# EU KI-Gesetz: GPAI-Pflichten ab August 2026 durchsetzbar > Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) aus dem EU-KI-Gesetz werden ab dem 2. August 2026 durchsetzbar. Dieser Leitfaden erläutert die Transparenz-, Dokumentations- und Risikomanagementpflichten für Anbieter und Anwender. Source: https://loopbackup.com/de/blog/eu-ai-act-gpai-obligations-august-2026 Publisher: Loop Backup Content language: de --- ## Auf einen Blick * **Frist für die Einhaltung:** Wesentliche Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) nach dem EU-KI-Gesetz werden ab dem **2. August 2026** (24 Monate nach Inkrafttreten) durchsetzbar. * **Wer ist betroffen:** Jeder Anbieter, der ein GPAI-Modell auf dem EU-Markt bereitstellt, unabhängig vom Standort des Anbieters. Dies hat auch Auswirkungen auf EU-basierte Anwender, die diese Modelle nutzen. * **Kernanforderungen (Artikel 53):** Alle Anbieter von GPAI-Modellen müssen detaillierte technische Dokumentation pflegen, umfassende Informationen an Anbieter nachgelagerter Systeme liefern und eine Zusammenfassung der für das Training verwendeten Inhalte veröffentlichen. * **Systemische Risikomodelle (Artikel 55):** GPAI-Modelle, die als 'systemisches Risiko' eingestuft werden, unterliegen strengeren Verpflichtungen, einschließlich Modellbewertung, Risikobewertung und Cybersicherheitsmaßnahmen. * **Durchsetzungsbehörde:** Das neu eingerichtete europäische **KI-Amt** ist die zentrale Durchsetzungsbehörde, zuständig für die Überwachung der Einhaltung, die Benennung von systemischen Risikomodellen und die Förderung von Standards. * **Strafen:** Bei Nichteinhaltung der GPAI-Pflichten können Bußgelder von bis zu **15 Millionen Euro oder 3% des gesamten weltweiten Jahresumsatzes** des vorangegangenen Geschäftsjahres verhängt werden, je nachdem, welcher Betrag höher ist. ## Die Uhr tickt: GPAI-Compliance bis August 2026 Das EU-KI-Gesetz, ein wegweisendes Regelwerk, wurde im Sommer 2024 endgültig verabschiedet und trat in Kraft. Während seine Bestimmungen schrittweise über mehrere Jahre eingeführt werden, rückt eine entscheidende Frist nun unaufhaltsam näher. Ab dem **2. August 2026** werden die umfassenden Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) rechtlich durchsetzbar sein. Diese Frist markiert einen Wendepunkt in der KI-Governance. Zum ersten Mal werden grundlegende Modelle, die eine Vielzahl nachgelagerter Anwendungen antreiben, einem spezifischen, anspruchsvollen Regulierungsrahmen unterliegen. Die Regeln zielen darauf ab, Transparenz zu fördern, Risiken zu managen und Rechenschaftspflicht in einem Ökosystem zu gewährleisten, das sich bisher mit minimaler Aufsicht entwickelt hat. Mit weniger als 15 Monaten bis zur Frist müssen Unternehmen, die GPAI-Modelle anbieten oder stark nutzen, jetzt handeln, um vorbereitet zu sein. Eine Nichteinhaltung birgt das Risiko schwerwiegender finanzieller Strafen und erheblichen Reputationsschadens. ## Wer ist betroffen? Anbieter und die Verbindung zum EU-Markt Die GPAI-Pflichten des KI-Gesetzes gelten für **Anbieter von GPAI-Modellen**. Ein Anbieter ist definiert als die juristische Person, die ein GPAI-Modell entwickelt und auf den Markt bringt. Das entscheidende Element ist das „Inverkehrbringen“, womit das erstmalige Bereitstellen eines Modells in der Union gemeint ist. Dies hat eine weitreichende extraterritoriale Wirkung. Ein Modell-Anbieter mit Sitz in den USA, Großbritannien oder anderswo auf der Welt fällt in den Anwendungsbereich des Gesetzes, wenn sein Modell Nutzern oder Kunden innerhalb der EU zugänglich gemacht wird. Dies kann über einen direkten Download, eine API oder andere Vertriebskanäle geschehen. Die Verpflichtungen sind nicht auf EU-Ansässige beschränkt. Nachgelagerte **Anwender** von KI-Systemen, also Unternehmen, die ein GPAI-Modell verwenden, um eine spezifische Anwendung zu entwickeln, werden nicht direkt durch die GPAI-spezifischen Artikel reguliert. Sie sind jedoch grundlegend betroffen. Um ihren eigenen Pflichten aus dem Gesetz nachzukommen (z.B. wenn sie ein „Hochrisiko-KI-System“ entwickeln), werden sie vollständig von der Transparenz und Dokumentation des vorgelagerten GPAI-Modellanbieters abhängen. Daher müssen Anwender sicherstellen, dass ihre gewählten GPAI-Anbieter konform sind, sonst stehen auch sie vor erheblichen Compliance-Herausforderungen. ## Kernpflichten für alle GPAI-Modelle (Artikel 53) Artikel 