Ab 2. August 2025 gelten für alle Anbieter sogenannter General-Purpose AI Models (GPAI) verbindliche Pflichten aus dem EU AI Act: technische Dokumentation, eine Urheberrechtsrichtlinie sowie die Veröffentlichung einer Trainingsdaten-Zusammenfassung. Anbieter von GPAI-Modellen mit systemischem Risiko müssen zusätzlich Für Unternehmen, die KI-Modelle entwickeln oder einsetzen, die als GPAI eingestuft werden, läuft die Uhr: Die EU-Kommission hat begleitende Leitlinien sowie eine Vorlage für die Trainingsdaten-Zusammenfassung veröffentlicht, um die Erfüllung der Pflichten zu erleichtern. Wer die Anforderungen bis zum Stichtag nicht erfüllt, riskiert Verstöße gegen EU-Recht. Entscheider sollten jetzt prüfen, ob ihre Modelle unter die GPAI-Definition fallen und welche Pflichtenkategorie greift.

EU AI Act: Was GPAI-Anbieter ab dem 2. August 2025 verpflichtend erfüllen müssen

Ab dem 2. August 2025 treten die Pflichten für Anbieter von General-Purpose AI Models (GPAI) unter dem EU AI Act in vollem Umfang in Kraft. Die Europäische Kommission hat begleitende Leitlinien verabschiedet, die den Anwendungsbereich dieser Pflichten konkretisieren und Anbietern Orientierung für die Umsetzung geben.

Was sind GPAI-Modelle und wen betrifft das?

General-Purpose AI Models sind KI-Modelle, die als Grundlage für eine Vielzahl unterschiedlicher KI-Systeme dienen können. Genau diese Vielseitigkeit macht sie aus Sicht des Regulators besonders relevant: Ein einziges Basismodell kann in Dutzenden Anwendungen eingesetzt werden, von Textgeneratoren über Codesynthese bis hin zu medizinischen Informationssystemen. Der AI Act differenziert zwischen zwei Gruppen von Anbietern: solchen, die GPAI-Modelle allgemein bereitstellen, und solchen, deren Modelle ein sogenanntes systemisches Risiko aufweisen, also besonders leistungsfähige oder weitverbreitete Systeme.

Pflichten für alle GPAI-Anbieter

Jeder Anbieter eines GPAI-Modells muss laut den Vorgaben der EU-Kommission drei Kernpflichten erfüllen:

• Technische Dokumentation: Es ist eine vollständige technische Dokumentation des Modells zu erstellen und bereitzuhalten.
• Urheberrechtliche Compliance: Anbieter müssen eine Urheberrechtspolitik implementieren, die die Anforderungen des europäischen Rechts widerspiegelt.
• Transparenz über Trainingsdaten: Eine öffentlich zugängliche Zusammenfassung der verwendeten Trainingsinhalte ist zu veröffentlichen. Die Kommission hat hierfür eine eigene Vorlage bereitgestellt.

Diese drei Pflichten gelten unabhängig von der Größe des Unternehmens oder der Verbreitung des Modells.

Zusatzpflichten bei systemischem Risiko

Für Modelle, die als besonders leistungsstark oder weitreichend eingestuft werden, gelten darüber hinausgehende Anforderungen:

• Meldepflicht gegenüber der Kommission: Anbieter müssen ihr Modell aktiv bei der Europäischen Kommission notifizieren.
• Risikobewertung und -minderung: Es sind strukturierte Verfahren zur Identifikation und Reduktion systembezogener Risiken durchzuführen.
• Vorfallsmeldung: Sicherheitsrelevante Ereignisse sind zu dokumentieren und zu melden.
• Cybersicherheitsschutzmaßnahmen: Anbieter müssen angemessene technische Schutzmaßnahmen gegen Angriffe implementieren.

Praktische Implikationen für Entscheider

1. Fristgebundener Handlungsbedarf ab sofort: Der 2. August 2025 ist kein theoretischer Horizont mehr. Unternehmen, die GPAI-Modelle entwickeln oder in der EU vertreiben, müssen Dokumentations- und Meldestrukturen jetzt aufbauen. Die Kommission hat die Leitlinien veröffentlicht, um Anbietern die Vorbereitung zu erleichtern, nicht um die Fristen zu verschieben. Wer die technische Dokumentation noch nicht begonnen hat, handelt riskant. Weiterführende Einordnung zu Konformitätsbewertungen finden Sie unter EU AI Act: Konformitätsbewertung und Notifizierungsstellen für GPAI.

2. Urheberrecht als unterschätztes Compliance-Risiko: Die Pflicht zur Implementierung einer Urheberrechtspolitik ist für viele Anbieter neu. Sie betrifft nicht nur die Nutzung von Trainingsdaten, sondern auch die Dokumentation, welche Inhalte unter welchen Lizenzbedingungen eingeflossen sind. Wer keine belastbare Datenprovenienz nachweisen kann, riskiert Beanstandungen durch nationale Behörden. Hintergrundinformationen zu Transparenzpflichten im Kontext von Trainingsdaten bietet EDPB-Transparenzpflichten 2025: LLM-Training und Urheberrecht.

