KI-Verordnung, zweite Stufe: Neue Pflichten für Anbieter von KI-Basismodellen

Seit dem 2. August 2025 gilt die zweite große Pflichtenwelle der europäischen KI-Verordnung. Sie betrifft Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, im Englischen General Purpose AI oder GPAI genannt. Gemeint sind damit große KI-Basismodelle, wie sie hinter bekannten Sprachmodellen stehen. Die gute Nachricht für die meisten Softwareunternehmen im Mittelstand: Diese neuen Pflichten treffen in der Praxis nur eine sehr begrenzte Zahl von Unternehmen direkt, nämlich die, die selbst solche Basismodelle entwickeln und auf den Markt bringen.

Was die neue Pflichtenwelle regelt

Anbieter von GPAI-Modellen müssen seit dem 2. August 2025 unter anderem eine technische Dokumentation ihres Modells erstellen und aktuell halten, Informationen an nachgelagerte Anbieter weitergeben, die auf dem Modell aufbauen, eine Urheberrechts-Compliance-Politik umsetzen und eine Zusammenfassung der verwendeten Trainingsdaten veröffentlichen. Für Modelle mit sogenanntem systemischem Risiko, also solche mit besonders hohem Rechenaufwand beim Training, kommen zusätzliche Pflichten zu Risikomanagement und Cybersicherheit hinzu.

Die Europäische Kommission hat dazu bereits im Juli 2025 finale Leitlinien veröffentlicht, die bei der Auslegung helfen sollen. Wichtig: Durchsetzbare Bußgelder für Verstöße gegen diese Pflichten greifen erst ab August 2026, die Pflichten selbst gelten aber bereits jetzt.

Was das konkret heißt

Für die allermeisten Softwareunternehmen ist entscheidend, dass sie in dieser Konstellation nicht Anbieter, sondern Betreiber sind. Wer ein bestehendes KI-Modell eines großen Anbieters über eine Schnittstelle nutzt, etwa um eine eigene Anwendung mit KI-Funktionen auszustatten, wird dadurch nicht selbst zum GPAI-Anbieter. Die eigenen Pflichten ergeben sich dann aus der allgemeinen Betreiberrolle der KI-Verordnung, etwa der bereits seit Februar 2025 geltenden Pflicht zur KI-Kompetenz nach Artikel 4.

Anders liegt der Fall, wenn Sie ein bestehendes Basismodell so weitreichend verändern oder feinabstimmen, dass daraus faktisch ein eigenes Modell entsteht, das Sie unter eigenem Namen weitergeben. Dann kann eine Neueinstufung als Anbieter drohen, mit den entsprechenden Dokumentationspflichten.

Die Unterscheidung zwischen Anbietern und Betreibern im Überblick

Die KI-Verordnung unterscheidet grundsätzlich zwischen der Anbieterrolle, also wer ein KI-System oder -Modell entwickelt und in Verkehr bringt, und der Betreiberrolle, also wer ein fertiges System im eigenen Verantwortungsbereich einsetzt. Für GPAI-Modelle mit sogenanntem systemischem Risiko, also solchen, die mit einer Rechenleistung von mehr als 10 hoch 25 FLOP trainiert wurden, kommen zusätzlich Pflichten zu Risikomanagement, Modellevaluierung und Cybersicherheit hinzu. Diese Schwelle erreichen praktisch nur die größten am Markt verfügbaren Basismodelle, für den allergrößten Teil der Softwarebranche bleibt das theoretisch.

Was Sie jetzt tun sollten

• Klären Sie für jedes in Ihrem Produkt eingesetzte KI-Modell, ob Sie es lediglich nutzen oder ob Sie es so verändern, dass eine Einstufung als Anbieter in Betracht kommt.
• Fragen Sie bei Ihren KI-Anbietern aktiv nach der geforderten Dokumentation zu Fähigkeiten und Grenzen des jeweiligen Modells, Sie benötigen diese Informationen für Ihre eigene Risikoeinschätzung.
• Prüfen Sie, ob Ihr Unternehmen ein eigenes Modell auf Basis eines bestehenden GPAI-Modells weitergibt, etwa als White-Label-Lösung, hier lohnt sich eine genaue rechtliche Prüfung.
• Halten Sie die Pflicht zur KI-Kompetenz nach Artikel 4 im Blick, sie betrifft Sie unabhängig von dieser neuen Pflichtenwelle bereits seit Februar 2025.

Die Abgrenzung zwischen Anbieter und Betreiber ist im Einzelfall nicht immer eindeutig. Bei komplexeren KI-Integrationen in Ihr Produkt empfiehlt sich eine rechtliche Prüfung der eigenen Rolle.