Was ist ein GPAI-Modell?

Kurz gesagt: Ein GPAI-Modell ist das Grundmodell, auf dem viele bekannte KI-Anwendungen aufbauen. Ausgeschrieben heißt es “General Purpose AI model”, auf Deutsch KI-Modell mit allgemeinem Verwendungszweck: ein Modell, das nicht auf eine einzige Aufgabe trainiert wurde, sondern dank riesiger Trainingsdatenmengen ein breites Spektrum unterschiedlicher Aufgaben kompetent erledigen kann – Text schreiben, Fragen beantworten, Code generieren, Bilder analysieren und mehr. Der Begriff stammt aus dem europäischen AI Act und legt fest, welche Pflichten Anbieter solcher Basismodelle erfüllen müssen. Für KMU ist das relevant, weil praktisch jedes gängige KI-Tool – vom Chatbot bis zum Schreibassistenten – auf so einem Modell aufbaut.

Was bedeutet ein GPAI-Modell?

Nach Art. 3 Nr. 63 EU AI Act ist ein GPAI-Modell ein KI-Modell, das mit großen Datenmengen (häufig über Selbstüberwachung) trainiert wurde, “signifikante Generalität” aufweist und unabhängig von seiner Vermarktungsform ein breites Spektrum unterschiedlicher Aufgaben kompetent ausführen kann. Solche Modelle lassen sich in unterschiedlichste nachgelagerte KI-Systeme integrieren – etwa in einen Kundenservice-Chatbot, ein Übersetzungstool oder eine Software zur Texterstellung. Wichtig ist die begriffliche Trennung: Das GPAI-Modell selbst (z. B. eine große Sprachmodell-Architektur) ist nicht dasselbe wie das fertige KI-System oder Tool, das Endnutzer:innen bedienen – das Tool nutzt das Modell nur “unter der Haube”.

Der AI Act unterscheidet zusätzlich eine Sonderkategorie: das “GPAI-Modell mit systemischem Risiko” (Art. 51 i. V. m. Art. 3 Nr. 65). Übersteigt die kumulierte Trainingsrechenleistung eines Modells den Schwellenwert von 10²⁵ Floating-Point-Operationen (FLOPs), wird gesetzlich vermutet, dass das Modell hohe Wirkfähigkeiten besitzt und damit ein signifikantes Risiko für den EU-Binnenmarkt oder die öffentliche Sicherheit darstellen kann. Anbieter solcher Modelle müssen dies der EU-Kommission innerhalb von zwei Wochen nach Erreichen des Schwellenwerts melden. Zur Einordnung: Diese Rechenleistung erreichen nach derzeitigem Stand nur die größten Modelle einiger weniger Anbieter weltweit. Wer ein bestehendes Modell lediglich einsetzt oder für eigene Zwecke anpasst, ist von dieser Schwelle in aller Regel nicht betroffen.

Beispiel: GPAI-Modelle in der Praxis

Bekannte GPAI-Modelle sind unter anderem die GPT-Modellreihe von OpenAI, Claude von Anthropic, Gemini von Google oder Llama von Meta. Nicht jedes KI-Tool bringt ein eigenes GPAI-Modell mit – die meisten greifen über eine Schnittstelle auf ein Modell eines anderen Anbieters zurück. Genau daran hängt, wer nach dem AI Act welche Pflichten trägt. Nutzt dein Unternehmen zum Beispiel ein Schreibtool, das intern auf GPT oder Claude zugreift, dann ist das Sprachmodell im Hintergrund das GPAI-Modell – das Schreibtool selbst ist ein “KI-System”, das dieses Modell für einen konkreten Zweck einsetzt. Diese Unterscheidung ist keine Wortklauberei: Sie entscheidet, wer nach dem AI Act welche Pflichten hat. Der Anbieter des GPAI-Modells (z. B. OpenAI) trägt die GPAI-spezifischen Pflichten, dein Tool-Anbieter als “nachgelagerter Anbieter” hat eigene, meist geringere Pflichten, und dein Unternehmen als reine:r Nutzer:in des Tools ist in der Regel nur als “Betreiber” (Deployer) im Sinne des AI Act betroffen – mit wiederum eigenen, meist deutlich schlankeren Anforderungen.

Warum ist das für dein Unternehmen wichtig?

Auch wenn dein KMU selbst kein KI-Modell entwickelt, lohnt sich ein Blick auf das Thema aus zwei Gründen:

• Transparenz der Werkzeuge, die du einsetzt: Anbieter von GPAI-Modellen sind seit dem 2. August 2025 verpflichtet, technische Dokumentation, Informationen für nachgelagerte Anbieter sowie eine ausreichend detaillierte Zusammenfassung der für das Training verwendeten Inhalte bereitzustellen. Das schafft mehr Nachvollziehbarkeit darüber, worauf die von dir genutzten KI-Tools eigentlich basieren.
• Eigene Sorgfaltspflicht als Nutzer:in: Wenn du KI-Tools im Unternehmen einsetzt, bist du nach dem AI Act meist “Betreiber” eines KI-Systems – mit eigenen, von den GPAI-Pflichten unabhängigen Anforderungen, etwa zur Information von Mitarbeitenden oder Kund:innen bei bestimmten Anwendungsfällen. Ob und welche Betreiberpflichten für ein konkretes Tool gelten, solltet ihr im Zweifel direkt prüfen oder prüfen lassen, da dies vom jeweiligen Einsatzszenario abhängt.

DSGVO-Relevanz

GPAI-Modelle werden oft mit riesigen, teils aus dem offenen Internet stammenden Datenmengen trainiert, die auch personenbezogene Daten enthalten können. Der AI Act ersetzt die DSGVO dabei nicht – beide Regelwerke gelten parallel und unabhängig voneinander. Für dein Unternehmen bedeutet das: Setzt du ein GPAI-gestütztes Tool ein, um zum Beispiel Kund:innen- oder Mitarbeitendendaten zu verarbeiten, bleiben die gewohnten DSGVO-Pflichten vollständig bestehen. Dazu gehört eine Rechtsgrundlage nach Art. 6 DSGVO für die Verarbeitung sowie – sofern eine Auftragsverarbeitung vorliegt – insbesondere ein AVV nach Art. 28 DSGVO. Ob im konkreten Fall eine Auftragsverarbeitung vorliegt und welche weiteren Voraussetzungen erfüllt sein müssen, sollte jeweils einzeln geprüft werden.

Zusätzlich lohnt sich ein Blick darauf, wo der Anbieter des GPAI-Modells die Daten verarbeitet: Liegt eine Verarbeitung außerhalb der EU vor, können weitere Anforderungen an einen Drittlandtransfer relevant werden. Die vom AI Act geforderte Trainingsdaten-Zusammenfassung der GPAI-Anbieter kann hier als zusätzliche Informationsquelle für die eigene Dokumentation hilfreich sein, ersetzt aber keine eigenständige datenschutzrechtliche Prüfung des jeweils genutzten Tools.

Weiterführendes

• Was ist der EU AI Act?
• Was ist ein KI-Basismodell?
• Was ist ein AVV?
• Was ist eine Auftragsverarbeitung?
• Was ist die DSGVO?