General-Purpose-KI-Anbieter: AI Act, Data Act & DSGVO-Pflichten

GPAI-Anbieter unterliegen eigenen Pflichten (Art. 53, 55), getrennt von den Hochrisiko-Pflichten für Downstream-Systeme. Pflichten seit dem 2. August 2025. Wichtige Abgrenzung: GPAI-Anbieter ist der Foundation-Modell-Anbieter (z. B. OpenAI für GPT, Anthropic für Claude, Google für Gemini); Downstream-Anbieter, die das GPAI-Modell in eigene Systeme einbetten, sind Anbieter des Gesamtsystems (Art. 25). Der GPAI-Anbieter gibt dem Downstream-Anbieter die notwendigen Informationen (Art. 53 Abs. 1 lit. b), damit dieser eigene Pflichten erfüllen kann. Die Pflichten sind unabhängig davon, ob das GPAI-Modell in ein Hochrisiko-, begrenzt- oder minimal-risk-System eingebettet wird — GPAI-Pflichten greifen immer. Open-Source-Erleichterung nach Art. 53 Abs. 2 (außer bei systemischem Risiko).

Praktische Compliance für GPAI-Anbieter: (1) technische Dokumentation (Anhang XI — Training, Datengovernance, Test, Bewertung, Risikominderung); (2) Downstream-Informationen — Modellkarte, Eval-Ergebnisse, bekannte Schwächen, Verwendungsgrenzen, Vertragsgestaltung; (3) urheberrechtsbasierte Trainingsdaten-Zusammenfassung (öffentliche Veröffentlichung, Kommissions-Vorlage); (4) Einhaltung DSM-TDM-Opt-out; (5) bei systemischem Risiko: Red-Teaming (interne Teams, externe Partner wie METR, Apollo Research, Bug-Bounty), Systemrisiko-Minderung (Usage Policies, Output Filtering, Rate Limits), Cybersecurity-Schutzstufen, weights-Schutz; (6) Vorfall-Pipeline (Art. 55 Abs. 1 lit. c). Code of Practice (Art. 56) als freiwillige Konformitätsvermutung. Zuständige Aufsicht: EU AI Office (federführend bei GPAI, Art. 64, Durchsetzung Art. 88). Die Pflichten treffen die größten Anbieter (OpenAI, Anthropic, Google, Meta, Mistral); sie sind spezialisiert und erfordern KI-Sicherheitsexpertise. Beobachtung der Praxis/Leitlinien ist wichtig — das Feld entwickelt sich schnell.

Wichtige Grenze der GPAI-Compliance: die Open-Source-Ausnahme (Art. 53 Abs. 2) erleichtert Anbieter, die Modelle unter freier Lizenz veröffentlichen — Ausnahme für Art. 53 Abs. 1 lit. b/c, solange die Modellparameter offen sind. ABER: die Ausnahme greift NICHT bei systemischem Risiko (Art. 55 bleibt voll anwendbar), bei Modellen mit unzulässigen Verwendungen (z. B. Bioterror-Vorhersage) und bei besonderen Risiken. Die öffentliche Freigabe der weights kann selbst ein systemisches Risiko sein — Open-Weights-Anbieter (Meta Llama, Mistral) müssen sorgfältig prüfen. Zudem: GPAI-Anbieter mit systemischem Risiko sind die einzigen Akteure mit Art. 55-Pflichten — das sind wenige (OpenAI, Anthropic, Google, Meta, Mistral), aber die Pflichten sind tiefgreifend (Red-Teaming, weights-Schutz, Cybersecurity). Die Praxis entwickelt sich schnell; Beobachtung des Codes of Practice und der Kommissions-Leitlinien ist unverzichtbar.