Der Verhaltenskodex zum EU-KI-Gesetz ist ein freiwilliger Rahmen, der am 10. Juli 2025 von der Europäischen Kommission veröffentlicht wurde. Er soll Anbietern von KI-Modellen mit allgemeinem Verwendungszweck, wie großen Sprachmodellen, helfen, die Einhaltung der im Gesetz über künstliche Intelligenz (KI-Gesetz) festgelegten Pflichten nachzuweisen, einer Verordnung der Europäischen Union über künstliche Intelligenz. Der Kodex schafft keine neuen rechtlichen Pflichten, sondern operationalisiert bestehende Anforderungen des Gesetzes und konzentriert sich auf drei Hauptkapitel: Transparenz, Urheberrecht sowie Sicherheit und Schutz.
Das KI-Gesetz selbst trat am 1. August 2024 in Kraft, wobei die Bestimmungen in den folgenden 6 bis 36 Monaten schrittweise eingeführt wurden. Der Verhaltenskodex wurde entwickelt, um die regulatorische Lücke für KI mit allgemeinem Verwendungszweck zu schließen, eine Kategorie, die 2023 hinzugefügt wurde, um Basismodelle abzudecken, die eine breite Palette von Aufgaben ausführen können, einschließlich generativer Systeme wie ChatGPT. Die Teilnahme am Kodex ist freiwillig, aber die Einhaltung soll die Erfüllung verbindlicher rechtlicher Pflichten aus dem Gesetz signalisieren und unterstützen.
Hintergrund und gesetzlicher Kontext
Das KI-Gesetz wurde am 21. April 2021 von der Europäischen Kommission als umfassender Regulierungsrahmen für KI in allen Sektoren vorgeschlagen, mit Ausnahmen für militärische, nationale Sicherheits-, Forschungs- und nichtberufliche Nutzung. Es wurde am 13. März 2024 vom Europäischen Parlament verabschiedet und am 21. Mai 2024 einstimmig vom EU-Rat genehmigt. Der Entwurf wurde während der Verhandlungen überarbeitet, um dem raschen Aufstieg von generativen KI-Systemen Rechnung zu tragen, deren Fähigkeiten mit allgemeinem Verwendungszweck nicht in den ursprünglichen risikobasierten Rahmen passten.
Das Gesetz etabliert einen gemeinsamen regulatorischen und rechtlichen Rahmen mit vier Risikostufen - inakzeptabel, hoch, begrenzt und minimal - plus einer separaten Kategorie für KI mit allgemeinem Verwendungszweck. Es schafft außerdem einen Europäischen Ausschuss für künstliche Intelligenz, um die Zusammenarbeit der Mitgliedstaaten zu fördern und die Einhaltung sicherzustellen. Wie die Datenschutz-Grundverordnung der EU kann das Gesetz extraterritorial auf Anbieter von außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben.
Der Verhaltenskodex für KI mit allgemeinem Verwendungszweck entstand aus diesem Gesetzgebungsprozess als Umsetzungsinstrument. Er wurde am 10. Juli 2025 nach Konsultationen mit Interessengruppen, einschließlich KI-Entwicklern, Industrieverbänden, Zivilgesellschaft und Wissenschaft, veröffentlicht. Der Kodex ist um die Anforderungen des Gesetzes an Anbieter von KI-Modellen mit allgemeinem Verwendungszweck strukturiert, einschließlich der Veröffentlichung einer Zusammenfassung der Trainingsdaten, der Annahme einer Urheberrechtsrichtlinie und der Bereitstellung technischer Dokumentation für nachgelagerte Anbieter und Aufsichtsbehörden.
Transparenzanforderungen
Das Transparenzkapitel des Kodex behandelt die Verpflichtung des Gesetzes, dass Anbieter Nutzer über die Art von KI-generierten Inhalten und Interaktionen informieren. Für KI-Modelle mit allgemeinem Verwendungszweck umfasst dies Anforderungen, offenzulegen, dass Inhalte KI-generiert sind, insbesondere bei Text-, Audio- oder visuellen Ausgaben, die mit menschlichen Kreationen verwechselt werden könnten. Dies steht im Einklang mit der Kategorie des begrenzten Risikos des Gesetzes, die Transparenzpflichten für Systeme auferlegt, die Bilder, Töne oder Videos erzeugen oder manipulieren, wie Deepfakes.
Open-Source-Modelle, deren Gewichte und Design öffentlich zugänglich gemacht werden, unterliegen unter dem Kodex reduzierten Transparenzanforderungen. Sie müssen eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen, sind jedoch von einigen umfassenderen Offenlegungspflichten ausgenommen. Closed-Source-Modelle hingegen müssen vollständigere Transparenzstandards erfüllen, einschließlich detaillierter Dokumentation der Fähigkeiten, Einschränkungen und des beabsichtigten Verwendungszwecks des Modells.
