EU AI Act Regeln für GPAI-Modelle unter DeepSeek-Überprüfung
Die mainstream-Emergenz der chinesischen KI-Anwendung DeepSeek führt dazu, dass EU-Politiker Änderungen am EU AI Act in Betracht ziehen. Eine Aktualisierung eines Schwellenwerts für die spezifizierte Rechenleistung könnte folgen, was Auswirkungen auf die Regulierung anderer General-Purpose AI (GPAI)-Modelle haben könnte.
Im Folgenden wird untersucht, was das Gesetz im Detail vorsieht und welche spezifischen Änderungen in Betracht gezogen werden. Außerdem wird reflektiert, was wir über die Reaktion der politischen Entscheidungsträger auf Marktentwicklungen erfahren können, um Anbietern zu helfen, zu verstehen, in welche Kategorie der Regulierung ihre GPAI-Modelle fallen könnten.
GPAI-Modelle und wie ’systemisches Risiko‘ bestimmt wird
GPAI-Modelle sind KI-Modelle, die eine breite Palette von Aufgaben ausführen können und oft die Grundlage anderer KI-Systeme bilden. Große Sprachmodelle (LLMs) sind ein Beispiel für GPAI-Modelle.
Die spezifischen Regeln für Anbieter von GPAI-Modellen sind in Kapitel V des AI Act festgelegt und treten am 2. August 2025 in Kraft.
Die strengsten Regeln unter Kapitel V gelten für Anbieter von GPAI-Modellen ‚mit systemischem Risiko‘. Zu verstehen, ob ein GPAI-Modell als GPAI-Modell ‚mit systemischem Risiko‘ eingestuft wird, ist ein wesentlicher erster Schritt für KI-Entwickler, um ihre Verpflichtungen gemäß dem AI Act zu verstehen, aber es ist kein einfacher Prozess.
Das Konzept des ’systemischen Risikos‘ wird im Gesetz definiert. Es bedeutet „ein Risiko, das spezifisch für die hochwirksamen Fähigkeiten von allgemeinen KI-Modellen ist, die erhebliche Auswirkungen auf den EU-Markt aufgrund ihrer Reichweite oder aufgrund tatsächlicher oder vernünftigerweise vorhersehbarer negativer Auswirkungen auf die öffentliche Gesundheit, Sicherheit, öffentliche Ordnung, Grundrechte oder die Gesellschaft als Ganzes haben, die in der gesamten Wertschöpfungskette propagiert werden können“.
Artikel 51(1) befasst sich damit, wie GPAI-Modelle ‚mit systemischem Risiko‘ klassifiziert werden. Dies kann auf zwei Arten geschehen:
- wenn das Modell „hohe Auswirkungen hat“ – etwas, das „auf der Grundlage geeigneter technischer Werkzeuge und Methoden, einschließlich Indikatoren und Benchmarks, bewertet wird“, oder;
- wenn die Europäische Kommission entscheidet, dass das Modell gleichwertige Auswirkungen oder Fähigkeiten hat – basierend auf Kriterien, die in einem Anhang zum Gesetz festgelegt sind, die Faktoren wie die Anzahl der Parameter des Modells, die Qualität oder Größe des Datensatzes, auf dem es aufgebaut wurde, die Anzahl der registrierten Endbenutzer und die Menge an Rechenleistung, die zum Trainieren des Modells verwendet wurde, umfassen.
Die Relevanz von ‚FLOPS‘ und wie DeepSeek die Dinge verändert
Floating Point Operations (FLOPS) sind ein Maß für die Rechenleistung. Sie werden im Gesetz definiert als „jede mathematische Operation oder Zuweisung, die Gleitkommazahlen betrifft, die eine Untergruppe der reellen Zahlen sind, die typischerweise in Computern durch eine Ganzzahl fester Präzision dargestellt werden, die von einer Ganzzahl-Exponentbasis einer festen Basis skaliert wird“.
Artikel 51(2) besagt, dass ein GPAI-Modell als ‚hohe Auswirkungen habend‘ vermutet wird, wenn mehr als 1025 FLOPS verwendet werden, um das Modell zu trainieren.
Die Erwägungen im AI Act machen deutlich, dass Anbieter von GPAI-Modellen wissen sollten, wann sie die FLOPS-Schwelle überschreiten, bevor die Entwicklung dieser Modelle abgeschlossen ist. Dies liegt daran, dass, wie der Text besagt, „das Training allgemeiner KI-Modelle eine erhebliche Planung erfordert, die die vorherige Zuteilung von Rechenressourcen umfasst“.
Anbieter werden erwartet, dass sie das EU AI Office innerhalb von zwei Wochen nach Erreichen der Schwelle oder nach Kenntnisnahme des Erreichens der Schwelle benachrichtigen. Es steht den Anbietern, die die FLOPS-Schwelle erreichen, offen, zu argumentieren, dass ihre Modelle dennoch nicht als GPAI-Modelle ‚mit systemischem Risiko‘ eingestuft werden sollten – basierend auf der Argumentation, dass sie „ausnahmsweise keine systemischen Risiken darstellen“.
