Neue Pflichten & Sanktionen aus dem AI Act ab 2. August 2025

Die wichtigsten Neuregelungen auf einen Blick

Hier finden Sie eine kurze Übersicht über die zentralen Neuerungen, die ab dem 2. August 2025 gemäß der KI-Verordnung gelten:

• Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (auch GPAI – General-Purpose AI) (Kapitel V KI-VO)
• Behördliche Governance (Kapitel VII KI-VO), einschließlich der zuständigen nationalen Aufsichtsbehörden
• Sanktionen (Kapitel XII KI-VO, ausgenommen Art. 101 KI-VO)
• Notifizierende Behörden und notifizierte Stellen (Kapitel III Abschnitt 4 KI-VO)

Was ändert sich für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI)?

Ab dem 2. August kommen auf Anbieter von KI-Modellen mit allgemeinem Verwendungszweck zahlreiche Pflichten zu. Insbesondere sind sie dann zur weitreichenden Dokumentation und Transparenz verpflichtet. Daneben besteht eine Pflicht zur Zusammenarbeit mit den zuständigen Behörden.

Auch Handlungspflichten, die vor allem auf den Schutz von Urheberrechten ausgerichtet sind, finden nun Anwendung. Bei der Umsetzung helfen soll der am 10. Juli 2025 von der Europäischen Kommission veröffentlichte Verhaltenskodex für KI mit allgemeinem Verwendungszweck.

Was sind KI-Modelle mit allgemeinem Verwendungszweck?

KI-Modelle mit allgemeinem Verwendungszweck sind KI-Modelle, die eine erhebliche allgemeine Verwendbarkeit aufweisen, in der Lage sind, ein breites Spektrum unterschiedlicher Aufgaben kompetent zu erfüllen und in eine Vielzahl von nachgelagerten Systemen oder Anwendungen integriert werden können.

Abzugrenzen sind diese von KI-Systemen. KI-Modelle bilden den Kern eines KI-Systems, da sie die wesentlichen Funktionen – insbesondere Autonomie und Anpassungsfähigkeit – ermöglichen. Erst durch die Inbetriebnahme für einen konkreten Anwendungszweck wird daraus ein vollwertiges KI-System im Sinne einer konkreten Anwendung für Endnutzer. Ein KI-System ist somit das fertige, interaktive Produkt, während das KI-Modell die zugrunde liegende, funktionstragende Komponente darstellt.

In der Praxis dürften deshalb die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck nur eine sehr begrenzte Anzahl von Unternehmen direkt treffen. Allerdings können sich insbesondere aus den Dokumentationspflichten mittelbar auch Auswirkungen für Unternehmen ergeben, die diese Modelle in konkreten KI-Systemen einsetzen.

Denn durch die Nutzung dieser Basismodelle entstehen Informationen und Erkenntnisse, von denen die Anbieter von KI-Systemen profitieren, wenn sie darauf aufbauende, fertige KI-Systeme betreiben. Daraus können wiederum eigene regulatorische Pflichten resultieren.

Dokumentationspflichten (Kapitel V, Artikel 53 KI-VO)

Jeder Anbieter eines KI-Modells mit allgemeinem Verwendungszweck hat eine technische Dokumentation seines Modells zu erstellen, aktuell zu halten und sie dem Büro für Künstliche Intelligenz und den zuständigen nationalen Behörden auf Anfrage zur Verfügung zu stellen. Das Büro für Künstliche Intelligenz dient als zentrale Anlaufstelle für KI innerhalb der Europäischen Kommission. Auf nationaler Ebene ist davon auszugehen, dass die Bundesnetzagentur die zuständige Behörde sein wird.

Transparenzpflichten (Kapitel V, Artikel 53 KI-VO)

Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sollen nachgelagerten Anbietern Transparenzinformationen zur Verfügung stellen. Grund dafür ist, dass Anbieter ganz am Anfang der KI-Wertschöpfungskette stehen – und ihnen deshalb eine besondere Verantwortung übertragen wird. Diese Modelle stellen nämlich oft die Grundlage für nachgelagerte Systeme dar und können deshalb auch Auswirkungen auf Pflichten für nachgelagerte Anbieter haben.

