GPAI: Welche Dokumentation Unternehmen brauchen
4 Min. Lesezeit
Wer ChatGPT, Copilot oder Claude im Unternehmen nutzt, muss dafür nicht automatisch vier gesetzlich vorgeschriebene GPAI-Dokumentationsblöcke anlegen. Die EU-KI-Verordnung unterscheidet zwischen Anbietern allgemeiner KI-Modelle, Anbietern von KI-Systemen und deren Betreibern. Für Unternehmen kommt es auf ihre Rolle und den konkreten Einsatz an. Ein internes Verzeichnis kann dennoch helfen, Zuständigkeiten und Risiken zu überblicken.
Das Wichtigste in Kürze
- Die GPAI-Regeln richten sich an Modellanbieter. Sie müssen unter anderem technische Dokumentation erstellen und Informationen für nachgelagerte Systemanbieter bereitstellen. Für bestimmte frei lizenzierte Modelle gelten Ausnahmen.
- Die eigene Rolle entscheidet über die Pflichten. Wer ein fertiges KI-System beruflich einsetzt, ist grundsätzlich Betreiber. Wer ein System unter eigenem Namen entwickelt oder entwickeln lässt und auf den Markt bringt oder in Betrieb nimmt, kann Anbieter sein.
- Ein Einsatzverzeichnis ist eine praktische Empfehlung. Es schafft Überblick über Zweck, Daten und Verantwortlichkeiten. Eine allgemeine Pflicht zu einem festen Dokumentationsschema folgt daraus nicht.
Modell, Anwendung und Rolle auseinanderhalten
Was ist ein GPAI-Modell? Ein Modell für künstliche Intelligenz mit allgemeinem Verwendungszweck kann ein breites Spektrum unterschiedlicher Aufgaben erfüllen und in verschiedene nachgelagerte Systeme eingebunden werden. Ein KI-System ist die Anwendung, mit der eine Organisation oder ihre Beschäftigten arbeiten. Ein solches System kann auf einem GPAI-Modell aufbauen.
Die EU-KI-Verordnung unterscheidet zwischen Akteuren entlang dieser Kette. Der Anbieter eines GPAI-Modells hat andere Aufgaben als der Anbieter eines KI-Systems. Ein Unternehmen, das ein fertiges System in eigener Verantwortung beruflich nutzt, ist grundsätzlich dessen Betreiber.
Die Einbindung eines Modells in einen Workflow macht den Einsatz für sich genommen nicht zum Hochrisikosystem. Entscheidend sind die Merkmale des Systems und sein vorgesehener Zweck. Entwickelt ein Unternehmen eine eigene Anwendung oder verändert es ein bestehendes System wesentlich, sollte es seine Rolle und die daraus folgenden Pflichten gesondert prüfen.
Welche Pflichten Modellanbieter treffen
Für Anbieter von GPAI-Modellen gelten die einschlägigen Regeln grundsätzlich seit dem 2. August 2025. Dazu gehören technische Dokumentation, Informationen für nachgelagerte Anbieter von KI-Systemen, eine Strategie zur Einhaltung des EU-Urheberrechts und eine veröffentlichte Zusammenfassung der für das Training verwendeten Inhalte. Für bestimmte frei und offen lizenzierte Modelle sieht die Verordnung Ausnahmen vor. Bei Modellen mit systemischem Risiko kommen zusätzliche Pflichten hinzu.
Für Modelle, die vor dem 2. August 2025 auf den Markt gebracht wurden, müssen die Anbieter ihre Pflichten bis zum 2. August 2027 erfüllen. Seit dem 2. August 2026 kann die Kommission die Einhaltung gegenüber Modellanbietern durchsetzen. Die EU-Kommission erläutert die Fristen in ihren Leitlinien.
Diese Modellanbieterpflichten lassen sich nicht allein deshalb auf ein mittelständisches Unternehmen übertragen, weil es eine Lizenz für eine darauf aufbauende Anwendung kauft. Eine Anbietererklärung ist dennoch ein nützlicher Ausgangspunkt, um Funktionen, Grenzen und Einsatzbedingungen zu verstehen.
