Meta draußen, OpenAI zur Hälfte, Google ganz: Die Karte der Anbieter am Tag, an dem Brüssel mit Geldstrafen begann
Mit dem seit dem 2. August ermächtigten europäischen AI Office, das GPAI abmahnen kann, ist die Unterzeichnung des Verhaltenskodex zu einer praktischen Sichtung geworden. Jede Nichtunterzeichnung wird fallweise zu einer teuren Verteidigung.
Der Kalender hat am Sonntag aufgehört zu zählen. Seit dem 2. August kann das AI Office der Europäischen Kommission formell Informationen verlangen, Zugang zu Modellen anfordern, Maßnahmen zur Behebung anordnen und Geldstrafen gegen Anbieter von Modellen mit allgemeinem Zweck verhängen, mit einer Obergrenze von 15 Millionen Euro oder 3 % des globalen Jahresumsatzes. Was bisher diplomatischer Druck war, wird nun zu Verfahrenskosten, und der GPAI-Verhaltenskodex, der von der Kommission am 10. Juli 2025 veröffentlicht wurde, ist nicht länger eine Einladung: er fungiert als Vermutung der Konformität. Wer unterzeichnet hat, verringert das Risiko einer Untersuchung. Wer nicht unterzeichnet hat, muss kapitelweise nachweisen, dass er das AI-Gesetz durch gleichwertige Mittel einhält.
Die vom AI Office veröffentlichte Liste der Unterzeichner umfasst 26 Organisationen und deckt den größten Teil des Marktes ab. Amazon, Anthropic, Google, IBM, Microsoft, Mistral AI, Cohere und Aleph Alpha haben allen drei Kapiteln – Transparenz, Urheberrecht und Sicherheit – zugestimmt. OpenAI ist im Register erschienen, jedoch mit einem teilweisen Anteil: Sie haben den Kapiteln Transparenz und Sicherheit zugestimmt, das Kapitel über Urheberrecht jedoch ausgelassen. Elon Musks xAI hat noch selektiver agiert und nur dem Kapitel zur Sicherheit zugestimmt. Meta ist der einzige vergleichbare Spieler, der vollständig aus dem Dokument ausgeschlossen ist.
Die drei Wetten im Feld
Die Lesart von Google, Anthropic, Microsoft, Amazon und IBM ist die defensivste. Die Unterzeichnung des Kodex bietet rechtliche Sicherheit und behandelt die EU als institutionellen Kunden und nicht als Gegner. Es ist das gleiche Vorgehen, das diese Häuser beim Inkrafttreten der GDPR im Jahr 2018 angewendet haben: Sie akzeptieren den europäischen Standard, exportieren den Standard in den Rest des Produkts und vermeiden die Fragmentierung der Schulungs-Pipelines.
OpenAI hat einen bewussten Mittelweg gewählt. Bei der Veröffentlichung ihrer Konformitätserklärung Ende Juli umfassten sie Transparenz und Sicherheit und sprangen einfach über das Kapitel über Urheberrecht, das eine öffentlich zugängliche Zusammenfassung der Trainingsdaten und eine dokumentierte Nutzungspolitik für urheberrechtlich geschützte Werke erfordert. Das Unternehmen ist in einen Rechtsstreit mit der New York Times, deutschen akademischen Verlagen und Getty Images verwickelt, und das Unterzeichnen eines europäischen Dokuments, das eine öffentliche Trainingspolitik festlegt, könnte gegen sie in einem amerikanischen Prozess verwendet werden. Dies ist die Art von Lücke, die die Kommission ab jetzt formell untersuchen kann.
Meta hat auf offene Konfrontation gesetzt. Im Juli 2025 argumentierte Joel Kaplan, der Leiter der globalen Angelegenheiten des Unternehmens, öffentlich, dass "der Kodex rechtliche Unsicherheiten für Entwickler einführt und Maßnahmen enthält, die weit über das AI-Gesetz hinausgehen". Die Lesart von Menlo Park ist, dass der Text des Kodex über die Verordnung hinausgeht und Verpflichtungen durch Hintertüren schafft. Die Lesart von Brüssel ist, dass das Unternehmen einfach das Unvermeidliche vermeidet, um Llama unter weitreichenden kommerziellen Bedingungen zu bewahren. Keiner der beiden Seiten wird kurzfristig nachgeben, und das praktische Ergebnis ist, dass jeder europäische Beschaffungsprozess, der Llama nutzt, die Dokumentation, die dem Kodex entspricht, selbst erstellen muss und das Risiko übernimmt.
Was der europäische CIO heute anders lesen muss
Der Vertrag zur Bereitstellung von Modellen, insbesondere derjenigen, die über die API in SaaS-Produkte integriert sind, ist nicht mehr Standard. Die Klausel zur Einhaltung des AI-Gesetzes muss ausdrücklich angeben, ob der Anbieter dem Kodex beigetreten ist, auf welche Kapitel und wie die Einhaltung in den nicht unterzeichneten Kapiteln nachgewiesen wird. Für Risiko-Teams in Banken wie der Deutschen Bank und ING sowie in Pharmakonzerne wie Sanofi und Bayer ist der Unterschied zwischen "vollständiger Unterzeichnung" und "entsprechender Konformität" der Unterschied zwischen einer zehnseitigen Akte und einer zweijährigen Untersuchung. Die Financial Conduct Authority im Vereinigten Königreich hat bereits angedeutet, dass sie einen gleichwertigen Standard für KI in lokalen Finanzdienstleistungen fordern wird, selbst wenn das Land nicht im AI-Gesetz enthalten ist, was in der Praxis amerikanische Anbieter zwingen wird, zwei parallele Regelwerke zu erfüllen.
Die Dynamik in den Vereinigten Staaten ist das Gegenteil und kompliziert die Lage. Die Exekutivverfügung von Donald Trump vom 2. Juni hat einen freiwilligen Rahmen geschaffen, in dem Labore die Bundesregierung zu "covered frontier models" konsultieren können, verbietet jedoch ausdrücklich jede obligatorische Lizenzierung. Der Kontrast zu Brüssel schafft das Szenario, das die großen Tech-Unternehmen jahrelang vermieden haben: Jedes Modell hat heute zwei widersprüchliche regulatorische Verpflichtungen – eine preskriptive in der EU und eine beratende in den USA – mit doppelten Compliance-Kosten.
Der Teil, den die Schlagzeile nicht erfasst, ist der wichtigste für den Unternehmenskäufer. Der Verhaltenskodex ist kein Gesetz; er ist eine Vermutung der Konformität. Ein Anbieter, der nicht unterzeichnet hat, kann weiterhin verkaufen, überträgt jedoch die Verantwortung an den Kunden, nachzuweisen, dass das Modell dem AI-Gesetz entspricht. Deshalb wird die nächste Vertragsverhandlung mit Meta in Europa langsamer und teurer sein als die mit Google. Und deshalb ist die Liste der 26 heute das relevanteste Dokument für die Beschaffung von KI auf dem europäischen Unternehmensmarkt.