GPAI Code of Practice – der EU-Verhaltenskodex für allgemeine KI-Modelle ab August 2025

Seit dem 2. August 2025 gelten im EU AI Act neue Pflichten für sogenannte „General-Purpose AI Models" (GPAI-Modelle) – also KI-Modelle, die für eine breite Palette von Aufgaben einsetzbar sind, wie etwa große Sprachmodelle (LLMs). Begleitend dazu wurde am 10. Juli 2025 der GPAI Code of Practice finalisiert: ein freiwilliges Regelwerk, das konkretisiert, wie Anbieter dieser Modelle ihre gesetzlichen Pflichten in der Praxis erfüllen können.

Für viele Unternehmen wirft das sofort Fragen auf: Bin ich betroffen? Muss ich diesen Verhaltenskodex einhalten? Was bedeutet das für meine KI-Schulungspflicht nach Art. 4?

Die kurze Antwort: Für die allermeisten Unternehmen – die KI-Tools nutzen, aber keine eigenen Grundlagenmodelle entwickeln – ist der GPAI Code of Practice nicht direkt verpflichtend. Was für diese Unternehmen unmittelbar gilt, ist weiterhin die KI-Kompetenz-Pflicht nach Artikel 4 EU AI Act – seit dem 2. Februar 2025. Diese Abgrenzung ist wichtig, und dieser Artikel erklärt sie ehrlich.

*Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Die nachfolgenden Angaben basieren auf dem Wortlaut der Verordnung (EU) 2024/1689 und dem finalisierten GPAI Code of Practice (Stand: Juli 2025). Für verbindliche rechtliche Einschätzungen wenden Sie sich bitte an eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.*

Was sind GPAI-Modelle? Eine kurze Einordnung

Der Begriff „General-Purpose AI Model" (GPAI-Modell) ist in Artikel 3 Nr. 63 EU AI Act definiert: Ein KI-Modell, das mit einer großen Datenmenge und unter großem Rechenaufwand trainiert wurde, das allgemeine Fähigkeiten aufweist und das in eine Vielzahl nachgelagerter Systeme und Anwendungen integriert werden kann.

Typische Beispiele: GPT-4 und seine Nachfolger (OpenAI), Claude (Anthropic), Gemini (Google), Llama (Meta), Mistral. Diese Modelle werden von ihren Anbietern (Providern) entwickelt, trainiert und über APIs oder Lizenzen an andere weitergegeben.

Wichtige Unterscheidung:

• Anbieter eines GPAI-Modells: Das Unternehmen, das das Modell entwickelt, trainiert und in der EU auf den Markt bringt. Beispiel: OpenAI bringt GPT über die API nach Europa.
• Betreiber / Deployer: Das Unternehmen, das ein solches Modell (oder ein damit entwickeltes Produkt) in seinen eigenen Prozessen nutzt. Beispiel: Ein Unternehmen nutzt ChatGPT für die interne Texterstellung.

Diese Unterscheidung ist entscheidend – denn die GPAI-Pflichten des EU AI Act richten sich primär an die Anbieter, nicht an die Betreiber.

GPAI-Pflichten im EU AI Act (Kapitel V)

Kapitel V des EU AI Act (Artikel 51–56) enthält die spezifischen Anforderungen für GPAI-Modelle. Sie gelten ab dem 2. August 2025. Die wichtigsten Pflichten für Anbieter im Überblick:

Transparenzpflichten (Art. 53)

GPAI-Anbieter müssen technische Dokumentation erstellen, Zusammenfassungen der verwendeten Trainingsdaten bereitstellen und Informationen für nachgelagerte Anbieter und Betreiber bereitstellen. Ziel ist, dass die Nutzung des Modells für alle Beteiligten in der Lieferkette nachvollziehbar bleibt.

Urheberrechtliche Transparenz (Art. 53 Abs. 1 lit. d)

GPAI-Anbieter müssen eine Zusammenfassung der für das Training verwendeten Inhalte veröffentlichen – mit Relevanz für die Frage, ob urheberrechtlich geschütztes Material Teil der Trainingsdaten war. Eine separate EU-Durchführungsverordnung soll das Format dieser Zusammenfassungen spezifizieren.

