Seit dem 2. August 2025 gelten die GPAI-Pflichten des EU AI Act verbindlich: Anbieter, die den freiwilligen EU-Verhaltenskodex nicht einhalten, müssen eigenständig nachweisen, wie sie die Konformität mit der KI-Verordnung sicherstellen. Der Verhaltenskodex konkretisiert die Anforderungen in drei Bereichen: Transparenz, Urheberrechte sowie Sicherheit und Gefahrenabwehr. Unternehmen, die GPAI-Modelle anbieten, stehen vor einer praktischen Wahl: Entweder sie folgen dem Kodex als Orientierungsrahmen oder sie müssen eine eigenständige Konformitätsdokumentation aufbauen. Bei Verstößen gegen den AI Act drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

EU AI Act: Was GPAI-Anbieter 2025 bei Konformität und Audits beachten müssen

Seit dem 2. August 2025 gelten die Pflichten des EU AI Act für Anbieter sogenannter General-Purpose-AI-Modelle (GPAI) verbindlich. Wer ein solches Modell in der EU anbietet, muss nachweisen können, dass er die Anforderungen der KI-Verordnung erfüllt. Wie das konkret geschieht, konkretisiert der EU-Verhaltenskodex für KI.

Der Verhaltenskodex: freiwillig, aber mit Folgen

Der KI-Verhaltenskodex ist kein zwingendes Regelwerk. Anbieter können sich entscheiden, ihn nicht zu befolgen. Tun sie das, müssen sie jedoch auf anderem Weg belegen, wie sie die Anforderungen des AI Act erfüllen, wie Heise berichtet. In der Praxis bedeutet das: Wer den Kodex ignoriert, trägt eine erhöhte Nachweislast gegenüber Aufsichtsbehörden.

Der Kodex deckt drei zentrale Themenblöcke ab. Erstens Transparenz, zweitens Urheberrechte und drittens Sicherheit sowie Gefahrenabwehr. Laut dem Heise-Bericht liefert der Kodex zwar konkrete technische Hilfestellungen, bleibt aber in einigen wichtigen Punkten, insbesondere bei der Transparenz über Trainingsdaten, zu vage.

Haftungsrahmen: Bußgelder nach Verstoßschwere

Der AI Act folgt einem risikobasierten Ansatz. Für GPAI-Modelle mit systemischen Risiken gelten strengere Auflagen als für einfache Allzweckmodelle. IBM beschreibt den Strafrahmen wie folgt: Je nach Art des Verstoßes können Bußgelder zwischen 7,5 Millionen Euro oder 1,5 Prozent des weltweiten Jahresumsatzes und 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes verhängt werden. Damit orientiert sich das Haftungsregime strukturell an der DSGVO, greift aber bei den höchsten Kategorien erheblich tiefer.

Für Entscheider bedeutet das: Die finanzielle Exposition bei Nichteinhaltung ist substanziell. Compliance ist kein Projekt mit einmaligem Abschluss, sondern eine fortlaufende Betriebspflicht.

Praktische Implikationen für Unternehmen

1. Dokumentationspflichten sind sofort relevant. Der AI Act verlangt von GPAI-Anbietern detaillierte technische Dokumentation. Wer heute ein Modell betreibt oder integriert, sollte prüfen, ob vorhandene Unterlagen die regulatorischen Mindestanforderungen an Transparenz und Rückverfolgbarkeit bereits erfüllen. Mehr zu den konkreten Dokumentationsanforderungen lesen Sie unter EU AI Act: Dokumentations- und Transparenzpflichten für KI-Anbieter.

2. Konformitätsbewertung ohne Zertifizierungsstelle ist möglich, aber risikoreich. Für viele GPAI-Modelle sieht der AI Act keine zwingende Drittprüfung vor. Anbieter können eine Selbstbewertung durchführen. Wer jedoch systemische Risiken aufweist, unterliegt schärferen Anforderungen, die auch externe Audits einschließen können. Details zur Konformitätsbewertung für Foundation Models finden Sie unter EU AI Act: Konformitätsbewertung für Foundation Models und LLMs 2025.

3. Meldepflichten und Fristen nicht unterschätzen. GPAI-Anbieter müssen bestimmte Informationen beim EU AI Office einreichen. Wer Fristen verpasst oder Meldungen unvollständig einreicht, riskiert Nachfragen und mögliche Sanktionen. Einen Überblick über Notifizierungspflichten und Fristen bietet EU AI Act 2025: Notifizierungspflichten für GPAI-Anbieter.

