GPAI-Pflichten: Was Anbieter von KI-Modellen mit allgemeinem Verwendungszweck tun müssen

Die GPAI-Pflichten der KI-Verordnung (EU) 2024/1689 gelten seit dem 2. August 2025. GPAI steht für General Purpose AI, auf Deutsch KI-Modelle mit allgemeinem Verwendungszweck. Gemeint sind große Sprach- und Bildmodelle, die für viele verschiedene Aufgaben eingesetzt werden können. Die Pflichten treffen vor allem die Modellanbieter, nicht die Unternehmen, die ein solches Modell über einen Chat oder eine API nutzen. Dieser Überblick ersetzt keine Rechtsberatung.

Wer ist betroffen?

Anbieter ist, wer ein GPAI-Modell entwickelt oder entwickeln lässt und es unter eigenem Namen in der EU in Verkehr bringt, also etwa die Hersteller großer Sprachmodelle. Wer ein solches Modell nur nutzt oder in eine eigene Anwendung einbaut, ist in der Regel kein GPAI-Anbieter. Er kann aber Anbieter eines KI-Systems sein, für das andere Regeln gelten. Wer ein bestehendes Modell erheblich verändert, etwa durch umfangreiches Nachtraining, kann selbst zum Modellanbieter werden. Die EU-Kommission hat dazu Leitlinien veröffentlicht.

Pflichten für alle GPAI-Anbieter (Art. 53)

• Technische Dokumentation des Modells, einschließlich Training und Tests, für die Behörden.
• Informationen für nachgelagerte Anbieter, die das Modell in eigene KI-Systeme einbauen, damit diese ihre Pflichten erfüllen können.
• Strategie zur Einhaltung des Urheberrechts, insbesondere zur Beachtung von Nutzungsvorbehalten beim Text und Data Mining.
• Öffentliche Zusammenfassung der Trainingsinhalte nach einer Vorlage der Kommission.

Für Modelle, die unter einer freien und quelloffenen Lizenz mit offenen Gewichten veröffentlicht werden, entfallen die ersten beiden Punkte, sofern kein systemisches Risiko besteht. Urheberrechtsstrategie und Trainingsdaten-Zusammenfassung bleiben Pflicht. Für Modelle, die schon vor dem 2. August 2025 auf dem Markt waren, sieht die Verordnung eine Übergangsfrist vor.

Zusatzpflichten bei systemischem Risiko (Art. 55)

Besonders leistungsfähige Modelle können als Modelle mit systemischem Risiko eingestuft werden. Die Verordnung vermutet das, wenn für das Training mehr als 10²⁵ Gleitkommaoperationen eingesetzt wurden; die Kommission kann Modelle auch anhand anderer Kriterien einstufen. Zusätzlich gelten dann:

• Modellbewertungen nach dem Stand der Technik, einschließlich Tests mit gezielten Angriffen,
• Bewertung und Minderung systemischer Risiken,
• Erfassung und Meldung schwerwiegender Vorfälle an das Büro für Künstliche Intelligenz,
• angemessene Cybersicherheit für Modell und Infrastruktur.

Der Verhaltenskodex

Im Juli 2025 wurde ein Verhaltenskodex (Code of Practice) für GPAI-Anbieter veröffentlicht. Er gliedert sich in Transparenz, Urheberrecht sowie Sicherheit und Gefahrenabwehr. Anbieter, die ihn unterzeichnen, können damit die Einhaltung ihrer Pflichten nachweisen; zwingend ist er nicht. Mehrere große Modellanbieter haben ihn unterzeichnet, aber nicht alle.

Aufsicht

Für GPAI-Modelle ist nicht die nationale Behörde zuständig, sondern das Büro für Künstliche Intelligenz (AI Office) bei der EU-Kommission. Mehr zur Verteilung der Zuständigkeiten steht in KI-Aufsicht in Deutschland.

Was das für Nutzer bedeutet

Als Unternehmen, das GPAI-Modelle nur einsetzt, profitieren Sie von mehr Transparenz: Trainingsdaten-Zusammenfassungen und Modelldokumentation helfen bei der Auswahl. Ihre eigenen Pflichten ergeben sich aus dem Einsatzzweck. Ob Ihre Anwendung in eine höhere Risikoklasse fällt, prüft der Fragebogen KI-Risikoklasse prüfen. Einen Überblick über alle Stufen bietet KI-Risikoklassen, aktuelle Modelle finden Sie unter Modelle.