53 des KI-Gesetzes legt eine Basis an Transparenz- und Dokumentationspflichten für alle auf dem EU-Markt bereitgestellten GPAI-Modelle fest, unabhängig davon, ob sie als systemisches Risiko eingestuft werden. ### Anforderungen an die technische Dokumentation Anbieter müssen eine umfangreiche technische Dokumentation für ihre Modelle erstellen und pflegen. Das KI-Amt wird in Absprache mit der Industrie die genauen Anforderungen durch Verhaltenskodizes festlegen, doch das Gesetz schreibt vor, dass diese Dokumentation mindestens Folgendes erklären muss: * Den verwendeten **Trainingsprozess** und die Methodologien. * Die für das Training verwendeten **Datenquellen**, einschließlich Vorverarbeitung und Kuratierung. * Die **Test- und Bewertungsergebnisse**, die die Leistung, Einschränkungen und vorhersehbaren Risiken des Modells aufzeigen. * Die beim Training verbrauchten **Rechenressourcen**, einschließlich des Energieverbrauchs. Diese Dokumentation muss ausreichend detailliert sein, um es nachgelagerten Anbietern zu ermöglichen, die Fähigkeiten und Einschränkungen des von ihnen integrierten Modells zu verstehen. Die sichere, versionierte und zugängliche Aufbewahrung dieser umfangreichen Dokumentation stellt eine erhebliche Herausforderung für die Daten-Governance dar. Eine robuste Backup-Strategie ist unerlässlich, um sicherzustellen, dass diese Nachweise vor Verlust oder Manipulation geschützt sind. Dienste wie **[Loop Backup](/)** können unveränderlichen Cloud-Speicher bereitstellen, der kritische Compliance-Assets vor Ransomware oder versehentlicher Löschung schützt. ### Transparenz für nachgelagerte Anbieter Neben der Pflege der Dokumentation haben Anbieter die Pflicht, Informationen aktiv an die Anbieter nachgelagerter KI-Systeme *bereitzustellen*. Dies ist ein entscheidender Pfeiler in der Strategie des Gesetzes, die Rechenschaftspflicht entlang der Wertschöpfungskette sicherzustellen. Die Informationen müssen es dem nachgelagerten Anbieter ermöglichen, das GPAI-Modell ausreichend zu verstehen, um seinen eigenen Compliance-Pflichten nachzukommen. Dies beinhaltet Details zur Leistung des Modells, seinen geeigneten und ungeeigneten Verwendungszwecken sowie den Ergebnissen seiner Bewertungen. ### Eine umstrittene Anforderung: Die Urheberrechtsrichtlinie Eine der meistdiskutierten Bestimmungen ist die Anforderung an Anbieter, eine Richtlinie zur Einhaltung des Urheberrechts der Union zu implementieren. Im Rahmen dessen müssen sie „eine ausreichend detaillierte Zusammenfassung der für das Training verwendeten Inhalte öffentlich zugänglich machen“. Dies bedeutet nicht die Veröffentlichung der Roh-Trainingsdaten selbst. Es erfordert jedoch einen umfassenden Überblick über die zur Modellschulung verwendeten Datensätze, wie z.B. große Web-Scrapes, lizenzierte Bilddatenbanken oder Sammlungen gemeinfreier Bücher. Diese Verpflichtung soll Rechteinhabern einen Mechanismus an die Hand geben, um ihre Rechte gemäß dem Urheberrecht durchzusetzen. Für Anbieter bedeutet dies, dass eine akribische Aufzeichnung aller Datenquellen keine Option mehr ist, sondern eine rechtliche Notwendigkeit. ## Wenn GPAI ein systemisches Risiko wird (Artikel 55) Das KI-Gesetz führt eine höhere Regulierungsebene für GPAI-Modelle ein, die ein **systemisches Risiko** darstellen. Ein Modell wird als systemisches Risiko vermutet, wenn die kumulierte Menge an Rechenleistung, die für sein Training verwendet wurde, gemessen in Floating Point Operations (FLOPs), größer als 10^25 ist. Das **KI-Amt** hat die Befugnis, andere Modelle aufgrund weiterer Kriterien als systemisches Risiko einzustufen, wie z.B. die Anzahl der Geschäfts- oder Endnutzer oder wenn das Modell erhebliche Auswirkungen auf den Binnenmarkt hat. Wenn ein GPAI-Modell als systemisches Risiko eingestuft wird, muss sein Anbieter zusätzlich zu den Anforderungen aus Artikel 53 eine Reihe weiterer anspruchsvoller Pflichten gemäß Artikel 55 erfüllen: * **Obligatorische Modellbewertung:** Durchführung modernster, standardisierter Modellbewertungen, einschließlich adversariellem Testen, um systemische Risiken zu identifizieren und zu mindern. * **Risikobewertung und -minderung:** Identifizierung, Dokumentation und Minderung potenzieller systemischer Risiken, die das Modell darstellen könnte, sei es durch absichtlichen Missbrauch oder unvorhergesehene emergenten Fähigkeiten. * **Cybersicherheit und