem 2. August 2025 gilt die erste Umsetzungsstufe des EU AI Acts: Anbieter von GPAI-Modellen, die mit mehr als 10²³ FLOPS trainiert wurden, müssen ihre Konformität gegenüber nationalen Aufsichtsbehörden per Dokumentation nachweisen und eine Zusammenfassung ihrer Trainingsdaten sowie die Einhaltung des Für Unternehmen, die KI-Modelle entwickeln oder betreiben, entstehen damit verbindliche Melde- und Dokumentationspflichten über den gesamten Produktlebenszyklus. Besonders kritisch: Modelle mit mehr als 10²⁵ FLOPS Trainingsaufwand werden als GPAI mit systemischem Risiko eingestuft und unterliegen zusätzlichen Anforderungen. Bei Verstößen drohen Strafen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Entscheider müssen jetzt prüfen, ob ihre Systeme unter die GPAI-Definition fallen und welche Behördenkommunikation fällig wird.
EU AI Act 2025: Was GPAI-Anbieter jetzt bei Konformität, Dokumentation und Behördenkommunikation beachten müssen
Seit dem 2. August 2025 gilt die erste Umsetzungsstufe des EU AI Acts. Sie richtet sich vorrangig an Anbieter sogenannter General Purpose AI (GPAI)-Modelle und bringt umfangreiche Melde- und Dokumentationspflichten mit sich, die den gesamten Lebenszyklus eines Modells erfassen.
Was als GPAI gilt und warum das entscheidend ist
Die EU definiert ein GPAI-Modell als jedes System, das mit mehr als 10²³ Gleitkommaoperationen (FLOPS) trainiert wurde und in der Lage ist, Sprach-, Text-zu-Bild- oder Text-zu-Video-Ausgaben zu erzeugen. Diese Schwelle ist bewusst niedrig angesetzt: Sie schließt eine breite Klasse kommerziell verbreiteter Sprachmodelle ein.
Wer ein solches Modell anbietet, steht vor einem Pflichtenkatalog, der nicht nur den Zeitpunkt der Markteinführung betrifft, sondern auch laufende Versionsänderungen und Updates.
Vier praktische Implikationen für Anbieter und Nutzer
1. Dokumentationspflicht gegenüber nationalen Behörden
Anbieter müssen bei den zuständigen nationalen Aufsichtsbehörden nachweisen, dass sie die Anforderungen des AI Acts tatsächlich umsetzen. Dies erfordert eine strukturierte Dokumentation, die auf Verlangen vorgelegt werden kann. Wer hier unvorbereitet ist, riskiert empfindliche Bußgelder: Laut IBM können Strafen je nach Verstoß zwischen 7,5 Millionen Euro oder 1,5 Prozent des weltweiten Jahresumsatzes und 35 Millionen Euro oder 7 Prozent des Jahresumsatzes liegen.
Unternehmen, die GPAI-Modelle einsetzen oder in eigene Produkte integrieren, sollten von ihren Anbietern entsprechende Nachweise einfordern. Weiterführende Informationen zu Dokumentations- und Transparenzpflichten finden Sie in unserem Artikel zu den Dokumentations- und Transparenzpflichten für KI-Anbieter.
2. Trainingsdaten-Zusammenfassung und Urheberrechtskonformität
Jeder GPAI-Anbieter muss eine Zusammenfassung der verwendeten Trainingsdaten bereitstellen und nachweisen, dass dabei geltende Urheberrechtsregeln eingehalten wurden. Das betrifft sowohl proprietäre als auch auf offenen Datensätzen basierende Modelle. Für Unternehmenskunden bedeutet das: Bei der Auswahl eines Modellanbieters sollte die Verfügbarkeit dieser Dokumentation Teil des Auswahlprozesses sein.
Einen Überblick über die Konformitätsbewertung bei Foundation Models bietet unser Beitrag zu Konformitätsbewertung und Zertifizierung für GPAI-Modelle.
3. Verschärfte Anforderungen bei systemischem Risiko
Modelle, die mit mehr als 10²⁵ FLOPS trainiert wurden, stuft die EU als GPAI mit systemischem Risiko ein. Für diese Kategorie gelten zusätzliche Verpflichtungen, die über die Standardanforderungen deutlich hinausgehen. Anbieter dieser Modellklasse müssen unter anderem erweiterte Sicherheitsbewertungen vorhalten. Für Unternehmenseinkäufer ist es relevant zu wissen, ob ein eingesetztes Modell in diese Kategorie fällt, da dies die Haftungslage und Auditanforderungen beeinflusst.
Mehr zu den Meldeverfahren für Hochrisiko-KI-Systeme lesen Sie in unserem Artikel zu Notifizierungspflichten und Meldeverfahren für Hochrisiko-KI.
