Seit dem 2. August 2025 gelten die GPAI-Pflichten des EU AI Acts: Anbieter von Modellen, die mit mehr als 10²³ FLOPS trainiert wurden, müssen Konformität gegenüber nationalen Aufsichtsbehörden dokumentieren. Bei Verstößen drohen Strafen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Für Anbieter von Foundation Models ist die erste Umsetzungsstufe des EU AI Acts keine ferne Pflicht mehr, sondern geltendes Recht. Der freiwillige EU-Verhaltenskodex konkretisiert Anforderungen zu Transparenz, Urheberrecht und Sicherheit, verpflichtet Unternehmen bei Nichtbefolgung jedoch zum eigenständigen Nachweis der Konformität. Wer Modelle mit mehr als 10²⁵ FLOPS betreibt, trägt zusätzliche Auflagen als Anbieter mit systemischem Risiko. Entscheider müssen Dokumentationsprozesse und interne Governance jetzt prüfen.

EU AI Act: Was GPAI-Anbieter ab August 2025 bei Konformität, Audits und Haftung beachten müssen

Seit dem 2. August 2025 gilt die erste Umsetzungsstufe des EU AI Acts. Sie betrifft vorrangig Anbieter sogenannter General-Purpose-AI-Modelle (GPAI) und legt ihnen umfangreiche Pflichten über den gesamten Modelllebenszyklus auf.

Was als GPAI gilt

Die EU definiert ein GPAI-Modell als jedes KI-System, das mit mehr als 10²³ Gleitkommaoperationen (FLOPS) trainiert wurde und in der Lage ist, Sprach-, Text-zu-Bild- oder Text-zu-Video-Ausgaben zu erzeugen. Damit fallen Modelle wie IBMs Granite oder Metas Llama 3 explizit unter diese Kategorie, wie aus der IBM-Analyse zum EU AI Act hervorgeht.

Überschreitet der Trainingsaufwand die Schwelle von 10²⁵ FLOPS, stuft die Verordnung das Modell als GPAI mit systemischem Risiko ein. Für diese Modelle gelten zusätzliche Verpflichtungen, darunter erweiterte Sicherheitsbewertungen und eine Meldepflicht gegenüber dem zuständigen EU AI Office. Detaillierte Hintergründe zu Konformitätsbewertungen für Foundation Models finden Sie in unserer weiterführenden Berichterstattung.

Dokumentations- und Nachweispflichten

Alle GPAI-Anbieter müssen laut Heise iX folgende Anforderungen erfüllen:

• Dokumentation gegenüber nationalen Aufsichtsbehörden: Anbieter müssen nachweisen können, wie sie die Vorgaben des AI Acts umsetzen.
• Trainingsdaten-Zusammenfassung: Eine dokumentierte Übersicht der verwendeten Trainingsdaten ist verpflichtend.
• Urheberrechtskonformität: Das Modell muss nachweislich unter Beachtung der Urheberrechtsregeln entwickelt worden sein.

Diese Anforderungen erstrecken sich nicht nur auf die Erstveröffentlichung, sondern gelten fortlaufend für Updates und neue Modellversionen. Mehr zu den Dokumentations- und Transparenzpflichten für KI-Anbieter lesen Sie in unserem Überblick.

Der freiwillige KI-Verhaltenskodex

Parallel zu den gesetzlichen Anforderungen veröffentlichte die EU einen KI-Verhaltenskodex, der die GPAI-Pflichten in drei Themenbereichen konkretisiert: Transparenz, Urheberrechte sowie Sicherheit und Gefahrenabwehr. Die Einhaltung des Kodex ist freiwillig. Wer ihn nicht befolgt, muss jedoch gegenüber den Behörden auf anderem Weg darlegen, wie er die Konformität mit dem AI Act herstellt, wie Heise berichtet.

Laut der Analyse von Christina Kiefer und Moritz Schneider (Heise, 19. August 2025) liefert der Kodex zwar konkrete technische Hilfestellungen, bleibt aber in zentralen Punkten wie der Transparenz bei Trainingsdaten zu vage. Das Thema Sicherheit wird ebenfalls als noch nicht abschließend geregelt bewertet. Zur Compliance-Roadmap und den relevanten Fristen bis 2026 haben wir gesondert berichtet.

Haftung und Sanktionen

Der EU AI Act sieht ein gestaffeltes Sanktionsregime vor. Je nach Art des Verstoßes können die Strafen zwischen 7,5 Millionen Euro oder 1,5 Prozent des weltweiten Jahresumsatzes und 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes liegen, so IBM. Diese Staffelung orientiert sich am Risikograd des Verstoßes.

Für Unternehmen, die Foundation Models einsetzen oder weiterentwickeln, bedeutet das eine unmittelbare Haftungsrelevanz. Wer als nachgelagerte Instanz auf einem GPAI-Modell aufbaut, sollte prüfen, welche Pflichten auf Anbieter- und welche auf Deployerebene anfallen. Einen strukturierten Überblick zur Haftung von KI-Anbietern und Konformitätserklärungen bieten wir in einem separaten Artikel.

