Der EU AI Act unterscheidet zwischen KI-Modellen mit allgemeinem Verwendungszweck — General-Purpose AI, kurz GPAI — und KI-Systemen, die solche Modelle für einen bestimmten Zweck einsetzen. Für Entwicklerinnen und Entwickler, die ein grosses Sprachmodell über eine Schnittstelle in ihr Produkt einbauen, ist diese Unterscheidung zentral. Die meisten GPAI-Pflichten treffen nicht sie, sondern die Modellanbieter. Ihre eigenen Pflichten ergeben sich aus dem System, das sie bauen.
Wer GPAI-Anbieter ist
Anbieter eines GPAI-Modells ist, wer ein solches Modell entwickelt und unter eigenem Namen auf den Markt bringt — typischerweise die grossen Modellhersteller. Ihre Pflichten gelten seit dem 2. August 2025: technische Dokumentation des Modells, Informationen für nachgelagerte Anbieter, die das Modell integrieren, eine Strategie zur Einhaltung des Urheberrechts und eine öffentlich verfügbare Zusammenfassung der Trainingsinhalte nach einer Vorlage der Kommission. Für Modelle mit systemischem Risiko kommen Bewertungen, Risikominderung, Meldung schwerwiegender Vorfälle und Cybersicherheit hinzu. Die Kommission überwacht diese Pflichten über das KI-Büro und kann sie seit dem 2. August 2026 durchsetzen; für Modelle, die bereits vor August 2025 auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. August 2027.
Ein freiwilliger Verhaltenskodex für GPAI-Anbieter, im Sommer 2025 veröffentlicht, beschreibt, wie diese Pflichten erfüllt werden können. Viele grosse Anbieter haben ihn unterzeichnet.
Wer ein GPAI-Modell integriert
Wer ein Sprachmodell über eine Schnittstelle in eine eigene Anwendung einbaut und diese unter eigenem Namen anbietet, ist Anbieter eines KI-Systems, nicht eines GPAI-Modells. Die Pflichten richten sich nach dem Zweck dieses Systems. Ein Assistent, der Texte zusammenfasst, hat andere Pflichten als ein System, das Bewerbungen vorsortiert. Fällt das System unter eine der Hochrisiko-Kategorien des Anhangs III, gelten die Hochrisiko-Pflichten nach dem Digital-Omnibus ab dem 2. Dezember 2027.
Die Informationspflichten der Modellanbieter sind für Integratoren nützlich: Sie erhalten Angaben über Fähigkeiten, Grenzen und bekannte Risiken des Modells, die sie für ihre eigene Einstufung und Dokumentation verwenden können. Es lohnt sich, diese Unterlagen aktiv anzufordern und abzulegen.
Fine-Tuning und Veränderung von Modellen
Wer ein GPAI-Modell anpasst, wird dadurch nicht automatisch selbst zum GPAI-Anbieter. Nach den Leitlinien der Kommission ist das erst bei einer erheblichen Veränderung des Modells mit entsprechendem Rechenaufwand der Fall, und dann beschränken sich die Pflichten auf die vorgenommene Änderung. Für das übliche Fine-Tuning auf eine Unternehmensaufgabe bleibt man Anbieter des eigenen KI-Systems. Das sollte dokumentiert werden, weil Kunden zunehmend danach fragen.
Transparenzpflichten für alle
Unabhängig vom Risiko gelten seit dem 2. August 2026 die Transparenzpflichten des Artikels 50. Menschen müssen erkennen können, dass sie mit einem KI-System interagieren, sofern das nicht aus den Umständen offensichtlich ist. Anbieter von Systemen, die synthetische Texte, Bilder, Audio oder Video erzeugen, müssen diese ab dem 2. Dezember 2026 maschinenlesbar kennzeichnen. Wer Deepfakes einsetzt, muss sie offenlegen. Für Entwickler von Chatbots und Content-Funktionen sind das die Pflichten, die am unmittelbarsten wirken.
KI-Kompetenz im eigenen Team
Seit dem 2. Februar 2025 gilt zudem die Pflicht zur KI-Kompetenz nach Artikel 4: Personen, die KI-Systeme entwickeln, betreiben oder nutzen, müssen ausreichend geschult sein. Für Entwicklerteams heisst das konkret, die Grenzen der eingesetzten Modelle zu kennen — Halluzinationen, Prompt Injection, Verzerrungen — und zu wissen, welche Pflichten aus dem eigenen Produkt folgen.
Was Integratoren jetzt tun sollten
- Für jedes Produkt mit LLM-Funktion festhalten, welches Modell von welchem Anbieter eingesetzt wird.
- Die Unterlagen des Modellanbieters anfordern und ablegen.
- Den Zweck jeder KI-Funktion beschreiben und gegen Anhang III prüfen.
- Transparenzpflichten im Produkt umsetzen: Kennzeichnung von KI-Interaktion und synthetischen Inhalten.
- Bei Fine-Tuning dokumentieren, warum man Systemanbieter bleibt.
- Schulungen für das Team nach Rolle durchführen und festhalten.
Einordnung
Für die meisten SaaS-Unternehmen, die Sprachmodelle einsetzen, sind die direkten GPAI-Pflichten weniger relevant als die Pflichten aus dem eigenen System: Transparenz, KI-Kompetenz und gegebenenfalls Hochrisiko-Anforderungen. Innopulse unterstützt bei der Einstufung und der technischen Umsetzung; für rechtlich strittige Abgrenzungen empfehlen wir eine spezialisierte Kanzlei.