Zusatzpflichten für systemische Risiken (Art. 55)

Für GPAI-Modelle mit „systemischem Risiko" – also besonders leistungsstarke Modelle, bei denen die für das Training verwendete Rechenleistung 10^25 FLOP überschreitet – gelten verschärfte Anforderungen: Adversarial-Testing (Red-Teaming), ernsthafte Vorfälle melden, Cybersicherheitsmaßnahmen implementieren. Diese Modelle bilden derzeit die Spitze der Leistungsfähigkeit, wie etwa Frontier-Modelle großer US-Labore.

Der GPAI Code of Practice – was er ist und was er leistet

Der GPAI Code of Practice wurde von der EU-Kommission in einem mehrmonatigen Multi-Stakeholder-Prozess unter Beteiligung von KI-Anbietern, Forschungseinrichtungen, zivilgesellschaftlichen Organisationen und nationalen Aufsichtsbehörden erarbeitet. Die finale Version wurde am 10. Juli 2025 veröffentlicht.

Er ist ein freiwilliges Instrument – kein Gesetz, keine Verordnung. Er konkretisiert aber, wie die Pflichten aus Kapitel V EU AI Act in der Praxis erfüllt werden können. GPAI-Anbieter, die den Code unterzeichnen und einhalten, können davon ausgehen, die gesetzlichen Anforderungen zu erfüllen (sog. Vermutungswirkung). Wer den Code nicht unterzeichnet, muss die gesetzlichen Anforderungen auf anderem Wege nachweisen.

Kernbereiche des GPAI Code of Practice

Der Code adressiert vier Hauptbereiche:

1. Transparenz und Urheberrecht Konkrete Anforderungen daran, wie Trainingsdaten dokumentiert, Opt-out-Mechanismen für Urheber respektiert und Zusammenfassungen über verwendete Inhalte erstellt werden.

2. Safety und Sicherheit für alle GPAI-Modelle Baseline-Sicherheitsmaßnahmen für alle GPAI-Anbieter: Sicherheitsbewertungen vor der Veröffentlichung, Mechanismen zur Meldung von Schwachstellen, grundlegende Missbrauchsschutzmaßnahmen.

3. Erweiterte Safety-Anforderungen für systemische Risiken Für die leistungsstärksten Modelle: verpflichtendes Red-Teaming, Incident Response, Kooperation mit Behörden und Austausch mit dem EU AI Office.

4. Governance und Compliance Anforderungen an interne Kontrollsysteme, Dokumentation von Entscheidungen, Berichtspflichten gegenüber dem neu geschaffenen EU AI Office, das die GPAI-Aufsicht auf europäischer Ebene koordiniert.

Für wen gilt der GPAI Code of Practice – und für wen nicht?

Das ist der entscheidende Punkt für die Praxis.

Direkt betroffen: GPAI-Anbieter

Der GPAI Code of Practice richtet sich an Unternehmen, die GPAI-Modelle entwickeln und in der EU auf den Markt bringen. Das sind derzeit vor allem eine Handvoll großer KI-Labore: OpenAI, Anthropic, Google DeepMind, Meta, Mistral AI und weitere. Auch europäische Forschungseinrichtungen oder Start-ups, die eigene Grundlagenmodelle entwickeln und diese verbreiten, fallen darunter.

Wenn Ihr Unternehmen kein eigenes KI-Grundlagenmodell entwickelt und vermarktet, sind Sie kein GPAI-Anbieter. Die GPAI-Pflichten – und damit auch der Code of Practice – betreffen Sie nicht direkt.

Nicht direkt betroffen: Betreiber und Deployer

Die allermeisten Unternehmen – von der KMU bis zum Großkonzern – nutzen KI-Tools und KI-Modelle, sie entwickeln sie nicht. Sie integrieren Dienste wie ChatGPT, Claude oder ähnliche Produkte über APIs, kaufen KI-gestützte Softwarelösungen ein oder nutzen KI-Funktionen in bestehenden Business-Anwendungen.

Diese Unternehmen sind im Sinne des EU AI Act Betreiber (Deployer) – und für sie gilt:

• Der GPAI Code of Practice ist nicht direkt anwendbar.
• Die GPAI-Transparenzpflichten des Anbieters kommen ihnen zugute (z. B. bessere Dokumentation der eingesetzten Modelle), aber sie selbst müssen den Code nicht unterzeichnen oder einhalten.
• Was für sie unmittelbar gilt: die Pflichten des Betreibers nach EU AI Act – darunter insbesondere Art. 4 (KI-Kompetenz), Art. 22 (Menschliche Aufsicht bei Hochrisiko-Systemen) und Art. 26 (Betreiberpflichten bei Hochrisiko-KI), sofern sie entsprechende Systeme einsetzen.

