Was GPAI-Anbieter grundsätzlich leisten müssen
Anbieter von General-Purpose-AI-Modellen (Modelle mit breiter Fähigkeit, nicht auf einen engen Zweck zugeschnitten) müssen technische Dokumentation bereitstellen, Nachgelagerte über Fähigkeiten und Grenzen informieren, eine Urheberrechts-Richtlinie einhalten und eine Zusammenfassung der Trainingsdaten veröffentlichen. Die EU-Kommission hat dazu im Juli 2025 einen finalen „Code of Practice“ veröffentlicht – ein freiwilliges, aber praxisnahes Werkzeug mit drei Kapiteln: Transparenz, Urheberrecht, Sicherheit (Letzteres nur für Modelle mit Systemrisiko). Diese Pflichten gelten seit dem 2. August 2025 für neu auf den Markt gebrachte Modelle; für Modelle, die bereits vorher im Umlauf waren, gilt eine Übergangsfrist bis zum 2. August 2027.
Die Systemrisiko-Schwelle: 10^25 FLOPs
Eine zusätzliche, schwerere Pflichtenstufe (Art. 55) greift bei Modellen mit „Systemrisiko“ – vermutet ab einem kumulierten Trainingsrechenaufwand von 10^25 FLOP (Gleitkommaoperationen). Das ist eine widerlegbare Vermutung, keine starre Grenze, und betrifft aktuell nur eine Handvoll der weltweit größten Modelle. Zusätzliche Pflichten für diese Modelle: systematische Modellbewertung inklusive gezielter Angriffstests, Bewertung und Minderung von Systemrisiken, Meldung schwerer Vorfälle an das EU-AI-Office und erhöhte Cybersicherheitsanforderungen.
Wann betrifft das euch als Mittelständler überhaupt?
Für die allermeisten Unternehmen: praktisch nie direkt. Wer eine Anwendung auf Basis von GPT, Claude, Gemini oder einem offenen Modell wie Llama baut – per API oder über eine fertige Oberfläche –, ist Nutzer eines GPAI-Modells, nicht dessen Anbieter. Die GPAI-Pflichten aus Art. 53–55 treffen die Handvoll Unternehmen, die diese Basismodelle selbst entwickeln und veröffentlichen. Der eine relevante Ausnahmefall: Wer ein bestehendes General-Purpose-Modell selbst so wesentlich nachtrainiert und unter eigenem Namen veröffentlicht, dass daraus ein eigenständiges Modell wird, kann selbst in die Anbieter-Pflichten hineinrutschen – derselbe Mechanismus wie die „Anbieter durch Nachtrainieren“-Falle aus dem Modul „Anbieter oder Betreiber?“.
Praxis-Teil: Was in der Praxis wirklich zu prüfen ist
Für die überwältigende Mehrheit – Unternehmen, die ein Modell über API oder fertige Oberfläche nutzen – lohnt sich keine eigene GPAI-Compliance, sondern eine kurze Lieferanten-Prüfung: Ist der Modell-Anbieter Unterzeichner des Code of Practice? Stellt er die geforderten Transparenz-Informationen zur Verfügung? Das gehört in eine normale Anbieter-Due-Diligence, nicht in ein eigenes Compliance-Projekt. Nur wer ein eigenes, umfassend nachtrainiertes Modell öffentlich unter eigenem Namen anbietet, sollte die vollen GPAI-Pflichten selbst prüfen lassen. Diese Einordnung ersetzt keine Rechtsberatung im Einzelfall.