Seit wann gilt Art. 53 – und für wen
Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (General Purpose AI, GPAI) gelten bereits seit dem 02.08.2025 – zusammen mit den Governance-Regeln und den Sanktionsvorschriften der KI-VO. Wer ein GPAI-Modell in Verkehr bringt, sollte die Pflichten aus Art. 53 also nicht mehr als Zukunftsprojekt behandeln, sondern als laufende Compliance-Anforderung. Das gilt unabhängig davon, ob das Modell in eigene Produkte integriert oder Dritten zur Integration bereitgestellt wird.
Die vier Kernpflichten aus Art. 53 Abs. 1
Art. 53 Abs. 1 KI-VO nennt vier Pflichten, die kumulativ zu erfüllen sind:
a) Technische Dokumentation (Anhang XI). Sie müssen Trainings- und Testverfahren sowie die Bewertungsergebnisse dokumentieren – mindestens im Umfang von Anhang XI. Dazu gehören unter anderem die Architektur und Parameterzahl des Modells, das Freigabedatum, Angaben zu Trainings-, Test- und Validierungsdaten (Art, Herkunft, Aufbereitungsmethoden, Datenpunkte) sowie die verwendeten Rechenressourcen und der bekannte oder geschätzte Energieverbrauch. Diese Dokumentation muss dem KI-Büro und den zuständigen nationalen Behörden auf Anfrage vorgelegt werden können – sie muss also nicht proaktiv veröffentlicht, aber jederzeit abrufbar gehalten werden.
b) Informationen für nachgelagerte Anbieter (Anhang XII). Wer sein Modell an Anbieter liefert, die es in eigene KI-Systeme integrieren, muss diesen Informationen bereitstellen, die es ihnen ermöglichen, Fähigkeiten und Grenzen des Modells zu verstehen und ihre eigenen Pflichten aus der KI-VO zu erfüllen. Geistiges Eigentum und Geschäftsgeheimnisse sind dabei zu schützen – die Pflicht zur Weitergabe entbindet nicht von deren Wahrung.
c) Urheberrechts-Compliance-Strategie. Anbieter müssen eine Strategie zur Einhaltung des Unionsurheberrechts vorhalten, insbesondere zur Ermittlung und Beachtung von Rechtsvorbehalten nach Art. 4 Abs. 3 der Richtlinie (EU) 2019/790 – etwa durch technische Verfahren, die maschinenlesbare Nutzungsvorbehalte (Opt-outs) beim Text- und Data-Mining erkennen.
d) Zusammenfassung der Trainingsinhalte. Eine hinreichend detaillierte Zusammenfassung der für das Training verwendeten Inhalte ist nach einer vom KI-Büro bereitgestellten Vorlage zu erstellen und zu veröffentlichen. Anders als die technische Dokumentation nach Buchstabe a ist dies eine aktive Veröffentlichungspflicht.
Ausnahme für Open-Source – aber nicht vollständig
Art. 53 Abs. 2 nimmt Anbieter von Modellen unter freier und quelloffener Lizenz von den Pflichten a) und b) aus – vorausgesetzt, Zugang, Nutzung, Änderung und Verbreitung sind ermöglicht und Parameter, Architektur sowie Nutzungsinformationen öffentlich zugänglich. Die Pflichten c) und d) – Urheberrechtsstrategie und Trainingsdaten-Zusammenfassung – bleiben jedoch bestehen. Und: Sobald ein Modell als GPAI mit systemischem Risiko einzustufen ist, greift die Open-Source-Ausnahme gar nicht mehr. Dann gelten zusätzlich die verschärften Dokumentationspflichten aus Anhang XI Abschnitt 2 – etwa zu Red-Teaming-Maßnahmen und Systemarchitektur.
Praxisleitfäden statt harmonisierter Normen
Bis harmonisierte europäische Normen veröffentlicht sind, können sich Anbieter gemäß Art. 53 Abs. 4 auf Praxisleitfäden nach Art. 56 stützen, um die Einhaltung der Pflichten aus Absatz 1 nachzuweisen. Wer weder einen genehmigten Praxisleitfaden befolgt noch eine harmonisierte Norm einhält, muss der Kommission alternative, gleichwertige Compliance-Verfahren darlegen. Das ist in der Praxis der aufwändigere Weg – die meisten Anbieter orientieren sich daher an den bestehenden Leitfäden.
Typische Lücke: Vertrag statt Dokumentation
In der Praxis zeigt sich häufig eine Lücke zwischen vertraglicher und tatsächlicher Erfüllung: Anbieter verweisen in Lizenzverträgen auf „Modellkarten“ oder API-Dokumentation, ohne dass diese den Mindestinhalt von Anhang XI oder Anhang XII vollständig abdecken – etwa fehlende Angaben zu Trainingsdaten-Herkunft oder Energieverbrauch. Für nachgelagerte Anbieter, die das GPAI-Modell integrieren, ist das riskant: Sie benötigen genau diese Informationen, um ihre eigenen Pflichten nach der KI-VO zu erfüllen, und können sich nicht allein auf die Zusicherungen des Modell-Anbieters verlassen.
Ob Ihr Unternehmen als Anbieter, nachgelagerter Anbieter oder Betreiber eines GPAI-gestützten Systems einzuordnen ist und welche Pflichten daraus konkret folgen, lässt sich mit dem kostenlosen Risiko-Check unter /einstufung in wenigen Minuten klären.