Definition: Allzweck-KI-Modell (GPAI)
Ein Allzweck-KI-Modell (GPAI) ist ein KI-Modell, das mit breiten Daten in großem Maßstab trainiert wurde, erhebliche Generalität zeigt und kompetent eine breite Palette unterschiedlicher Aufgaben übernehmen kann, unabhängig davon, wie es in Verkehr gebracht wird.
Kernmerkmale von Allzweck-KI-Modell (GPAI)
GPAI ist eine von der EU-KI-Verordnung geschaffene Rechtskategorie, keine technische Architektur. Jeder Anbieter, der ein Modell mit diesen Merkmalen trainiert, übernimmt Pflichten, sobald das Modell auf dem EU-Markt platziert wird.
- Trainiert auf breiten Datensätzen statt auf eine einzelne, eng begrenzte Aufgabe
- Einsetzbar in vielen unterschiedlichen nachgelagerten Anwendungen
- Meist, aber nicht zwingend, ein großes Large Language Model
- Reguliert auf Modellebene, getrennt von jedem darauf aufbauenden Hochrisiko-Anwendungsfall
Allzweck-KI-Modell (GPAI) vs. Foundation Model
“Foundation Model” ist ein Fachbegriff aus Forschung und Industrie für jedes auf breiten Daten trainierte Modell, das an viele Aufgaben angepasst werden kann. GPAI ist der engere Rechtsbegriff, den die EU-KI-Verordnung nutzt, um Pflichten auszulösen: Transparenzdokumentation, Urheberrechtskonformität und, oberhalb einer Rechenleistungsschwelle, Kontrollen für systemisches Risiko. Jedes GPAI-Modell ist technisch ein Foundation Model, aber nicht jedes Foundation Model zählt automatisch als GPAI.
Bedeutung von GPAI im Enterprise-KI-Umfeld
Fast jedes Enterprise-KI-Deployment stützt sich heute auf ein per API angebundenes GPAI-Modell statt auf ein eigens trainiertes System. Laut Bitkom-Umfrage 2024 nutzen bereits fast drei von vier deutschen Unternehmen generative KI-Tools wie ChatGPT, fast alle auf Basis von GPAI-Modellen Dritter, was GPAI-Compliance für nahezu jedes Unternehmen mit KI-Einsatz zur Beschaffungsfrage macht.
Methoden und Verfahren für GPAI
Drei strukturierte Prüfungen bestimmen, welche Pflichten für ein GPAI-Modell und seine Betreiber gelten.
Einstufung als systemisches Risiko
Die EU-KI-Verordnung vermutet systemisches Risiko, sobald die kumulierte Trainings-Rechenleistung 10^25 FLOPs übersteigt, eine Schwelle, die aktuelle Frontier-Modelle von OpenAI, Google, Anthropic und Meta bereits überschreiten.
- Die technische Dokumentation des Anbieters auf Rechenleistungsangaben prüfen
- Formale Einstufung als systemisches Risiko nach der EU-KI-Verordnung verifizieren
- Internes Fine-Tuning kennzeichnen, das ein Modell über die Schwelle heben könnte
Prüfung der Anbieterdokumentation
Jeder GPAI-Anbieter muss eine Modellkarte, eine Zusammenfassung der Trainingsdaten und technische Dokumentation veröffentlichen, die Betreibern Fähigkeiten und Grenzen des Modells verständlich macht. Diese Prüfung vor der Beschaffung ist mittlerweile Standardpraxis, ergänzend zur Konformitätsbewertung, die für darauf aufbauende Systeme erforderlich ist. Fehlende Dokumentation gilt zunehmend als Ausschlusskriterium bei der Anbieterauswahl.
Kartierung nachgelagerter Pflichten
Der Einsatz eines GPAI-Modells innerhalb eines Hochrisiko-KI-Systems, etwa bei Personalentscheidungen, bringt zusätzliche Pflichten neben denen des Modellanbieters mit sich. Die Kartierung, welche internen Anwendungsfälle auf GPAI beruhen und welche davon als Hochrisiko gelten, entscheidet, ob ein Unternehmen eine eigene Konformitätsbewertung braucht.
Wichtige Kennzahlen für GPAI
Die Steuerung der GPAI-Exposition braucht operative, strategische und qualitative Indikatoren.
