Der Entwurf des Allgemeinen KI-Verhaltenskodex ist ein regulatorisches Dokument, das 2025 von der Europäischen Kommission veröffentlicht wurde und darauf abzielt, die Verpflichtungen für Anbieter von allgemeinen künstlichen Intelligenzmodellen (GPAI) gemäß dem EU-KI-Gesetz zu operationalisieren. Der Kodex übersetzt die hochrangigen gesetzlichen Anforderungen in konkrete, umsetzbare Maßnahmen für Unternehmen, die Basismodelle entwickeln und bereitstellen, einschließlich großer Sprachmodelle und anderer generativer KI-Systeme. Er stellt einen wichtigen Schritt in den Bemühungen der EU dar, einen globalen Standard für die KI-Governance zu etablieren, der Innovation mit dem Schutz der Grundrechte in Einklang bringt.
Der Kodex wurde durch einen Multi-Stakeholder-Prozess entwickelt, an dem Branchenvertreter, Organisationen der Zivilgesellschaft, Wissenschaft und unabhängige Experten beteiligt waren. Er befasst sich mit vier Hauptpfeilern: Transparenz und Urheberrechtskonformität, Risikoidentifizierung und -bewertung, internes Risikomanagement sowie Bewertung und Minderung systemischer Risiken. Der Entwurf wurde zur öffentlichen Konsultation veröffentlicht, wobei eine endgültige Fassung nach Einarbeitung des Feedbacks von Interessengruppen und des Europäischen KI-Büros erwartet wird.
Hintergrund und Rechtsgrundlage
Das EU-KI-Gesetz, das 2024 formell verabschiedet wurde, führte einen risikobasierten Regulierungsrahmen für KI-Systeme ein. GPAI-Modelle, definiert als solche, die mit großen Datenmengen trainiert werden und eine breite Palette von Aufgaben ausführen können, unterliegen spezifischen Verpflichtungen gemäß den Artikeln 51-56 des Gesetzes. Dazu gehören die Bereitstellung technischer Dokumentation, die Veröffentlichung von Zusammenfassungen der Trainingsdaten und die Umsetzung von Richtlinien zur Einhaltung des EU-Urheberrechts. Für Modelle mit systemischem Risiko - solche mit hoher Rechenkapazität oder erheblichen Auswirkungen - gelten zusätzliche Anforderungen, wie z. B. adversarisches Testen und die Meldung von Vorfällen.
Der Verhaltenskodex ist kein eigenständiges Rechtsinstrument, sondern ein Leitfaden, den die Europäische Kommission als Maßstab für die Einhaltung der Vorschriften nutzen will. Anbieter, die den Kodex einhalten, gelten als konform mit den GPAI-Bestimmungen des KI-Gesetzes. Dieser "Soft-Law"-Ansatz zielt darauf ab, Klarheit und Flexibilität zu schaffen, während die Kommission durch europäische Normungsorganisationen harmonisierte Standards entwickelt.
Entwicklungsprozess
Im November 2024 startete das Europäische KI-Büro einen Konsultationsprozess zur Ausarbeitung des Kodex. Es wurden vier Arbeitsgruppen eingerichtet, die sich jeweils auf einen bestimmten Pfeiler konzentrierten. Die Gruppen umfassten Vertreter großer Technologieunternehmen wie OpenAI, Anthropic, Google DeepMind und Amazon Web Services sowie europäische Start-ups, zivilgesellschaftliche Gruppen wie Access Now und akademische Einrichtungen wie MIT CSAIL und Stanford AI Lab. Der Prozess wurde von unabhängigen Experten geleitet, darunter der Informatiker Michael I. Jordan und die Rechtswissenschaftlerin Marietje Schaake.
Die Arbeitsgruppen trafen sich über mehrere Monate virtuell und persönlich und erstellten iterative Entwürfe. Der erste vollständige Entwurf wurde am 14. April 2025 veröffentlicht, gefolgt von einer sechswöchigen öffentlichen Kommentierungsfrist. Es gingen über 500 Stellungnahmen aus 40 Ländern ein, was das globale Interesse an der EU-KI-Regulierung widerspiegelt. Die endgültige Fassung soll Ende 2025 verabschiedet werden, mit einer Übergangsfrist für Anbieter, um ihre Praktiken anzupassen.
