Artikel 53 der EU-KI-Verordnung: die Pflichten von GPAI-Anbietern erklärt

Artikel 53 verpflichtet GPAI-Anbieter zu technischer Dokumentation und zur Zusammenarbeit mit den Behörden. Das müssen Entwickler von Basismodellen tun — diese Pflichten gelten bereits.

Aktualisiert am 31. Juli 2026 — Korrektur. Die Pflichten für KI mit allgemeinem Verwendungszweck nach Kapitel V gelten seit dem 2. August 2025. Sie sind bereits in Kraft und stehen nicht erst bevor. Dieser Artikel nannte zuvor das falsche Datum. Wenn Sie ein KI-Modell mit allgemeinem Verwendungszweck (GPAI) bauen oder einsetzen — etwa GPT-4, Claude, Mistral oder Llama —, begründet Artikel 53 der EU-KI-Verordnung Pflichten, die seit dem 2. August 2025 gelten. Sie sind bereits in Kraft.

Anders als die Artikel 9 bis 15 (die für Hochrisiko-KI-Systeme gelten) richtet sich Artikel 53 unmittelbar an GPAI-Anbieter. Er verlangt technische Dokumentation, Transparenz über Trainingsdaten, Zusammenarbeit mit Behörden und die Einhaltung der Praxisleitfäden des Büros für Künstliche Intelligenz.

Dieser Leitfaden zeigt, was Artikel 53 tatsächlich verlangt, für wen er gilt und was Sie vor dem Durchsetzungstermin vorbereiten müssen.

Für wen Artikel 53 gilt

Artikel 53 gilt für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, die auf dem EU-Markt in Verkehr gebracht werden. Ein GPAI-Modell ist definiert als:

ein KI-Modell, das mit großen Datenmengen trainiert wurde, ein breites Spektrum an Aufgaben erfüllen kann und dafür bestimmt ist, in verschiedene nachgelagerte Systeme oder Anwendungen integriert zu werden.

Beispiele im Anwendungsbereich

Basismodelle (GPT-4, Claude, Gemini, Llama, Mistral)
Multimodale Modelle (DALL·E, Stable Diffusion, Midjourney)
Embedding-Modelle, die als APIs oder Bibliotheken vertrieben werden
Modelle zur Codegenerierung (Codex, das Backend von GitHub Copilot)

Beispiele außerhalb des Anwendungsbereichs

Ein Chatbot, der auf GPT-4 aufsetzt (Sie sind Betreiber, nicht GPAI-Anbieter)
Ein eng zugeschnittenes Modell, das nur für Sentimentanalyse trainiert wurde
Ein internes Modell, das nicht auf dem EU-Markt in Verkehr gebracht wird

Wenn Sie ein nachgelagerter Betreiber sind (z. B. die OpenAI-API nutzen, um einen Kundenservice-Bot zu bauen), gilt Artikel 53 nicht unmittelbar für Sie — die Artikel 9 bis 15 können je nach Anwendungsfall aber sehr wohl greifen.

Die Kernpflichten nach Artikel 53

Artikel 53 stellt vier zentrale Anforderungen an GPAI-Anbieter:

1. Technische Dokumentation

Sie müssen eine aktuelle technische Dokumentation erstellen und pflegen, die Folgendes umfasst:

Modellarchitektur und Trainingsmethodik
Datenquellen, einschließlich einer Beschreibung der Trainingsdaten und ihrer Herkunft
Eingesetzte Rechenressourcen (z. B. GPU-Stunden, Trainingsdauer)
Test- und Validierungsverfahren
Bekannte Grenzen und vorgesehene Anwendungsfälle
Maßnahmen zur Erkennung und Minderung von Verzerrungen

Diese Dokumentation muss ausreichen, damit das Büro für Künstliche Intelligenz die Konformität mit der EU-KI-Verordnung bewerten kann.

2. Transparenz über Trainingsdaten

Wurde Ihr Modell mit urheberrechtlich geschütztem Material trainiert, müssen Sie Folgendes bereitstellen:

Eine hinreichend detaillierte Zusammenfassung der für das Training verwendeten Inhalte
Die Einhaltung der Richtlinie (EU) 2019/790 (Urheberrechtsrichtlinie)

Das ist die Klausel zur „Urheberrechtstransparenz“ — sie adressiert Bedenken gegenüber Modellen, die auf gescrapten Webdaten, Büchern oder Code-Repositorien ohne ausdrückliche Lizenzierung trainiert wurden.

3. Zusammenarbeit mit dem Büro für Künstliche Intelligenz

Sie müssen mit dem Europäischen Büro für Künstliche Intelligenz und den zuständigen nationalen Behörden zusammenarbeiten, insbesondere durch:

Beantwortung von Auskunftsersuchen
Gewährung von Zugang zur Dokumentation
Teilnahme an Prüfungen oder Bewertungen

Verweigerte Zusammenarbeit kann Durchsetzungsmaßnahmen auslösen.