Ehrliche Abgrenzung: GPAI Code of Practice vs. Art. 4 EU AI Act

Die Gleichzeitigkeit beider Themen – GPAI-Pflichten ab August 2025 und die bestehende Art.-4-Pflicht seit Februar 2025 – führt in der öffentlichen Diskussion zu Verwechslungen. Deshalb eine klare Gegenüberstellung:

| Merkmal | GPAI-Pflichten / Code of Practice | Art. 4 EU AI Act (KI-Kompetenz) | |---|---|---| | Adressat | Anbieter von GPAI-Modellen | Alle Anbieter und Betreiber von KI-Systemen | | Gilt seit / ab | 2. August 2025 | 2. Februar 2025 | | Rechtsform | Gesetzlich (Kap. V), Code freiwillig | Gesetzlich, unmittelbar verbindlich | | Inhalt | Transparenz, Urheberrecht, Safety | Schulung und Nachweis von KI-Kompetenz | | Relevant für KMU? | Nein (außer bei eigener Modellentwicklung) | Ja – für jedes Unternehmen, das KI nutzt | | Bußgeldrisiko direkt? | Ja (Kap. V: bis zu 15 Mio. € oder 3 % Umsatz) | Nein – Art. 4 hat keinen eigenen Bußgeldtatbestand |

Zu den Bußgeldern: Korrekte Zuordnung

Ein häufiger Fehler in der Kommunikation: die Bußgelder von 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes werden oft pauschal mit dem EU AI Act assoziiert, ohne klarzustellen, wofür sie tatsächlich gelten. Diese Höchstbußgelder betreffen ausschließlich Verstöße gegen verbotene KI-Praktiken nach Artikel 5 – z. B. Social Scoring, verbotene biometrische Kategorisierung oder manipulative KI-Systeme. Sie sind nicht die Sanktion für fehlende Schulungsnachweise.

Für GPAI-spezifische Verstöße (z. B. fehlende Transparenz oder Sicherheitsdokumentation nach Kapitel V) sieht Art. 101 EU AI Act eigene Sanktionen vor – bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.

Für Unternehmen, die ihre Art.-4-Schulungspflicht vernachlässigen, liegt das Risiko nicht im direkten Bußgeldtatbestand, sondern im Bereich Organisationsverschulden, Haftung der Unternehmensleitung und erschwerten Aufsichtsverfahren durch die Bundesnetzagentur als nationaler Marktaufsichtsbehörde. Eine ausführliche Erklärung: Verbotene KI-Praktiken nach Art. 5 EU AI Act.

Was Betreiber trotzdem aus dem GPAI-Kontext mitnehmen sollten

Auch wenn der GPAI Code of Practice nicht direkt für Betreiber gilt, ergeben sich aus dem GPAI-Kontext praktische Implikationen:

Bessere Informationsbasis durch Transparenzpflichten der Anbieter

Da GPAI-Anbieter künftig mehr dokumentieren und offenlegen müssen, erhalten Betreiber bessere Informationen über die Modelle, die sie einsetzen: Trainingsdaten-Zusammenfassungen, technische Dokumentation, Sicherheitsbewertungen. Das hilft bei der internen Risikoeinschätzung und bei der Dokumentation eigener Compliance-Maßnahmen.

Lieferketten-Transparenz bei KI-Einkauf

Wer Software kauft oder Dienstleistungen beauftragt, in denen GPAI-Modelle verarbeitet werden, kann ab August 2025 von Anbietern mehr Informationen erwarten. Diese Informationen sollten in Vendor-Due-Diligence-Prozesse einbezogen werden.

Interne KI-Richtlinie anpassen

Eine gute KI-Richtlinie im Unternehmen reflektiert den Unterschied zwischen genutzten Modellen (Betreiber-Rolle) und möglicher eigener Modell-Entwicklung. Sie klärt, wer welche KI-Tools mit welcher Freigabe nutzen darf und welche Dokumentationspflichten intern bestehen.

Was sich für den normalen Unternehmensbetrieb ab August 2025 konkret ändert

Für Betreiber, die keine GPAI-Modelle anbieten, lautet die ehrliche Bilanz: Direkt ändert sich wenig. Die wesentliche Pflicht – KI-Kompetenz nach Art. 4 – besteht seit Februar 2025. Wer sie noch nicht erfüllt hat, sollte das jetzt nachholen.