Praktische Implikationen

1. Sofortiger Handlungsbedarf bei GPAI-Anbietern: Da die Pflichten seit dem 2. August 2025 gelten, besteht kein weiterer Aufschub. Anbieter, die noch keine vollständige Compliance-Dokumentation vorhalten, sind bereits im Verzug.

2. Verhaltenskodex als strategisches Instrument: Unternehmen können den freiwilligen Kodex nutzen, um gegenüber Behörden und Geschäftspartnern Konformität zu signalisieren, ohne auf eine vollständige regulatorische Auslegung zu warten. Dennoch sollten sie die verbleibenden Unklarheiten bei Trainingsdaten-Transparenz dokumentieren.

3. Lieferkette von Modellentwicklung bis Deployment prüfen: Wer eigene Produkte auf GPAI-Modellen aufbaut, muss die Konformität des Basismodells kennen und nachweisen können. Eine lückenhafte Dokumentation des Modellanbieters kann zur eigenen Haftung führen. Hinweise dazu liefert auch unser Artikel zu Zertifizierungspflichten für Hochrisiko-KI.

4. Internationale Ausstrahlungswirkung einkalkulieren: Ähnlich wie die DSGVO könnte der EU AI Act zum Referenzrahmen für weitere Länder werden, wie IBM-Experten einschätzen. Unternehmen mit globaler Ausrichtung sollten ihre Compliance-Strukturen so gestalten, dass sie künftige internationale Anforderungen abdecken.

Quellen

• KI-Modelle AI-Act-konform entwerfen – Heise iX
• EU AI Act – IBM Think
• AI Act: Was im KI-Verhaltenskodex der EU für Anbieter steht – Heise

Häufige Fragen

Ab wann gelten die Pflichten des EU AI Acts für Anbieter von General-Purpose-AI-Modellen?

Die Pflichten für Anbieter von GPAI-Modellen sind mit dem 2. August 2025 in Kraft getreten. Ab diesem Datum müssen betroffene Unternehmen unter anderem die Konformität mit dem AI Act per Dokumentation gegenüber nationalen Aufsichtsbehörden nachweisen, eine Zusammenfassung der verwendeten Trainingsdaten vorhalten und die Einhaltung urheberrechtlicher Vorgaben im Modell sicherstellen.

Wann gilt ein KI-Modell laut EU AI Act als General-Purpose-AI-Modell und welche Schwellenwerte sind relevant?

Die EU definiert ein Modell als GPAI, wenn es mit mehr als 10²³ Gleitkommaoperationen (FLOPS) trainiert wurde und Sprach-, Text-zu-Bild- oder Text-zu-Video-Ausgaben erzeugen kann. Wird ein Modell mit mehr als 10²⁵ FLOPS trainiert, stuft die EU es zusätzlich als GPAI mit systemischem Risiko ein. Für diese Modelle gelten erweiterte Pflichten, die über die Basisanforderungen hinausgehen.

Welche Konsequenzen drohen Anbietern, die den EU AI Act nicht einhalten?

Der EU AI Act sieht gestaffelte Bußgelder vor. Je nach Art und Schwere des Verstoßes können Strafen zwischen 7,5 Millionen Euro oder 1,5 Prozent des weltweiten Jahresumsatzes und bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes verhängt werden. Maßgeblich ist dabei jeweils der höhere der beiden Beträge.

Was regelt der EU-KI-Verhaltenskodex für GPAI-Anbieter und ist seine Einhaltung verpflichtend?

Der KI-Verhaltenskodex der EU konkretisiert die Anforderungen des AI Acts für GPAI-Modelle in den drei Bereichen Transparenz, Urheberrecht sowie Sicherheit und Gefahrenabwehr. Die Einhaltung des Kodex ist freiwillig. Entscheiden sich Anbieter jedoch gegen die Befolgung, müssen sie auf anderem Weg nachweisen, wie sie die Konformität mit dem AI Act sicherstellen. Der Kodex liefert zwar technische Hilfestellungen, bleibt aber in einigen Punkten, etwa bei der Transparenz zu Trainingsdaten, nach Einschätzung von Fachleuten noch zu unspezifisch.

Welche Pflichten gelten über den gesamten Lebenszyklus eines GPAI-Modells?

Die Verpflichtungen für GPAI-Anbieter erstrecken sich laut AI Act über den gesamten Modelllebenszyklus: von der Trainingsphase und der Systementwicklung über die Veröffentlichung bis hin zu laufenden Updates neuer Versionen. Anbieter müssen also nicht nur zum Zeitpunkt des Markteintritts konform sein, sondern auch bei jeder Weiterentwicklung des Modells die geltenden Anforderungen fortlaufend erfüllen und dokumentieren.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.