KI-Flash: Nächste Stufe der KI-VO wird scharf geschaltet – Was auf die Anbieter von KI-Modellen zukommt

In diesem KI-Flash werfen wir einen Blick auf die nächste Stufe der KI-Verordnung (KI-VO), die am 2. August 2025 scharf geschaltet wird. Im Fokus stehen insbesondere verbindliche Pflichten für Anbieter und Betreiber von KI-Modellen mit allgemeinem Verwendungszweck (General Purpose AI Models [„GPAIM“]) wie bspw. Large Language Models. Es werden nun weitreichende organisatorische, technische und rechtliche Anpassungen erforderlich. Daneben treten auch Regelungen im Bereich Plattformregulierung, Governance und Compliance in Kraft. 

Was ändert sich konkret zum 2. August 2025?

Gemäß Art. 113 S. 2 lit. b KI-VO finden ab dem 2. August 2025 folgende Vorschriften Anwendung:

• Kapitel III Abschnitt 4 (Aufbau der Infrastruktur für die Konformitätsbewertung durch Errichtung nationaler notifizierender Behörden und Notifizierungsverfahren) 
• Kapitel V (Anforderungen an GPAI, Art. 53-55 KI-VO) 
• Kapitel VII (Governance, insbesondere Einrichtung des EU-KI-Büros)
• Art. 78 KI-VO (Regeln zur Wahrung der Vertraulichkeit)
• Kapitel XII (Sanktionen, mit Ausnahme von Art. 101 KI-VO)

Pflichten für Anbieter von GPAIM

1. Technische Dokumentation und Evaluierung

Anbieter müssen eine umfassende technische Dokumentation erstellen und kontinuierlich aktualisieren. Diese muss neben einer Beschreibung der GPAIM Informationen dazu erhalten, wie sich die GPAIM in KI Systeme integrieren lässt, Trainingsdaten und Trainingsmethoden sowie Informationen zum Energieverbrauch – mindestens im Umfang von Anhang XI KI-VO. Auf Anfrage des KI-Büros und der zuständigen Behörden sind diese zur Verfügung zu stellen.

2. Informationspflicht

GPAIM-Anbieter müssen gegenüber KI-Systementwicklern eine belastbare technische Basis zur Verfügung stellen, welche Informationen über Fähigkeiten, Grenzen und potenzielle Risiken des KI-Modells beinhaltet. Die Dokumentation muss alle Anforderungen nach Anhang XII KI-VO erfüllen.

3. Transparenz der Trainingsdaten

Zentraler Bestandteil der GPAIM-Regulierung ist die Pflicht zur Veröffentlichung einer detaillierten Übersicht der Trainingsdaten. Diese Transparenzmaßnahme dient der Rückverfolgbarkeit von Datenquellen und -strömen und muss nach Maßgabe einer vom KI-Büro bereitzustellenden Vorlage erfolgen.

4. Sonderfall: Systemisches Risiko

Noch umfassender ist der Pflichtenkatalog für Anbieter von GPAIM, die laut Gesetzgeber mit einem systemischen Risiko behaftet sind. Zur Erinnerung: Ein systemisches Risiko liegt insbesondere dann vor, wenn eines der nachstehenden Kriterien erfüllt ist:

• Das Modell wurde mit mehr als 10^25 Gleitkommaoperationen (FLOPs) trainiert;
• Die EU-Kommission stuft das Modell auf Basis bestimmter Kriterien (nach Anhang XIII der KI-VO) als systemisch riskant ein.

Anbieter von GPAIM mit systemischem Risiko müssen – neben den bereits dargestellten Pflichten – u.a. auch ein Risikomanagementsystem einrichten und Anforderungen zur Cybersicherheit einhalten.

Handlungsempfehlung 

Nun gilt es für die Unternehmen u.a. interne Zuständigkeiten bezüglich der KI-Compliance zu bestimmen, technische Dokumentationen und Transparenzprozesse auszuarbeiten und Strategien hinsichtlich der Wahrung des Urheberrechts beim Training von GPAIM zu etablieren.

Erste Unterstützung kann nun der offiziellen Webseite der Bundesnetzagentur entnommen werden. Mit ihrem neuen „KI-Service Desk“ stellt die deutsche Aufsichtsbehörde umfassende Informationen zur KI-VO zur Verfügung – so auch zu GPAIM. Die Europäische Kommission hat zudem am 10. Juli 2025 einen Verhaltenskodex (Code of Practice) für GPAIM herausgegeben, der Unternehmen dabei unterstützen soll, die rechtlichen Verpflichtungen der KI-VO in Bezug auf Sicherheit, Transparenz und Urheberrechte von GPAIM einzuhalten.

Auch wenn die Pflichten ab dem 2. August 2025 anwendbar sind, können Verstöße gegen die GPAIM-Vorgaben noch nicht mit Bußgeldern geahndet werden, da der in Art. 101 KI-VO geregelte Sanktionsrahmen erst mit der allgemeinen Geltung der KI-VO im August 2026 in Kraft tritt.

Dennoch empfiehlt es sich dringend, bereits jetzt die internen Compliance-Strukturen, Prozesse und Verantwortlichkeiten aufzubauen, da der Aufwand hierfür nicht zu unterschätzen ist. Gerne stehen wir Ihnen hierbei jederzeit zur Verfügung.