Wenn ein Unternehmen eine Lösung auf Basis eines GPAI-Modells einführt, besteht der erste Schritt nicht im Auswählen von Prompts, sondern darin festzustellen, ob es das Modell als Bereitsteller nutzt oder selbst zum Anbieter des Modells wird. Laut Materialien zum AI Act gelten die vollständigen Pflichten in Kapitel V für die Stelle, die das GPAI-Modell entwickelt und in Verkehr bringt, nicht für jedes Unternehmen, das eine fertige API in seinem Geschäftsprozess nutzt.
In der Praxis entscheidet diese Unterscheidung, ob das Unternehmen hauptsächlich Einführungs- und Organisationspflichten hat oder zusätzlich Dokumentations-, Urheberrechts- und Meldepflichten. Laut regulation-ai.eu treten die Pflichten für GPAI in der EU ab dem 2. August 2025 in Kraft, deshalb muss die Frage nach der Rolle des Unternehmens vor Vertragsunterzeichnung geklärt werden.
Nach der Dokumentation zu Artikel 53 des AI Act muss der GPAI-Anbieter technische Dokumentation erstellen, die Trainingsmethodik, Evaluierungsergebnisse, Energieverbrauch und Datenquellen beschreiben. Derselbe Quellenkatalog weist auch auf die Pflicht hin, nachgelagerten Anbietern Informationen über Fähigkeiten und Grenzen des Modells zur Verfügung zu stellen, damit sie es sicher integrieren können.
Die zweite Säule ist das Urheberrecht. Nach regulation-ai.eu und juristischen Diensten muss der Anbieter eine Richtlinie zur Urheberrechtskonformität haben und eine öffentliche Zusammenfassung der für das Training verwendeten Inhalte veröffentlichen, ausreichend konkret, damit Berechtigte ihre Rechte ausüben können. Wird das Modell als systemisches Risiko eingestuft, kommen standardisierte Bewertungen, Robustheitstests, Bewertung und Minderung systemischer Risiken, Meldung schwerwiegender Vorfälle sowie angemessene Cybersicherheitsmaßnahmen hinzu.
Ein einführendes Unternehmen muss nicht automatisch die Pflichten des Anbieters erfüllen, sollte jedoch prüfen, ob Vertrag und Dokumentation ausreichende Informationen über das Modell, seine Grenzen und Nutzungsbedingungen liefern. Juristische und technische Quellen bedeuten hier die Überprüfung, ob der Anbieter die für eine sichere Integration erforderlichen Daten bereitstellt und ob das Unternehmen Nutzungsrichtlinien hat, die mit den Herstelleranweisungen übereinstimmen.
In operativer Hinsicht sollte das einführende Unternehmen drei Dinge vorbereiten:
Laut Materialien zum AI Act macht die bloße Integration einer API ein Unternehmen in der Regel nicht zum GPAI-Anbieter. Eine Ausnahme besteht, wenn ein Unternehmen das Modell tatsächlich so modifiziert, dass es in die Rolle des Anbieters geraten kann, beispielsweise durch sehr tiefes Fine-Tuning, das in einer Analyse als Überschreiten eines Drittels der ursprünglichen Trainings-Compute beschrieben wird.
Für das einführende Unternehmen sind daher nicht nur die Fragen „funktioniert das Modell“ wichtig, sondern auch „wer ist verantwortlich für Dokumentation, Lizenzen, Vorfälle und Updates“. Die Antwort bestimmt, welche Pflichten in Verträgen, Sicherheitsrichtlinien und Beschaffungsprozessen festzulegen sind.
Lub System unterstützt B2B-Unternehmen bei der Einführung von KI, Automatisierung und IT-Lösungen - von der Strategie bis zur Umsetzung. Mehr zu unseren Leistungen oder Kontakt aufnehmen.