Seit dem 2. August 2025 gelten verbindliche Konformitätsverpflichtungen für Anbieter sogenannter GPAI-Modelle im Rahmen des EU AI Acts: Betroffen sind alle Modelle, die mit mehr als 10²³ FLOPS trainiert wurden und Text-, Bild- oder Videoausgaben erzeugen können. Anbieter von KI-Modellen mit allgemeinem Verwendungszweck müssen nun Dokumentations-, Transparenz- und Risikomanagementpflichten über den gesamten Modell-Lebenszyklus erfüllen. Die EU-Kommission hat Leitlinien veröffentlicht, die klären, wer konkret betroffen ist. Nur wer wesentliche Modelländerungen vornimmt, trägt die vollen Anbieterpflichten. Ergänzend bietet ein ENISA-Framework praktische Umsetzungshilfen für Entwicklung, Bereitstellung und Betrieb.

EU AI Act: Was Anbieter von GPAI-Modellen ab 2025 dokumentieren, kennzeichnen und melden müssen

Seit dem 2. August 2025 gelten verbindliche Verpflichtungen für Anbieter sogenannter General-Purpose-AI-Modelle (GPAI) im Rahmen des EU AI Act. Wer in der EU ein KI-Modell bereitstellt, das mit mehr als 10²³ Gleitkommaoperationen (FLOPS) trainiert wurde und Text-, Bild- oder Audioausgaben erzeugen kann, unterliegt damit einem umfassenden Regelwerk, das den gesamten Modell-Lebenszyklus erfasst.

Was als GPAI gilt und wen die Pflichten treffen

Die EU-Kommission hat zur Klarstellung Leitlinien veröffentlicht, die technische Kriterien für die Einstufung als GPAI-Modell definieren. Entscheidend ist dabei nicht nur das Trainingsvolumen, sondern auch die Fähigkeit zur Generierung von Sprach-, Text-, Bild- oder Videoausgaben. Die Kommissionsleitlinien betonen zudem einen pragmatischen Ansatz: Nur wer wesentliche Änderungen an einem GPAI-Modell vornimmt, gilt als Anbieter im Sinne des AI Act und muss die entsprechenden Pflichten erfüllen. Wer lediglich geringfügige Anpassungen vornimmt, fällt nicht darunter. Für Open-Source-Modelle gelten gesonderte Ausnahmen.

Die Europäische Cybersicherheitsagentur ENISA hat ergänzend dazu ein Framework veröffentlicht, das praktische Beispiele für die Entwicklung, Bereitstellung und den Betrieb von KI-Modellen gibt. Es deckt den Lebenszyklus von Modellen ab, also von Training und Systementwicklung bis zum laufenden Betrieb.

Dokumentation: Technische Unterlagen über den gesamten Lebenszyklus

Anbieter von GPAI-Modellen müssen technische Dokumentation über den gesamten Modell-Lebenszyklus vorhalten. Das umfasst Angaben zum Training, zu verwendeten Datensätzen, zur Modellarchitektur und zu Leistungsparametern. Der EU AI Act sieht vor, dass diese Unterlagen gegenüber der EU KI-Behörde auf Anfrage offengelegt werden können.

Für Entscheider bedeutet das: Eine nachträgliche Rekonstruktion der Trainingsprozesse ist nicht zulässig; die Dokumentation muss laufend gepflegt werden. Unternehmen, die GPAI-Modelle in eigene Produkte integrieren, sollten prüfen, welche Dokumentationspflichten im Falle wesentlicher Eigenanpassungen auf sie übergehen. Weiterführende Informationen zu Dokumentations- und Transparenzpflichten finden Sie in unserem Artikel zu den EU AI Act Dokumentations- und Transparenzpflichten für KI-Anbieter.

Transparenz und Kennzeichnung: Der GPAI Code of Practice

Parallel zu den Kommissionsleitlinien hat die EU einen „General-Purpose AI Code of Practice“ veröffentlicht, der am 1. August 2025 genehmigt wurde. Der Kodex konkretisiert Anforderungen zu Transparenz, Urheberrecht, Sicherheit und Risikomanagement. Obwohl er formell freiwillig ist, kommt ihm im europäischen Regulierungsrahmen erhebliches faktisches Gewicht zu, da er als Orientierungsmaßstab für die Aufsicht gilt.

Kennzeichnungspflichten betreffen insbesondere die Kommunikation gegenüber nachgelagerten Anbietern, die ein GPAI-Modell in eigene Produkte einbetten. Sie müssen über die Fähigkeiten und Einschränkungen des Modells informiert werden. Für Hochrisiko-Anwendungen gelten darüber hinaus verschärfte Transparenzanforderungen. Details zu Meldeverfahren für GPAI-Anbieter sind in unserem Artikel zu Notifizierungspflichten für GPAI-Anbieter zusammengefasst.

Meldeverfahren und Risikomanagement bei systemischen Risiken

Modelle, die als systemisch riskant eingestuft werden, unterliegen zusätzlichen Meldepflichten gegenüber dem EU AI Office. Dazu gehören Sicherheitsbewertungen, Incident-Reporting-Pflichten und Anforderungen an das Risikomanagement. Das ENISA-Framework liefert sektorspezifische Hinweise, wie Sicherheitsfaktoren in der Praxis bewertet und dokumentiert werden können.

Für Unternehmen mit GPAI-Modellen in regulierten Branchen, etwa Finanzdienstleistungen oder Gesundheit, ist zu beachten, dass sektorspezifische Anforderungen auf die allgemeinen AI-Act-Pflichten aufgesattelt werden können. Einen Überblick über Konformitätsbewertungsverfahren bietet unser Beitrag zu Konformitätsbewertung und Auditpflichten für GPAI-Anbieter.

