Skip to main content

Bewertung für GPAI-Anbieter: Artikel 53 bis 55

Anbieter von KI-Modellen mit allgemeinem Verwendungszweck: die Pflichten der Artikel 53 bis 55 und Scanaras geführte Bewertung.

Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI-Modelle) müssen das Modell dokumentieren, nachgelagerte Anbieter informieren, die Trainingsinhalte zusammenfassen und eine Urheberrechtsstrategie festlegen (Artikel 53).

Die Pflichten gelten für Modelle, die ab dem 2. August 2025 in der EU in Verkehr gebracht werden. Die Kommission kann Verstöße ab dem 2. August 2026 mit Geldbußen ahnden: bis zu 3 % des weltweiten Jahresumsatzes oder 15 Mio. EUR, je nachdem, was höher ist (Artikel 101). Bei früheren Modellen können Pflichtverstöße nicht vor dem 2. August 2027 entstehen (Artikel 111 Absatz 3). Anbieter außerhalb der EU brauchen einen EU-Bevollmächtigten, mit Open-Source-Ausnahme (Artikel 54). Nächster Schritt: Anbieter erstellen die Dokumentation, nachgelagerte Anbieter (Systementwickler) fordern Informationen an.

Artikel 53 legt GPAI-Anbietern vier Pflichten auf

  • Das Modell dokumentieren

    Erstellen und aktualisieren Sie die technische Dokumentation des Modells, einschließlich der Ergebnisse von Training, Tests und Bewertung. Stellen Sie sie dem KI-Büro (im Verordnungstext: Büro für Künstliche Intelligenz; die Stelle der Kommission, die GPAI-Modelle beaufsichtigt) und den zuständigen nationalen Behörden auf Anfrage zur Verfügung (Artikel 53 Absatz 1 Buchstabe a).

  • Nachgelagerte Anbieter informieren

    Erstellen Sie Informationen über die Fähigkeiten und Grenzen des Modells und stellen Sie sie bereit, damit Anbieter, die darauf KI-Systeme aufbauen, ihren eigenen Pflichten nachkommen können. Das ändert nichts daran, dass Rechte des geistigen Eigentums sowie vertrauliche Geschäftsinformationen oder Geschäftsgeheimnisse nach dem Unionsrecht und dem nationalen Recht zu achten und zu schützen sind (Artikel 53 Absatz 1 Buchstabe b).

  • Eine Urheberrechtsstrategie festlegen

    Führen Sie eine Strategie zur Einhaltung des Urheberrechts der Union ein. Sie muss Rechtsvorbehalte von Rechteinhabern gegen Text- und Data-Mining (automatisierte Analyse von Inhalten) erkennen und beachten (Artikel 53 Absatz 1 Buchstabe c; Richtlinie (EU) 2019/790, Artikel 4 Absatz 3).

  • Eine Zusammenfassung der Trainingsinhalte veröffentlichen

    Veröffentlichen Sie eine hinreichend detaillierte Zusammenfassung der Inhalte, die für das Training des Modells verwendet wurden, nach der Vorlage des KI-Büros (Artikel 53 Absatz 1 Buchstabe d).

Anbieter von Modellen unter einer freien und quelloffenen Lizenz sind von den ersten beiden Pflichten, Dokumentation und Information, ausgenommen, wenn Gewichte, Architektur und Nutzungsinformationen öffentlich sind. Die Urheberrechtsstrategie und die Zusammenfassung bleiben Pflicht. Die Ausnahme gilt nicht für Modelle mit systemischem Risiko (Artikel 53 Absatz 2).

Modelle mit systemischem Risiko haben vier weitere Pflichten

Ein Modell hat ein systemisches Risiko, wenn es Fähigkeiten mit hoher Wirkkraft hat (Artikel 51 Absatz 1 Buchstabe a). Das sind Fähigkeiten, die denen der fortschrittlichsten GPAI-Modelle entsprechen oder sie übersteigen (Artikel 3 Nummer 64). Die Verordnung vermutet das, wenn das Training mehr als 1025 Gleitkommaoperationen (FLOPs) erforderte (Artikel 51 Absatz 2). Die Kommission kann ein Modell auch einstufen. Diese Anbieter müssen zusätzlich die Pflichten aus Artikel 55 erfüllen.

  • Das Modell bewerten und testen

    Bewerten Sie das Modell mit standardisierten Protokollen und Instrumenten, die dem Stand der Technik entsprechen. Dazu gehören Angriffstests (gezielte Angriffe auf das Modell, um Schwächen zu finden) (Artikel 55 Absatz 1 Buchstabe a).

  • Systemische Risiken bewerten und mindern

    Bewerten und mindern Sie mögliche systemische Risiken auf Unionsebene, einschließlich ihrer Ursachen (Artikel 55 Absatz 1 Buchstabe b).

  • Schwerwiegende Vorfälle melden

    Erfassen Sie schwerwiegende Vorfälle, dokumentieren Sie sie mit möglichen Abhilfemaßnahmen und melden Sie sie unverzüglich dem KI-Büro und gegebenenfalls den zuständigen nationalen Behörden (Artikel 55 Absatz 1 Buchstabe c).

