Das EU-KI-Gesetz (AIA), das in diesem Sommer in Kraft getreten ist, legt Grundsätze für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) fest. Konkrete, handlungsrelevante Interpretationen dieser Grundsätze für GPAI-Anbieter werden im Mai 2025 vorliegen, wenn das Europäische KI-Büro seinen GPAI-Verhaltenskodex (Code of Practice) veröffentlicht. Die Angleichung an den GPAI-Verhaltenskodex kann GPAI-Anbietern eine „Konformitätsvermutung“ für Teile des AIA einräumen, bis das Europäische KI-Büro harmonisierte Normen veröffentlicht.

Daher war es für GPAI-Anbieter äußerst aufschlussreich, Zugang zu dem ersten Entwurf des GPAI-Verhaltenskodex zu erhalten, der am 14. November auf der Website der Europäischen Kommission veröffentlicht wurde. Der Entwurf ist das Ergebnis der kooperativen Arbeit innerhalb und zwischen vier Arbeitsgruppen seit dem 30. September:

1: Transparenz und urheberrechtsbezogene Regeln

2: Risikoidentifizierung und -bewertung für systemische Risiken

3: Technische Risikominderung für systemische Risiken

4: Governance-Risikominderung für systemische Risiken

Unter dem Vorbehalt, dass dies erst der erste von vier Entwürfen in einem iterativen Prozess ist, der zum endgültigen Text im Mai 2025 führt, ist der 36-seitige Entwurf des Verhaltenskodex in mindestens dreierlei Hinsicht bemerkenswert.

1. Bestimmung des Anbieters

Erstens wird die Bedeutung der Bestimmung des GPAI-Anbieters anerkannt. Während OpenAI, Google, Anthropic, Meta, Cohere und Mistral die offensichtlichsten Beispiele für GPAI-Anbieter sind, beschreibt das AIA auch Situationen, in denen Organisationen, die GPAI-Modelle nutzen, als Anbieter betrachtet werden können (beispielsweise, wenn sie ihren eigenen Namen oder ihre Marke auf einem solchen Modell anbringen). Eine Grauzone im AIA ist die Frage, ob eine Organisation, die solche Modelle „feinabstimmt“ (Fine-Tuning), zu einem Anbieter wird. Während der Entwurf des Verhaltenskodex anmerkt, dass seine endgültige Fassung Leitlinien zu diesem Thema enthalten wird, teilt er bereits mit, dass selbst dann, wenn eine Organisation aufgrund von Fine-Tuning als Anbieter eingestuft wird, ihre Anbieterpflichten auf die Auswirkungen des Fine-Tunings beschränkt bleiben.

2. Taxonomie systemischer Risiken

Zweitens wird eine übergeordnete Taxonomie systemischer Risiken durch GPAI-Systeme skizziert, die Arten, Art und Quelle umfasst. Das AIA klassifiziert bestimmte KI-Systeme als solche, die systemische Risiken bergen (beispielsweise, wenn „die kumulierte Rechenleistung für ihr Training, gemessen in Floating-Point-Operationen, mehr als 10(^25) beträgt“). Die im Entwurf des Verhaltenskodex skizzierte Taxonomie beschreibt a) Risikotypen, die von „Cyberkriminalität“ bis hin zu „großflächiger Diskriminierung“ reichen, b) die Art des Risikos, einschließlich Ursprung, Akteure, die das Risiko treiben, sowie Absichten, und c) Risikoquellen wie „gefährliche Modellfähigkeiten“. Obwohl die Taxonomie auf einer übergeordneten Ebene dargestellt wird, bietet sie einen Einblick in die Überlegungen zu systemischen Risiken, die das Europäische KI-Büro voraussichtlich beschäftigen werden.

3. Transparenz

Drittens sorgt sie für ein gewisses Maß an Klarheit über die Arten von „technischer Dokumentation“ und „Informationen“, die GPAI-Anbieter gemäß Artikel 53 des AIA an Bereitsteller und das Europäische KI-Büro weitergeben müssen. Diese reichen von Richtlinien zur zulässigen Nutzung („Acceptable Use Policies“) bis hin zur „Architektur und Anzahl der Parameter“. Obwohl es hilfreich ist, dass diese Elemente konkretisiert und mit den Anhängen des AIA abgeglichen werden, variiert der Detailgrad der einzelnen Elemente erheblich.

Das Dokument befasst sich zudem mit Urheberrechtsfragen sowie mit Risikobewertungen und -minderungen für GPAI-Systeme, die systemische Risiken bergen.

Bemerkenswert ist auch, dass das Europäische KI-Büro diesen ersten Entwurf öffentlich zugänglich gemacht hat, da er sich voraussichtlich noch stark verändern wird. Dies geschah potenziell, um Organisationen dabei zu helfen, mit dem Entwurfsprozess Schritt zu halten, während sie ihre AIA-Compliance entwickeln, und um den öffentlichen, kollaborativen und iterativen Charakter des Erarbeitungsansatzes zu betonen. Zu diesem Zweck wird im Dokument darauf hingewiesen, dass „der erste Entwurf zwar noch wenig detailliert ist, dieser Ansatz jedoch darauf abzielt, den Stakeholdern eine klare Orientierung über die potenzielle Form und den Inhalt des endgültigen Kodex zu geben“.

Enzai ist hier, um zu helfen

Die KI-GRC-Plattform von Enzai kann Ihr Unternehmen dabei unterstützen, KI in Übereinstimmung mit Best Practices und neuen Vorschriften, Standards und Frameworks wie dem EU-KI-Gesetz, dem Colorado AI Act, dem NIST AI RMF und ISO/IEC 42001 einzusetzen. Um mehr zu erfahren, setzen Sie sich hier mit uns in Verbindung.

Enzai ist die führende Plattform für Enterprise AI Governance, die speziell dafür entwickelt wurde, Unternehmen beim Übergang von abstrakten Richtlinien zur operativen Aufsicht zu unterstützen. Unsere KI-Risikomanagement-Plattform bietet die spezialisierte Infrastruktur, die für die Verwaltung von agentenbasierter KI-Governance, die Führung eines umfassenden KI-Inventars und die Gewährleistung der Compliance mit dem EU-KI-Gesetz erforderlich ist. Durch die Automatisierung komplexer Workflows ermöglicht Enzai es Unternehmen, die Einführung von KI vertrauensvoll zu skalieren und gleichzeitig die Übereinstimmung mit globalen Standards wie ISO 42001 und NIST zu wahren.