Ab August 2025 greifen in der EU die ersten verbindlichen Vorgaben des KI-Gesetzes speziell für generative KI-Modelle (General-Purpose AI, GPAI). Parallel dazu hat die EU-Kommission einen freiwilligen Kodex für GPAI veröffentlicht, der als Brücke dient, bis detaillierte harmonisierte Normen und Leitlinien vollständig umgesetzt sind. Dieser Kodex adressiert Transparenz, Urheberrecht, Sicherheitsstandards und einheitliche Dokumentationspflichten – inklusive Angaben zu Modellarchitektur, Trainingsdatenkategorien, Leistungsgrenzen und Einsatzszenarien. Für besonders leistungsfähige „Frontier-Modelle“ gelten verschärfte Prüf- und Sicherheitsanforderungen im Hinblick auf systemische Risiken.
Für Unternehmen in der DACH-Region bedeutet das: Beschaffung, Entwicklung und Nutzung generativer KI müssen in Governance, Prozesse und Verträge eingebettet werden. Wer frühzeitig Strukturen schafft, reduziert Umsetzungsrisiken, verkürzt Auditzeiten und stärkt Vertrauen bei Kundinnen, Kunden und Aufsichtsbehörden.
Hinweis: Die folgenden Informationen ersetzen keine Rechtsberatung. Ziel ist, Ihnen eine umsetzungsorientierte Orientierung für Strategie, Compliance und Betrieb zu geben.
Kernelemente des GPAI-Kodex: Transparenz, Urheberrecht, Sicherheit
Der Kodex konkretisiert Erwartungen an Anbieter generativer KI. Auch wenn er freiwillig ist, entwickelt er De-facto-Standards, die in der Praxis entlang der Lieferkette relevant werden – insbesondere bei der Beschaffung.
Wesentliche Bausteine:
-
Transparenz und Dokumentation
- System-/Model Cards mit Angaben zu:
- Zweck, Fähigkeiten und Limitierungen (z. B. Verzerrungen, Halluzinationen, Unsicherheiten)
- Architekturüberblick und Trainingsansatz (inkl. Feintuning/RAG)
- Kategorien und Herkunft der Trainingsdaten (keine individuellen Datensätze offenlegen, aber nachvollziehbare Klassifizierung und Provenienz)
- Evaluierungen, Benchmarks, Sicherheits- und Belastungstests
- Bekannte Risiken und geeignete Einsatz- und Nichteinsatzszenarien
- Nutzungsanleitungen, Leitplanken und Hinweise für sichere Implementierung
-
Urheberrecht und Rechteinhaber-Management
- Beachtung von Opt-out-Signalen bei Text- und Datamining
- Prozesse für Beschwerden von Rechteinhabern (Takedown, Klärung, Remediation)
- Transparenz über den Umgang mit urheberrechtlich geschützten Inhalten im Training und bei Generierung
- Unterstützung von Inhaltsherkunft und -kennzeichnung (z. B. Wasserzeichen/Provenance)
-
Sicherheit und verantwortungsvolle Entwicklung
- Red-Teaming, Missbrauchsprävention, Robustheits- und Sicherheitsprüfungen
- Monitoring, Vorfallmanagement und Meldewege für schwerwiegende Zwischenfälle
- Maßnahmen gegen schädliche Ausgaben (z. B. Schutz gegen prompt injection, Jailbreaks, Datenabfluss)
Diese Anforderungen wirken „downstream“: Beschaffende Unternehmen werden zunehmend Nachweise (z. B. Model Cards, Audit-Reports, Urheberrechts-Compliance) vom Anbieter einfordern – und ihre eigenen Betriebsprozesse darauf abstimmen.
Frontier-Modelle: Verschärfte Prüf- und Sicherheitsanforderungen
„Frontier-Modelle“ sind besonders leistungsfähige GPAI-Systeme mit potenziell systemischen Auswirkungen. Für sie gelten strengere Erwartungen:
- Vertiefte Evaluierungen und adversarielle Tests vor und nach dem Rollout
- Dokumentierte Risikominderungsstrategien und laufendes Monitoring
- Prozesse zur Meldung schwerwiegender Vorfälle an die zuständigen Stellen
- Erhöhte Anforderungen an Sicherheit, Absicherung der Lieferkette und Missbrauchsprävention
Unternehmen, die Frontier-Modelle einkaufen oder integrieren, sollten in der Due Diligence zusätzliche Evidenzen anfordern (z. B. unabhängige Prüfberichte, Sicherheitszertifikate, Red-Team-Protokolle) und ihre produktiven Kontrollen entsprechend stärken.
