EU AI Office startet GPAI-Enforcement: Was Anbieter und Nutzer von KI-Basismodellen jetzt wissen müssen

Hintergrund: GPAI-Enforcement tritt in Kraft

Mit dem 2. August 2026 hat der EU AI Act eine entscheidende Schwelle überschritten: Die Europäische Kommission verfügt nun über vollständige Durchsetzungsbefugnisse gegenüber Anbietern sogenannter General-Purpose AI (GPAI)-Modelle – also jener Basismodelle, auf denen ein Großteil der heutigen KI-Anwendungen aufbaut. Modelle wie GPT-6 Astra, Gemini oder Claude fallen in diese Kategorie.

Bis zum 15. September 2026 mussten Anbieter von GPAI-Modellen mit systemischem Risiko – definiert als Modelle, die mit mehr als 10^25 FLOP trainiert wurden – ihre ersten Risikobewertungen beim EU AI Office einreichen. Diese Berichte umfassen Red-Teaming-Methodiken, Energieverbrauchsdaten und die Einhaltung standardisierter Urheberrechts-Templates für Trainingsdaten.

Das EU AI Office, das in enger Abstimmung mit 24 nationalen Marktaufsichtsbehörden arbeitet – in Deutschland ist das die Bundesnetzagentur –, hat bereits erste technische Vor-Ort-Prüfungen bei Hochrisiko-KI-Systemen eingeleitet. Der Fokus liegt auf der Verifikation von Artikel-11-Dokumentation, Trainingsdaten-Governance und menschlichen Aufsichtsmechanismen.

Was GPAI-Pflichten konkret bedeuten

Für Anbieter von GPAI-Modellen gelten seit August 2025 verbindliche Transparenz- und Dokumentationspflichten. Mit dem Inkrafttreten der vollen Durchsetzungsbefugnisse im August 2026 sind diese nun auch mit empfindlichen Sanktionen bewehrt:

Technische Dokumentation: Anbieter müssen umfassende Aufzeichnungen über Modellarchitektur, Trainingsmethodik und Evaluierungsergebnisse vorhalten. Diese Dokumentation muss auf Anfrage der Aufsichtsbehörden unverzüglich bereitgestellt werden.

Urheberrechts-Compliance: Anbieter sind verpflichtet, eine nachweisliche Policy zur Einhaltung des EU-Urheberrechts zu implementieren – insbesondere hinsichtlich Text- und Data-Mining-Opt-outs. Wer Trainingsdaten ohne Berücksichtigung von robots.txt-Einträgen oder TDM-Vorbehalten genutzt hat, steht vor erheblichem Nachweisdruck.

Trainingsdaten-Zusammenfassungen: Anbieter müssen detaillierte Zusammenfassungen der verwendeten Trainingsinhalte veröffentlichen – nach Vorlagen des AI Office.

Downstream-Informationspflicht: Anbieter müssen nachgelagerten Systemintegratoren ausreichende Informationen bereitstellen, damit diese ihre eigene Compliance sicherstellen können.

Für Modelle mit systemischem Risiko kommen zusätzliche Anforderungen hinzu: obligatorische Meldung beim AI Office, standardisierte Modellevaluierungen inklusive adversarialem Testing sowie robuste Cybersicherheitsmaßnahmen.

Auswirkungen auf den Mittelstand

Auf den ersten Blick scheinen GPAI-Pflichten vor allem die großen Anbieter wie OpenAI, Google oder Anthropic zu betreffen. Doch die Auswirkungen reichen tief in den deutschen Mittelstand hinein – und zwar auf zwei Ebenen:

Als Nutzer von GPAI-Modellen: Unternehmen, die GPAI-Modelle in eigene Produkte oder Prozesse integrieren, gelten als nachgelagerte Anbieter oder Betreiber. Sie müssen sicherstellen, dass die von ihnen eingesetzten Basismodelle compliant sind – und können sich nicht einfach auf die Verantwortung des Modellanbieters verlassen. Wer beispielsweise einen Kundenservice-Bot auf Basis von GPT-6 Astra betreibt, muss nachweisen können, dass das System die Transparenzanforderungen des EU AI Acts erfüllt.

