5. Ausgabe: Regulierung generativer KI in Europa

Was genau die Verordnung für generative KI vorgibt und welche Herausforderungen sich in der praktischen Umsetzung, insbesondere für Start-ups, die GPAI-Modelle integrieren oder weiterentwickeln, ergeben, haben wir mit Philipp Hacker (Professor für Recht und Ethik der digitalen Gesellschaft an der Europa-Universität Viadrina), Sabrina Küspert (Policy Officer, AI Office, Brüssel) und Alessandro Blank (Head of Public Affairs, KI-Bundesverband) diskutiert. Dabei ging es auch um die Frage, ob der Code of Practice nicht so wäre, als würden Unternehmen ihre eigenen Hausaufgaben bewerten.

In der Diskussion wurde deutlich, dass der AI Act noch an vielen Stellen Konkretisierung braucht, um wirklich wirksam zu werden. Das bedeutet jedoch nicht, dass Regulierung, insbesondere im Kontext von GPAI, generell abgelehnt wird. Im Gegenteil:

1. Gerade Start-ups und kleinen sowie mittleren Unternehmen (KMU) sehen in klaren gesetzlichen Regeln und Tools zur Vereinheitlichung wie dem Code of Practice eine wertvolle Orientierung und die Chance auf faire Wettbewerbsbedingungen. Damit kann zugleich das Vertrauen der Gesellschaft in KI-Produkte gestärkt werden.
2. Zugleich müssen offene Fragen zügig geklärt und Unternehmen bei der Umsetzung unterstützt werden. Ohne verständliche, praxistaugliche Leitlinien droht insbesondere kleineren Akteur:innen eine Überforderung, da ihnen oft personelle und finanzielle Ressourcen fehlen. Gleichzeitig brauchen auch die Aufsichtsbehörden und Prüfstellen klare Vorgaben und Rechtssicherheit, um ihre Kontrollaufgaben wirksam erfüllen zu können.
3. Damit der AI Act zuverlässig umgesetzt werden kann, braucht auch das AI Office ausreichend Budget, Personal und technisches Know-how. Nur so lassen sich Flaschenhälse bei Beratung und Monitoring vermeiden.

Regelungen für GPAI-Modelle

Philipp Hacker stellte die Vorgaben des AI Acts für GPAI-Modelle vor. Er erläuterte die vier Risikostufen (unannehmbar, hoch, begrenzt, minimal) und wies darauf hin, dass bestimmte KI-Anwendungen ausdrücklich verboten sind. GPAI-Modelle, die vielseitig nutzbar und breit einsetzbar sind, unterliegen besonderen Transparenz- und Urheberrechtsvorgaben.

Ab einer Rechenleistung von mehr als 10²⁵ FLOPs gelten sie automatisch als systemisch riskant und müssen zusätzliche Anforderungen erfüllen. Dazu zählen unter anderem (es ist strittig, ob dies intern oder extern erfolgen soll), Schutzmaßnahmen gegen Missbrauch sowie die Berichterstattung über negative Vorkommnisse. Besondere Aufmerksamkeit galt der Frage, ab wann  Akteur:innen als „Anbieter“ gelten und somit regulatorisch in die Pflicht genommen werden, beispielsweise wenn ein bestehendes Basismodell weiterentwickelt oder angepasst wird. Laut Hacker braucht es hier dringend rechtliche Klarstellungen und praxisnahe Leitlinien, um Start-ups nicht zu überfordern und zugleich die Einhaltung der neuen Regeln sicherzustellen.

Zudem soll eine verpflichtende Kennzeichnung von KI-Inhalten − etwa Deepfakes − mehr Transparenz schaffen und Missbrauch verhindern. Diese Kennzeichnung muss für Menschen und Maschinen lesbar sein und soll helfen, Urheber:innen von nicht deklarierten KI-Inhalten zu identifizieren. Die Pflicht schafft mitunter die Möglichkeit, Akteur:innen von Desinformationskampagnen schneller zu finden.

Der Code of Practice

Über den Code of Practice als zentrales Instrument zur Umsetzung der Anforderungen an GPAI-Modelle sprach Sabrina Küspert und gab Einblicke in das neue AI Office der Europäischen Kommission. Dieses übernimmt zentrale Aufgaben bei der Aufsicht und Koordinierung rund um GPAI und unterstützt die Mitgliedstaaten bei deren nationaler Umsetzung.

Der Code of Practice ist als freiwilliges Modell für die Industrie gedacht und soll mit klaren Leitplanken das Vertrauen in GPAI-Technologien entlang der Wertschöpfungskette stärken, insbesondere für Anbieter:innen und Entwickler:innen. Er soll ein Werkzeug sein, das sicherstellt, dass die Regeln für GPAI-Modelle stets dem aktuellen Stand der Technik entsprechen. Unternehmen können dem Code freiwillig folgen, während das AI Office überprüft, ob diese Vorgaben tatsächlich eingehalten werden. So wird der Rechtsrahmen des AI Acts weiter gefestigt und der Branche eine klare Orientierung gegeben.

