Volljurist und Compliance-Experte
December 1, 2025
4 Minuten
.svg)
GPAI wird erst durch den konkreten Einsatz zum rechtlichen Risiko.
Die Verantwortung im EU AI Act folgt klar der Wertschöpfungskette.
Systemische Risiken entstehen ab extrem hohen Rechenleistungen beim Training.
Auch Anwender tragen aktiven Compliance-Pflichten bei Hochrisiko-Einsätzen.
Stellen Sie sich vor, Sie integrieren eine leistungsstarke KI-API – vielleicht von OpenAI, Google oder einem europäischen Anbieter – in Ihr Produkt, um Ihren Kundenservice zu automatisieren oder Datenanalysen zu beschleunigen. Sie nutzen eine „General Purpose AI“ (GPAI), eine KI für allgemeine Zwecke. Doch mit der Einführung des EU AI Acts stehen Sie plötzlich vor einer entscheidenden Frage: Welche Verantwortung tragen Sie? Und was genau bedeutet „systemisches Risiko“ für Ihr Unternehmen?
Viele Unternehmen sind unsicher, wie sie die neuen Regeln für GPAI und Basismodelle einordnen sollen. Die gute Nachricht: Der AI Act ist kein Hindernis, sondern ein Rahmenwerk für vertrauenswürdige Innovation. Dieser Leitfaden übersetzt die komplexen Vorschriften in eine klare, verständliche Sprache und zeigt Ihnen Schritt für Schritt, wie Sie die Risikoklassifizierung für GPAI meistern.
Bevor wir in die Details der Klassifizierung eintauchen, müssen wir zwei zentrale Begriffe klären, die im Mittelpunkt der Regulierung stehen: Basismodelle und GPAI-Systeme.
Die entscheidende Neuerung im AI Act ist die Anerkennung, dass einige dieser Modelle so leistungsfähig sind, dass sie „systemische Risiken“ bergen. Doch was bedeutet das konkret? Die EU hat hierfür eine technische Schwelle definiert: Ein Basismodell wird als systemisch riskant eingestuft, wenn für sein Training eine Rechenleistung von mehr als 10^25 FLOPs (Floating Point Operations) aufgewendet wurde.
Um diese Zahl greifbar zu machen: Das ist in etwa so, als würde jeder Mensch auf der Erde einen Tag lang einen Supercomputer laufen lassen. Diese enorme Leistung signalisiert dem Gesetzgeber, dass das Modell potenziell weitreichende gesellschaftliche Auswirkungen haben könnte.
Eine der größten Herausforderungen bei der Regulierung von GPAI ist die Frage der Haftung. Wer ist verantwortlich, wenn etwas schiefläuft? Der Entwickler des Basismodells, das Unternehmen, das es in ein Produkt integriert, oder der Endanwender?
Der AI Act schafft hier Klarheit, indem er eine „Kette der Verantwortung“ etabliert. Die Pflichten werden entlang der Wertschöpfungskette weitergegeben, wobei jeder Akteur eine spezifische Rolle spielt:
Dieses gestufte Modell stellt sicher, dass die Verantwortung dort liegt, wo die Kontrolle über das Risiko ausgeübt wird.
Ein GPAI-System an sich wird nicht automatisch als hochriskant eingestuft. Das Risiko entsteht erst durch den spezifischen Anwendungsfall. Ein Textgenerator kann für die Erstellung von Marketing-E-Mails (geringes Risiko) oder für die automatische Erstellung von Rechtsdokumenten (potenziell hohes Risiko) verwendet werden.
Die generelle Risikoklassifizierung von KI-Systemen unter dem AI Act kennt vier Stufen: minimales, begrenztes, hohes und inakzeptables Risiko. Ihre Hauptaufgabe als Anwender eines GPAI-Systems ist es, zu bewerten, in welche dieser Kategorien Ihr konkreter Einsatz fällt.
Für Anbieter von GPAI-Modellen mit systemischem Risiko gelten zusätzliche, strengere Regeln. Sie müssen:
Eine bewährte Methode, um diese Pflichten zu erfüllen, ist die Einhaltung eines „Verhaltenskodex“ (Code of Practice), der von der EU-Kommission gefördert wird und als Leitfaden für Best Practices dient.