Schutz von Urheberrechten (Kapitel V, Artikel 53 KI-VO)

Anbieter müssen ab August 2025 Strategien entwickeln, um sicherzustellen, dass das beim Training ihrer Modelle verwendete Datenmaterial keine Urheberrechte verletzt. Dazu gehören auch die Erstellung und Veröffentlichung der Zusammenfassung der Trainingsdaten.

Urheberrechte beim Umgang mit KI zu schützen, birgt immense Herausforderungen. Oft werden KI-Modelle mit umfassenden Datensätzen trainiert, die vor allem aus urheberrechtlich geschützten Daten bestehen. Die rechtliche Zulässigkeit der Nutzung dieser Trainingsdaten ist völlig ungeklärt. Die neuen Regelungen sollen nun der Nutzung von urheberrechtlich geschützten Datensätzen entgegenwirken.

Welche Sanktionen aus dem AI Act gelten ab 2. August 2025?

Die neuen Ermittlungs- und Sanktionsbefugnisse aus der KI-Verordnung gelten erst ab dem 2. August 2026 uneingeschränkt, nicht schon ab August 2025 wie oft behauptet. Artikel 113 regelt verschiedene Anwendungsdaten, sieht jedoch für Kapitel IX (Marktüberwachung) kein vorgezogenes Datum vor, sodass hier das Standarddatum, der 2. August 2026, gilt. Bis dahin dürfen Marktüberwachungsbehörden und das KI-Büro keine Untersuchungen durchführen oder Sanktionen verhängen.

Bei Missachtung des Verbots der in Artikel 5 genannten KI-Praktiken drohen dann Geldbußen von bis zu 35 Millionen Euro oder bis zu 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt – je nachdem, welcher Betrag höher ist.

Auch für Verstöße gegen Pflichten der Anbieter von Hochrisiko-KI-Systemen gemäß Artikel 16 werden Geldbußen von bis zu 15 Millionen Euro oder bis zu 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt. Auch hier kommt es darauf an, welcher Betrag höher ist.

Die gleichen Sanktionen gelten für Verstöße gegen:

• Pflichten der Bevollmächtigten gemäß Artikel 22
• Pflichten der Einführer gemäß Artikel 23
• Pflichten der Händler gemäß Artikel 24
• Pflichten der Betreiber gemäß Artikel 26
• Transparenzpflichten für Anbieter und Betreiber gemäß Artikel 50

Zu beachten ist zudem, dass die Regelungen für Hochrisiko-KI-Systeme gemäß Artikel 6 KI-VO erst ab dem 2. August 2027 Geltung erlangen. Die Sanktionen betreffen daher ab dem 2. August 2026 zunächst nur verbotene KI-Systeme und verschiedene Akteure in Bezug auf KI-Modelle mit allgemeinem Verwendungszweck.

Werden notifizierten Stellen oder zuständigen Behörden auf deren Auskunftsersuchen hin falsche, unvollständige oder irreführende Informationen bereitgestellt, so werden Geldbußen von bis zu 7,5 Millionen Euro oder bis zu 1 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt – je nachdem, welcher Betrag höher ist.

Im Falle von KMU (kleinen und mittelständischen Unternehmen), einschließlich Start-up-Unternehmen, gilt für jede genannte Geldbuße der jeweils niedrigere Betrag aus den genannten Prozentsätzen oder Summen.

Bei der Entscheidung, ob eine Geldbuße verhängt wird, und bei der Festsetzung der Höhe der Geldbuße werden alle Umstände des Einzelfalls berücksichtigt.