Was Unternehmen beim Einsatz prüfen sollten
Für Betreiber hängen konkrete Anforderungen vom System und seinem Verwendungszweck ab. Bei bestimmten Anwendungen gelten Transparenzpflichten. Für Hochrisikosysteme sieht die Verordnung besondere Betreiberpflichten vor. Die EU-Kommission nennt für Hochrisikosysteme in sensiblen Bereichen wie Beschäftigung den 2. Dezember 2027 als Beginn der entsprechenden Regeln. Für Hochrisiko-KI in regulierten Produkten gilt ein anderer Zeitplan.
Ein System, das Bewerbungen für eine Auswahl bewertet oder sortiert, verlangt deshalb eine genauere Prüfung seines vorgesehenen Zwecks und der Einordnung. Eine allgemeine gesetzliche Vier-Augen-Regel für jede KI-gestützte Bewerbungsentscheidung lässt sich daraus nicht ableiten. Auch eine pauschale Pflicht zur Stichprobenprüfung jeder KI-Anwendung folgt aus der Verordnung nicht.
Unabhängig von dieser Einordnung verlangt Artikel 4 der Verordnung von Anbietern und Betreibern Maßnahmen für ein angemessenes Maß an KI-Kompetenz bei Personen, die in ihrem Auftrag mit KI-Systemen umgehen. Welche Maßnahmen passen, hängt unter anderem von deren Kenntnissen und dem Einsatzkontext ab.
Ein Einsatzverzeichnis als Arbeitshilfe
Für die interne Steuerung empfiehlt sich eine Übersicht der verwendeten Anwendungen. Sie kann festhalten, wofür ein System eingesetzt wird, wer verantwortlich ist, welche Datenarten eingegeben werden und welche Vorgaben des Anbieters gelten. Dazu gehört auch die Frage, wer Ergebnisse vor einer Verwendung prüft und wann eine fachliche oder rechtliche Prüfung nötig ist.
Bei Anwendungen mit möglichen Auswirkungen auf Beschäftigte oder Bewerber sollte das Unternehmen den konkreten Zweck und die Rolle der Software besonders sorgfältig prüfen. Die Übersicht kann außerdem auf relevante Anbieterinformationen und interne Entscheidungen verweisen. Sie ist eine praktische Organisationshilfe und ersetzt keine Prüfung der jeweils anwendbaren Pflichten.
Häufige Fragen
Macht eine ChatGPT- oder Copilot-Lizenz ein Unternehmen zum GPAI-Modellanbieter?
Der bloße Bezug und Einsatz einer solchen Anwendung macht das Unternehmen nicht automatisch zum Anbieter des zugrunde liegenden Modells. Die rechtliche Rolle hängt von den konkreten Tätigkeiten ab.
Muss jeder KI-Einsatz in vier festen Blöcken dokumentiert werden?
Eine allgemeine Pflicht zu einem festen Schema sieht der AI Act nicht vor. Je nach Rolle, System und Verwendungszweck können konkrete Pflichten gelten. Ein internes Verzeichnis ist darüber hinaus als Organisationshilfe sinnvoll.
Wann gelten die GPAI-Pflichten für Modellanbieter?
Grundsätzlich seit dem 2. August 2025. Für Modelle, die vorher auf den Markt kamen, müssen Anbieter die Vorgaben bis zum 2. August 2027 erfüllen. Die Durchsetzungsbefugnisse der Kommission gelten seit dem 2. August 2026.
Weiterlesen auf MyBusinessFuture
MyBusinessFutureWenn KI-Tools plötzlich die Marge fressenMyBusinessFutureProzessoptimierung scheitert an der Übergabe, nicht am ToolMyBusinessFutureWer drei Tage braucht, hat den Lead schon verlorenMehr aus dem MBF Media Netzwerk
cloudmagazinGoogle Gemini im Unternehmen: was der AI Act erzwingtDigital ChiefsTech-Mandate im Aufsichtsrat: NIS2, EU AI Act und der Skill-GapSecurityTodayAdaptive MFA: die Werkseinstellung reicht nichtBildquelle: KI-generiert (November 2026)