Unter Artikel 51(3) hat die Europäische Kommission die gesetzliche Pflicht, die Schwellenwerte für die Klassifizierung von GPAI-Modellen ‚mit systemischem Risiko‘ bei Bedarf zu aktualisieren, um sicherzustellen, dass sie weiterhin die neuesten Technologien oder Branchenpraktiken widerspiegeln – einschließlich in Bezug auf FLOPS.
Out-Law kann enthüllen, dass die mainstream-Emergenz von DeepSeek – dem chinesischen Open-Source-Modell, das das Unternehmen, das dahintersteht, behauptet, zu einem Bruchteil der Kosten anderer LLMs auf dem Markt entwickelt zu haben, und ohne Zugang zur gleichen Rechenleistung – bereits Diskussionen innerhalb der Kommission in dieser Hinsicht angestoßen hat.
Der Sprecher der Kommission für technologische Souveränität, Thomas Regnier, sagte gegenüber Out-Law: „Die Kommission überwacht ständig Marktentwicklungen – und technologische Entwicklungen im weiteren Sinne – um potenzielle Auswirkungen auf die EU, ihren Markt und ihre Bürger zu bewerten. Wir beobachten derzeit zwei Entwicklungen: Eine große Anzahl von Modellen wird wahrscheinlich mit Rechenressourcen trainiert, die über dem Schwellenwert liegen, während DeepSeek gezeigt hat, dass Grenzfähigkeiten auch mit weniger Rechenleistung erreicht werden können. Wie im AI Act vorgesehen, sollte der Schwellenwert im Laufe der Zeit angepasst werden, um technologische und industrielle Veränderungen zu reflektieren und sollte durch Benchmarks und Indikatoren für die Modellfähigkeiten ergänzt werden.“
„Darüber hinaus kann das AI Office Modelle mit systemischem Risiko basierend auf Fähigkeiten benennen. Das AI Office arbeitet mit der wissenschaftlichen Gemeinschaft, der Industrie, der Zivilgesellschaft und anderen Experten zusammen, um die Situation zu bewerten und den angemessenen Kurs in jedem Fall zu prüfen“, fügte er hinzu.
Im März sagte die Europäische Kommission, dass das AI Office „weitere Klarstellungen dazu bereitstellen möchte, wie allgemeine KI-Modelle als allgemeine KI-Modelle mit systemischem Risiko klassifiziert werden“. Es wurde gesagt, dass das AI Office auf „Erkenntnissen des Gemeinsamen Forschungszentrums der Kommission zurückgreifen würde, das derzeit an einem wissenschaftlichen Forschungsprojekt arbeitet, das diese und andere Fragen adressiert“.
Der AI Act selbst sieht die Entwicklung von Verhaltensregeln vor, um „eine Risikosteuerung für die Art und Natur der systemischen Risiken auf EU-Ebene, einschließlich ihrer Quellen, festzulegen“.
Was können Anbieter von GPAI-Modellen als Nächstes erwarten?
Obwohl abzuwarten bleibt, wie die Kommission auf die beiden Entwicklungen reagiert, die Thomas Regnier in seiner Erklärung angesprochen hat, müssen seine Kommentare im weiteren geopolitischen Kontext betrachtet werden.
Im letzten Jahr wurden die „zusätzlichen regulatorischen Anforderungen an allgemeine KI-Modelle“, die im AI Act enthalten sind, als Beispiel für die innovationshemmende Vorsichtsregulierung der Technologieunternehmen der EU zitiert. Diese Kommentare wurden in einem Bericht verfasst, der im Auftrag der Kommission von Mario Draghi, dem ehemaligen Präsidenten der Europäischen Zentralbank, erstellt wurde, der breitere Bedenken hinsichtlich der Wettbewerbsfähigkeit der EU im globalen Markt ansprach.
Der Ansatz der EU zur Regulierung von Technologien war ein besonderes Ärgernis für mehrere US-Regierungen, aber die Kritik an der EU-Politik hat sich verstärkt, seit Donald Trump im Januar ins Weiße Haus zurückgekehrt ist. Trumps stellvertretender JD Vance beschrieb den EU-Ansatz als restriktiv und lähmend und als hemmend für die KI-Entwicklung.
Als Antwort auf Vance und den Draghi-Bericht hat die Präsidentin der Kommission, Ursula von der Leyen, versprochen, „Bürokratie abzubauen“ in Bezug auf KI, wobei Vorschläge zur „Vereinfachung“ des Regelwerks der digitalen Politik der EU in den kommenden Monaten erwartet werden.
In diesem Zusammenhang wäre eine Erhöhung der FLOPS-Schwelle, um die „große Anzahl von Modellen“, die Regnier angesprochen hat und die derzeit als GPAI-Modelle mit systemischem Risiko angesehen werden, zu reduzieren, durchaus konsistent mit dem offensichtlichen Bestreben, regulatorische Belastungen rund um KI innerhalb der EU zu verringern.
Andererseits würde eine Senkung der FLOPS-Schwelle eine Anerkennung der Auswirkungen von DeepSeek durch die Kommission darstellen und die wahrscheinlichen Auswirkungen auf andere Entwickler, während sie erkunden, wie sie den Rechenbedarf senken und damit die Entwicklungskosten senken können.