Was sich indirekt ändern kann:

• KI-Anbieter, die Modelle in EU-Märkten vertreiben, müssen mehr Dokumentation bereitstellen. Das kann die interne Entscheidungsgrundlage für den Einsatz oder Nicht-Einsatz bestimmter Tools verbessern.
• Das EU AI Office ist jetzt aktiv und koordiniert die GPAI-Aufsicht auf europäischer Ebene. Die allgemeine Regulierungsdichte nimmt zu – ein Grund mehr, die eigenen Compliance-Strukturen jetzt zu festigen.
• Hochrisiko-KI-Systeme unterliegen ab August 2026 vollständig den Betreiberpflichten nach Art. 26. Wer solche Systeme einsetzt oder plant einzusetzen, sollte heute mit der Vorbereitung beginnen.

Den vollständigen Fristenfahrplan finden Sie hier: Fahrplan EU AI Act – welche Fristen gelten 2025, 2026, 2027?

Einordnung: Was ki-zertifizieren.de in diesem Kontext leistet

Das KI-Kompetenz-Zertifikat nach Art. 4 von ki-zertifizieren.de ist ein privatwirtschaftliches Schulungs- und Nachweisangebot – keine staatlich akkreditierte Zertifizierung, keine behördliche Anerkennung und kein Ersatz für rechtliche Beratung.

Es hilft Unternehmen – als Betreiber von KI-Systemen – dabei, die Dokumentationspflicht nach Artikel 4 nachweisbar zu erfüllen: strukturierter Lerninhalt, Abschlussprüfung, personalisiertes PDF-Zertifikat mit Verifizierungs-ID. Für Teams steht das Firmenportal mit zentraler Mitarbeiterverwaltung und Sitzlizenzen zur Verfügung.

Mit dem GPAI Code of Practice hat dieses Angebot keinen direkten Zusammenhang – die Zielgruppe ist dieselbe geblieben: Betreiber, die ihre Art.-4-Pflicht erfüllen müssen.

Fazit: GPAI Code of Practice – nützliches Wissen, aber kein Handlungsbedarf für die meisten Unternehmen

Der GPAI Code of Practice ist ein bedeutendes regulatorisches Instrument, das die Transparenz und Sicherheit von Grundlagenmodellen in Europa verbessern soll. Er ist im Juli 2025 fertiggestellt worden und begleitet die GPAI-Pflichten, die ab dem 2. August 2025 gelten.

Für die allermeisten Unternehmen in Deutschland und Europa gilt jedoch:

• Sie sind Betreiber, keine GPAI-Anbieter. Der Code of Practice richtet sich nicht direkt an sie.
• Die unmittelbar geltende Pflicht ist Art. 4 EU AI Act – KI-Kompetenz-Schulung und -Nachweis für alle Mitarbeitenden, die KI-Systeme nutzen, seit dem 2. Februar 2025.
• Die hohen Bußgelder (35 Mio. € / 7 %) betreffen verbotene Praktiken nach Art. 5, nicht fehlende Schulungen.

Wer die GPAI-Entwicklung aufmerksam verfolgen möchte, findet offizielle Informationen beim EU AI Office{target="_blank" rel="noopener"} der EU-Kommission. Für den eigenen Compliance-Fokus bleibt Art. 4 die entscheidende Pflicht – und diese lässt sich jetzt konkret und dokumentiert erfüllen.

*Disclaimer: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche rechtliche Einschätzungen zu Ihrer konkreten Situation wenden Sie sich bitte an eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.*

Noch nicht sicher, wo Ihr Unternehmen bei der KI-Kompetenz-Pflicht steht?

Der kostenlose KI-Kompetenz-Schnellcheck gibt in unter 5 Minuten eine erste Einschätzung – ohne Anmeldung, ohne Verkaufsdruck.

→ Zum kostenlosen Schnellcheck

Wenn Sie die KI-Schulungspflicht nach Art. 4 direkt und dokumentiert erfüllen möchten: Das KI-Kompetenz-Zertifikat nach Art. 4 von ki-zertifizieren.de umfasst 5–7 Lernmodule, eine Abschlussprüfung und ein personalisiertes PDF-Zertifikat mit Verifizierungs-ID – in unter 60 Minuten, für 47 € pro Person.

→ Jetzt KI-Kompetenz-Zertifikat erwerben (47 €)

Für mehrere Mitarbeitende gleichzeitig steht das Firmenportal mit zentraler Verwaltung und Staffelpreisen zur Verfügung.