Weitere Sanktionen in Deutschland noch offen

Die genaue Ausgestaltung der Sanktionen und Durchsetzungsmaßnahmen, zu denen auch Verwarnungen und nichtmonetäre Maßnahmen gehören können, obliegt den Mitgliedstaaten und ist in Deutschland noch weitgehend ungeklärt.

Der Referentenentwurf für ein Gesetz zur Durchführung der KI-Verordnung mit Stand vom 04.12.2024 sieht im Falle eines Verstoßes (nach Art. 99 Abs. 3 bis 5) die Anwendbarkeit des Gesetzes über Ordnungswidrigkeiten mit Ausnahme des § 17 Ordnungswidrigkeitengesetz (OWiG) vor.

Hinweis: Das Gesetzgebungsverfahren wurde in der vorherigen Legislaturperiode nicht abgeschlossen. Ein neues Durchführungsgesetz zur KI-Verordnung befindet sich derzeit im Gesetzgebungsprozess, wurde jedoch bis Mitte Juli 2025 weder beschlossen noch wurde ein Entwurf veröffentlicht.

Daneben sollen die allgemeinen Gesetze über das Strafverfahren, insbesondere die StPO und das GVG, zur Anwendung kommen. Eine endgültige Entscheidung steht noch aus.

Notifizierende Behörden und notifizierte Stellen – Aufbau der Struktur in Deutschland

Bis zum 2. August 2025 müssen die EU-Mitgliedstaaten ihre zuständigen nationalen Behörden benennen. Diese sollen die Anwendung der Vorschriften überwachen und die Marktbeobachtung wahrnehmen. Auch in Deutschland zeichnen sich nun langsam die zuständigen Stellen ab.

Die Mitgliedstaaten sind verpflichtet, drei Arten von Behörden zu benennen oder einzurichten:

• eine Marktüberwachungsbehörde,
• eine notifizierende Behörde und
• eine nationale öffentliche Behörde.

In Deutschland übernimmt wohl nun die Bundesnetzagentur die Aufgaben der zuständigen nationalen Behörden.

Aktuell nimmt die Bundesnetzagentur ihre Arbeit auf. Vorbereitungen zum Aufbau einer zentralen Anlaufstelle und zur Erweiterung der bisherigen Marktüberwachung laufen an.

Seit Juli 2025 bietet die Bundesnetzagentur außerdem ein KI-Service-Desk an. Das Service-Desk bietet unter anderem ein Selbsteinschätzungstool, ein umfassendes Informationsangebot, eine Kontaktfunktion und Hinweise zu kostenlosen Weiterbildungsangeboten.

Was ist ab dem 2. August 2025 wichtig für Unternehmen?

Die neuen Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck werden wohl die wenigsten Unternehmen tatsächlich betreffen. Zu berücksichtigen ist jedoch, dass die Vorschriften über Sanktionen (Kapitel XII KI-VO, ausgenommen Art. 101 KI-VO) Gültigkeit erlangen. Offiziell ist mit einer Bußgeldbelegung allerdings erst ab dem 02.08.2026 zu rechnen.

Deswegen sollten insbesondere Anbieter von Hochrisiko-KI-Systemen, aber auch verschiedene andere Akteure, die Einhaltung ihrer Pflichten überprüfen.

Grundsätzlich empfehlen wir folgendes Vorgehen:

1. Erfassen Sie alle eingesetzten KI-Assets und Use-Cases in einem KI-Verzeichnis.
2. Definieren Sie Ihre Rolle und die Art Ihrer KI – insbesondere, ob Sie Anbieter einer GPAI sind.
3. Führen Sie eine Risikoklassifizierung Ihrer KI-Systeme durch.
4. Leiten Sie Ihre Pflichten und die nötigen Maßnahmen daraus ab.
5. Führen Sie eine interne KI-Nutzungsrichtlinie ein.

Als auf Technologie spezialisierte Kanzlei unterstützen wir Sie gerne beim rechtssicheren Einsatz von KI-Systemen und dem Aufbau einer wirksamen AI Governance.