GPAI Code of Practice – Was der Verhaltenskodex für Ihre KI-Nutzung bedeutet

Über 1000 KI-Modelle sind heute frei am Markt verfügbar – doch nur ein Bruchteil ihrer Anbieter erklärt transparent, womit trainiert wurde, welche Risiken bestehen und wie Urheberrechte gewahrt bleiben. Genau hier setzt der GPAI Code of Practice an. Wenn Sie ChatGPT, Gemini, Claude oder ein Mistral-Modell im Unternehmen einsetzen, entscheidet dieser Verhaltenskodex für KI mit darüber, welche Nachweise Sie künftig vorlegen müssen – und welche Ihr Anbieter für Sie erledigt. Die gute Nachricht: Wer den GPAI Code of Practice versteht, versteht auch, was der EU AI Act bei General-Purpose-AI wirklich verlangt.

Was ist der GPAI Code of Practice?

Der GPAI Code of Practice ist ein freiwilliger Verhaltenskodex für KI – konkret für Anbieter von General-Purpose-AI-Modellen (GPAI). Gemeint sind sogenannte Universal- oder Foundation-Modelle. Sie sind nicht für einen einzelnen Zweck gebaut, sondern für eine breite Palette an Aufgaben: Textgenerierung, Übersetzung, Codierung, Bildanalyse. ChatGPT, Gemini, Llama oder Mistral sind typische Beispiele.

Der Kodex hat eine klare Funktion. Er ist die praktische Brücke, solange die harmonisierten technischen Standards für den AI Act noch nicht final vorliegen. Standards dieser Art werden von europäischen Normungsorganisationen (CEN/CENELEC) entwickelt – ein Prozess, der Jahre dauert. Bis dahin brauchen Anbieter und Behörden einen belastbaren Orientierungsrahmen, an dem sich Konformität ablesen lässt. Genau das liefert der Kodex.

Erstellt wurde er nicht im Alleingang der EU-Kommission, sondern in einem breit angelegten Multi-Stakeholder-Prozess unter Federführung des AI Office (dem KI-Büro der Kommission). Beteiligt waren unabhängige Expertinnen und Experten, Vertreter der Industrie, der Wissenschaft und der Zivilgesellschaft. Das Ergebnis ist kein abstrakter Gesetzestext, sondern eine operative Handreichung: Sie übersetzt die Pflichten des AI Act in konkrete Maßnahmen, Vorlagen und Prozesse.

Der GPAI Code of Practice im AI Act: Rechtlicher Rahmen

Der Kodex hängt rechtlich nicht in der Luft. Er konkretisiert die GPAI-Pflichten, die der AI Act in Artikel 53 und Artikel 55 festlegt:

• Artikel 53 regelt die Grundpflichten aller GPAI-Anbieter: technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Copyright-Policy und eine Zusammenfassung der Trainingsdaten.
• Artikel 55 ergänzt zusätzliche Pflichten für GPAI-Modelle mit systemischem Risiko – dazu später mehr.

Der entscheidende Punkt für die Praxis: Der Kodex ist freiwillig, aber seine Einhaltung löst eine Konformitätsvermutung aus. Das bedeutet: Wer den Kodex unterzeichnet und befolgt, gilt bis zum Beweis des Gegenteils als AI-Act-konform in Bezug auf die GPAI-Pflichten. Anbieter, die den Kodex nicht unterzeichnen, sind nicht automatisch rechtswidrig unterwegs. Sie müssen ihre Konformität aber auf anderem Weg nachweisen – das ist aufwändiger und rechtsunsicherer. Der Kodex ist damit faktisch der Pfad des geringsten Widerstands.

Der Geltungsbeginn ist zentral: Die GPAI-Pflichten des AI Act greifen ab August 2025. Ab diesem Zeitpunkt müssen neue GPAI-Modelle die Vorgaben erfüllen. Für Modelle, die bereits vorher auf dem Markt waren, gelten gestaffelte Übergangsfristen. Einen vollständigen Überblick über die Zeitachse finden Sie in unserem Beitrag zum AI-Act-Zeitplan 2025–2027.

Die drei Säulen: Transparenz, Urheberrecht, Sicherheit

Der Kodex ruht auf drei inhaltlichen Säulen. Sie strukturieren die Pflichten und lassen sich gut merken.

Säule 1: Transparenz

Die erste Säule verpflichtet Modellanbieter zu einer umfassenden Transparenzdokumentation. Dazu gehören Angaben zur Architektur des Modells, zu den Trainings- und Testverfahren, zum Energieverbrauch sowie zu den Fähigkeiten und Grenzen des Modells. Ein wesentlicher Teil davon fließt in standardisierte Model Cards, die nachgelagerte Nutzer informieren.

Diese Transparenzpflicht ist eng verwandt mit den allgemeinen Kennzeichnungsanforderungen des AI Act – etwa der Pflicht, KI-generierte Inhalte als solche zu markieren. Wie das konkret aussieht, erläutern wir in unserem Beitrag zur KI-Transparenzpflicht und Kennzeichnung.

