AI-Act-Frist August 2025 – Welche GPAI-Pflichten jetzt gelten

Seit dem 2. August 2025 sind sie bindend. Die AI Act Frist August 2025 für GPAI ist verstrichen: Was jahrelang als ferne Zukunft galt, ist heute geltendes Recht. Die Pflichten für General-Purpose-AI-Modelle (GPAI) unter dem EU AI Act sind in Kraft. Wenn Sie GPT, Claude, Gemini oder Llama in Ihrem Unternehmen einsetzen – und das tun statistisch die meisten Organisationen in Europa – dann sind Sie unmittelbar betroffen. Die entscheidende Frage lautet nicht mehr ob, sondern in welcher Rolle: als Anbieter oder als nachgelagerter Nutzer? Dieser Rückblick zeigt praxisnah, welche GPAI-Pflichten seit August 2025 gelten und was jetzt konkret zu tun ist.

AI Act Frist August 2025: Was gilt jetzt für GPAI?

Der EU AI Act tritt nicht auf einen Schlag in Kraft, sondern in gestaffelten Stufen. Der 2. August 2025 markiert dabei einen zentralen Meilenstein. Ab diesem Datum gelten die Pflichten für Anbieter von General-Purpose-AI-Modellen (Kapitel V des AI Act). Zeitgleich wurden die Governance-Strukturen und die Sanktionsvorschriften wirksam.

Wenn Sie die einzelnen Stichtage im Gesamtzusammenhang verstehen wollen, hilft unser Überblick zum AI-Act-Zeitplan mit allen Fristen 2025–2027.

GPAI-Pflichten vs. Hochrisiko-Pflichten

Wichtig ist die saubere Trennung zweier Regelungsbereiche, die häufig verwechselt werden:

• GPAI-Pflichten (seit 2. August 2025): Betreffen die Basismodelle selbst – also die großen Sprach- und Multimodalmodelle, die vielseitig einsetzbar sind.
• Hochrisiko-Pflichten (ab 2. August 2026): Betreffen konkrete KI-Anwendungen in kritischen Bereichen wie Personalauswahl, Kreditvergabe oder Medizin.

Ein GPAI-Modell ist also nicht automatisch ein Hochrisikosystem – und umgekehrt. Die nächste große Stufe für Hochrisiko-Anwendungen beleuchten wir gesondert in unserem Beitrag zur AI-Act-Frist August 2026.

Anbieter vs. nachgelagerte Nutzer: Wen die Regeln betreffen

Der AI Act unterscheidet strikt zwischen zwei Rollen:

• Anbieter (Provider): Wer ein GPAI-Modell entwickelt und in der EU auf den Markt bringt – also OpenAI, Google, Anthropic, Meta, Mistral und Co.
• Nachgelagerte Anbieter und Betreiber (Downstream): Wer ein solches Modell in eigene Produkte integriert oder schlicht im Arbeitsalltag nutzt.

Der Großteil der GPAI-Pflichten trifft die Anbieter. Für nutzende Unternehmen gelten dagegen andere, deutlich schlankere Anforderungen – dazu weiter unten mehr.

Was sind GPAI-Modelle konkret?

Ein General-Purpose-AI-Modell ist laut AI Act ein KI-Modell, das eine erhebliche allgemeine Verwendbarkeit aufweist. Es kann eine breite Palette unterschiedlicher Aufgaben erfüllen und ist in eine Vielzahl nachgelagerter Systeme integrierbar. Typisches Merkmal: Das Training erfolgt mit sehr großen Datenmengen und großem Rechenaufwand.

Konkrete Beispiele sind:

• GPT-Modelle von OpenAI (Grundlage von ChatGPT)
• Gemini von Google
• Claude von Anthropic
• Llama von Meta
• Mistral-Modelle

Wie sich der Einsatz von ChatGPT & Co. im Unternehmensalltag rechtlich einordnet, zeigen wir vertieft im Beitrag ChatGPT und der AI Act.

Normale GPAI vs. GPAI mit systemischem Risiko

Der AI Act teilt GPAI-Modelle in zwei Kategorien:

Kategorie	Kriterium	Pflichtenumfang
Normale GPAI	Allgemeine Verwendbarkeit	Grundpflichten (Doku, Urheberrecht, Transparenz)
GPAI mit systemischem Risiko	Besonders leistungsfähige Modelle	Grundpflichten plus Zusatzpflichten

Die entscheidende Schwelle: Ein Modell wird vermutet, systemisches Risiko zu bergen, wenn die für das Training aufgewendete kumulierte Rechenleistung mehr als 10²⁵ FLOP (Gleitkommaoperationen) beträgt. Zur Einordnung: 10²⁵ ist eine Eins mit 25 Nullen – eine Rechenleistung, die nur die derzeit größten Basismodelle erreichen. Erreicht ein Modell diese Schwelle, muss der Anbieter das AI Office informieren.