  • Vor Cyberangriffen schützen

    Gewährleisten Sie ein angemessenes Maß an Cybersicherheit für das Modell und seine physische Infrastruktur (Artikel 55 Absatz 1 Buchstabe d).

Anbieter von GPAI-Modellen mit systemischem Risiko müssen diese Pflichten zusätzlich zu den Artikeln 53 und 54 erfüllen (Artikel 55 Absatz 1). Sie müssen außerdem die Kommission innerhalb von zwei Wochen informieren, nachdem das Modell die Bedingung der Fähigkeiten mit hoher Wirkkraft erfüllt oder bekannt wird, dass es sie erfüllen wird (Artikel 52 Absatz 1).

Geltungsdaten: Pflichten seit dem 2. August 2025, frühere Modelle bis zum 2. August 2027

Nach unserem Verständnis kann bei Modellen, die vor dem 2. August 2025 in Verkehr gebracht wurden, ein Verstoß gegen die Pflichten nach Artikel 53 nicht vor dem 2. August 2027 entstehen, da Artikel 111 Absatz 3 ihnen bis dahin Zeit gibt. Geldbußen nach Artikel 101 Absatz 1 Buchstaben b bis d, etwa weil ein Auskunftsverlangen nicht beantwortet, eine verlangte Maßnahme nicht befolgt oder kein Zugang für eine Bewertung gewährt wird, gelten ab dem 2. August 2026.

Was Scanara für GPAI-Anbieter leistet

Scanara entscheidet nicht, welche Pflichten für Ihr Modell gelten. Das entscheiden Sie, bei hohem Risiko mit rechtlicher Beratung.

Eine geführte Bewertung für GPAI-Anbieter

Scanara führt Sie für Ihr Modell durch die Pflichten der Artikel 53 bis 55 und hält Ihre Antworten fest. Sie entscheiden, welche Pflichten gelten, bei hohem Risiko mit rechtlicher Beratung.

Dokumente nach Anhang XI und XII

Scanara erzeugt die Dokumentation nach Anhang XI und XII aus Vorlagen, teilweise aus Ihren Antworten vorausgefüllt. Die modellspezifischen Inhalte schreiben Sie selbst.

Regelbasierte Prüfungen, keine Modelltests

Scanara prüft Code und Dokumente anhand von Regeln, die aus den Artikeln 51 bis 55 abgeleitet sind. Es testet oder bewertet Ihr Modell nicht; die Tests nach Artikel 55 bleiben Ihre Aufgabe.

Scanara-Demo öffnen

Die Einzelheiten zu verwandten Pflichten

Häufige Fragen zu GPAI-Anbietern

Mache ich mich durch die Nutzung einer API zum GPAI-Anbieter?

Nein. Wer über eine API ein KI-System auf einem GPAI-Modell aufbaut, ist nachgelagerter Anbieter. Die Pflichten aus Artikel 53 bleiben beim Modellanbieter. Wenn Sie ein Modell ändern oder feinabstimmen, kann sich die Antwort ändern: Erwägungsgrund 109 sieht vor, dass die Pflichten des Anbieters auf die Änderung beschränkt sein sollten, und die Leitlinien der Kommission sagen, ab wann eine Änderung erheblich genug ist, um Sie zum Anbieter zu machen. Die Leitlinien sind nicht rechtsverbindlich, und die Auslegung der Kommission kann sich ändern. Ist Ihr System ein Hochrisiko-KI-System, erfüllen Sie als dessen Anbieter die Hochrisiko-Anforderungen.

Gelten für Open-Source-GPAI-Modelle geringere Pflichten?

Teilweise. Modelle unter einer freien und quelloffenen Lizenz sind von zwei Pflichten ausgenommen: Dokumentation und Information nachgelagerter Anbieter (Artikel 53 Absatz 1 Buchstaben a und b). Voraussetzung sind öffentliche Gewichte, Architektur und Nutzungsinformationen. Die Urheberrechtsstrategie und die Zusammenfassung der Trainingsinhalte bleiben Pflicht. Die Ausnahme gilt nicht für Modelle mit systemischem Risiko (Artikel 53 Absatz 2).

Ab wann gelten diese Pflichten?

Seit dem 2. August 2025 für Modelle, die ab diesem Datum in der EU in Verkehr gebracht werden. Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, haben bis zum 2. August 2027 Zeit (Artikel 111 Absatz 3). Die Kommission kann ab dem 2. August 2026 Geldbußen verhängen (Artikel 101).

Ist eine Model Card vorgeschrieben?

Die Verordnung verwendet den Begriff „Model Card“ nicht. Artikel 53 Absatz 1 Buchstabe b verlangt Informationen und Dokumentation für Anbieter, die das Modell integrieren, mit mindestens den Elementen aus Anhang XII. Eine Model Card ist ein gängiges Format dafür.

Scanara bereitet Nachweise aus Ihren Repositorien vor

Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.