Säule 2: Urheberrecht

Die zweite Säule adressiert eine der heikelsten Fragen der KI-Debatte: die Copyright-Policy und die Offenlegung der Trainingsdaten. Anbieter müssen darlegen, wie sie das EU-Urheberrecht respektieren – insbesondere den Vorbehalt von Rechteinhabern gegen Text- und Data-Mining. Zusätzlich verlangt der AI Act eine hinreichend detaillierte Zusammenfassung der zum Training verwendeten Daten. Das schafft Nachvollziehbarkeit, ohne dass jeder einzelne Datensatz offengelegt werden muss.

Für Open-Source-Modelle gelten hier teilweise Erleichterungen. Wie der Kodex und der AI Act mit freien und offenen Modellen umgehen, lesen Sie in unserem Beitrag zu Open-Source-KI im AI Act.

Säule 3: Sicherheit

Die dritte Säule betrifft systemische Risiken bei besonders leistungsstarken Modellen. Hier geht es um Gefahren, die über den Einzelfall hinausgehen – etwa die Möglichkeit, dass ein Modell zur Entwicklung von Cyberwaffen missbraucht wird oder gesellschaftliche Manipulationsrisiken erzeugt. Diese Säule richtet sich nur an die Spitzenklasse der Modelle und wird weiter unten vertieft.

Anbieter vs. Nutzer: Wen betrifft der Kodex?

Die wichtigste Unterscheidung im gesamten GPAI-Regelwerk lautet: Anbieter oder Deployer? Davon hängt ab, wer welche Pflichten trägt.

Pflichten der GPAI-Anbieter

Der Kodex richtet sich in erster Linie an die Anbieter der Modelle – also an Unternehmen wie OpenAI, Google, Mistral, Anthropic oder Meta. Sie tragen die Hauptlast:

• Erstellung und Pflege der technischen Dokumentation
• Bereitstellung von Informationen für nachgelagerte Anbieter
• Umsetzung einer Copyright-Policy
• Veröffentlichung der Trainingsdaten-Zusammenfassung
• Bei systemischem Risiko: zusätzliche Sicherheits- und Meldepflichten

Was Deployer daraus ableiten müssen

Die meisten Unternehmen sind keine GPAI-Anbieter, sondern Deployer – sie nutzen ein Modell. Beispiele: ChatGPT im Kundenservice oder ein Mistral-Modell in der Sachbearbeitung. Als Deployer erstellen Sie das Modell nicht. Aber Sie sind auf die Informationen des Anbieters angewiesen und müssen Ihre eigene Nutzung dokumentieren.

Eine detaillierte Aufschlüsselung, welche Pflichten am konkreten Beispiel greifen, finden Sie in unserem Beitrag AI Act, ChatGPT und GPAI.

Weitergabe entlang der Wertschöpfungskette

Der Kodex etabliert eine Informationskette: Der Anbieter dokumentiert, gibt Informationen an nachgelagerte Anbieter weiter, diese wiederum an ihre Kunden. Dieser Mechanismus stellt sicher, dass Compliance-relevante Informationen bis zum Endnutzer durchgereicht werden – ähnlich einem Beipackzettel, der ein Produkt durch die gesamte Kette begleitet.

Praktische Auswirkungen des GPAI Code of Practice

Was bedeutet das für Ihren Arbeitsalltag? Drei Dinge werden konkret relevant.

Erstens: Prüfen Sie, ob Ihr Anbieter den Kodex unterzeichnet hat. Das AI Office führt eine Übersicht der Unterzeichner. Ein unterzeichnender Anbieter signalisiert Ihnen, dass die Konformitätsvermutung greift – ein wichtiges Argument für Ihre eigene Compliance.

Zweitens: Auch Sie als Nutzer treffen Dokumentationspflichten. Der Anbieter liefert die Modelldokumentation; Sie dokumentieren, wie, wofür und mit welchen Daten Sie das Modell einsetzen. Die folgende Tabelle zeigt die Arbeitsteilung:

Aufgabe	Anbieter (z. B. OpenAI)	Nutzer/Deployer (Ihr Unternehmen)
Technische Modelldokumentation	✅	–
Trainingsdaten-Zusammenfassung	✅	–
Copyright-Policy des Modells	✅	–
Dokumentation der Anwendungsfälle	–	✅
Nachweis rechtmäßiger Datennutzung im Einsatz	–	✅
Kennzeichnung KI-generierter Inhalte	teils	✅
Zuweisung interner Verantwortlichkeiten	–	✅

Drittens: Die Auswahl konformer Tools ist ein Wettbewerbsvorteil. Wer nachweislich auf Kodex-konforme Anbieter setzt, reduziert sein eigenes Haftungsrisiko und kann dies gegenüber Kunden und Aufsichtsbehörden belegen. In Ausschreibungen wird Compliance zunehmend zum Kriterium.