Eine häufige Frage betrifft Open-Source-Modelle. Bedeutet die freie Verfügbarkeit, dass man von allen Pflichten befreit ist? Die Antwort ist ein klares Jein. Der AI Act sieht Ausnahmen vor, um Innovation und Forschung nicht zu behindern. Ein rein zu Entwicklungs- oder Forschungszwecken veröffentlichtes Open-Source-Modell unterliegt nicht den strengen Pflichten des AI Acts.
Die Situation ändert sich jedoch, sobald das Modell kommerzialisiert wird. Wenn Sie ein Open-Source-Basismodell nehmen, es anpassen und als Teil einer kommerziellen Dienstleistung anbieten, gelten Sie als Anbieter und müssen die entsprechenden Verpflichtungen der Verordnung erfüllen. Die Ausnahme endet dort, wo das kommerzielle Interesse beginnt.
Ein Basismodell ist die technologische Grundlage (der Motor), trainiert auf allgemeinen Daten. Ein GPAI-System ist die fertige Anwendung (das Auto), die dieses Modell für Nutzer zugänglich macht.
Die primäre Schwelle ist die Rechenleistung, die für das Training des zugrundeliegenden Basismodells verwendet wurde: mehr als 10^25 FLOPs. Die EU-Kommission kann Modelle auch aufgrund anderer Kriterien (z. B. Nutzerzahl) als systemisch einstufen.
Ja. Als „Deployer“ oder nachgelagerter Anwender sind Sie dafür verantwortlich, das Tool gemäß den Anweisungen des Anbieters und den Regeln des AI Acts für Ihren spezifischen Anwendungsfall zu nutzen. Fällt dieser unter die Hochrisikokategorie, müssen Sie die damit verbundenen Pflichten erfüllen.
Der Schlüssel ist Dokumentation. Sie müssen Ihre Risikobewertung, die Einhaltung der Anbieter-Anweisungen und Ihre internen Prozesse dokumentieren. Für Hochrisikosysteme ist eine Konformitätsbewertung erforderlich, die in manchen Fällen durch externe benannte Stellen im AI Act geprüft werden muss.
Die Regulierung von GPAI und Basismodellen mag komplex erscheinen, doch sie folgt einer klaren Logik: Verantwortung und Transparenz entlang der gesamten Wertschöpfungskette zu schaffen. Für Ihr Unternehmen bedeutet das vor allem, sich Ihrer Rolle bewusst zu werden: Sind Sie reiner Anwender, oder modifizieren und bieten Sie KI-Systeme selbst an?
Beginnen Sie damit, eine Bestandsaufnahme aller bei Ihnen eingesetzten KI-Systeme zu machen. Bewerten Sie deren Anwendungsfälle und identifizieren Sie potenzielle Hochrisiko-Anwendungen. Dieser erste Schritt schafft die Grundlage für eine nachhaltige und rechtssichere KI-Strategie.
Für Unternehmen, die diesen Prozess nicht manuell steuern wollen, bieten spezialisierte Plattformen wie das Digital Compliance Office eine automatisierte Lösung. Eine solche EU AI Act Compliance Software kann Ihnen helfen, die Anforderungen effizient umzusetzen und sich auf das Wesentliche zu konzentrieren: die innovative Nutzung von KI.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Seit 2011 wurde mit dem Gedanken gespielt, das Datenschutzrecht auf europäischer Ebene neu zu evaluieren und gegebenenfalls auf neue Beine zu stellen. Unsere Experten zeigen, wie die Datenschutzgrundverordnung unser Verständnis vom Datenschutz verändert hat.
Viele CISO-Reports scheitern daran, technische Kennzahlen nicht in geschäftsrelevante Entscheidungen zu übersetzen. Dieser Leitfaden zeigt, wie NIS2-konformes Reporting an die Geschäftsleitung gelingt, Haftungsrisiken reduziert werden und aus Pflichtberichten ein strategischer Dialog entsteht. Erfahren Sie praxisnah, wie CISOs und Vorstände gemeinsam Cybersicherheit wirksam steuern.
.svg)
.svg)
.svg){kind=small}