GPAI / Foundation Models: Pflichten für Anbieter (Art. 53)

Kurz beantwortet: Wer ein KI-Modell mit allgemeinem Verwendungszweck entwickelt und bereitstellt, muss vor allem eine technische Dokumentation des Modells führen, den nachgelagerten Anbietern die nötigen Informationen liefern, eine Strategie zur Einhaltung des Urheberrechts umsetzen und eine öffentliche Zusammenfassung der Trainingsdaten veröffentlichen. Wer dagegen nur ein fremdes Modell in das eigene Produkt integriert, ist regelmäßig nachgelagerter Anbieter seines eigenen KI-Systems (Art. 3 Nr. 68 KI-VO); die Modellpflichten bleiben beim GPAI-Anbieter. Er sollte sich die dafür erforderlichen Unterlagen vertraglich zusichern lassen.

Ein KI-Modell mit allgemeinem Verwendungszweck (General Purpose AI, GPAI) ist ein Modell, das eine erhebliche allgemeine Verwendbarkeit aufweist und sich in eine Vielzahl nachgelagerter Systeme integrieren lässt, etwa GPT, Claude oder Gemini. Wer ein solches Modell entwickelt und bereitstellt, ist GPAI-Anbieter und trifft besondere Pflichten, die bis in die Produkte hineinwirken, die auf dem Modell aufbauen.

Welche Pflichten treffen den GPAI-Anbieter?

Anbieter von GPAI-Modellen müssen nach Art. 53 KI-VO insbesondere:

• technische Dokumentation des Modells erstellen und aktuell halten (Anhang XI KI-VO);
• Informationen für nachgelagerte Anbieter bereitstellen, damit diese Fähigkeiten und Grenzen des Modells verstehen und ihre eigenen Pflichten erfüllen können (Anhang XII KI-VO);
• eine Strategie zur Einhaltung des Urheberrechts auf den Weg bringen, einschließlich der Beachtung von Text-und-Data-Mining-Rechtsvorbehalten;
• eine öffentliche Zusammenfassung der Trainingsdaten veröffentlichen.

Für frei und quelloffen bereitgestellte Modelle gelten die Dokumentationspflichten teilweise nicht, außer das Modell birgt systemische Risiken. Diese Pflichten gelten seit dem 2. August 2025. Für Modelle, die vor diesem Tag in Verkehr gebracht wurden, läuft eine Übergangsfrist bis zum 2. August 2027 (Art. 111 Abs. 3 KI-VO). Geldbußen gegen GPAI-Anbieter verhängt die Kommission seit dem 2. August 2026 (Art. 101 KI-VO); den vollständigen Zeitplan aller AI-Act-Stichtage ordnet die Fristen-Referenz zum EU AI Act ein.

Was bedeutet das für Softwareunternehmen, die ein fremdes Modell einsetzen?

Die meisten Softwareunternehmen bauen GPAI nicht selbst, sondern integrieren ein fremdes Modell in ihr Produkt. Sie sind damit regelmäßig nachgelagerte Anbieter ihres eigenen KI-Systems (Art. 3 Nr. 68 KI-VO). Für diese Konstellation ist vor allem lit. b entscheidend: Der Modell-Anbieter muss Ihnen die Informationen und die Dokumentation liefern, die Sie brauchen, um Ihre eigenen Pflichten aus dem AI Act zu erfüllen. Diese Unterlagen einzufordern und aufzubewahren, gehört zu Ihrer Sorgfalt und in Ihre Verträge mit dem Modell-Anbieter. Ob Sie durch Integration und eigene Marke selbst in die Anbieterrolle rutschen, klärt Anbieter oder Betreiber? Die zwei Rollen im AI Act. Trainieren oder feinjustieren Sie ein Modell mit personenbezogenen Daten, kommt die datenschutzrechtliche Seite hinzu, dazu der Beitrag zum KI-Training mit personenbezogenen Daten.

Checkliste: Was Sie für jedes eingesetzte GPAI-Modell prüfen sollten

1. Rolle klären: Bin ich hier nachgelagerter Anbieter eines KI-Systems, bloßer Betreiber eines fremden Systems oder durch eigenes Training selbst GPAI-Anbieter?
2. Dokumentation einfordern: Liegt mir die Information des Modell-Anbieters nach Anhang XII vor, die ich für meine eigenen Pflichten brauche?
3. Vertrag prüfen: Deckt der Vertrag mit dem Modell-Anbieter die AI-Act-relevanten Punkte ab, von der Modelldokumentation bis zur urheberrechtlichen Absicherung?
4. Eigenes Modell gesondert behandeln: Wer ein eigenes Modell trainiert und anbietet, trägt den vollen Pflichtenkreis aus Art. 53 selbst, unabhängig von den Pflichten als nachgelagerter Anbieter, der andere Modelle integriert.