Anbieter-Compliance-Tracking
- Dokumentationsabdeckung: Anteil der GPAI-Anbieter mit hinterlegter technischer Dokumentation
- Systemisches-Risiko-Flags: Anzahl eingesetzter Modelle oberhalb der 10^25-FLOP-Schwelle
- Vertragsprüfungsquote: Anteil der GPAI-Lieferantenverträge, die auf Verordnungspflichten geprüft wurden
Strategische Risikoexposition
Gartner prognostiziert, dass bis 2026 mehr als 80 % der Unternehmen generative KI-APIs oder GenAI-Anwendungen genutzt haben werden, gegenüber unter 5 % im Jahr 2023, wodurch GPAI-Anbieterrisiko fast jede Abteilung betrifft. Die Anzahl der Geschäftsbereiche, die von einem einzigen GPAI-Anbieter abhängen, liefert der Geschäftsführung eine konkrete Konzentrationsrisiko-Kennzahl.
Ausgabequalität und Drift
Da sich GPAI-Modelle im Zeitverlauf verändern und neu trainiert werden, kann sich das Ausgabeverhalten verschieben, ohne dass ein Unternehmen selbst etwas ändert. Regelmässiges Stichprobentesten der Ausgaben gegen ein festes Testset erkennt stillen Drift, bevor er Kunden oder Aufsichtsbehörden erreicht.
Risikofaktoren und Kontrollen bei GPAI
Nicht dokumentierte Hochrisiko-Nutzung
Der Einsatz eines GPAI-Modells für einen vom Anbieter nicht dokumentierten Anwendungsfall, etwa automatisiertes Bewerber-Screening, verlagert die Compliance-Verantwortung auf den Betreiber.
- Vorgesehenen Nutzungsumfang in der Anbieterdokumentation vor dem Einsatz prüfen
- Jeden Anwendungsfall protokollieren, der über den dokumentierten Umfang hinausgeht
- Rechtliches Sign-off einholen, bevor ein Modell für eine neue Abteilung umgewidmet wird
Abhängigkeit von einem Anbieter mit systemischem Risiko
Die Abhängigkeit von einem einzigen GPAI-Anbieter mit systemischem Risiko bündelt technisches und regulatorisches Risiko. Verhängt die Behörde eine Maßnahme gegen diesen Anbieter oder zieht er eine Modellversion zurück, können nachgelagerte Anwendungen ohne Vorwarnung ausfallen. Multi-Modell-Architekturen, die Anbieter austauschen können, reduzieren diesen Single Point of Failure.
Urheberrecht und Trainingsdaten-Exposition
GPAI-Anbieter müssen Trainingsdaten zusammenfassen und EU-Urheberrecht respektieren, doch Streitigkeiten über Trainingsdaten werden international noch vor Gericht ausgetragen. Unternehmen, die kundenseitige Produkte auf einem GPAI-Modell aufbauen, sollten die Urheberrechts-Freistellungsklauseln des Anbieters prüfen, da sich die Haftungssprache zwischen Anbietern deutlich unterscheidet.
Praxisbeispiel
Ein 140-Personen-Präzisionswerkzeugbau-Unternehmen in Baden-Württemberg wollte einen KI-Assistenten einführen, der technische Antworten auf Kunden-Anfragen anhand historischer Angebote entwirft. Vor der Anbieterauswahl prüfte der IT-Leiter die GPAI-Dokumentation dreier Kandidaten und fand nur einen Anbieter mit vollständiger Modellkarte zu Trainingsdatenumfang und Risikoeinstufung. Das Unternehmen ordnete den Assistenten zudem den Risikostufen der EU-KI-Verordnung zu und bestätigte, dass der Anwendungsfall außerhalb der Hochrisikokategorien liegt.
- GPAI-Anbieter-Shortlist auf Anbieter mit vollständiger Dokumentation gefiltert
- Schriftlicher Nachweis, dass der Angebotsassistent kein Hochrisiko-Anwendungsfall ist
- Vierteljährlicher Review-Prozess zur Verfolgung von Änderungen der Risikoeinstufung
- Ausweichanbieter identifiziert, falls das primäre Modell zurückgezogen wird
Aktuelle Entwicklungen und Auswirkungen
Die Durchsetzung der GPAI-Regeln tritt 2026 in ihre aktive Phase.
Verabschiedung des Code of Practice
Große Anbieter unterzeichneten den freiwilligen GPAI Code of Practice, der Mitte 2025 veröffentlicht wurde, um Compliance vor der verbindlichen Durchsetzung nachzuweisen.