physische Infrastruktur:** Sicherstellung eines hohen Niveaus an Cybersicherheit zum Schutz vor Angriffen, die das Modell kompromittieren könnten. * **Meldung von Vorfällen:** Unverzügliche Meldung schwerwiegender Vorfälle an das KI-Amt und die zuständigen nationalen Marktüberwachungsbehörden. ## Die Rolle des KI-Amtes und der Verhaltenskodizes Im Zentrum der GPAI-Governance steht das neue europäische **KI-Amt**. Diese innerhalb der Europäischen Kommission angesiedelte Behörde ist für die Überwachung des GPAI-Ökosystems zuständig. Ihre Hauptaufgaben umfassen: * Überwachung der Umsetzung und Durchsetzung der GPAI-Regeln. * Benennung spezifischer GPAI-Modelle als systemisches Risiko. * Entwicklung und Förderung von **Verhaltenskodizes** in Zusammenarbeit mit Industrie, Interessengruppen und der wissenschaftlichen Gemeinschaft. Diese Kodizes werden entscheidend sein, um die Prinzipien des Gesetzes in praktische, überprüfbare Standards zu übersetzen. Diese Verhaltenskodizes werden zum de facto Compliance-Leitfaden für Modell-Anbieter und bieten detaillierte Methodologien für technische Dokumentation, Risikomanagement und Leistungsbewertung. Die Zusammenarbeit mit dem KI-Amt und die Beteiligung an der Entwicklung dieser Kodizes wird für jeden wichtigen Akteur auf dem KI-Markt ein strategisches Gebot sein. ## Die Kehrseite der Medaille: Strafen bei Nichteinhaltung Die finanziellen Folgen einer Nichteinhaltung der GPAI-Pflichten sind erheblich. Das Gesetz ermächtigt die Regulierungsbehörden, Bußgelder von bis zu **15 Millionen Euro oder 3% des gesamten weltweiten Jahresumsatzes** des Anbieters aus dem vorangegangenen Geschäftsjahr zu verhängen, je nachdem, welcher Betrag höher ist. Für große, globale Technologieunternehmen stellt dies ein erhebliches finanzielles Risiko und einen starken Anreiz dar, in ein robustes **KI-Compliance-Programm** zu investieren. ## Aktions-Checkliste Angesichts der näher rückenden Frist im August 2026 müssen sowohl Anbieter als auch nachgelagerte Anwender konkrete Schritte unternehmen. Diese Checkliste skizziert den kritischen Pfad zur Compliance. * **Für GPAI-Modellanbieter:** * **Trainingsdaten katalogisieren:** Beginnen Sie sofort mit der Katalogisierung und Dokumentation aller Datensätze, die für das Training Ihrer Modelle verwendet werden, um sich auf die Anforderung der Urheberrechtszusammenfassung vorzubereiten. * **Dokumentationsrahmen schaffen:** Erstellen Sie ein strukturiertes System zur Erstellung und Pflege der gemäß Artikel 53 erforderlichen technischen Dokumentation. * **Trainingsrechenleistung (FLOPs) messen:** Messen und dokumentieren Sie genau die Rechenressourcen (insbesondere FLOPs), die zum Training Ihrer Modelle verwendet wurden, um festzustellen, ob Sie die Schwelle für systemische Risiken überschreiten. * **Austausch mit dem KI-Amt:** Verfolgen Sie aktiv die Mitteilungen des KI-Amtes und bereiten Sie sich darauf vor, zur Entwicklung von Verhaltenskodizes beizutragen. * **Für Anwender von nachgelagerten KI-Systemen:** * **GPAI-Abhängigkeiten prüfen:** Identifizieren Sie alle externen GPAI-Modelle, die in Ihren Systemen verwendet werden, und treten Sie in einen Dialog mit den Anbietern über deren Roadmap zur Einhaltung des KI-Gesetzes. * **Rechte auf vorgelagerte Informationen sichern:** Stellen Sie sicher, dass Ihre kommerziellen Vereinbarungen und SLAs mit GPAI-Modellanbietern Klauseln enthalten, die Ihnen die notwendige Transparenz und Dokumentation garantieren, um Ihren eigenen regulatorischen Pflichten nachzukommen. * **Anbieter-Risikorahmen entwickeln:** Erstellen Sie einen Rahmen zur Bewertung des Compliance-Risikos verschiedener GPAI-Anbieter und bevorzugen Sie diejenigen, die ein klares Bekenntnis zur Transparenz zeigen. ## Fazit: Über die Compliance hinaus Die GPAI-Pflichten des EU-KI-Gesetzes für August 2026 stellen ein neues Kapitel in der Technologieregulierung dar. Während die Anforderungen an technische Dokumentation, Risikobewertung und Transparenz anspruchsvoll sind, bieten sie auch einen Bauplan für vertrauenswürdige KI. Organisationen, die diese Prinzipien proaktiv anwenden, werden nicht nur erhebliche rechtliche und finanzielle Risiken mindern, sondern auch eine stärkere Grundlage für Innovation schaffen. In der sich entwickelnden Landschaft der künstlichen Intelligenz werden nachweisliche Compliance und gute Governance zu einem wichtigen Wettbewerbsvorteil.