Kleinere und spezialisierte Modelle fallen in der Regel unter die normale Kategorie. Für Open-Source-GPAI gelten zudem teilweise Erleichterungen bei den Grundpflichten – nicht jedoch bei Modellen mit systemischem Risiko. Die Details zu diesen Ausnahmen erläutern wir im Beitrag zu Open-Source-KI im AI Act.

GPAI-Pflichten im AI Act: Was Anbieter erfüllen müssen

Anbieter von GPAI-Modellen müssen seit dem 2. August 2025 folgende Kernpflichten erfüllen.

Technische Dokumentation und Modellinformationen

Anbieter müssen eine technische Dokumentation erstellen und aktuell halten. Diese umfasst unter anderem Angaben zu Trainings- und Testverfahren, zu Modellarchitektur, Anzahl der Parameter, Modalitäten und Format sowie zum Energieverbrauch. Die Dokumentation ist dem AI Office und den nationalen Behörden auf Anfrage bereitzustellen.

Was eine belastbare technische Dokumentation ausmacht, lesen Sie in unserem Leitfaden zur technischen Dokumentation nach dem AI Act.

Urheberrechts-Policy und Trainingsdaten-Zusammenfassung

Zwei besonders praxisrelevante Pflichten:

• Urheberrechts-Policy: Anbieter müssen eine Strategie einführen, um das EU-Urheberrecht einzuhalten – insbesondere den Rechtevorbehalt (Opt-out) von Rechteinhabern beim Text- und Data-Mining zu respektieren.
• Trainingsdaten-Zusammenfassung: Anbieter müssen eine hinreichend detaillierte Zusammenfassung der zum Training verwendeten Inhalte öffentlich zugänglich machen. Das AI Office stellt hierfür ein Muster-Template bereit.

GPAI-Transparenzpflichten gegenüber nachgelagerten Anbietern

Anbieter müssen Informationen und Dokumentation für nachgelagerte Anbieter bereitstellen, die das Modell integrieren. Ziel ist, dass diese die Fähigkeiten und Grenzen des Modells verstehen und ihre eigenen Pflichten erfüllen können. Dazu gehören Angaben zur Funktionsweise, zu Einsatzgrenzen und zu technischen Voraussetzungen.

Übergangsregel: 12 Monate für Bestandsmodelle

Entscheidend für die Praxis: Für GPAI-Modelle, die bereits vor dem 2. August 2025 auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. August 2027. Diese Anbieter haben also zwölf zusätzliche Monate Zeit, um die Vorgaben nachträglich zu erfüllen. Neue Modelle, die ab August 2025 auf den Markt kommen, müssen die Pflichten dagegen sofort einhalten.

Zusatzpflichten bei systemischem Risiko

Überschreitet ein Modell die 10²⁵-FLOP-Schwelle oder wird es anderweitig als systemisch riskant eingestuft, kommen strengere Pflichten hinzu.

Modellevaluierung und Adversarial Testing

Anbieter müssen eine Modellevaluierung nach dem Stand der Technik durchführen, einschließlich Adversarial Testing (gezieltes Angriffs- und Belastungstesten), um systemische Risiken zu identifizieren und zu mindern.

Meldung schwerwiegender Vorfälle

Anbieter müssen relevante Informationen über schwerwiegende Vorfälle und mögliche Korrekturmaßnahmen unverzüglich an das AI Office und gegebenenfalls an nationale Behörden melden.

Cybersicherheitsmaßnahmen

Für Modell und physische Infrastruktur ist ein angemessenes Cybersicherheitsniveau sicherzustellen – etwa Schutz vor Modelldiebstahl, unbefugtem Zugriff und Manipulation.

Was gilt für Unternehmen, die GPAI nur nutzen?

Hier die gute Nachricht für die meisten Organisationen: Wenn Sie ein GPAI-Modell lediglich einsetzen, treffen Sie keine der oben genannten Anbieterpflichten. Sie müssen keine technische Dokumentation für das Modell erstellen und keine Trainingsdaten-Zusammenfassung veröffentlichen.

Das bedeutet aber nicht, dass Sie pflichtenfrei sind.

Transparenz- und Kompetenzpflichten

Zwei Bereiche gelten auch für reine Nutzer:

• KI-Kompetenz (Art. 4): Seit dem 2. Februar 2025 müssen Unternehmen sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Was das konkret bedeutet, erläutert unser Beitrag zur KI-Schulungspflicht nach Art. 4.
• Transparenz bei KI-Inhalten: Wer KI-generierte Texte, Bilder oder Videos veröffentlicht, muss diese unter bestimmten Bedingungen kennzeichnen. Details dazu im Beitrag zur KI-Transparenzpflicht und Kennzeichnung.

Wann aus einem Nutzer ein Anbieter wird

Achtung, hier liegt die häufigste Fehleinschätzung: Sie können durch bestimmte Handlungen selbst zum Anbieter werden – mit allen dazugehörigen Pflichten. Das geschieht insbesondere, wenn Sie:

• ein GPAI-Modell wesentlich verändern oder feintunen (Fine-Tuning), sodass sich Zweck oder Leistungsfähigkeit erheblich ändern,
• ein Modell unter eigenem Namen oder eigener Marke in den Verkehr bringen (Rebranding).

