EU AI Act: Seit dem 2. August kann die Kommission Modelle prüfen und Bußgelder verhängen
Das AI Office darf Unterlagen anfordern, Modelle selbst testen und Maßnahmen anordnen. Bußgeld: bis 3 Prozent Weltumsatz oder 15 Millionen Euro.
Seit dem 2. August 2026 kann die Europäische Kommission die Regeln des EU AI Act für Anbieter von KI-Basismodellen erstmals selbst durchsetzen. Die Pflichten für sogenannte GPAI-Modelle, also Modelle für allgemeine Zwecke, gelten bereits seit dem 2. August 2025. Neu ist nicht die Regel, sondern die Möglichkeit, sie zu erzwingen.
Zuständig ist das AI Office der Kommission. Daneben wirken nationale Marktüberwachungsbehörden, der Europäische Datenschutzbeauftragte und ein wissenschaftliches Gremium mit, das qualifizierte Warnungen zu vermuteten Verstößen aussprechen kann.
Welche Befugnisse jetzt greifen
Die Verordnung gibt der Kommission drei Werkzeuge an die Hand:
- Auskunft und Unterlagen (Artikel 91). Anbieter müssen technische Dokumentation und weitere erforderliche Informationen herausgeben, etwa zu Trainingsdaten, Urheberrechtsstrategie und Sicherheitstests.
- Eigene Modellevaluierung (Artikel 92). Die Kommission kann Zugang zu einem Modell verlangen und es selbst testen, um die Einhaltung zu prüfen oder systemischen Risiken nachzugehen. Unabhängige Sachverständige können hinzugezogen werden.
- Korrekturmaßnahmen (Artikel 93). Angeordnet werden können Nachbesserungen, Maßnahmen zur Risikominderung sowie Einschränkung oder Rücknahme eines Modells vom Markt.
Der Bußgeldrahmen liegt nach Artikel 101 bei bis zu 3 Prozent des weltweiten Jahresumsatzes oder 15 Millionen Euro, je nachdem, welcher Betrag höher ist. Relevant ist dabei, dass die Verstöße unabhängig voneinander zählen: Ein nicht regelkonformes Modell und eine ignorierte Auskunftsanordnung sind zwei getrennte Anknüpfungspunkte.
Räumlich gilt der Rahmen unabhängig vom Sitz des Anbieters. Erfasst ist jedes Unternehmen, das ein Modell für allgemeine Zwecke in der EU bereitstellt.
Unterschiedliche Fristen je nach Veröffentlichungsdatum
Für die Praxis wichtig ist die Stichtagsregel. Modelle, die am oder nach dem 2. August 2025 auf den Markt kamen, unterliegen der Durchsetzung sofort. Für ältere Modelle läuft die Frist bis zum 2. August 2027.
Ein Anbieter kann also Teile seines Portfolios bereits vollständig im Anwendungsbereich haben und andere noch nicht. Wer Modelle einsetzt, sollte deshalb wissen, wann das konkret genutzte Modell in der EU verfügbar wurde.
Der Code of Practice schützt nicht vor Verfahren
Der freiwillige Verhaltenskodex für GPAI-Anbieter wird bei der Bemessung von Bußgeldern berücksichtigt und als Zeichen guten Willens gewertet. Ein Schutz vor Durchsetzung ist er nicht.
Hinzu kommt, dass Anbieter einzelne Kapitel des Kodex getrennt unterzeichnen können. Die Aussage, ein Anbieter habe den Code of Practice unterschrieben, sagt für sich genommen also wenig darüber aus, welche Pflichten er tatsächlich übernommen hat.
Wer ein fremdes Modell in ein eigenes Produkt einbaut, übernimmt dessen regulatorische Ausgangslage mit.
Was das für Ihr Unternehmen heißt
Die neuen Befugnisse richten sich an die Anbieter der Modelle, nicht an deren Nutzer. Mittelbar betrifft es trotzdem jeden, der ein solches Modell in eigene Anwendungen einbaut, denn eine angeordnete Einschränkung oder Rücknahme trifft am Ende die darauf aufgebauten Produkte.
Drei Punkte sind aus Anwendersicht sinnvoll:
- Notieren Sie, welches Modell in welcher Version Sie einsetzen und seit wann es in der EU verfügbar ist. Das entscheidet über die geltende Frist.
- Prüfen Sie, welche Kapitel des Verhaltenskodex Ihr Anbieter unterzeichnet hat. Diese Information ist öffentlich und aussagekräftiger als die bloße Teilnahme.
- Halten Sie einen Wechselpfad offen. Anwendungen, die über eine austauschbare Schnittstelle auf das Modell zugreifen, sind gegen Marktveränderungen deutlich unempfindlicher als fest verdrahtete Integrationen.
Was das für die Pflichten auf Anwenderseite bedeutet, welche Transparenzregeln seit dem 2. August gelten und was der Digital Omnibus auf Dezember 2027 verschoben hat, steht im Beitrag EU AI Act ab 2. August 2026.