- Unterzeichner erhalten eine Konformitätsvermutung für Transparenzpflichten
- Nicht-Unterzeichner müssen Compliance auf anderem dokumentiertem Weg nachweisen
- Die Kommission dürfte den Code entsprechend der Rechtsprechung weiterentwickeln
Durchsetzungsbefugnisse der Kommission greifen
Das AI Office der Europäischen Kommission erhält am 2. August 2026 volle Ermittlungs- und Bußgeldbefugnisse gegenüber GPAI-Anbietern, ein Jahr nachdem die Pflichten selbst in Kraft traten. Die ersten Durchsetzungsmaßnahmen und klärenden Leitlinien werden kurz danach erwartet.
Anpassungen durch den Digital Omnibus
Der 2026 in Prüfung befindliche Digital-Omnibus-Vorschlag enthält gezielte Anpassungen der GPAI-Dokumentationslast für kleinere Betreiber, während die Kernpflichten der Anbieter für Modelle mit systemischem Risiko in den aktuellen Entwürfen unverändert bleiben.
Fazit
GPAI hat sich von einer Nischen-Rechtsdefinition zu einem Beschaffungs-Checklistenpunkt für nahezu jedes Unternehmen mit KI-Einsatz entwickelt. Die seit August 2025 geltenden Pflichten sind bereits verbindlich, und die Durchsetzungsbefugnisse der Kommission greifen ab August 2026, was das Zeitfenster für den Mittelstand verengt, die Anbieterdokumentation zu prüfen, bevor sie zum Prüfungsbefund wird. Wer GPAI-Compliance als Teil der Standard-KI-Anbieterbewertung behandelt, zusammen mit KI-Governance, vermeidet die Hektik reaktiver Compliance-Programme. Unternehmen, die diese Prüfdisziplin jetzt aufbauen, beschaffen KI künftig schneller und mit weniger Rechtsrisiko.
Häufig gestellte Fragen
Was gilt als Allzweck-KI-Modell nach der EU-KI-Verordnung?
Jedes KI-Modell, das mit breiten Daten trainiert wurde, erhebliche Generalität zeigt und eine breite Palette unterschiedlicher Aufgaben in vielen nachgelagerten Anwendungen übernehmen kann. GPT-4-Klasse-Systeme, Gemini, Claude und Llama fallen darunter, ob per API genutzt oder auf eigener Infrastruktur betrieben.
Hat ein kleines Mittelstandsunternehmen direkte GPAI-Pflichten?
In der Regel nicht als Anbieter. Die meisten Mittelstandsunternehmen sind Betreiber, die GPAI-Modelle über die API eines Anbieters nutzen, wodurch die zentralen Dokumentations- und Risikopflichten beim Anbieter liegen, auch wenn Betreiber weiterhin prüfen müssen, dass ihr Anwendungsfall dem dokumentierten Umfang entspricht.
Wie verhält sich GPAI zu den Risikostufen der EU-KI-Verordnung?
GPAI wird getrennt von den vier Risikostufen der Verordnung für KI-Systeme reguliert; ein GPAI-Modell selbst gilt nicht als minimal, begrenzt oder hochriskant eingestuft. Ein Unternehmen kann trotzdem ein Hochrisiko-KI-System auf einem GPAI-Modell aufbauen, wodurch zusätzlich zu den Modellpflichten Systempflichten entstehen.
Was kostet GPAI-Compliance ein Unternehmen mit unter 250 Mitarbeitenden?
Für Betreiber besteht der direkte Aufwand hauptsächlich aus Personalzeit für die Prüfung der Anbieterdokumentation und die Bestätigung des Nutzungsumfangs. Das dauert pro Anbieter meist wenige Tage Rechts- und IT-Zeit, da die schwereren Dokumentationspflichten beim Anbieter liegen, nicht beim Betreiber.
Wie lange dauert der Aufbau eines GPAI-Anbieter-Reviewprozesses?
Ein einfacher Reviewprozess mit Dokumentationsprüfung, Risiko-Tracking und Anwendungsfall-Kartierung lässt sich für ein Unternehmen mit einer Handvoll KI-Anbietern innerhalb von zwei bis vier Wochen aufbauen. Der Hauptaufwand liegt im Abgleich interner Anwendungsfälle mit der Anbieterdokumentation.
Gibt es Förderung für die Compliance-Arbeit zur EU-KI-Verordnung?
Manche deutschen Landes- und Bundesförderprogramme, abgewickelt über die KfW und regionale Wirtschaftsförderungen, decken Beratungskosten für regulatorische Compliance ab, einschließlich der Vorbereitung auf die EU-KI-Verordnung. Förderfähigkeit und Umfang variieren je nach Programm und Unternehmensgröße.
