GPAI: KI-Modelle mit allgemeinem Verwendungszweck im AI Act

GPAI steht für „General-Purpose AI“ – in der KI-Verordnung „KI-Modell mit allgemeinem Verwendungszweck“. Gemeint sind Basismodelle wie große Sprachmodelle, die für viele Aufgaben eingesetzt werden können. Ihre Anbieter haben seit dem 2. August 2025 Dokumentations-, Informations- und Urheberrechtspflichten; Modelle mit systemischem Risiko zusätzlich Sicherheitspflichten. Unternehmen, die solche Modelle nur nutzen, trifft das kaum direkt.

Das Wichtigste in Kürze

• Die GPAI-Regeln (Artikel 51 bis 56) richten sich an Anbieter von Modellen, nicht an Unternehmen, die ChatGPT, Copilot, Claude oder Gemini einsetzen.
• Jeder GPAI-Anbieter muss technische Dokumentation führen, nachgelagerte Anbieter informieren, eine Urheberrechtsstrategie haben und eine Zusammenfassung der Trainingsinhalte veröffentlichen.
• Modelle mit systemischem Risiko – vermutet ab 10²⁵ FLOP Trainingsrechenleistung – haben zusätzliche Pflichten zu Evaluierung, Vorfallmeldung und Cybersicherheit.
• Der GPAI-Verhaltenskodex vom Juli 2025 ist freiwillig und dient als Nachweisweg.
• Zuständig ist das Büro für Künstliche Intelligenz der Kommission. Geldbußen gegen GPAI-Anbieter sind seit dem 2. August 2026 möglich.

Modell oder System: der Unterschied

Die Verordnung trennt sauber zwischen dem KI-Modell mit allgemeinem Verwendungszweck und dem KI-System, das darauf aufbaut. Das Modell ist das trainierte Netz – etwa ein großes Sprachmodell. Das System ist die Anwendung, mit der Menschen arbeiten: ein Chat-Interface, ein Copilot in Word, ein Kundenservice-Bot. Ein KI-System mit allgemeinem Verwendungszweck ist ein System auf Basis eines solchen Modells, das selbst vielen Zwecken dienen kann.

Warum das wichtig ist: Die GPAI-Pflichten knüpfen am Modell an. Sobald ein Unternehmen ein Modell in eine eigene Anwendung einbaut, gelten für diese Anwendung die normalen Regeln für KI-Systeme – also je nach Einsatz die Transparenzpflichten oder sogar die Hochrisiko-Anforderungen. Wie die Verordnung insgesamt aufgebaut ist, lesen Sie in unserem Leitfaden zum AI Act.

Pflichten aller GPAI-Anbieter (Artikel 53)

Seit dem 2. August 2025 müssen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck nach Artikel 53:

1. technische Dokumentation des Modells erstellen und aktuell halten, einschließlich Trainings- und Testverfahren und Evaluierungsergebnissen, und sie dem AI Office auf Anfrage vorlegen;
2. Informationen für nachgelagerte Anbieter bereitstellen, die das Modell in eigene KI-Systeme integrieren, damit diese ihre Pflichten erfüllen können;
3. eine Strategie zur Einhaltung des EU-Urheberrechts einführen, insbesondere zur Beachtung von Nutzungsvorbehalten nach der DSM-Richtlinie (in Deutschland § 44b UrhG, Text und Data Mining);
4. eine hinreichend detaillierte Zusammenfassung der Trainingsinhalte veröffentlichen, nach einer Vorlage des AI Office.

Für Modelle unter einer freien und quelloffenen Lizenz gibt es Erleichterungen bei den ersten beiden Punkten – nicht aber bei Urheberrecht und Trainingsdaten-Zusammenfassung und nicht bei systemischem Risiko. Anbieter aus Drittstaaten müssen einen Bevollmächtigten in der EU benennen.

Systemisches Risiko (Artikel 51 und 55)

Ein Modell hat systemisches Risiko, wenn es über Fähigkeiten mit hoher Wirkung verfügt. Vermutet wird das, wenn die kumulierte Rechenleistung für das Training 10²⁵ Gleitkommaoperationen (FLOP) übersteigt; die Kommission kann Modelle auch anhand anderer Kriterien einstufen. Anbieter müssen solche Modelle der Kommission melden.

Zusätzlich verlangt Artikel 55: Modellevaluierungen nach dem Stand der Technik einschließlich Angriffstests (Adversarial Testing), Bewertung und Minderung systemischer Risiken auf EU-Ebene, Dokumentation und Meldung schwerwiegender Vorfälle an das AI Office sowie ein angemessenes Cybersicherheitsniveau für Modell und Infrastruktur.

Der GPAI-Verhaltenskodex

Im Juli 2025 wurde der Verhaltenskodex für KI mit allgemeinem Verwendungszweck veröffentlicht, erarbeitet von unabhängigen Fachleuten mit Beteiligung von Industrie, Wissenschaft und Zivilgesellschaft. Er besteht aus drei Kapiteln:

Die Unterzeichnung ist freiwillig. Wer unterzeichnet, kann die Einhaltung damit nachweisen und hat mehr Rechtssicherheit; wer nicht unterzeichnet, muss auf anderem Weg zeigen, dass er die Artikel 53 und 55 erfüllt. Ergänzend hat die Kommission Leitlinien zum Anwendungsbereich der GPAI-Pflichten veröffentlicht, etwa dazu, ab wann ein Modell als GPAI gilt und wann jemand durch Weiterentwicklung selbst zum Anbieter wird.

Fristen für GPAI

Alle übrigen Termine der Verordnung finden Sie im Zeitplan der KI-Verordnung.