4. Einhaltung von Praxisleitfäden

Das Büro für Künstliche Intelligenz wird Praxisleitfäden für GPAI-Anbieter veröffentlichen. Sie sind freiwillige Rahmenwerke, aber:

Wenn Sie einen genehmigten Praxisleitfaden einhalten, kommt Ihnen eine Konformitätsvermutung hinsichtlich Artikel 53 zugute.
Wenn Sie ihn nicht einhalten, müssen Sie die Konformität auf andere Weise nachweisen.

Praxisleitfäden dürften Folgendes abdecken:

Benchmarks zur Modellbewertung
Red-Teaming und adversariale Tests
Meldung von Vorfällen
Transparenz über Fähigkeiten und Grenzen des Modells

Artikel 53 im Vergleich zu den Anforderungen an Hochrisiko-KI-Systeme

Anforderung	Artikel 53 (GPAI-Anbieter)	Artikel 9–15 (Hochrisiko-KI-Systeme)
Für wen es gilt	Anbieter von Basismodellen	Betreiber von Hochrisiko-KI-Systemen
Dokumentationsumfang	Modelltraining, Daten, Architektur	Risikomanagement auf Systemebene, Daten-Governance
Konformitätsbewertung	Selbstbewertung + Aufsicht des Büros für Künstliche Intelligenz	Bewertung durch Dritte (Systeme nach Anhang VII)
Laufende Pflichten	Zusammenarbeit mit dem Büro für Künstliche Intelligenz, Einhaltung eines Praxisleitfadens	Überwachung, Protokollierung, menschliche Aufsicht, Meldung von Vorfällen
Sanktionen bei Verstößen	Bis zu 15 Mio. € oder 3 % des weltweiten Umsatzes	Bis zu 35 Mio. € oder 7 % des weltweiten Umsatzes

Kernaussage: Wenn Sie GPAI-Anbieter sind und Ihr Modell in ein Hochrisiko-System integriert wird, treffen Sie beide Pflichtenkreise — Artikel 53 als Modellanbieter und die Artikel 9 bis 15 als Systembetreiber oder in Zusammenarbeit mit dem Betreiber.

Was GPAI-Modelle mit „systemischem Risiko“ tun müssen (Artikel 53 + Anhang XIII)

Erreicht Ihr GPAI-Modell die Schwelle für systemisches Risiko — definiert als Modelle, die mit mehr als 10²⁵ FLOPs Rechenleistung trainiert wurden —, treffen Sie zusätzliche Pflichten nach Anhang XIII:

Modellbewertung (einschließlich adversarialer Tests)
Bewertung und Minderung systemischer Risiken (z. B. Missbrauch für Cyberangriffe, CBRN-Bedrohungen)
Nachverfolgung und Meldung schwerwiegender Vorfälle
Cybersicherheitsvorkehrungen für Modellgewichte und Infrastruktur
Berichterstattung zur Energieeffizienz

Stand April 2026 erfasst diese Schwelle Modelle wie:

GPT-4
Claude 3 Opus
Gemini Ultra
Llama 3 405B

Kleinere Modelle (z. B. Mistral 7B, Llama 3 8B) unterliegen Artikel 53, nicht aber den Pflichten für systemische Risiken.

Praktische Compliance-Checkliste für Artikel 53

Das brauchen Sie jetzt, da diese Pflichten gelten:

Aufgabe	Verantwortung	Frist
Technische Dokumentation erstellen (Architektur, Trainingsdaten, Rechenleistung)	ML-Engineering	Q2 2026
Urheberrechtskonformität der Trainingsdaten dokumentieren	Recht + Daten	Q2 2026
Anwendbaren Praxisleitfaden bestimmen und Einhaltung abbilden	Compliance-Leitung	Q3 2026
Kontakt zum Büro für Künstliche Intelligenz und Meldeprozess für Vorfälle aufsetzen	Compliance-Leitung	Q3 2026
(Bei systemischem Risiko) Adversariale Tests durchführen und Ergebnisse dokumentieren	ML-Engineering + Security	Q2 2026
(Bei systemischem Risiko) Zugriffskontrollen für Modellgewichte umsetzen	Security	Q2 2026

Beispiel: ein Start-up, das ein Modell zur Codegenerierung baut

Szenario: Sie bauen ein Modell zur Codevervollständigung (ähnlich GitHub Copilot), trainiert auf 500 Mrd. Token Open-Source-Code aus GitHub, Stack Overflow und öffentlicher Dokumentation.