GPAI mit systemischem Risiko: Verschärfte Anforderungen

Nicht jedes Modell ist gleich. Der AI Act unterscheidet zwischen normalen GPAI-Modellen und solchen mit systemischem Risiko – und knüpft daran deutlich strengere Pflichten.

Der Schwellenwert: 10^25 FLOPs

Das zentrale Kriterium ist die eingesetzte Rechenleistung beim Training. Ein Modell gilt als potenziell systemisch riskant, wenn die kumulierte Trainingsrechenleistung den Schwellenwert von 10^25 FLOPs (Floating Point Operations) überschreitet. Zur Einordnung: Das entspricht der Größenordnung, in der sich die leistungsstärksten Foundation Models heute bewegen – etwa die Spitzenmodelle von OpenAI oder Google. Kleinere und mittlere Modelle liegen deutlich darunter. Der Schwellenwert ist bewusst so gesetzt, dass er nur die absolute Leistungsspitze erfasst.

Zusätzliche Pflichten

Für Modelle oberhalb dieser Schwelle gelten nach Artikel 55 verschärfte Anforderungen:

• Model Evaluation: systematische Bewertung des Modells, inklusive adversariellem Testen (Red Teaming)
• Bewertung und Minderung systemischer Risiken
• Incident Reporting: Meldung schwerwiegender Vorfälle an das AI Office
• Cybersicherheitsschutz für Modell und Infrastruktur

Relevanz für Ihr Unternehmen

Setzen Sie ein großes Foundation Model ein, sollten Sie wissen, ob es als systemisch riskant eingestuft ist. Denn davon hängt ab, welche Sicherheitsnachweise Ihr Anbieter erbringen muss und welche Informationen Sie erwarten dürfen. Wie sich GPAI und systemisches Risiko in das gesamte Risikoklassen-System des AI Act einfügen, erläutern wir im Vergleich der KI-Risikoklassen.

Handlungsempfehlungen: In 5 Schritten zur GPAI-Konformität

Theorie ist gut – Umsetzung ist besser. Diese fünf Schritte bringen Sie zur GPAI-Konformität.

Schritt 1: GPAI-Modelle inventarisieren. Erfassen Sie systematisch, welche KI-Modelle in Ihrem Unternehmen im Einsatz sind – vom offiziell eingekauften ChatGPT-Business-Zugang bis zur Schatten-KI in einzelnen Abteilungen. Ohne diese Bestandsaufnahme ist keine Compliance möglich. Eine praktische Anleitung dazu bietet unser Beitrag zum KI-Inventar.

Schritt 2: Anbieter-Dokumentation einfordern und prüfen. Fordern Sie die Modelldokumentation und die Trainingsdaten-Zusammenfassung an. Prüfen Sie, ob der Anbieter den Code of Practice unterzeichnet hat, und archivieren Sie die Nachweise.

Schritt 3: Interne Nutzung dokumentieren und Verantwortlichkeiten klären. Halten Sie fest, welche Abteilungen welche Modelle wofür nutzen. Benennen Sie eine verantwortliche Person oder ein Gremium für KI-Compliance. Klären Sie, wer über neue Tools entscheidet.

Schritt 4: Risikoeinstufung vornehmen. Bewerten Sie jeden Anwendungsfall: Handelt es sich um ein harmloses Hilfsmittel oder um einen Einsatz mit hohem Risiko (z. B. Personalentscheidungen)? Die GPAI-Ebene betrifft das Modell, die Anwendungsebene Ihren konkreten Einsatz – beide müssen zusammen betrachtet werden.

Schritt 5: Prozesse etablieren und überwachen. Richten Sie wiederkehrende Prüfungen ein, dokumentieren Sie Änderungen und schulen Sie Ihre Mitarbeitenden. Eine kompakte Übersicht speziell für kleinere Unternehmen liefert unsere Checkliste zu den AI-Act-Pflichten für KMU.

Der Kodex ist ein Baustein unter mehreren. Wo er im Gesamtgefüge aus Risikoklassen, Pflichten und Fristen steht, ordnet der AI-Act-Leitfaden ein.

Fazit

Der GPAI Code of Practice ist freiwillig – aber alles andere als unverbindlich. Seine Einhaltung löst eine Konformitätsvermutung aus und ist damit für Anbieter wie für Nutzer der pragmatischste Weg zur AI-Act-Konformität, solange harmonisierte Standards fehlen. Die drei Säulen Transparenz, Urheberrecht und Sicherheit strukturieren die Pflichten, die seit August 2025 für GPAI-Modelle greifen. Entscheidend ist die klare Rollenteilung: Der Anbieter dokumentiert das Modell, Sie als Deployer dokumentieren Ihre Nutzung. Und für die absolute Leistungsspitze jenseits von 10^25 FLOPs gelten mit Model Evaluation und Incident Reporting nochmals verschärfte Regeln.

Wer heute ChatGPT & Co. einsetzt, sollte nicht abwarten, sondern inventarisieren, dokumentieren und Verantwortlichkeiten klären. So wird aus einer Compliance-Pflicht ein echter Wettbewerbsvorteil.