Was sich für Unternehmen praktisch ändert
Die meisten Unternehmen in der DACH-Region sind „Deployers“ (Anwender) und keine Primäranbieter von Basismodellen. Dennoch entstehen konkrete Handlungsbedarfe:
-
Beschaffung und Vertragsgestaltung
- Aufnahme von GPAI-spezifischen Anforderungen in Ausschreibungen und SLAs
- Zusicherung von Transparenzdokumenten (Model Cards, Datenkategorie-Überblicke, Evaluierungen)
- Zusicherung von Urheberrechts-Compliance (Opt-outs, Beschwerdeprozesse, Remediation)
- Rechte zur Auditierung bzw. Einsicht in relevante Evidenzen
-
Nutzung und Kommunikation
- Kennzeichnung manipulierter oder synthetischer Inhalte gegenüber Endnutzern (Transparenzpflichten)
- Einführung von Richtlinien zur verantwortungsvollen Nutzung und menschlicher Aufsicht
- Prozesse zur Behandlung von Beschwerden (intern und von Dritten)
-
Eigene Entwicklung/Fine-Tuning
- Wer Modelle selbst trainiert oder substanziell weiterentwickelt, kann in Anbieterpflichten hineinwachsen
- Erforderlich: vollständige Dokumentation, Urheberrechts-Compliance, Sicherheits- und Qualitätssicherung, wenn Modelle extern bereitgestellt werden
-
Interne Governance
- Integration in Datenschutz-, Informationssicherheits- und Qualitätsmanagement
- Klare Rollen (z. B. AI Product Owner, Compliance Lead), Freigabeprozesse und Kontrollpunkte
Roadmap bis August 2025: In neun Schritten zur Umsetzung
1) Reifegrad- und Gap-Analyse
- Bestandsaufnahme Ihrer KI-Nutzung (Inventar von Modellen, Use Cases, Anbietern, Datenströmen)
- Abgleich mit GPAI-Kodex, EU-KI-Gesetz und bestehenden Policies
2) Governance etablieren
- Einführung oder Erweiterung eines AI Management Systems (z. B. nach ISO/IEC 42001)
- Definition von Rollen, Gremien, Freigabeverfahren, Eskalationswegen
3) Policy-Framework aktualisieren
- AI-Nutzungsrichtlinien, Prompting-Guidelines, Kennzeichnungsregeln für synthetische Inhalte
- Urheberrechtsleitlinie inkl. TDM-Opt-out-Respekt, Lizenzmanagement und Remediation
4) Beschaffung und Verträge
- GPAI-Anforderungen in RfPs, Verträge und SLAs integrieren
- Checklisten für Anbieter: Model Card, Datenkategorien, Copyright-Compliance, Red-Teaming, Incident-Response
5) Technische Kontrollen
- Content-Provenance (z. B. Wasserzeichen/C2PA), Output-Kennzeichnung, Logging und Audit-Trails
- Zugriffskontrollen, Data Loss Prevention, Secret Management, Monitoring
6) Risiko- und Qualitätsmanagement
- Use-Case-Risikobewertungen, Nebenwirkungsanalysen, Bias-Checks
- Evaluierungen gegen aussagekräftige Benchmarks und realistische Szenarien
7) Schulung und Befähigung
- Trainings für Fachbereiche, Compliance, IT, Einkauf und Kommunikation
- Übung von Vorfall- und Beschwerdeprozessen (Tabletop-Übungen)
8) Pilotierung und schrittweiser Rollout
- Sandbox-Ansätze mit klaren Exit-Kriterien
- Messbare KPIs (Qualität, Effizienz, Compliance, Nutzerakzeptanz)
9) Audit-Readiness und kontinuierliche Verbesserung
- Evidenzsammlung, Dokumentationsreviews, interne Audits
- Lessons Learned und Updates der Kontrollen nach Produktivstart
Technische und organisatorische Maßnahmen, die sich bewähren
- Modell- und Systeminventar
- Vollständiges Register produktiver und experimenteller Modelle inkl. Zweck, Owner, Datenquellen, Risiken
- Dokumentation und Nachweisführung
- System-/Model Cards, Datenblätter, Evaluierungsprotokolle, Änderungsverfolgung (Change Logs)
- Daten- und Urheberrechtsmanagement
- Nachvollziehbarkeit der Datenherkunft, Lizenzprüfung, Opt-out-Respekt, Lösch- und Remediationsprozesse
- Sicherheit und Robustheit
- Red-Teaming, Prompt-Filter, Abwehr von Prompt Injection, Rate Limiting, Anomalieerkennung
- Transparenz und Kennzeichnung
- Erkennbare Markierung synthetischer Inhalte, wo erforderlich