Durchsetzung durch das AI Office

Für GPAI-Modelle ist nicht die Bundesnetzagentur zuständig, sondern das Büro für Künstliche Intelligenz (AI Office) der Kommission. Es kann Unterlagen anfordern, Bewertungen durchführen, Maßnahmen verlangen und Modelle vom Markt nehmen lassen. Nach Artikel 101 sind Geldbußen bis zu 15 Mio. Euro oder 3 Prozent des weltweiten Jahresumsatzes möglich. Seit dem Digital Omnibus überwacht das AI Office zudem ausschließlich KI-Systeme, die auf einem Modell desselben Anbieters oder Konzerns beruhen.

Was das für Unternehmen bedeutet, die GPAI nur nutzen

Für ein Versicherungsunternehmen, das Microsoft 365 Copilot ausrollt, oder einen Händler, der über eine API ein Sprachmodell in seinen Kundenservice einbindet, gelten die GPAI-Pflichten nicht unmittelbar. Relevant sind andere Punkte:

• Ihre eigene Rolle: Wer ein Modell in eine eigene Anwendung einbaut und unter eigenem Namen anbietet, ist Anbieter dieses KI-Systems. Mehr dazu im Beitrag zu Anbieter- und Betreiberpflichten.
• Transparenz: Ein Chatbot auf Basis eines GPAI-Modells muss sich als KI zu erkennen geben (Artikel 50).
• Anbieterprüfung: Fragen Sie, ob der Anbieter den Verhaltenskodex unterzeichnet hat, wo Daten verarbeitet werden und ob Ihre Eingaben zum Training genutzt werden.
• Datenschutz: Die DSGVO gilt für Ihre Eingaben unabhängig davon – Auftragsverarbeitungsvertrag, Drittlandübermittlung, Zweckbindung.
• Fine-Tuning: Wer ein Modell erheblich weiterentwickelt, kann selbst zum GPAI-Anbieter für die Änderung werden. Die Leitlinien der Kommission setzen dafür eine hohe Schwelle bei der eingesetzten Rechenleistung an.

Diese Punkte gehören in Ihre Anbieterprüfung und KI-Richtlinie. Der kostenlose KI-Governance-Check erstellt dafür unter anderem eine Checkliste zur Prüfung von KI-Anbietern aus Ihren Antworten.

Fragen an Ihren Modellanbieter

Wer ein Sprachmodell über eine API oder als Teil einer Software einkauft, sollte die GPAI-Pflichten des Anbieters für die eigene Prüfung nutzen. Sinnvolle Fragen im Einkauf sind:

Häufig gestellte Fragen

Was ist GPAI einfach erklärt?

GPAI bezeichnet KI-Modelle, die nicht für eine einzige Aufgabe gebaut sind, sondern viele Aufgaben erledigen können – Texte schreiben, übersetzen, Code erzeugen, Bilder beschreiben. Typische Beispiele sind die Modelle hinter ChatGPT, Gemini oder Claude. Die KI-Verordnung nennt sie „KI-Modelle mit allgemeinem Verwendungszweck“ und regelt sie in den Artikeln 51 bis 56.

Was ist der GPAI-Verhaltenskodex?

Ein freiwilliges Regelwerk vom Juli 2025 mit den Kapiteln Transparenz, Urheberrecht sowie Sicherheit und Gefahrenabwehr. GPAI-Anbieter können damit nachweisen, dass sie ihre Pflichten nach Artikel 53 und 55 erfüllen. Für Unternehmen, die GPAI nur nutzen, ist er vor allem ein Kriterium bei der Auswahl von Anbietern.

Müssen Unternehmen, die ChatGPT nutzen, die GPAI-Regeln einhalten?

Nein, nicht als Nutzer. Die GPAI-Pflichten treffen den Anbieter des Modells. Als Betreiber haben Sie aber eigene Pflichten: KI-Kompetenz nach Artikel 4, Transparenz nach Artikel 50 und die Einhaltung der DSGVO. Bauen Sie das Modell in ein eigenes Produkt ein, werden Sie Anbieter dieses KI-Systems.

Welche Bußgelder drohen GPAI-Anbietern?

Die Kommission kann seit dem 2. August 2026 Geldbußen von bis zu 15 Mio. Euro oder 3 Prozent des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Grundlage ist Artikel 101. Sie betreffen etwa fehlende Dokumentation, die Nichtbefolgung von Anfragen oder unzureichende Risikominderung.

Ab wann hat ein Modell systemisches Risiko?

Vermutet wird systemisches Risiko, wenn für das Training mehr als 10²⁵ FLOP Rechenleistung eingesetzt wurden. Die Kommission kann diese Schwelle anpassen und Modelle auch nach anderen Kriterien wie Reichweite oder Fähigkeiten einstufen. Anbieter müssen solche Modelle melden und zusätzliche Pflichten nach Artikel 55 erfüllen.

Klarheit über Ihre Rolle als GPAI-Nutzer

Die meisten Unternehmen sind keine GPAI-Anbieter, setzen aber mehrere Modelle ein – oft ohne Überblick. Im KI-Governance & Readiness-Check von Opsio erfassen Sie in rund 40 Minuten, welche Tools Sie nutzen und wie. Sofort nach dem Absenden erhalten Sie ein KI-Governance-Rahmenwerk, eine KI-Richtlinie für Mitarbeitende, eine Checkliste zur Prüfung von KI-Anbietern und eine Vorlage zur KI-Risikobewertung, plus Ihren Reifegrad in zehn Bereichen. Die Word-Dateien sind auf Englisch und gehören Ihnen. Kostenlos, ohne Verpflichtung.

Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Maßgeblich ist die konsolidierte Fassung der Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung. Stand: Oktober 2026.