4. Das BSI liefert ergänzende technische Orientierung. Neben dem EU AI Act veröffentlicht das Bundesamt für Sicherheit in der Informationstechnik eigene Richtlinien zur sicheren Gestaltung von KI-Systemen. Diese können als Referenzrahmen für interne Audits und technische Prüfprozesse dienen. Mehr dazu unter BSI-Richtlinien 2025: KI-Evaluierung, Monitoring und Haftung bei Foundation Models.

Offene Fragen und nächste Schritte

Der Verhaltenskodex ist laut Heise in Teilen noch zu unspezifisch, besonders beim Thema Trainingsdaten-Transparenz. Das EU AI Office wird seine Rolle bei der Durchsetzung schrittweise ausbauen. Für Unternehmen empfiehlt sich deshalb ein kontinuierliches Monitoring der Leitlinienentwicklung. Einen Überblick über die Struktur und Kompetenzen des EU AI Office bietet EU AI Office: Struktur, Kompetenzen und Durchsetzung 2025. Die mittelfristige Compliance-Planung sollte zudem die Roadmap aus EU AI Act: Compliance-Roadmap, Fristen und Phasen bis 2026 berücksichtigen.

Quellen

• AI Act: Was im KI-Verhaltenskodex der EU für Anbieter steht – Heise Online, 19.08.2025
• Was ist der EU AI Act? – IBM Think, 20.09.2024

Häufige Fragen

Seit wann gelten die GPAI-Pflichten des EU AI Act, und was löst das für Anbieter konkret aus?

Die Pflichten für Anbieter von General-Purpose-AI-Modellen (GPAI) sind seit dem 2. August 2025 verbindlich anzuwenden. Anbieter müssen seither nachweisen, dass sie die Anforderungen der KI-Verordnung erfüllen – insbesondere in den Bereichen Transparenz, Urheberrechte sowie Sicherheit und Gefahrenabwehr. Der EU-Verhaltenskodex für KI konkretisiert diese Anforderungen und soll die praktische Umsetzung erleichtern.

Ist die Einhaltung des EU-KI-Verhaltenskodex für GPAI-Anbieter verpflichtend?

Die Einhaltung des Verhaltenskodex ist formal freiwillig. Entscheiden sich Anbieter jedoch gegen dessen Befolgung, müssen sie auf anderem Weg belegen, wie sie die Konformität mit dem AI Act sicherstellen. Der Kodex funktioniert damit als anerkannter Nachweispath: Wer ihn nicht nutzt, trägt die Beweislast für gleichwertige Maßnahmen selbst.

Welche inhaltlichen Schwerpunkte setzt der EU-KI-Verhaltenskodex für GPAI-Modelle?

Der Kodex behandelt drei zentrale Themenfelder: Transparenz, Urheberrechte sowie Sicherheit und Gefahrenabwehr. Er liefert konkrete technische Hilfestellungen zur Umsetzung, bleibt aber in einzelnen Punkten unscharf. So bemängeln Fachleute etwa, dass die Anforderungen an die Transparenz bei Trainingsdaten zu vage formuliert sind, um eindeutige Auditmaßstäbe abzuleiten.

Welche Strafen drohen bei Verstößen gegen den EU AI Act?

Der EU AI Act sieht ein gestaffeltes Sanktionsregime vor. Je nach Art und Schwere des Verstoßes können Bußgelder zwischen 7,5 Millionen Euro bzw. 1,5 Prozent des weltweiten Jahresumsatzes und bis zu 35 Millionen Euro bzw. 7 Prozent des weltweiten Jahresumsatzes verhängt werden. Maßgeblich ist jeweils der höhere der beiden Beträge.

Für welche Modelle gelten die GPAI-Regelungen konkret, und gibt es bekannte Beispiele?

Die GPAI-Regelungen des AI Act richten sich an Anbieter allgemeiner KI-Modelle, die für ein breites Spektrum an Anwendungen eingesetzt werden können. Als Beispiele für Modelle, die unter diesen Rahmen fallen, nennt IBM in seiner Analyse eigene Systeme wie Granite sowie das quelloffene Foundation Model Llama 3 von Meta. Der Geltungsbereich wird im Verhaltenskodex durch ergänzende Hinweise weiter präzisiert.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.