GPAI (General Purpose AI): GPAI (General Purpose AI) bezeichnet KI-Modelle mit allgemeinem Verwendungszweck nach Art. 3 Nr. 63 KI-Verordnung — etwa große Sprachmodelle. Sie können viele verschiedene Aufgaben ausführen und unterliegen seit dem 2. August 2025 eigenen Anbieterpflichten (Art. 53 ff.).
Ein GPAI-Modell ist kein fertiges Produkt, sondern die Grundlage vieler Anwendungen: Dasselbe Sprachmodell kann Texte übersetzen, Code schreiben oder einen Support-Chatbot antreiben. Die KI-Verordnung reguliert deshalb zwei Ebenen getrennt — das Modell (GPAI-Regeln) und das darauf aufgebaute KI-System (Risikoklassen-Regeln).
Anbieter von GPAI-Modellen müssen nach Art. 53 unter anderem:
- technische Dokumentation erstellen und aktuell halten
- nachgelagerten Anbietern Informationen zur Integration bereitstellen
- eine Strategie zur Einhaltung des EU-Urheberrechts umsetzen
- eine hinreichend detaillierte Zusammenfassung der Trainingsdaten veröffentlichen
Verschärfte Pflichten gelten für GPAI-Modelle mit systemischem Risiko (Art. 55): Modellevaluierungen, Risikominderung, Meldung schwerwiegender Vorfälle und Cybersicherheit. Ein systemisches Risiko wird vermutet, wenn die Trainingsrechenleistung 10^25 FLOP übersteigt (Art. 51). Als freiwilliges Nachweisinstrument dient der GPAI Code of Practice, den die EU-Kommission im Juli 2025 final veröffentlicht hat.
Die Pflichten gelten seit dem 2. August 2025; für Modelle, die vorher in Verkehr gebracht wurden, läuft eine Übergangsfrist bis zum 2. August 2027 (Stand: September 2026). Für typische Anwenderunternehmen gilt: Wer ein GPAI-Modell nur über Produkte wie Chatbots oder Bürosoftware nutzt, ist nicht Modell-Anbieter — die GPAI-Pflichten treffen die Entwickler der Modelle.
Relevanz für die Zertifizierung
Auch ohne eigene Modellentwicklung sollten Unternehmen wissen, welche GPAI-basierten Werkzeuge im Haus laufen: Aus der Nutzung folgen Betreiberpflichten wie KI-Kompetenz und Transparenz, und wer ein Modell unter eigener Marke feinjustiert und anbietet, kann selbst zum Anbieter werden. Ein KI-Managementsystem nach ISO/IEC 42001 — bei KCERT als sechste Norm im nicht akkreditierten Bereich zertifizierbar — dokumentiert diese Rollenklärung sauber. Ein AI-Act-Konformitätsnachweis ist das Zertifikat nicht.
Häufige Fragen zu GPAI (General Purpose AI)
Nein, nicht von den GPAI-Anbieterpflichten — die treffen den Modellhersteller. Als nutzendes Unternehmen sind Sie aber Betreiber eines KI-Systems: Seit Februar 2025 müssen Sie die KI-Kompetenz Ihres Personals sicherstellen (Art. 4), seit August 2026 gelten Transparenzpflichten, etwa die Kennzeichnung von Deepfakes. Eine interne KI-Richtlinie, ein KI-Inventar und dokumentierte Schulungen decken diese Pflichten für die meisten Betriebe ab.
Wenn es über Fähigkeiten mit hoher Wirkkraft verfügt. Die Verordnung vermutet das ab einer Trainingsrechenleistung von mehr als 10^25 FLOP (Art. 51); die Kommission kann Modelle auch per Entscheidung einstufen. Betroffen sind damit nur die größten Modelle weniger Anbieter. Für sie gelten zusätzlich Art.-55-Pflichten: Evaluierungen, Risikominderung, Vorfallmeldungen an das AI Office und angemessene Cybersicherheit.
Das Modell ist die trainierte Grundlage (etwa ein Sprachmodell), das KI-System die einsatzfertige Anwendung mit Benutzeroberfläche und Zweckbestimmung (etwa ein Kundenservice-Chatbot). Die KI-Verordnung reguliert beide Ebenen getrennt: Das Modell unterliegt den GPAI-Pflichten des Anbieters, das System der Risikoklassen-Logik — vom verbotenen Einsatz über Hochrisiko bis zu Transparenzpflichten. Ein System auf GPAI-Basis kann je nach Einsatzzweck jede Risikoklasse treffen.