Verhaltenskodex: Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 56 AI Act ermöglicht GPAI-Anbietern, sich an einem Verhaltenskodex zu beteiligen, der die Einhaltung der GPAI-Pflichten (Art. 53, 55) operationalisiert. Bis zur Ausarbeitung harmonisierter Normen wirkt die Einhaltung als Konformitätsvermutung — das heißt, GPAI-Anbieter, die den Kodex einhalten, gelten als Art. 53/55-konform (es sei denn, Behörden weisen das Gegenteil nach). Das ist ein starkes Anreizinstrument: GPAI-Anbieter können Konformität über den Kodex nachweisen, ohne auf harmonisierte Normen zu warten. Der Kodex wird vom AI Office mit GPAI-Anbietern, akademischen/zivilgesellschaftlichen Akteuren, dem AI Board, dem Beratenden Forum entwickelt. Überarbeitung bei Bedarf (technologische Entwicklung, neue Erkenntnisse).

Inhalt des GPAI-Kodex (Stand 2025–2026): (1) Operationalisierung der Art. 53-Pflichten — technische Dokumentation, Downstream-Informationen, Urheberrechts-Zusammenfassung; (2) Art. 55-Pflichten bei systemischem Risiko — Adversarial Testing/Red-Teaming-Methoden, Systemrisiko-Minderung, Cybersecurity, weights-Schutz; (3) Vorfall-Reporting-Standards (Art. 55 Abs. 1 lit. c); (4) Transparenz-/Kennzeichnung (Art. 50 Abs. 4); (5) konkrete Beispiele, Best Practices, Muster. Der erste Kodex wird von großen GPAI-Anbietern (OpenAI, Anthropic, Google, Meta, Mistral, AI21) verhandelt, mit zivilgesellschaftlichen Beobachtern (Mozilla Foundation, Access Now). Praktische Bedeutung: der Kodex ist „soft law" mit „hard effect" (Konformitätsvermutung) — er schließt die Lücke bis zu harmonisierten Normen und bietet GPAI-Anbietern Operationalisierungshilfe. Aufsichtlich: das AI Office prüft die Einhaltung.

Praktisch relevant für GPAI-Anbieter: Teilnahme am Kodex ist freiwillig, aber die Konformitätsvermutung ist ein starker Anreiz — ohne Teilnahme müssen GPAI-Anbieter Konformität eigenständig nachweisen (aufwändiger, unklarere Standards). Voraussetzung: formale Einreichung, Selbstverpflichtung zur Einhaltung, Reporting an das AI Office. Überlagerung: (1) harmonisierte Normen (CEN/CENELEC JTC 21, ISO/IEC 42001/23894) — sobald sie verfügbar sind, ersetzen/ergänzen sie den Kodex als Konformitätsvermutung; (2) Standardisierungsspezifikationen (Art. 40) — alternative Konformitätsvermutung. Für GPAI-Anbieter ohne systemisches Risiko: der Kodex ist die primäre Operationalisierung der Art. 53-Pflichten. Für GPAI-Anbieter mit systemischem Risiko: der Kodex deckt Art. 53 + 55. Eine kritische Perspektive: der Kodex wird von Konzerninteressen geprägt sein; zivilgesellschaftliche Mitwirkung sichert Ausgewogenheit. Beobachtung der Entwicklung ist wichtig — der Kodex prägt die GPAI-Praxis der nächsten Jahre.