Vier praktische Implikationen für Entscheider

1. Prüfung der eigenen GPAI-Einstufung: Unternehmen sollten anhand der technischen Kriterien (Trainingsvolumen, Ausgabemodalitäten) und der Kommissionsleitlinien klären, ob ihre Modelle oder wesentliche Modellanpassungen unter die GPAI-Definition fallen. Dabei ist die Abgrenzung zwischen wesentlichen und geringfügigen Änderungen entscheidend für die Reichweite der eigenen Pflichten.

2. Laufende Dokumentation als Prozess etablieren: Die Anforderungen an technische Unterlagen erfordern eine systematische, kontinuierliche Dokumentation über alle Phasen des Modell-Lebenszyklus. Einmalige Snapshots genügen nicht. Unternehmen sollten interne Prozesse und Verantwortlichkeiten frühzeitig festlegen. Hinweise zum Compliance-Aufwand für kleinere Unternehmen finden Sie in unserem Artikel zu AI Act Konformitätskosten für KMU.

3. Verhaltenskodex als Planungsgrundlage nutzen: Auch wenn der GPAI Code of Practice formal freiwillig ist, sollten Anbieter seine Kapitel zu Transparenz, Urheberrecht und Risikomanagement als Referenzrahmen für ihre eigenen Compliance-Prozesse verwenden. Aufsichtsbehörden werden den Kodex bei der Beurteilung der Normeinhaltung heranziehen.

4. Nachgelagerte Akteure einbeziehen: Wer ein GPAI-Modell als Baustein in Produkte Dritter einbettet, muss sicherstellen, dass diese nachgelagerten Anbieter die notwendigen Informationen über Modellgrenzen und Risiken erhalten. Das betrifft sowohl vertragliche Regelungen als auch die technische Dokumentation, die weitergegeben wird. Weiterführende Aspekte zu Compliance-Anforderungen für KI-Anbieter beleuchtet unser Artikel zu EU AI Act Compliance-Anforderungen für KI-Anbieter.

Quellen

• KI-Modelle nach den Vorgaben des AI Acts entwerfen – heise online (17.11.2025)
• Leitlinien für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck – Europäische Kommission
• AI Act: Der KI-Verhaltenskodex der EU – iX / heise select

Häufige Fragen

Ab wann gelten die GPAI-Verpflichtungen des EU AI Acts und wen betreffen sie konkret?

Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) sind am 2. August 2025 in Kraft getreten. Betroffen sind Anbieter von Modellen, die mit mehr als 10²³ Gleitkommaoperationen (FLOPS) trainiert wurden und Ausgaben in den Modalitäten Text, Audio, Bild oder Video erzeugen können. Die Verpflichtungen erstrecken sich über den gesamten Lebenszyklus eines Modells, also von der Entwicklung über die Bereitstellung bis zum laufenden Betrieb.

Müssen auch Unternehmen, die bestehende GPAI-Modelle nur geringfügig anpassen, die vollen Anbieterpflichten erfüllen?

Nein. Die Leitlinien der EU-Kommission stellen ausdrücklich klar, dass nur diejenigen Akteure als Anbieter im Sinne des AI Acts gelten, die wesentliche Änderungen an einem GPAI-Modell vornehmen. Wer lediglich geringfügige Anpassungen durchführt, fällt nicht unter die vollständigen Anbieterpflichten. Diese Unterscheidung soll Unternehmen Planungssicherheit geben und unnötige Compliance-Aufwände bei kleineren Modifikationen vermeiden.

Welche inhaltlichen Bereiche deckt der GPAI Code of Practice ab, den die EU-Kommission veröffentlicht hat?

Der General-Purpose AI Code of Practice, den die EU-Kommission am 1. August 2025 genehmigt hat, konkretisiert die Anforderungen des AI Acts in vier zentralen Kapiteln: Transparenz, Urheberrecht, Sicherheit und Risikomanagement. Obwohl der Kodex formal freiwillig ist, kommt ihm in der Praxis erhebliches Gewicht zu, da er als anerkannter Orientierungsrahmen für die Erfüllung der gesetzlichen Vorgaben dient.

Welche praktische Hilfestellung bietet das ENISA-Framework für Unternehmen bei der AI-Act-konformen Umsetzung?

Die europäische Cybersicherheitsagentur ENISA hat ein Framework veröffentlicht, das konkrete Beispiele für die Entwicklung, Bereitstellung und den Betrieb von KI-Modellen im Einklang mit dem AI Act liefert. Es adressiert unter anderem Sicherheitsfaktoren und sektorspezifische Anforderungen und gibt Orientierung beim Risikomanagement. Damit richtet es sich vor allem an Anbieter, die die teils abstrakten gesetzlichen Vorgaben in umsetzbare Prozesse überführen müssen.

Gelten für Open-Source-GPAI-Modelle dieselben Verpflichtungen wie für proprietäre Modelle?

Die Leitlinien der EU-Kommission sehen für Open-Source-Modelle spezifische Ausnahmen vor. Damit soll dem besonderen Charakter quelloffener Entwicklung Rechnung getragen werden. Die genaue Reichweite dieser Ausnahmen ist in den offiziellen Leitlinien beschrieben, die in allen 24 EU-Amtssprachen verfügbar sind. Anbieter von Open-Source-Modellen sollten dennoch prüfen, ob und in welchem Umfang einzelne Pflichten, etwa im Bereich Transparenz oder Sicherheit, für sie weiterhin Anwendung finden.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.