Ihr praktischer Leitfaden zum EU AI Act und den GPAI-Leitlinien

Das EU KI-Gesetz verfolgt einen risikobasierten Ansatz: Je größer das Risiko eines KI-Systems oder Modells, desto strenger die Anforderungen. Für GPAI-Modelle gelten dabei zwei Kategorien:

• Alle GPAI-Modelle ab einem Trainingsaufwand von mehr als 10²³ FLOP unterliegen grundlegenden Transparenz- und Dokumentationspflichten
• GPAI-Modelle mit systemischem Risiko – solche mit mehr als 10²⁵ FLOP – unterliegen deutlich strengeren Anforderungen: verpflichtende Modellbewertungen, Meldepflichten bei schwerwiegenden Vorfällen und Cybersicherheitsmaßnahmen

Wichtig: Die Pflichten des EU KI-Gesetzes gelten nicht nur für Anbieter großer Basismodelle wie OpenAI oder Meta. Auch Unternehmen, die GPAI-Modelle in eigene Produkte integrieren oder fine-tunen, tragen Verantwortung – abhängig davon, wie stark sie das Modell verändern.

Die GPAI-Leitlinien schaffen in drei Bereichen neue Klarheit:

Berechnung der Trainingsschwellenwerte: Die Leitlinien definieren, wie FLOP-Werte berechnet werden und welche öffentlichen Quellen für Schätzungen genutzt werden können – entscheidend, um zu beurteilen, ob ein Modell überhaupt in den Regelungsbereich fällt.

Dokumentationspflichten: Je nach Modellkategorie und Rolle sind unterschiedliche Dokumentationen erforderlich – von technischen Beschreibungen und Trainingsdaten-Zusammenfassungen bis hin zu Risikobewertungen für Modelle mit systemischem Risiko.

Verteilung der Pflichten entlang der Wertschöpfungskette: Die Leitlinien klären, welche Anforderungen bei welchem Akteur liegen – abhängig davon, ob ein Modell lediglich genutzt, integriert oder aktiv modifiziert wird.

Wenn Ihr Unternehmen GPAI-Modelle in KI-Produkte oder -Dienste integriert oder modifiziert, helfen diese fünf Schritte dabei, Ihre Pflichten zu erfüllen:

1. Use-Case-Inventar erstellen Führen Sie ein aktuelles Inventar aller KI-Systeme, die GPAI-Modelle enthalten. Dokumentieren Sie Lizenzinformationen und die geschätzte Trainings-Rechenleistung je Modell, um zu prüfen, ob die Schwellenwerte von 10²³ FLOP (GPAI) oder 10²⁵ FLOP (systemisches Risiko) überschritten werden.

2. Lückenanalyse und Governance-Richtlinien einrichten Leiten Sie aus dem AI Act, dem Code of Practice und den GPAI-Leitlinien ab, welche Pflichten für jedes Modell gelten. Da die meisten nachgelagerten Anbieter keine Modelle von Grund auf trainieren, liegt der Schwerpunkt auf Pflichten rund um Integration und Modifikation.

3. Use-Case-Priorisierung aktualisieren Integration und Fine-Tuning von GPAI-Modellen können unterschiedliche Compliance-Stufen auslösen. Berücksichtigen Sie bei der Priorisierung: Welches Modell? Wie stark modifiziert? Welches Lizenzmodell?

4. Compliance-Richtlinien konsequent anwenden und überwachen Stellen Sie sicher, dass Ihre Richtlinien jedes Mal greifen, wenn KI-Teams ein GPAI-Modell entwickeln, integrieren oder modifizieren. Erzeugen und bewahren Sie Compliance-Nachweise. Je nach Risikotoleranz empfiehlt sich ein mehrschichtiges Kontrollsystem aus internen Reviews, Responsible-AI-Oversight und externen Audits.

5. KI-Kompetenz der Belegschaft aufbauen Definieren und implementieren Sie rollenspezifische KI-Kompetenz-Trainings – von KI-Anwenderinnen und -Anwendern über Systementwickler bis hin zu KI-Koordinatoren und Führungskräften.

Ein häufiger Fehler: Compliance wird als rein rechtliche oder technische Aufgabe verstanden. In der Praxis erfordert die Umsetzung des EU KI-Gesetzes jedoch eine enge Zusammenarbeit zwischen drei Teams:

Das Governance-Team identifiziert rechtliche Pflichten, bewertet Risiken und koordiniert Audits. Das Platform-Team übersetzt diese Anforderungen in technische Spezifikationen, standardisiert MLOps-Prozesse und automatisiert Logging und Reporting. Das Engineering-Team entwickelt die KI-Systeme und stellt sicher, dass sie die definierten Standards erfüllen.

Nur wenn alle drei Teams mit gemeinsamen Prozessen, klarer Dokumentation und automatisierten Prüfmechanismen arbeiten, entsteht eine skalierbare und belastbare Compliance-Struktur.

Die GPAI-Leitlinien sind ein wichtiger Schritt zu mehr Klarheit. Die eigentliche Herausforderung liegt jedoch in der Umsetzung: Wie integriere ich diese Anforderungen in bestehende Prozesse? Wie stelle ich sicher, dass meine Teams konform arbeiten – ohne den Innovationsmotor zu drosseln?

appliedAI unterstützt Unternehmen dabei, genau diese Lücke zu schließen: mit GPAI-spezifischer Governance, technischer Begleitung bei der compliant-by-design Entwicklung und rollenspezifischen KI-Kompetenz-Trainings.

Ganz gleich, ob Sie KI-Systeme entwickeln, integrieren oder prüfen – unser Ziel ist es, Ihnen dabei zu helfen, schneller und mit größerer Sicherheit von der Regulierung zur Umsetzung zu gelangen.

Sie möchten wissen, welche GPAI-Pflichten für Ihr Unternehmen gelten? Sprechen Sie mit uns – wir unterstützen Sie dort, wo Sie uns brauchen.