Wie Regnier anmerkt, hat die Kommission jedoch einen breiten Spielraum gemäß dem AI Act, um GPAI-Modelle mit gleichwertigen Auswirkungen oder Fähigkeiten als solche mit ‚hohen Auswirkungen‘ zu kennzeichnen, sodass sie ebenfalls als GPAI-Modelle mit systemischem Risiko reguliert werden. Es scheint sehr wahrscheinlich, dass eine mainstream-Anwendung wie DeepSeek für die Einordnung als GPAI-Modell mit systemischem Risiko in Betracht gezogen wird, unabhängig davon, ob sie die FLOPS-Schwelle erfüllt oder nicht.
Wie die Kommission entscheidet, wird nicht nur Auswirkungen auf DeepSeek haben, sondern auch auf viele andere Modellanbieter. Sie werden an den Ergebnissen der Arbeit des AI Office interessiert sein, um zu klären, wie GPAI-Modelle als GPAI-Modelle mit systemischem Risiko klassifiziert werden.
Der Unterschied zwischen GPAI-Modellen und GPAI-Modellen mit systemischem Risiko ist wichtig, da auf letztere zusätzliche regulatorische Anforderungen zukommen.
Zwei-Ebenen-Regulierung und der GPAI-Verhaltenskodex
Anbieter aller GPAI-Modelle stehen vor Aufzeichnungs-, Transparenz- und urheberrechtsbezogenen Verpflichtungen, die Ausnahmen für Anbieter bestimmter GPAI-Modelle unter einer freien und offenen Lizenz unterliegen.
Zum Beispiel müssen sie:
- die technische Dokumentation des Modells, einschließlich seines Trainings- und Testprozesses sowie die Ergebnisse seiner Bewertung, erstellen und pflegen – und diese auf Anfrage den Regulierungsbehörden zur Verfügung stellen;
- Informationen erstellen, pflegen und zur Verfügung stellen, um Anbietern von KI-Systemen zu helfen, ihre Systeme mit dem Modell zu integrieren;
- eine urheberrechtskonforme Politik gemäß EU-Recht aufstellen und sicherstellen, dass die Rechteinhaber ihre Rechte reservieren können, damit ihre Werke nicht für das Training verwendet werden;
- eine ausreichend detaillierte Zusammenfassung über den Inhalt veröffentlichen, der für das Training des allgemeinen KI-Modells verwendet wurde.
Wo GPAI-Modelle als GPAI-Modelle mit systemischem Risiko klassifiziert werden, unterliegen sie zusätzlichen Verpflichtungen. Die oben genannten Ausnahmen für Open-Source-Modelle gelten nicht, wenn GPAI-Modelle ‚mit systemischem Risiko‘ vorliegen.
Die zusätzlichen Verpflichtungen für Anbieter von GPAI-Modellen mit systemischem Risiko umfassen Anforderungen, um:
- eine Modellevaluation durchzuführen, einschließlich adversarialer Tests, um systemische Risiken zu identifizieren und zu mindern;
- mögliche systemische Risiken auf EU-Ebene, einschließlich ihrer Quellen, die sich aus der Entwicklung, der Markteinführung oder der Nutzung von GPAI-Modellen mit systemischem Risiko ergeben können, zu bewerten und zu mindern;
- ernsthafte Vorfälle und mögliche Korrekturmaßnahmen ohne unangemessene Verzögerung zu dokumentieren und zu melden;
- ein angemessenes Maß an Cybersicherheitschutz für das Modell und seine physische Infrastruktur zu gewährleisten.
Ein wichtiges Instrument, um Anbietern zu helfen, die Anforderungen des GPAI-Modellregimes des AI Act einzuhalten, wird der GPAI-Verhaltenskodex sein.
Der Kodex, der mehr Details zu den verschiedenen Anforderungen für Anbieter festlegt, befindet sich derzeit in den letzten Entwicklungsphasen: Der dritte Entwurf des Kodex wurde im März veröffentlicht und die endgültige Version wird im Mai erwartet. Obwohl die Einhaltung des Kodex nicht obligatorisch ist, wird die Beachtung seiner Bestimmungen den Anbietern helfen, die Anforderungen des Kapitels V des Gesetzes zu erfüllen.
Die Veröffentlichung des finalisierten Kodex wird voraussichtlich der Katalysator für eine umfassende Compliance-Übung sein. Anbieter von GPAI-Modellen, deren Compliance-Arbeiten bereits auf der Grundlage der bisher veröffentlichten Entwurfs-Kodizes im Gange sein sollten, werden auf das AI Office oder die Kommission warten, um Klarstellungen darüber zu erhalten, wie GPAI-Modelle mit systemischem Risiko klassifiziert werden, um diese Aktivitäten zu informieren.
Entwickler sollten sich bewusst sein, dass GPAI-Modelle als ‚hochriskante‘ KI-Systeme unter dem EU AI Act eingestuft werden können, was ihre regulatorischen Verpflichtungen erheblich erweitern würde.