3. Systemisches Risiko als bewegliche Schwelle: Die Einstufung, ob ein Modell systemisches Risiko aufweist, ist nicht statisch. Anbieter sollten regelmäßig prüfen, ob ihre Modelle durch steigende Nutzerzahlen, neue Einsatzbereiche oder technische Weiterentwicklungen in diese Kategorie fallen. Die Leitlinien der Kommission dienen hier als zentrales Interpretationsinstrument. Details zu Meldeverfahren und Dokumentationspflichten finden sich unter EU AI Act: GPAI-Benachrichtigungspflichten, Fristen und Dokumentation 2025.

4. GPAI Code of Practice als anerkanntes Compliance-Instrument: Die Kommission und die Mitgliedstaaten haben den von unabhängigen Experten erarbeiteten GPAI Code of Practice bestätigt. Unternehmen, die diesen Code befolgen, können dies als Nachweis der Pflichterfüllung heranziehen. Das reduziert den Compliance-Aufwand erheblich, sofern die interne Umsetzung sauber dokumentiert wird. Einen Überblick über Durchsetzungsmechanismen und Sanktionen bietet EU AI Act: Durchsetzungsmechanismen und Sanktionen 2025.

Leitlinien als verbindliche Orientierung

Die Europäische Kommission hat die Leitlinien zum Anwendungsbereich der GPAI-Pflichten in allen EU-Amtssprachen veröffentlicht. Sie ergänzen die eigentliche Verordnung und präzisieren, welche Modelle unter welchen Bedingungen als GPAI eingestuft werden und welche Pflichten dann greifen. Zusätzlich steht eine Vorlage für die öffentliche Zusammenfassung der Trainingsinhalte zur Verfügung. Beide Dokumente sind über die digitale Strategie-Seite der Kommission abrufbar.

Für Unternehmen, die GPAI-Modelle in der EU anbieten, gilt: Die regulatorischen Anforderungen sind definiert, die Frist läuft, und die Auslegungsdokumente sind verfügbar. Der Handlungsbedarf ist konkret.

Quellen

• General-purpose AI obligations under the AI Act – Europäische Kommission, Digital Strategy
• Guidelines on the scope of obligations for providers of general-purpose AI models under the AI Act – Europäische Kommission, Digital Strategy

Häufige Fragen

Ab wann gelten die Pflichten für Anbieter von General-Purpose AI Models (GPAI) unter dem EU AI Act?

Die Pflichten für Anbieter von General-Purpose AI Models treten am 2. August 2025 in Kraft. Dieses Datum markiert den Beginn der verbindlichen Anwendung der entsprechenden Bestimmungen des AI Act. Die Europäische Kommission hat vorab Leitlinien veröffentlicht, die Anbietern helfen sollen, ihre Verpflichtungen rechtzeitig zu erfüllen.

Welche Dokumentationspflichten treffen grundsätzlich alle GPAI-Anbieter?

Alle Anbieter von General-Purpose AI Models sind verpflichtet, technische Dokumentation zu erstellen, eine Urheberrechtsrichtlinie umzusetzen sowie eine öffentlich zugängliche Zusammenfassung der für das Training verwendeten Inhalte zu veröffentlichen. Die Kommission stellt hierfür eine offizielle Vorlage für die öffentliche Trainingszusammenfassung zur Verfügung.

Welche zusätzlichen Pflichten gelten für Anbieter von GPAI-Modellen mit systemischem Risiko?

Anbieter von GPAI-Modellen, die aufgrund ihrer Leistungsfähigkeit oder Reichweite als systemisch risikoreich eingestuft werden, unterliegen erweiterten Anforderungen. Dazu zählen die Meldepflicht gegenüber der Europäischen Kommission, die Durchführung von Risikobewertungen und die Umsetzung entsprechender Minderungsmaßnahmen, die Pflicht zur Meldung schwerwiegender Vorfälle sowie der Aufbau von Cybersicherheitsschutzmaßnahmen.

Was ist der GPAI Code of Practice und welche Rolle spielt er bei der Erfüllung der Compliance-Anforderungen?

Der GPAI Code of Practice wurde von unabhängigen Experten erarbeitet und von der Kommission sowie den Mitgliedstaaten als unterstützendes Instrument anerkannt. Er soll Anbietern als praktische Orientierungshilfe dienen, um die gesetzlichen Verpflichtungen aus dem AI Act einzuhalten. Die Einhaltung des Codes kann als Nachweis der Compliance herangezogen werden, ersetzt jedoch nicht die gesetzlichen Pflichten selbst.

Welche Hilfsmittel stellt die Europäische Kommission bereit, damit GPAI-Anbieter ihre Pflichten fristgerecht erfüllen können?

Die Kommission hat zwei zentrale Dokumente veröffentlicht: erstens Leitlinien zum Umfang der Verpflichtungen für GPAI-Anbieter unter dem AI Act, die in allen EU-Amtssprachen verfügbar sind, und zweitens eine Vorlage für die vorgeschriebene öffentliche Zusammenfassung der Trainingsinhalte. Beide Dokumente richten sich an Anbieter, die sich auf das Inkrafttreten der Regelungen am 2. August 2025 vorbereiten.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.