GPAI-Modelle im AI Act: Was General Purpose AI von anderer KI unterscheidet
Kurz gesagt
GPAI-Modelle (General Purpose AI) sind die zweite große Regulierungsachse des EU AI Act neben der Risikoklassifizierung von Systemen. Modellprovider müssen seit August 2025 technische Dokumentation, Informationen für Downstream-Anbieter und eine Urheberrechts-Policy bereitstellen; Modelle mit systemischem Risiko unterliegen zusätzlichen Pflichten.
GPAI-Modell und KI-System sind zwei verschiedene Dinge
Ein häufiges Missverständnis: Wer ein KI-Tool wie einen Chatbot nutzt, denkt in Kategorien von „meinem System", nicht von „dem zugrunde liegenden Modell". Der AI Act trennt beides bewusst. GPAI-Pflichten knüpfen an das Modell und seinen Provider an – unabhängig davon, in welchem konkreten Downstream-Anwendungsfall es später eingesetzt wird. Ein einzelnes GPAI-Modell kann gleichzeitig in einem harmlosen internen Chatbot und in einer Hochrisiko-Anwendung wie einer Bewerberauswahl stecken – die Systemklassifizierung erfolgt getrennt von der Modellklassifizierung.
Vier Kernpflichten für GPAI-Provider
Provider von GPAI-Modellen müssen nach Art. 53 AI Act:
- technische Dokumentation erstellen und aktuell halten,
- Downstream-Anbietern ausreichende Informationen zu Fähigkeiten und Grenzen des Modells bereitstellen,
- eine Policy zur Einhaltung des EU-Urheberrechts vorhalten,
- eine öffentliche Zusammenfassung der für das Training verwendeten Inhalte veröffentlichen (Training Content Summary).
Für frei und offen lizenzierte GPAI-Modelle mit öffentlich verfügbaren Parametern gelten teilweise Erleichterungen bei diesen Pflichten – das entbindet aber nicht von den Anforderungen an systemische Modelle, sofern diese greifen.
Systemisches Risiko: die verschärfte Kategorie
Ein GPAI-Modell wird bei mehr als 10^25 FLOP Trainingsrechenleistung als Modell mit systemischem Risiko eingestuft – zusätzlich kann die Kommission auch andere Modelle durch weitere Designation als systemisch einordnen. Für diese Kategorie kommen weitergehende Pflichten hinzu: standardisierte Modellevaluationen, adversarial Testing, Risikobewertung und -minderung sowie Melde- und Kooperationspflichten gegenüber der Kommission bzw. dem AI Office.
Der GPAI Code of Practice als Compliance-Weg
Der freiwillige GPAI Code of Practice gliedert sich in drei Kapitel: Transparency, Copyright und Safety & Security. Die ersten beiden Kapitel richten sich an alle GPAI-Provider, Safety & Security nur an Modelle mit systemischem Risiko. Nichtunterzeichner des Codes müssen ihre Compliance auf anderem Weg nachweisen – der Code selbst ist kein Gesetz, wurde aber von Kommission und AI Board als angemessener Compliance-Nachweis bewertet.
Was das für nutzende Unternehmen bedeutet
Die meisten Unternehmen sind nicht selbst GPAI-Provider, sondern Deployer, die auf GPAI-Modellen basierende Systeme einsetzen. Für sie ist relevant:
- Welches GPAI-Modell steckt hinter dem eingesetzten KI-Tool, und ist es als systemisch eingestuft?
- Hat der Modellprovider die geforderten Informationen zu Fähigkeiten und Grenzen tatsächlich bereitgestellt – sind sie in der Dokumentation zum eingesetzten Tool nachvollziehbar?
- Bestehen bei der geplanten Downstream-Nutzung zusätzliche eigene Pflichten, etwa weil das darauf aufbauende System als Hochrisiko-KI gilt?