GPAI-Anbieter-Compliance — Artikel 53–55
EU-KI-Verordnung Compliance für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck. Transparenzpflichten nach Anhang XI, Fähigkeitsbewertung, systemische Risikobewertung, und Model-Card-Anforderungen.
Ein KI-Modell mit allgemeinem Verwendungszweck (GPAI-Modell) ist ein KI-Modell, das mit breiten Daten trainiert wurde und ein weites Spektrum an Aufgaben ausführen kann. Nach den Artikeln 53–55 der EU-KI-Verordnung unterliegen Anbieter von GPAI-Modellen verbindlichen Transparenz-, Dokumentations- und Urheberrechts-Compliance-Pflichten. Diese Pflichten sind durchsetzbar seit dem 2. August 2025 — ein Jahr vor den Pflichten für Hochrisiko-KI-Systeme. Anbieter von GPAI-Modellen mit systemischem Risiko (Schwellenwert: 10^25 FLOPs Trainingsrechenleistung) unterliegen zusätzlichen Pflichten zu Sicherheitsbewertung, Adversarial Testing und Vorfallsmeldung nach Artikel 55. Bußgelder erreichen 15 Mio. € oder 3 % des Umsatzes.
Was ist ein GPAI-Modell?
Artikel 3(63) definiert ein GPAI-Modell als KI-Modell, das mit großen Datenmengen durch Selbstüberwachung in großem Maßstab trainiert wurde, erhebliche allgemeine Verwendbarkeit aufweist und ein breites Spektrum unterschiedlicher Aufgaben kompetent ausführen kann. Große Sprachmodelle (LLMs), Foundation Models und multimodale Modelle fallen in der Regel unter diese Definition. Die Verordnung unterscheidet zwischen GPAI-Modellen und GPAI-Systemen — ein GPAI-System ist ein GPAI-Modell, das in ein KI-System integriert und vom Modellanbieter auf dem EU-Markt in Verkehr gebracht wird.
Standard-GPAI-Modelle (Art. 53)
- →Technische Dokumentation (Anhang XI)
- →Urheberrechts-Compliance-Richtlinie
- →Zusammenfassung der Trainingsdaten (Art. 53(1)(d))
- →Modellkarten und Transparenzinformationen
- →Weitergabe der Pflichten an nachgelagerte Anbieter, die das Modell nutzen
GPAI-Modelle mit systemischem Risiko (Art. 55)
- →Alle Pflichten aus Art. 53 PLUS:
- →Adversarial Testing und Red-Teaming (Art. 55(1)(a))
- →Meldung schwerwiegender Vorfälle an das europäische AI Office
- →Cybersicherheits-Schutzmaßnahmen
- →Berichterstattung zur Energieeffizienz
- →Modellevaluierung anhand der Art.-55-Benchmarks
Anforderungen an die technische Dokumentation nach Anhang XI
Anhang XI legt fest, welche technische Dokumentation Anbieter von GPAI-Modellen führen und nachgelagerten Anbietern, die das Modell integrieren, zur Verfügung stellen müssen. Die Dokumentation muss über den gesamten Lebenszyklus des Modells aktuell gehalten werden.
Allgemeine Beschreibung des GPAI-Modells
Trainings-, Feinabstimmungs- und RLHF-Methodik
Architektur und Parameteranzahl
Trainingsdatenquellen und Daten-Governance
Für das Training eingesetzte Rechenressourcen (FLOPs)
Modalitäten und Formate der Trainingsdaten
Ergebnisse der Fähigkeitsevaluierungen
Anwendbare Sicherheitsmaßnahmen und Alignment-Techniken
Bekannte oder absehbare Risiken und Gegenmaßnahmen
Leistungsbenchmarks und Evaluierungsergebnisse
Anforderungen an die Modellkarte
Nach Artikel 53(1)(b) müssen Anbieter von GPAI-Modellen eine Modellkarte erstellen und öffentlich bereitstellen, die über die vorgesehenen Verwendungszwecke, Grenzen und Evaluierungsergebnisse des Modells informiert sowie darüber, wie nachgelagerte Anbieter es sicher nutzen können. Die Modellkarte muss abdecken: vorgesehene Aufgaben und Anwendungsfälle, unterstützte Sprachen, Eingabe-/Ausgabemodalitäten, Kontextfenstergröße, Leistungsbenchmarks, bekannte Grenzen und Fehlermodi sowie angewandte Sicherheits- und Alignment-Maßnahmen.
Das europäische AI Office hat Verhaltenskodex-Leitlinien entwickelt (laufend in 2025), die detailliertere Vorgaben zu Format und Inhalt der Modellkarte zur Unterstützung der Compliance bereitstellen.
Schwellenwert für systemisches Risiko und zusätzliche Pflichten
Bei GPAI-Modellen, die mit mehr als 10^25 Gleitkommaoperationen trainiert wurden, wird nach Artikel 51(1)(a) systemisches Risiko vermutet. Dieser Schwellenwert erfasst Frontier-Modelle auf dem Stand der Technik.
Adversarial Testing, Vorfallsmeldung an das europäische AI Office, Cybersicherheitsschutz und Energieeffizienz-Berichterstattung gelten für GPAI-Modelle mit systemischem Risiko seit August 2025.
Selbstbewertung: Anbieter, die davon ausgehen, dass ihr Modell trotz Überschreitung des Rechenleistungs-Schwellenwerts kein systemisches Risiko darstellt, können das europäische AI Office benachrichtigen und eine Bewertung beantragen. Die Vermutung systemischen Risikos kann durch Fähigkeitsevaluierungen widerlegt werden, die zeigen, dass das Modell keine Merkmale systemischen Risikos nach Artikel 51(2) aufweist.
GPAI-Pflichten: bereits in Kraft (August 2025)
Die GPAI-Modellpflichten nach den Artikeln 53–55 sind seit dem 2. August 2025 durchsetzbar — ein volles Jahr vor den Pflichten für Hochrisiko-KI-Systeme. Anbieter, die bei Inkrafttreten der Verordnung bereits GPAI-Modelle auf dem EU-Markt in Verkehr brachten, hatten bis zum 2. August 2025 Zeit, ihre Modelle konform zu machen. Neue GPAI-Modelle, die nach diesem Datum in Verkehr gebracht werden, müssen von Anfang an konform sein.
Wie Scanara die Compliance von GPAI-Anbietern unterstützt
Erstellung der Anhang-XI-Dokumentation
Scanara scannt Ihr Modell-Repository und erstellt eine vorausgefüllte Vorlage für die technische Anhang-XI-Dokumentation — mit Architektur, Trainingsdaten-Governance, Fähigkeitsevaluierungen und Sicherheitsmaßnahmen.
Modellkarten-Gerüst
Erstellen Sie automatisch eine konforme Modellkarte aus Ihrem Codebasis-Scan — mit vorgesehener Verwendung, Grenzen, Evaluierungsergebnissen und Leitlinien zur nachgelagerten Integration gemäß Artikel 53(1)(b).
Bewertung des systemischen Risikos
Scanara berechnet Schätzungen der Trainingsrechenleistung aus Ihren Trainingskonfigurationsdateien und warnt, wenn sich der Schwellenwert von 10^25 FLOPs für systemisches Risiko nähert — und löst die Artikel-55-Pflichten-Checkliste aus.
Häufig gestellte Fragen
So hilft Scanara
Scanara automatisiert die EU AI Act Compliance vom Code bis zum Dossier. Verbinden Sie Ihre GitHub-Repos und erhalten Sie Compliance-Berichte in Minuten.