Zudem soll der Code ein Template enthalten, das Anbieter:innen dabei unterstützt, wichtige Informationen transparent an nachgelagerte Nutzer:innen weiterzugeben. Bis August 2025 soll ein praxisnaher und belastbarer Code of Practice vorliegen. Die Entwicklung läuft seit August 2024 in einem mehrstufigen Konsultationsverfahren mit über 1.000 Stakeholdern aus Industrie, Wissenschaft und Zivilgesellschaft. Ein Team aus 13 unabhängigen Expert:innen, koordiniert die Inhalte, während das AI Office vor allem als Moderator und Prüfer fungiert.

Start-ups zwischen Potenzial und Regulierung

71 % der Unternehmen wollen laut aktuellen Erhebungen bis 2024 mindestens eine GenAI-Funktion produktiv einsetzen − ein deutlicher Sprung gegenüber 33 % im Jahr 2023 (KI-Bundesverband, 2025). Dieses schnelle Wachstum bringt neue Chancen, aber auch Herausforderungen für die Wirtschaft mit sich. Alessandro Blank vom KI-Bundesverband schilderte dabei vor allem die Situation von Start-ups und kleinen sowie mittleren Unternehmen (KMU), die häufig auf bestehende GPAI-Modelle aufbauen.

Diese Unternehmen sind auf klare Lizenzbedingungen und verständliche Compliance-Vorgaben angewiesen, sehen sich aber derzeit vielfach mit Unsicherheit konfrontiert — etwa bei ihrer Kategorisierung oder bei Verantwortlichkeiten entlang der KI-Wertschöpfungskette. Hinzu kommen fehlende standardisierte Prüf- und Auditierungsverfahren sowie hohe bürokratische und finanzielle Hürden. Praktikable Übergangsregelungen, eine enge Begleitung durch Behörden und offene Kommunikationskanäle, sowohl national als auch europäisch, können hier Abhilfe schaffen. Der Code of Practice kann ein wirksames Instrument zur Standardisierung sein, indem er klare Richtlinien festlegt, Einheitlichkeit fördert und Transparenz und Effizienz verbessert.

Der Code of Practice – eigene Hausaufgaben kontrollieren?

In der Diskussion um den Code of Practice äußern viele Beteiligte die Sorge, dass Unternehmen damit im Grunde ihre eigenen Hausaufgaben bewerten könnten, sofern keine externe Kontrolle vorgesehen ist. Sabrina Küspert stellte jedoch klar, dass das AI Office letztlich prüft, ob Unternehmen den Code tatsächlich erfüllen. Auch für Firmen, die sich nicht am freiwilligen Code orientieren, gilt weiterhin eine umfassende Transparenzpflicht – sie müssen also dennoch darlegen, wie sie die Anforderungen des AI Acts erfüllen.

Alessandro Blank hob hervor, dass viele Unternehmen, gerade Start-ups und KMU, auf klare und verlässliche Standards warten. Der Code of Practice könne hier als einheitliches und praktikables Werkzeug dienen, um Orientierung zu geben und individuelle, uneinheitliche Lösungen zu vermeiden. Angenommen wird auch, dass durch einen „Anpassungsdruck“ unter Unternehmen, der Code of Practice breiter angenommen wird.

Wir danken allen Referent:innen und Teilnehmenden für die konstruktiven Beiträge und den offenen Austausch in der fünften Ausgabe unserer Dialogreihe.

Bertelsmann Stiftung x Weizenbaum Institut – zur Kooperation

Die europäische KI-Verordnung ist seit dem 1. August 2024 in Kraft getreten. Seitdem liegt der Ball vor allem bei den Mitgliedstaaten: Wie packen wir in Deutschland die Umsetzung an? Für unsere Politiker:innen heißt es: Ärmel hochkrempeln und ran an den Text! Die KI-Verordnung ist nämlich keine leichte Lektüre, sondern ein langes Regelwerk mit komplexen Facetten. Den Überblick bei der nationalen Umsetzung zu behalten ist dabei essenziell. Um im Verordnungsdschungel einen Beitrag zu leisten und Wege in der Umsetzung aufzuzeigen, starten das Weizenbaum Institut und wir, das Projekt reframe[Tech] der Bertelsmann Stiftung, eine neue Dialogreihe. In dieser werden Expert:innen aus Politik, Verwaltung, Wissenschaft, Zivilgesellschaft und Wirtschaft in sieben Terminen zusammenkommen, um sich über die vielschichtigen Inhalte, die Auswirkungen, den Einzelheiten und Hintergründen zu den Umsetzungsanforderungen und -optionen der KI-Verordnung vertraut zu machen und um eine kohärente nationale Umsetzung zu gewährleisten.