Pflichten bei systemischem Risiko: Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 55 Abs. 1 verpflichtet GPAI-Anbieter mit systemischem Risiko zu vier Pflichten: (1) Modellbewertung — systematische Bewertung und Prüfung des Modells anhand angemessener Standards, Tools und Methoden (insbesondere Adversarial Testing/Red-Teaming). (2) Risikominderung — Bewertung und Minderung möglicher systemischer Risiken in der Union, insbesondere für Demokratie, Rechtsstaatlichkeit, öffentliche Sicherheit und öffentliche Gesundheit. (3) Vorfallsmeldung — Meldung schwerer Vorfälle an das AI Office und die zuständigen nationalen Behörden. (4) Cybersicherheit — angemessene Cybersicherheitsmaßnahmen zum Schutz des Modells.

Ein GPAI-Modell gilt als systemisch risikobehaftet, wenn die kumulierte Trainingsrechenleistung 10^25 FLOPs (Floating Point Operations) übersteigt (Vermutung nach Art. 51 Abs. 2, Definition Art. 3 Nr. 65). Die Kommission kann die Einstufung auch bei Unterschreiten der Schwelle verfügen (z.B. bei besonderen Fähigkeiten oder Verbreitung). Die Schwelle erfasst derzeit die größten Modelle weltweit (z.B. GPT-4, Claude 3, Gemini). Anbieter müssen der Kommission vorbeugend mitteilen, wenn sie die Schwelle voraussichtlich erreichen.

In der Praxis orientieren sich Anbieter am EU GPAI Code of Practice (Art. 56 — Konformitätsvermutung), der Verfahren für Modellbewertung, Adversarial Testing, Vorfallsmeldung und Cybersicherheit konkretisiert. Aufsicht: EU AI Office zentralisiert (durch AI Omnibus 2026) für GPAI-Systeme. Bußgeldkompetenz seit 2. August 2026. Vorher: kooperativer Compliance-Dialog. Eine proaktive Zusammenarbeit mit dem AI Office und transparente Selbstverpflichtungen sind der praxisnahe Pfad.