Diese vier Punkte lassen sich einzeln beantworten, sind für ein wachsendes Modell-Portfolio aber leichter im Rahmen einer laufenden KI-Compliance-Begleitung zu pflegen als je Einzelfall neu zu prüfen. Was hinter der urheberrechtlichen Seite steht, insbesondere der maschinenlesbare Nutzungsvorbehalt beim Text und Data Mining, erklärt der Beitrag Urheberrecht an den Eingabedaten von KI-Systemen.

Wie sich die GPAI-Pflichten in das Gesamtsystem aus Rollen, Fristen und Risikoklassen einfügen, zeigt der Leitfaden zum EU AI Act.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Anbieter von Software für Versicherungsmakler mit rund 35 Mitarbeitenden hat ein fremdes Sprachmodell eingebunden, das Kundenanschreiben entwirft. Nun überlegt das Team, ein frei verfügbares Modell mit eigenen Daten weiterzutrainieren und es auch anderen Softwarehäusern anzubieten. Zu klären ist die Rolle. Wer ein fremdes Modell in das eigene KI-System integriert, ist regelmäßig nachgelagerter Anbieter; die Modellpflichten bleiben beim GPAI-Anbieter. Dieser muss den nachgelagerten Anbietern die Informationen und die Dokumentation liefern, die sie für ihre eigenen Pflichten brauchen.

Danach trennen sich die Wege. Für die heutige Integration fordert das Unternehmen die Unterlagen des Modell-Anbieters nach Anhang XII an und prüft, ob der Vertrag Modelldokumentation und urheberrechtliche Absicherung abdeckt. Für das geplante eigene Modell wird vor dem Start geprüft, ob das Unternehmen dadurch selbst GPAI-Anbieter wird. Dann käme der volle Pflichtenkreis hinzu: technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Strategie zur Einhaltung des Urheberrechts und eine öffentliche Zusammenfassung der Trainingsdaten. Am Ende steht eine Entscheidungsvorlage zum eigenen Modell. Welche Modelle und Verträge bereits im Einsatz sind, erfasst das Rechtliche Audit.

Häufige Fragen

Was ist ein GPAI-Modell?

Ein KI-Modell mit allgemeinem Verwendungszweck ist ein Modell, das eine erhebliche allgemeine Verwendbarkeit aufweist und sich in eine Vielzahl nachgelagerter Systeme integrieren lässt, etwa GPT, Claude oder Gemini.

Welche Pflichten treffen den GPAI-Anbieter?

Nach Art. 53 KI-VO muss der Anbieter insbesondere eine technische Dokumentation des Modells führen (Anhang XI KI-VO), den nachgelagerten Anbietern die nötigen Informationen bereitstellen (Anhang XII KI-VO), eine Strategie zur Einhaltung des Urheberrechts umsetzen und eine öffentliche Zusammenfassung der Trainingsdaten veröffentlichen.

Bin ich GPAI-Anbieter, wenn ich ein fremdes Modell in mein Produkt integriere?

In aller Regel nicht. Wer ein fremdes Modell in sein eigenes KI-System integriert, ist nachgelagerter Anbieter im Sinne des Art. 3 Nr. 68 KI-VO und trägt die Pflichten für dieses KI-System; die Modellpflichten nach Art. 53 KI-VO treffen den Modell-Anbieter. Welche Pflichten das im Einzelnen sind, hängt von der Einstufung des Systems ab.

Seit wann gelten die GPAI-Pflichten?

Seit dem 2. August 2025. Für Modelle, die vor diesem Tag in Verkehr gebracht wurden, gilt eine Übergangsfrist bis zum 2. August 2027 (Art. 111 Abs. 3 KI-VO). Geldbußen der Kommission nach Art. 101 KI-VO sind seit dem 2. August 2026 möglich.

Gelten die Pflichten auch für quelloffene Modelle?

Für frei und quelloffen bereitgestellte Modelle gelten die Dokumentationspflichten teilweise nicht, es sei denn, das Modell birgt systemische Risiken.

Auf welchen KI-Modellen Ihre Produkte aufbauen und welche Nachweise dafür vorliegen, kann die Geschäftsführung oft nur ungefähr sagen. Das Rechtliche Audit erfasst Ihren KI-Einsatz gemeinsam mit den Verträgen der Modellanbieter und zeigt, welche Nachweise fehlen. Rechtliches Audit: eingesetzte KI-Modelle und Verträge erfassen

Sie bauen auf einem KI-Modell auf oder bieten selbst eines an? In einem 60-minütigen Strategiegespräch klären wir Ihre Rolle und die nötigen Nachweise.