EU AI Act: GPAI-Modelle unter neuer Regulierung

Zusammenfassung

Ab dem 2. August 2025 treten erstmals verbindliche Pflichten für Anbieter von General Purpose AI-Modellen (GPAI) in der EU in Kraft. Die Europäische Kommission hat begleitende Leitlinien sowie einen freiwilligen Verhaltenskodex veröffentlicht, um die praktische Umsetzung zu erleichtern und Transparenz sicherzustellen. Die aktive Kontroll- und Durchsetzungsphase durch das EU AI Office beginnt ein Jahr später, am 2. August 2026.

Analyse & Bewertung

Management-Perspektive:

• Neue Compliance-Kategorie: GPAI-Modelle, die ein systemisches Risiko für den europäischen Markt darstellen, unterliegen umfangreichen regulatorischen Anforderungen.
• Transparenzpflichten: Anbieter müssen detaillierte Informationen zu den Trainingsdaten, -methoden und Sicherheitsmaßnahmen dokumentieren und auf Anfrage bereitstellen.
• Urheberrechtskonformität: Sicherstellung der Compliance im Umgang mit Trainingsdaten, insbesondere hinsichtlich Urheberrecht und geistigem Eigentum.
• Bußgeldrisiko: Bei Verstößen drohen Bußgelder von bis zu 35 Mio. Euro oder bis zu 7% des weltweiten Jahresumsatzes des verantwortlichen Unternehmens.
• Verhaltenskodex: Ein freiwilliger Code of Practice steht zur Unterstützung der Compliance zur Verfügung und kann regulatorische Vorteile bieten.

Technische Perspektive:

• Dokumentationspflichten: Umfassende technische Spezifikationen, Risikobewertungen und Compliance-Nachweise müssen gepflegt werden.
• Test- und Evaluierungsverfahren: GPAI-Modelle sind vor der Markteinführung umfangreichen Tests und Evaluierungen zu unterziehen, um Risiken frühzeitig zu identifizieren.
• Meldepflichten: Schwerwiegende Sicherheitsvorfälle und Missbrauchsfälle müssen unverzüglich den zuständigen Behörden gemeldet werden.
• Security by Design: Sicherheits- und Datenschutzmaßnahmen sind bereits in der Entwicklungsphase verbindlich zu implementieren.

Risikoeinschätzung: MITTEL bis HOCH

Empfehlung:

• Kurzfristig: Bestandsaufnahme aller eingesetzten und angebotenen KI-Systeme mit Klassifizierung nach Risikogruppen, Erfassung des regulatorischen Status.
• Mittelfristig: Aufbau und Implementierung belastbarer KI-Governance-Strukturen einschließlich Verantwortlichkeiten, Prozessbeschreibungen und Kontrollmechanismen.
• Strategisch: Integration der Vorgaben in Produktentwicklungs- und Innovationsprozesse, fortlaufende Schulung der Mitarbeiter im Umgang mit KI-Systemen, laufende Anpassung an neue Leitlinien und Marktanforderungen.