Durchsetzung des EU-KI-Gesetzes: Analyse der 3-%-GPAI-Geldbuße

Der leise Teil der KI-Regulierung ist immer der Aktenschrank. Am 2. August 2026 wurde dieser Schrank zu etwas, das Brüssel öffnen, prüfen und nutzen kann, um zu entscheiden, ob ein KI-Modell mit allgemeinem Verwendungszweck weiterhin reibungslosen Zugang zum EU-Markt behält. Die Veränderung ist keine Rede über verantwortungsvolle Innovation. Es ist eine Aufsichtsbehörde, die Werkzeuge erhält: Auskunftsersuchen, Modellbewertungen, Korrekturmaßnahmen, Marktbeschränkungen und Geldbußen. Für Entwickler, die große Modell-APIs nutzen, ist die praktische Frage nicht, ob sie persönlich ein Frontier-Modell trainiert haben. Es geht darum, ob ihr Veröffentlichungsprozess von einem Anbieter abhängt, der dem Europäischen Amt für KI schnell antworten, Bewertungsnachweise vorlegen und die Kontinuität von EU-Diensten aufrechterhalten kann. In Compliance-Begriffen hat Ihr Lieferantenrisikoregister gerade einen neuen Akzent gelernt.

Der Wechsel ist Aufsicht, nicht Symbolik

Laut Wilson Sonsini Goodrich and Rosati wurde die Europäische Kommission, handelnd durch das Europäische Amt für KI, am 2. August 2026 formell befugt, Verpflichtungen aus dem EU-KI-Gesetz zu untersuchen und durchzusetzen, die Anbietern von KI-Modellen mit allgemeinem Verwendungszweck auferlegt werden. WSGR zufolge umfassen diese Befugnisse das Anfordern von Informationen und Dokumentation, den Zugang zu Modellen für Bewertungen, das Verlangen von Korrektur- oder Risikominderungsmaßnahmen sowie die Verhängung von Geldbußen. Die Obergrenze für Geldbußen liegt laut derselben WSGR-Analyse beim höheren Betrag von 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes des Anbieters.

Der Tracker zum EU-Gesetz über künstliche Intelligenz zieht die entscheidende Zeitlinie noch deutlicher. Er sagt, dass Anbieter von GPAI-Modellen seit dem 2. August 2025 den Verpflichtungen aus Kapitel V unterliegen, dass die Aufsichts- und Durchsetzungsbefugnisse der Kommission ihnen gegenüber jedoch am 2. August 2026 in Kraft treten. Das ist der Unterschied zwischen einer Pflicht, die auf dem Papier besteht, und einer Behörde, die Belege verlangen kann. Wer sagt, das Gesetz sei diese Woche plötzlich aufgetaucht, hat den Umsetzungszeitplan nicht gelesen. Genau so wird vermeidbare Compliance-Arbeit zu dringender Rechtsarbeit.

Was die Kommission in der Praxis verlangen kann

Der Tracker zum EU-Gesetz über künstliche Intelligenz beschreibt die Pflichten aus Kapitel V als sowohl verfahrensbezogen als auch inhaltlich. Sie betreffen die Interaktion mit dem Amt für KI ebenso wie Entwicklung und Dokumentation im Zusammenhang mit dem Modell. In einfache Pflichten übersetzt bedeutet das: Ein GPAI-Anbieter braucht einen nachvollziehbaren Weg von den Aufzeichnungen zur Modellentwicklung bis hin zu regulatorisch belastbarer Dokumentation. Die Warteschlange für Anfragen des Amts für KI sollte neben Schreiben von Datenschutzbehörden, Workflows für Sicherheitsvorfälle und Release-Blockern stehen, nicht in einem Richtlinien-Postfach, das nach Konferenzen geprüft wird.

Die Darstellung von WSGR macht die operativen Folgen klarer. Wenn die Kommission Modellzugang für Bewertungen erhalten und Korrektur- oder Risikominderungsmaßnahmen verlangen kann, dann sind Bewertungen kein internes Wissenschaftstheater mehr. Sie sind Nachweispakete. Ein Anbieter sollte zeigen können, was getestet wurde, wann es getestet wurde, welche Risiken erkannt wurden, welche Abhilfen folgten und wer die Befugnis hatte, ein Release zu stoppen. LinkedIn wird das als breites Durchgreifen gegen Modelle bezeichnen. Das Gesetz, wie es von WSGR und dem EU AI Act Tracker beschrieben wird, ist konkreter und weniger theatralisch: Informationen bereitstellen, sich Bewertungen unterziehen, Probleme beheben, riskante Marktaktivitäten bei Bedarf beschränken oder mit Sanktionen rechnen.