Pflichten nach Artikel 53:

Technische Dokumentation: Dokumentieren Sie Ihre Modellarchitektur (z. B. transformerbasiert, 7 Mrd. Parameter), die Quellen der Trainingsdaten (GitHub-Repositorien, Stack-Overflow-Beiträge) und die eingesetzte Rechenleistung (z. B. 10²³ FLOPs auf 128 A100-GPUs über 14 Tage).
Urheberrechtstransparenz: Stellen Sie eine Zusammenfassung der für das Training verwendeten Repositorien bereit. Haben Sie GPL-lizenzierten Code gescrapt, dokumentieren Sie, wie Sie die Urheberrechtsrichtlinie einhalten (z. B. Namensnennung, Lizenzkompatibilität).
Zusammenarbeit: Benennen Sie eine Compliance-Kontaktperson, die Anfragen des Büros für Künstliche Intelligenz binnen 30 Tagen beantworten kann.
Praxisleitfaden: Verfolgen Sie die vom Büro für Künstliche Intelligenz veröffentlichten Praxisleitfäden für GPAI-Modelle. Deckt einer davon Modelle zur Codegenerierung ab, bilden Sie Ihre Praxis darauf ab (z. B. „Wir führen Red-Teaming zu Code-Injection-Schwachstellen durch und dokumentieren die Ergebnisse quartalsweise“).

Was Sie nach Artikel 53 NICHT tun müssen:

Konformitätsbewertung (die gilt für Hochrisiko-Systeme, nicht für GPAI-Modelle)
Protokollierung von Nutzeranfragen (das ist eine Pflicht aus Artikel 12 für Betreiber von Hochrisiko-Systemen)
Menschliche Aufsicht (auch hier: Artikel 14 für Hochrisiko-Systeme)

Allerdings: Setzt eine Kundin oder ein Kunde Ihr Modell in einem Hochrisiko-Kontext ein (z. B. ein KI-System zur Bewerberauswahl — Anhang III.4), unterliegen sie den Artikeln 9 bis 15, und Sie müssen ihnen möglicherweise Unterlagen zur Unterstützung ihrer Compliance bereitstellen.

Häufige Fehler von GPAI-Anbietern

Fehler 1: annehmen, Artikel 53 betreffe nur „Big Tech“

Realität: Artikel 53 gilt für jeden GPAI-Anbieter, der ein Modell auf dem EU-Markt in Verkehr bringt, unabhängig von der Unternehmensgröße. Wenn Sie als Start-up ein feinabgestimmtes Llama-Modell über eine API anbieten, fallen Sie darunter.

Fehler 2: GPAI-Pflichten mit Pflichten für Hochrisiko-Systeme verwechseln

Realität: Artikel 53 betrifft das Modell. Die Artikel 9 bis 15 betreffen das System. Wenn Sie eine Modell-API anbieten, unterliegen Sie Artikel 53. Setzen Sie dieses Modell in einem Hochrisiko-Anwendungsfall ein, unterliegen Sie zusätzlich den Artikeln 9 bis 15.

Fehler 3: warten, bis das Büro für Künstliche Intelligenz Praxisleitfäden veröffentlicht

Realität: Praxisleitfäden werden womöglich erst Ende 2026 oder Anfang 2027 finalisiert. Sie sollten technische Dokumentation und Urheberrechtszusammenfassungen jetzt vorbereiten, statt auf offizielle Leitlinien zu warten.

Fehler 4: Dokumentation als einmalige Übung behandeln

Realität: Artikel 53 verlangt eine aktuelle Dokumentation. Wenn Sie Ihr Modell neu trainieren, die Zusammensetzung der Trainingsdaten ändern oder neue Grenzen entdecken, müssen Sie die Dokumentation aktualisieren.

Wie Vigilia GPAI-Anbietern hilft

Wenn Sie GPAI-Anbieter sind, kann Ihnen das Audit-Werkzeug von Vigilia helfen:

Ihr Modell auf die Anforderungen des Artikels 53 abbilden: ermitteln, welche Pflichten gelten (Standard-GPAI oder systemisches Risiko).
Eine Compliance-Checkliste erzeugen: Lückenanalyse Artikel für Artikel zu Artikel 53, Anhang XIII und den zugehörigen Transparenzpflichten.
Ihren Compliance-Stand dokumentieren: ein auditfähiges PDF, das Sie mit dem Büro für Künstliche Intelligenz, Investoren oder Unternehmenskunden teilen können.

Das Audit dauert 20 Minuten und kostet 499 € — gegenüber 5.000–40.000 € für ein herkömmliches Compliance-Audit.

Erstellen Sie Ihren Compliance-Bericht zu Artikel 53 →

101 Tage vor der Durchsetzung der EU-KI-Verordnung ist jetzt der Zeitpunkt, den Compliance-Stand Ihres GPAI-Modells zu dokumentieren. Artikel 53 verlangt keine Zertifizierung durch Dritte, wohl aber, dass Ihre Dokumentation bereitliegt, wenn das Büro für Künstliche Intelligenz anklopft.

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Wenden Sie sich für Fragen zu Ihrer konkreten Situation an eine auf die EU-KI-Verordnung spezialisierte Rechtsanwältin oder einen entsprechenden Rechtsanwalt.