Rechenbeispiel: Nehmen wir an, Sie nehmen ein Open-Source-Modell wie Llama, trainieren es mit eigenen Daten weiter und bieten es als „IhrFirmen-Assistent“ in einem Produkt an. Damit werden Sie zum nachgelagerten Anbieter eines modifizierten GPAI-Modells – und tragen die entsprechenden Dokumentations- und Transparenzpflichten (in der Regel begrenzt auf die von Ihnen vorgenommenen Änderungen). Wichtig: Nutzen Sie das Modell nur über eine API, ohne es zu verändern, bleiben Sie bloßer Betreiber.

Praktische Sorgfaltspflichten beim Einsatz

Auch ohne Anbieterstatus empfiehlt sich beim GPAI-Einsatz:

• die Nutzungsbedingungen und Dokumentation des Anbieters auszuwerten,
• interne Einsatzrichtlinien für Mitarbeitende festzulegen,
• die eingesetzten Modelle und ihre Zwecke zu dokumentieren.

Governance, Durchsetzung und Bußgelder

Rolle des AI Office und der Governance-Struktur

Zentrale Aufsichtsinstanz für GPAI ist das AI Office der Europäischen Kommission. Es überwacht die Einhaltung der GPAI-Pflichten, kann Dokumentation anfordern, Evaluierungen durchführen und Maßnahmen verlangen. Unterstützt wird es durch ein wissenschaftliches Gremium (Scientific Panel) und das European Artificial Intelligence Board, in dem die Mitgliedstaaten vertreten sind.

Der GPAI Code of Practice als Umsetzungshilfe

Da die gesetzlichen Vorgaben teils abstrakt sind, wurde ein freiwilliger GPAI Code of Practice erarbeitet. Er konkretisiert, wie Anbieter ihre Pflichten in den Bereichen Transparenz, Urheberrecht sowie Sicherheit und Schutz erfüllen können. Wer den Code unterzeichnet und einhält, kann auf Konformitätsvermutung und geringeren Verwaltungsaufwand setzen. Was der Code im Detail regelt, lesen Sie in unserem Beitrag zum GPAI Code of Practice.

Sanktionen bei Verstößen

Verstöße gegen die GPAI-Pflichten können empfindlich teuer werden. Für GPAI-Anbieter sieht der AI Act Geldbußen von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Die Durchsetzungsbefugnisse des AI Office gegenüber GPAI-Anbietern greifen ab dem 2. August 2026. Einen vollständigen Überblick über das Sanktionsregime bietet unser Beitrag zu den Bußgeldern und Strafen im AI Act.

Handlungsplan: Das sollten Sie jetzt tun

Auch wenn Sie „nur“ GPAI nutzen, sollten Sie nicht abwarten. Diese Schritte schaffen Rechtssicherheit.

1. KI-Inventar prüfen und GPAI-Nutzung dokumentieren

Verschaffen Sie sich einen vollständigen Überblick: Welche GPAI-Modelle setzen Sie ein – direkt oder eingebettet in Drittsoftware? Ein strukturiertes KI-Inventar ist die Grundlage jeder Compliance-Strategie. Eine Schritt-für-Schritt-Anleitung finden Sie im Beitrag KI-Inventar erstellen.

2. Verträge und Transparenzinfos der Anbieter einholen

Fordern Sie von Ihren Anbietern die bereitgestellte Dokumentation, Nutzungsbedingungen und Transparenzinformationen an. Prüfen Sie, ob Sie durch Fine-Tuning oder Rebranding selbst zum Anbieter werden – und passen Sie Ihre Verträge entsprechend an.

3. Interne Kompetenz und Governance aufbauen

Etablieren Sie klare Verantwortlichkeiten, interne Nutzungsrichtlinien und Schulungen. Die KI-Kompetenzpflicht gilt bereits – und bildet zugleich die Basis für die kommende Hochrisiko-Frist im August 2026.

Diese Frist ist die erste von mehreren. Welche danach kommt und wen sie trifft, steht gebündelt im Leitfaden Risikoklassen, Pflichten und Fristen im Überblick.

Fazit

Die AI Act Frist August 2025 hat den EU AI Act für GPAI-Modelle vom Papier in die Praxis überführt. Für die großen Modellanbieter gelten seither umfassende Dokumentations-, Urheberrechts- und Transparenzpflichten – bei Bestandsmodellen mit einer Übergangsfrist bis August 2027. Für die meisten Unternehmen, die GPAI lediglich einsetzen, bleiben die direkten Pflichten überschaubar – solange sie nicht durch Fine-Tuning oder Rebranding selbst zum Anbieter werden. Entscheidend ist jetzt, die eigene Rolle sauber zu bestimmen, die Nutzung zu dokumentieren und interne Governance aufzubauen.