Für Modelle mit hoher Leistungsfähigkeit, die eine Schwelle von 1025 Gleitkommaoperationen für das Training überschreiten, fügt der Kodex zusätzliche Bewertungspflichten hinzu. Diese Modelle gelten als systemische Risiken darstellend und müssen Modellbewertungen und adversariale Tests über die Basisanforderungen hinaus durchführen. Die Transparenzbestimmungen verlangen auch, dass Anbieter Aufzeichnungen führen, die für nationale Aufsichtsbehörden und nachgelagerte Geschäftskunden zugänglich sind.
Urheberrecht und Trainingsdaten
Das Urheberrechtskapitel des Kodex operationalisiert die Anforderung des Gesetzes, dass Anbieter Richtlinien annehmen, die dem EU-Urheberrecht entsprechen. Dies umfasst die Dokumentation der Quellen der Trainingsdaten, die Sicherstellung, dass Datensätze, die zum Trainieren von Modellen verwendet werden, keine bestehenden Rechte verletzen, und die Bereitstellung von Transparenz darüber, welche Daten verwendet wurden. Anbieter müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, die als praktischer Mechanismus für Rechteinhaber dient, um potenzielle Verletzungen zu identifizieren.
Der Kodex ermutigt Anbieter, verfügbare technische Werkzeuge und bewährte Verfahren zu nutzen, um urheberrechtlich geschütztes Material aus Trainingsdatensätzen zu filtern. Er betont auch die Notwendigkeit, dass nachgelagerte Anbieter ausreichende Informationen haben, um die Einhaltung zu bewerten, wenn sie ein Modell mit allgemeinem Verwendungszweck in ihren eigenen Produkten verwenden. Dies ist besonders relevant, da das Gesetz Anbieter primär verantwortlich macht, aber Bereitsteller je nach ihrer Rolle ebenfalls Pflichten haben können.
Es gibt keinen obligatorischen Registrierungs- oder Durchsetzungsmechanismus im Kodex selbst. Stattdessen ist die Einhaltung freiwillig, aber Anbieter, die den Kodex befolgen, können ihn als Nachweis guter Absichten zur Erfüllung der Pflichten des Gesetzes verwenden. Die Kommission hat signalisiert, dass die Teilnahme bei zukünftigen Durchsetzungsmaßnahmen positiv berücksichtigt werden könnte, obwohl Nichtteilnahme nicht automatisch Nichteinhaltung impliziert.
Sicherheits- und Schutzpflichten
Das Sicherheits- und Schutzkapitel des Kodex behandelt die Risikomanagementpflichten des Gesetzes für KI-Modelle mit allgemeinem Verwendungszweck. Für Modelle, die als systemisches Risiko darstellend eingestuft werden, müssen Anbieter Modellbewertungen durchführen, einschließlich Tests auf Verzerrungen, Sicherheitslücken und andere potenzielle Schäden. Sie müssen auch adversariale Tests durchführen, um Modellschwächen zu untersuchen, Risiken wie Diskriminierung oder unsichere Ausgaben bewerten und mindern, schwerwiegende Vorfälle den Behörden melden und ein angemessenes Maß an Cybersicherheit gewährleisten.
Der Kodex bietet praktische Anleitungen zur Durchführung dieser Bewertungen, einschließlich spezifischer Metriken und Bewertungsmethoden. Er ermutigt Anbieter auch, interne Governance-Strukturen einzurichten, die Risiken während des gesamten Lebenszyklus des Modells überwachen können. Diese Pflichten gehen über bloße Dokumentation hinaus und erfordern aktives, fortlaufendes Risikomanagement.
Für Modelle unterhalb der Schwelle für systemisches Risiko sind die Sicherheitsanforderungen geringer. Anbieter müssen dennoch grundlegende Zuverlässigkeit und Sicherheit gewährleisten, sind jedoch nicht verpflichtet, dasselbe Maß an adversarialen Tests oder Vorfallmeldungen durchzuführen. Der Kodex unterscheidet zwischen Modellen mit hoher Leistungsfähigkeit und anderen und erkennt an, dass je nach potenziellem Einfluss unterschiedliche Ansätze erforderlich sind.
Der Sicherheitsrahmen stützt sich auf frühere technische Arbeiten im maschinellen Lernen, einschließlich Methoden wie Verstärkungslernen aus KI-Feedback und Modellbereinigung, obwohl der Kodex keine spezifischen Techniken vorschreibt. Er konzentriert sich auf Ergebnisse und Prozesse statt auf bestimmte Algorithmen.
Beziehung zu risikobasierten Kategorien
Der Kodex operiert innerhalb des breiteren Risikoklassifizierungssystems des KI-Gesetzes. Während das Gesetz KI mit allgemeinem Verwendungszweck separat reguliert, interagieren seine Bestimmungen mit den vier Risikokategorien. Beispielsweise wäre ein Modell mit allgemeinem Verwendungszweck, das als Teil einer Anwendung mit hohem Risiko eingesetzt wird - etwa im Gesundheitswesen, Bildungswesen oder bei der Personalbeschaffung - sowohl den Pflichten für allgemeinen Verwendungszweck als auch den Anforderungen für hohes Risiko unterworfen. Dies umfasst Konformitätsbewertungen und in einigen Fällen eine Folgenabschätzung für Grundrechte vor dem Einsatz.