Als potenzielle GPAI-Anbieter: Auch mittelständische Unternehmen, die eigene Sprachmodelle trainieren oder Fine-Tuning betreiben, können unter die GPAI-Regelungen fallen – sofern ihre Modelle für eine breite Palette von Aufgaben eingesetzt werden können. Die Schwelle von 10^25 FLOP für systemisches Risiko ist zwar hoch, aber die allgemeinen GPAI-Pflichten gelten bereits bei deutlich geringeren Trainingsaufwänden.

Besonders relevant: Anbieter, die ihre Modelle vor dem 2. August 2025 auf den Markt gebracht haben, haben bis zum 2. August 2027 Zeit, vollständige Compliance herzustellen. Für neuere Modelle gilt die sofortige Compliance-Pflicht.

Chancen und Risiken

Risiken: Die Sanktionen sind erheblich. Bei Verstößen gegen GPAI-Pflichten drohen Bussgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Bei Hochrisiko-Verstößen steigen die Maximalstrafen auf 35 Millionen Euro oder 7 Prozent des Jahresumsatzes. Für mittelständische Unternehmen können selbst die niedrigeren Schwellen existenzbedrohend sein.

Chancen: Unternehmen, die frühzeitig in Compliance-Strukturen investieren, verschaffen sich einen Wettbewerbsvorteil. Der GPAI Code of Practice – veröffentlicht im Juli 2025 – bietet Unternehmen die Möglichkeit, durch freiwillige Unterzeichnung eine Konformitätsvermutung zu erlangen. Signatare profitieren von vereinfachten Nachweispflichten und geringerer Prüfungsintensität.

Zudem schafft die Regulierung Vertrauen: Unternehmen, die nachweislich compliant sind, können dies als Differenzierungsmerkmal im B2B-Vertrieb nutzen – insbesondere gegenüber öffentlichen Auftraggebern und großen Konzernen, die ihrerseits Compliance-Nachweise von Lieferanten einfordern.

Handlungsempfehlungen

1. GPAI-Inventar erstellen: Identifizieren Sie alle in Ihrem Unternehmen eingesetzten GPAI-Modelle und deren Anbieter. Prüfen Sie, ob die Anbieter den GPAI Code of Practice unterzeichnet haben und welche Compliance-Dokumentation sie bereitstellen.

2. Downstream-Pflichten klären: Wenn Sie GPAI-Modelle in eigene Produkte oder Dienstleistungen integrieren, klären Sie mit Ihrem Rechtsberater, welche Pflichten Sie als nachgelagerter Anbieter oder Betreiber treffen.

3. Vertragliche Absicherung: Stellen Sie sicher, dass Ihre Verträge mit GPAI-Anbietern Compliance-Garantien und Haftungsregelungen enthalten. Fordern Sie aktiv die erforderliche Downstream-Dokumentation ein.

4. Audit-Logs implementieren: Beginnen Sie jetzt mit dem Aufbau unveränderlicher Audit-Logs für KI-gesteuerte Entscheidungen. Artikel 12 des EU AI Acts verlangt die Aufzeichnung von Lifecycle-Events – und die Bundesnetzagentur kann diese Logs bei Prüfungen anfordern.

5. Regulatorische Sandboxes nutzen: Das EU AI Office und die Bundesnetzagentur bieten regulatorische Sandboxes an, in denen Unternehmen neue KI-Anwendungen unter erleichterten Bedingungen testen können. Für Unternehmen mit bis zu 750 Mitarbeitern und 150 Millionen Euro Jahresumsatz gelten vereinfachte Compliance-Rahmen.

Die GPAI-Enforcement-Phase ist kein abstraktes Regulierungsthema mehr – sie ist operative Realität. Unternehmen, die jetzt handeln, vermeiden nicht nur Bussgelder, sondern positionieren sich als vertrauenswürdige KI-Akteure in einem Markt, in dem Compliance zunehmend zum Wettbewerbsfaktor wird.