Pfeiler Eins: Transparenz und Urheberrecht
Der erste Pfeiler verlangt von GPAI-Anbietern, detaillierte technische Dokumentationen zu führen, einschließlich der Modellarchitektur, der Quellen der Trainingsdaten und der verwendeten Rechenressourcen. Anbieter müssen eine ausreichend detaillierte Zusammenfassung der Trainingsinhalte veröffentlichen, wie in Artikel 53(1)(a) des KI-Gesetzes gefordert. Der Kodex legt fest, dass diese Zusammenfassung Informationen über Datenkategorien, Sprachen und die Herkunft der Datensätze enthalten sollte, wobei Geschäftsgeheimnisse zu respektieren sind.
Die Einhaltung des Urheberrechts ist ein zentrales Anliegen. Der Kodex verpflichtet Anbieter, modernste Maßnahmen zu implementieren, um Rechtevorbehalte von Urheberrechtsinhabern zu identifizieren und zu respektieren, wie z. B. die Verwendung maschinenlesbarer Opt-out-Protokolle. Er verlangt auch, dass Anbieter ihre Richtlinien zur Einhaltung der EU-Richtlinie über das Urheberrecht im digitalen Binnenmarkt dokumentieren, insbesondere in Bezug auf Ausnahmen für Text- und Data-Mining. Der Entwurf schlägt vor, dass Anbieter Aufzeichnungen über urheberrechtsbezogene Beschwerden und deren Lösungen führen sollten.
Pfeiler Zwei: Risikoidentifizierung und -bewertung
Der zweite Pfeiler konzentriert sich auf interne Prozesse zur Identifizierung und Bewertung von Risiken im Zusammenhang mit GPAI-Modellen. Anbieter müssen ein Risikomanagementsystem einrichten, das den gesamten Modelllebenszyklus abdeckt, von der Datenerfassung und dem Training bis zur Bereitstellung und Überwachung nach dem Markteintritt. Der Kodex empfiehlt einen strukturierten Ansatz, der auf bestehenden Rahmenwerken wie dem NIST-KI-Risikomanagementrahmen basiert und an den EU-Kontext angepasst ist.
Zu den spezifischen Risikokategorien gehören Voreingenommenheit und Diskriminierung, Verletzungen der Privatsphäre, Sicherheitsfehler und potenzieller Missbrauch für Desinformation oder Cyberangriffe. Anbieter werden erwartet, Red-Teaming-Übungen und adversarisches Testen durchzuführen, insbesondere für Modelle mit hoher Leistungsfähigkeit. Der Kodex verlangt auch die Dokumentation von Risikobewertungsmethoden, einschließlich Metriken zur Messung von Voreingenommenheit (z. B. demografische Parität) und Robustheit (z. B. Leistung bei Verteilungsverschiebungen).
Pfeiler Drei: Internes Risikomanagement
Der dritte Pfeiler beschreibt Governance- und operative Maßnahmen. Anbieter müssen eine verantwortliche Person oder ein Team für die KI-Konformität benennen, mit klaren Verantwortlichkeitslinien. Der Kodex empfiehlt die Einrichtung eines internen Überprüfungsgremiums, das verschiedene Perspektiven einbezieht, einschließlich Ethikern und Rechtsexperten, um Risikoentscheidungen zu überwachen. Schulungsprogramme für Mitarbeiter zu KI-Sicherheit und Ethik sind ebenfalls vorgeschrieben.
Zu den technischen Maßnahmen gehören die Implementierung von Model Pruning und anderen Optimierungstechniken zur Reduzierung unbeabsichtigter Verhaltensweisen sowie die Aufrechterhaltung von Versionskontrolle und Audit-Trails für Modellaktualisierungen. Anbieter müssen auch Protokolle zur Reaktion auf Vorfälle einrichten, einschließlich Verfahren zur Meldung schwerwiegender Vorfälle an das Europäische KI-Büro innerhalb von 15 Tagen. Der Kodex betont die Bedeutung von Data Augmentation und Curriculum Learning als Methoden zur Verbesserung der Modellrobustheit und zur Reduzierung bekannter Fehlermodi.