Die Kategorie für KI mit allgemeinem Verwendungszweck wurde dem Gesetz speziell hinzugefügt, um Modelle zu adressieren, die nicht genau in die traditionellen Risikostufen passen. Diese Modelle sind an viele Aufgaben anpassbar, was ihr Risikoprofil kontextabhängig macht. Der Kodex hilft, diese Lücke zu überbrücken, indem er einen einheitlichen Rahmen für Anbieterpflichten bietet, unabhängig davon, wie ein Modell letztendlich eingesetzt wird.
Anwendungen mit minimalem Risiko, wie Videospiele oder Spamfilter, bleiben unter dem Gesetz weitgehend unreguliert, und der Kodex gilt nicht für sie. Die Maximalharmonisierungsregeln des Gesetzes verhindern, dass Mitgliedstaaten zusätzliche nationale Vorschriften für diese Systeme erlassen, obwohl ein freiwilliger Verhaltenskodex auch für sie vorgeschlagen wird.
Umsetzung und Überwachung
Die Europäische Kommission überwacht die Umsetzung des Kodex in Zusammenarbeit mit nationalen Behörden und dem Europäischen Ausschuss für künstliche Intelligenz. Der Ausschuss, der durch das Gesetz eingerichtet wurde, fördert die Zusammenarbeit zwischen den Mitgliedstaaten und gewährleistet eine konsistente Anwendung der Verordnung in der gesamten EU. Der Kodex dient als Instrument für diese Koordination, indem er eine gemeinsame Reihe von Praktiken bereitstellt, die Anbieter übernehmen können.
Die Überwachung des Kodex ist hauptsächlich selbstregulierend. Anbieter, die sich zum Kodex verpflichten, berichten über ihre Einhaltung durch öffentlich zugängliche Dokumentationsbeschreibung. Die Kommission hat angegeben, dass sie den Kodex regelmäßig überprüfen und aktualisieren wird, wenn sich Technologien weiterentwickeln oder Lehren aus der Umsetzung gezogen werden. Dieser adaptive Ansatz soll mit Entwicklungen bei transformerbasierten Architekturen und anderen KI-Fortschritten Schritt halten.
Die Durchsetzung des zugrunde liegenden KI-Gesetzes bleibt die Verantwortung nationaler Aufsichtsbehörden und, wo anwendbar, der Europäischen Kommission. Der Kodex ist kein Ersatz für formale Einhaltung, sondern soll die Einhaltung einfacher und transparenter machen. Anbieter von außerhalb der EU werden ebenfalls ermutigt, teilzunehmen, wenn sie Dienstleistungen oder Produkte innerhalb des EU-Marktes anbieten.
Rezeption und Auswirkungen
Der Verhaltenskodex wurde von der KI-Industrie allgemein gut aufgenommen, obwohl einige Interessengruppen Bedenken hinsichtlich der Belastung durch Dokumentation und Bewertung geäußert haben. Große Technologieunternehmen, einschließlich derer, die an OpenAI, Anthropic und Google DeepMind beteiligt sind, haben an Konsultationen teilgenommen und werden voraussichtlich ihre Praktiken an den Kodex anpassen. Kleinere Anbieter und Open-Source-Projekte könnten Herausforderungen bei der Erfüllung der Anforderungen haben, aber die reduzierten Transparenzpflichten des Kodex für Open-Source-Modelle zielen darauf ab, dies zu mildern.
Zivilgesellschaftliche Gruppen haben den Kodex dafür gelobt, KI-Governance greifbarer zu machen, insbesondere im Bereich Urheberrecht und Sicherheit. Einige Kritiker argumentieren jedoch, dass seine freiwillige Natur die Rechenschaftspflicht schwächt, da es keine Strafe für Nichtteilnahme gibt. Das Europäische Parlament hat Unterstützung für den Kodex als Ergänzung zum Gesetz ausgedrückt, während es die Notwendigkeit einer starken Durchsetzung der zugrunde liegenden Verordnung betont.
Der Kodex beeinflusst auch internationale Diskussionen zur KI-Governance. Durch die Bereitstellung einer detaillierten Vorlage für die Aufsicht über KI mit allgemeinem Verwendungszweck bietet er einen Referenzpunkt für andere Rechtsordnungen, die ähnliche Rahmen entwickeln. Sein Fokus auf risikobasierte, verhältnismäßige Maßnahmen entspricht aufkommenden bewährten Verfahren in der KI-Politik, obwohl der regulatorische Ansatz der EU in seiner Vollständigkeit weiterhin einzigartig ist.
Stand Ende 2025 befindet sich der Kodex in seiner frühen Umsetzungsphase. Seine langfristigen Auswirkungen hängen davon ab, wie effektiv Anbieter seine Bestimmungen in Entwicklungszyklen integrieren und wie robust Behörden die Einhaltung des KI-Gesetzes überwachen. Die freiwillige Natur des Kodex bedeutet, dass sein Erfolg von weit verbreiteter Annahme und der Glaubwürdigkeit selbstberichteter Einhaltung abhängt.