4. Lebenszyklusbetrachtung statt einmaliger Compliance
Die Pflichten des AI Acts enden nicht mit der Erstveröffentlichung eines Modells. Sie erstrecken sich ausdrücklich auf den gesamten Lebenszyklus, einschließlich laufender Updates und neuer Modellversionen. Anbieter müssen also Prozesse etablieren, die Compliance-Prüfungen bei jeder relevanten Änderung erneut anstoßen. Für Unternehmenskunden, die Modelle über APIs beziehen, empfiehlt sich eine vertragliche Absicherung, die den Anbieter zur fortlaufenden Compliance-Dokumentation verpflichtet.
Eine Übersicht zur Compliance-Roadmap mit Fristen und Phasen bis 2026 finden Sie hier: EU AI Act Compliance Roadmap.
Einordnung: Der risikobasierte Ansatz des EU AI Acts
Der EU AI Act verfolgt einen risikobasierten Ansatz und staffelt Anforderungen nach dem jeweiligen Gefährdungspotenzial. Während bestimmte KI-Anwendungen vollständig verboten sind, gelten für andere strenge Governance-, Risikomanagement- und Transparenzanforderungen. Das Gesetz gilt als erstes umfassendes KI-Regulierungsframework weltweit. Experten gehen davon aus, dass es ähnlich wie die DSGVO als Blaupause für andere Regulierungsregionen wirken wird.
Weitere Hintergründe zu den Compliance-Anforderungen für KI-Anbieter allgemein finden Sie in unserem Beitrag zu EU AI Act Compliance: Anforderungen, Datenschutz und Transparenzpflichten. Zu den Aufgaben des zuständigen EU AI Office lesen Sie hier: EU AI Office: Struktur, Kompetenzen und Durchsetzung.
Quellen
- KI-Modelle nach den Vorgaben des AI Acts entwerfen – heise online
- KI-Modelle AI-Act-konform entwerfen – iX/heise select
- EU AI Act – IBM Think Topics
Häufige Fragen
Ab wann gilt die erste Umsetzungsstufe des EU AI Acts für GPAI-Anbieter?
Die erste Umsetzungsstufe des EU AI Acts trat am 2. August 2025 in Kraft. Ab diesem Datum sind Anbieter von GPAI-Modellen (General Purpose AI) verpflichtet, die geltenden Anforderungen des Gesetzes einzuhalten und ihre Konformität gegenüber den nationalen Aufsichtsbehörden nachweisen zu können.
Welche KI-Modelle gelten nach dem EU AI Act als GPAI-Modelle und fallen damit unter die Notifizierungspflichten?
Als GPAI-Modell im Sinne des EU AI Acts gilt jedes Modell, das mit mehr als 10²³ Gleitkommaoperationen (FLOPS) trainiert wurde und in der Lage ist, Sprach- (Text oder Audio), Text-zu-Bild- oder Text-zu-Video-Ausgaben zu erzeugen. Anbieter solcher Modelle unterliegen umfassenden Verpflichtungen entlang des gesamten Modell-Lebenszyklus, von Training und Entwicklung bis hin zu laufenden Versionsaktualisierungen.
Welche Dokumentationspflichten müssen GPAI-Anbieter gegenüber den nationalen Aufsichtsbehörden erfüllen?
GPAI-Anbieter müssen bei den nationalen Aufsichtsbehörden per Dokumentation nachweisen, dass sie die Vorgaben des AI Acts umsetzen. Zu den konkreten Anforderungen gehören eine Zusammenfassung der verwendeten Trainingsdaten sowie ein Nachweis, dass urheberrechtliche Regeln im Rahmen des Modelltrainings eingehalten wurden. Die Pflichten erstrecken sich auf den gesamten Lebenszyklus des Modells, also auch auf spätere Updates.
Welche zusätzlichen Pflichten entstehen, wenn ein GPAI-Modell als Modell mit systemischem Risiko eingestuft wird?
Wird ein GPAI-Modell mit mehr als 10²⁵ FLOPS trainiert, stuft der EU AI Act es als Modell mit systemischem Risiko ein. Anbieter solcher Modelle treffen über die Standardpflichten hinaus weitergehende Anforderungen, darunter erweiterte Sicherheits- und Risikomanagementverpflichtungen. Die genaue Ausgestaltung dieser Zusatzpflichten ist Teil des regulatorischen Kriterienkatalogs, dessen praktische Umsetzung laut Fachmedien noch viele offene Fragen aufwirft.
Welche finanziellen Konsequenzen drohen Anbietern bei Verstößen gegen den EU AI Act?
Der EU AI Act sieht gestaffelte Sanktionen vor, die sich nach der Art des Verstoßes richten. Die Strafen können zwischen 7,5 Millionen Euro oder 1,5 Prozent des weltweiten Jahresumsatzes und 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes liegen. Maßgeblich für die Höhe ist dabei, welcher Verstoßtatbestand konkret vorliegt.
Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.