Nachgelagerte Entwickler erben das Lieferkettenrisiko

TechPolicy.Press berichtet, dass die neuen Befugnisse der Kommission zu einem Zeitpunkt kommen, an dem Brüssel die Regeln für Anbieter von GPAI-Modellen vollständig durchsetzen kann, auch wenn die Verpflichtungen bereits im vergangenen Jahr zu gelten begannen. Außerdem wird darauf hingewiesen, dass am selben Tag neue Transparenzregeln gelten, die Menschen helfen sollen zu erkennen, wann sie mit einem KI-System interagieren oder synthetische Inhalte sehen. WSGR sagt separat, dass die Transparenzanforderungen aus Artikel 50 nun verlangen, dass bestimmte KI-Systeme KI-Interaktionen offenlegen und Herkunftssignale wie Wasserzeichen oder Metadaten für erzeugte oder veränderte Inhalte enthalten.

Das ist wichtig für Produktteams, die nie geplant hatten, Spezialisten für das KI-Gesetz zu werden. Wenn Ihre App ein GPAI-Modell einbindet, sind Sie vielleicht nicht der Anbieter dieses Modells, aber Sie können trotzdem die Folgen einer Anbieteruntersuchung, einer Bewertungsanforderung oder einer EU-Marktbeschränkung spüren. Lieferantenverträge sollten daher drei langweilige, aber notwendige Fragen beantworten: Welche Compliance-Dokumentation kann der Anbieter teilen, wie schnell benachrichtigt er Kunden über behördliche Maßnahmen, die die Verfügbarkeit in der EU betreffen, und welche Ausweichrechte bestehen, falls sich der Zugang ändert. In langweiligen Klauseln lebt die Produktkontinuität.

Es gibt auch eine Timing-Falle. WSGR sagt, dass das kürzlich verabschiedete KI-Omnibus-Paket die wichtigsten Anforderungen des KI-Gesetzes für Hochrisiko-KI-Systeme verschoben hat, die Entwicklungen vom 2. August 2026 für GPAI-Durchsetzung und Transparenz jedoch nicht betrifft. Teams, die Fristen für Hochrisikosysteme verfolgen, sollten GPAI-Arbeit nicht beiläufig in denselben verschobenen Eimer legen. Zwei Teile desselben Gesetzes können unterschiedliche Uhren haben. Entwickler, die dazwischenstecken, sollten das als normale EU-Compliance-Installationsarbeit behandeln, nicht als Widerspruch.

Der Papierkram, der jetzt zählt

Der AI Act Explorer sagt, dass er die im Amtsblatt veröffentlichte Fassung des Gesetzes über künstliche Intelligenz vom 13. Juni 2024 enthält und Nutzern ermöglicht, nach relevanten Teilen des Gesetzes zu suchen. Das ist nützlich, weil die nächste Phase Teams belohnen wird, die Produktfakten rechtlichen Anknüpfungspunkten zuordnen können, ohne jedes Release-Meeting in eine gesetzliche Ausgrabung zu verwandeln. Das unmittelbare Compliance-Artefakt ist keine glänzende Seite mit KI-Prinzipien. Es ist ein Aufzeichnungssystem für Modelldokumentation, Bewertungsergebnisse, Entscheidungen zur Risikominderung, Zuständigkeiten für Auskunftsersuchen und die Umsetzung von Transparenz.

Die zukunftsgerichtete Frage ist, wie schnell die Durchsetzungspraxis vorhersehbar wird. Achten Sie auf die ersten Auskunftsersuchen der Kommission, auf veröffentlichte Leitlinien des Europäischen Amts für KI und darauf, ob Befugnisse zur Marktbeschränkung als Verhandlungsdruck oder als formelle Abhilfe eingesetzt werden. Wenn Sie in Europa auf GPAI-Modellen aufbauen, ist der sinnvolle Schritt bescheiden: Inventarisieren Sie Ihre Modellabhängigkeiten, aktualisieren Sie Lieferantenklauseln, proben Sie den Workflow für Behördenanfragen und stellen Sie sicher, dass Herkunfts- und Offenlegungsarbeit nicht auf den nächsten Sprint wartet, der dann doch nie richtig kommt.