- Implementierung von Wasserzeichen/Provenance und entsprechende Richtlinien
- Menschliche Aufsicht
- Vier-Augen-Prinzip bei kritischen Ausgaben, Freigabe-Workflows und Eskalationspfade
- Monitoring und Betrieb
- Qualitätsmetriken, Drift-Erkennung, Feedbackschleifen aus dem Fachbereich
- Schnittstellen zu Datenschutz und Informationssicherheit
- DPIA/DSFA-Abgleich, Datenminimierung, Zweckbindung, Integration in ISMS (z. B. ISO/IEC 27001)
Branchenfokus: Was für Ihre Domäne besonders wichtig ist
-
Fertigung
- Generative KI für Wartungsdokumentation, Anleitungen, Qualitätssicherung
- Schwerpunkte: IP-Schutz, Lieferketten-Transparenz, Kennzeichnung technischer Inhalte und klare Nichteinsatzszenarien in sicherheitskritischen Kontexten
-
Finanzdienstleistungen
- KI-gestützte Berichte, Kundenkommunikation, Code-Generierung für interne Tools
- Schwerpunkte: Modellrisikomanagement, Nachvollziehbarkeit, Konsistenz mit regulatorischen Offenlegungspflichten, strenge Zugriffskontrollen
-
Gesundheitswesen
- Assistenz bei Dokumentation, Entwürfe von Patienteninformationen, Wissensmanagement
- Schwerpunkte: Datenschutz in besonderem Maße, menschliche Aufsicht, keine Überschreitung in diagnostische oder therapeutische Entscheidungen ohne zugelassene Systeme
-
Handel/Einzelhandel
- Content-Erstellung, Produktbeschreibungen, Kundenservice
- Schwerpunkte: Kennzeichnung generierter Inhalte, Marken- und Urheberrechts-Compliance, Moderation nutzergenerierter Inhalte
In allen Domänen gilt: Wenn GPAI in „hochrisikorelevante“ Funktionen einfließt (z. B. Personalentscheidungen, kritische Infrastruktur, medizinische Kontexte), steigen Prüf- und Dokumentationsanforderungen deutlich. Planen Sie Kontrollen entsprechend.
Standards und Referenzrahmen sinnvoll nutzen
- ISO/IEC 42001: Managementsystem für KI – verankert Governance, Rollen, Prozesse und kontinuierliche Verbesserung
- ISO/IEC 27001/27701: Informationssicherheit und Datenschutz-Erweiterung – technische und organisatorische Basis
- ISO/IEC 23894: Risikomanagement für KI – systematische Identifikation und Steuerung von KI-Risiken
- NIST AI Risk Management Framework: Praktische Leitlinien zu Risiken, Metriken und Controls
- C2PA/Provenance-Standards: Nachweis der Herkunft und Kennzeichnung von Inhalten
- Branchenleitlinien und EU-Leitfäden: Ergänzen den GPAI-Kodex mit domänenspezifischen Anforderungen
Die Kombination dieser Standards mit den EU-Vorgaben minimiert Interpretationsspielräume und erhöht Auditfähigkeit und Vertrauen.
Wie Sie sich jetzt zielgerichtet vorbereiten – mit Unterstützung
Viele Unternehmen haben bereits Pilotprojekte, aber noch keinen durchgängigen GPAI-Compliance-Ansatz. Folgende Aktivitäten schaffen schnell Wirkung:
- Initiale Standortbestimmung (Inventar, Risiko-Heatmap, Prioritäten)
- Erstellung oder Aktualisierung von AI-Policies inkl. Kennzeichnung und Urheberrecht
- Lieferanten-Due-Diligence mit GPAI-Checklisten und Vertragsbausteinen
- Aufbau von Dokumentation (Model Cards, Datenblätter, Evaluierungsdossiers)
- Etablierung eines schlanken AI-Governance-Gremiums und klarer Freigabeprozesse
- Schulungen für Fachbereiche, Einkauf, Recht/Compliance und IT
AIStrategyConsult unterstützt Unternehmen in der DACH-Region dabei, diese Bausteine pragmatisch umzusetzen – von der maßgeschneiderten KI-Strategie über Compliance- und Governance-Beratung (u. a. EU-KI-Gesetz, ISO/IEC 42001) bis zu Prozessoptimierung, datengetriebenen Insights sowie Trainings und Workshops. Unser Ansatz verbindet technisches KI-Know-how mit betriebswirtschaftlicher Perspektive, damit Sie die Chancen generativer KI sicher und nachhaltig heben – und ab August 2025 souverän compliant sind.