Pfeiler Vier: Bewertung und Minderung systemischer Risiken
Für Modelle, die als systemisch riskant eingestuft werden - definiert als solche, die mehr als 10^25 Gleitkommaoperationen pro Trainingslauf erfordern - legt der Kodex zusätzliche Verpflichtungen fest. Anbieter müssen umfassende Bewertungen unter Verwendung standardisierter Benchmarks und Stresstests durchführen, einschließlich Bewertungen der Cyber-Offensivfähigkeiten, des Wissens über chemische oder biologische Waffen und des Potenzials für autonome Replikation. Der Entwurf verweist auf Methoden von BAIR (Berkeley AI Research) und University of Oxford zur Bewertung von Frontier-KI-Risiken.
Zu den Minderungsmaßnahmen gehören die Implementierung von Reinforcement Learning from AI Feedback (RLAIF) (Verstärkungslernen aus KI-Feedback) und Gradient Clipping zur Stabilisierung des Trainings sowie die Bereitstellung von Top-K Sampling und Temperature Scaling zur Steuerung des Generierungsverhaltens. Anbieter müssen sich auch verpflichten, Sicherheitserkenntnisse mit dem Europäischen KI-Büro und, wo angemessen, mit anderen Anbietern zu teilen. Der Kodex fördert die Teilnahme an gemeinsamen Sicherheitsforschungsinitiativen, wie sie von Anthropic und Google DeepMind geleitet werden.
Branchenreaktionen und Kritik
Der Entwurf des Kodex hat gemischte Reaktionen hervorgerufen. Große Technologieunternehmen begrüßten im Allgemeinen die Klarheit, die er bietet, äußerten jedoch Bedenken hinsichtlich der Compliance-Kosten und des Potenzials für Überregulierung. OpenAI und Anthropic verpflichteten sich öffentlich, die Anforderungen des Kodex zu erfüllen, während Google Cloud und Microsoft Azure die Notwendigkeit internationaler Abstimmung betonten, um Fragmentierung zu vermeiden. Europäische Start-ups wie AI21 Labs und Mistral AI argumentierten, dass der Schwerpunkt des Kodex auf Dokumentation kleinere Akteure mit begrenzten Ressourcen benachteiligen könnte.
Organisationen der Zivilgesellschaft lobten den Fokus auf Transparenz und Urheberrecht, kritisierten jedoch das Fehlen verbindlicher Durchsetzungsmechanismen. Einige Akademiker, darunter Melanie Mitchell und Aleksander Madry, stellten die Machbarkeit der vorgeschlagenen Risikobewertungen in Frage und wiesen darauf hin, dass aktuelle Bewertungsmethoden unzureichend sind, um emergente Fähigkeiten vorherzusagen. Das OpenPanel, ein unabhängiges Beratungsgremium, empfahl strengere Bestimmungen für die öffentliche Offenlegung von Trainingsdaten und strengere Prüfungen durch Dritte.
Nächste Schritte und Umsetzungszeitplan
Die Europäische Kommission plant, den Kodex bis Dezember 2025 zu finalisieren und das Feedback aus der Konsultation einzuarbeiten. Nach der Annahme wird der Kodex am 2. August 2026 wirksam, zeitgleich mit dem allgemeinen Anwendungsdatum des KI-Gesetzes für GPAI-Verpflichtungen. Anbieter haben eine sechsmonatige Übergangsfrist, um ihre Praktiken anzupassen, wobei das Europäische KI-Büro Anfang 2027 mit Konformitätsprüfungen beginnt.
Es wird erwartet, dass der Kodex die KI-Governance über die EU hinaus beeinflusst, da andere Rechtsordnungen, darunter Kanada und Japan, Interesse an der Übernahme ähnlicher Rahmenwerke bekundet haben. Die Artificial intelligence-Gemeinschaft wird die Umsetzung genau beobachten, insbesondere wie die Schwellenwerte für systemische Risiken angewendet werden und ob der Kodex erfolgreich Innovation mit öffentlicher Sicherheit in Einklang bringt. Stand Mitte 2025 bleibt der endgültige Text änderbar, und Interessengruppen engagieren sich weiterhin im Regelungsprozess.