EU AI-Büro erhält die Befugnis, Strafen von bis zu 15 Millionen Euro zu verhängen und beginnt mit der Überwachung von Anbietern von GPAI

Das AI-Büro der Europäischen Kommission hat seit dem 2. August die formelle Befugnis, Anbieter von generischen KI-Modellen (GPAI) gemäß dem AI-Gesetz zu untersuchen und zu bestrafen. Dies markiert einen Wendepunkt in der Regulierung: Die wesentlichen Verpflichtungen gelten bereits seit August 2025, aber die europäische Exekutive hatte bis jetzt kein vollstreckbares Instrument, um die Einhaltung zu verlangen.

Die Höchststrafe beträgt 15 Millionen Euro oder 3 % des globalen Umsatzes des Unternehmens, je nachdem, welcher Betrag höher ist. Der Text listet drei Fälle auf, die die Strafe auslösen: Nichteinhaltung der Verpflichtungen für GPAI, Übergabe falscher oder irreführender Informationen an den Regulierer und Weigerung zur Zusammenarbeit bei Anfragen oder Bewertungen des AI-Büros.

"Mit dem Beginn der Überwachung machen wir einen wichtigen Schritt in Richtung einer KI, der Menschen und Unternehmen vertrauen können", erklärte Henna Virkkunen, geschäftsführende Vizepräsidentin der Kommission für technologische Souveränität, Sicherheit und Demokratie. Der Satz ist offiziell und signalisiert die erklärte Absicht, aber die Praxis im ersten Jahr wird voraussichtlich anders sein: Das AI-Büro hat bereits angedeutet, dass das erste Instrument die "technischen Konformitätsdialoge" sein werden, Vorabgespräche mit dem Anbieter vor einem formalen Sanktionsverfahren.

Wer ist betroffen

Modelle, die ab dem 2. August 2025 auf den Markt kommen, unterliegen bereits diesem Regime, einschließlich Gemini 3, Grok 5, Llama 5, GPT-6 und den neuesten Generationen von Claude und Mistral. Modelle, die vor diesem Datum veröffentlicht wurden, haben bis zum 2. August 2027 Zeit zur Anpassung. Für den Unternehmenskäufer bedeutet dies, dass praktisch jedes Top-Tier-Modell, das heute in Produktion ist, ab sofort einer Überwachung unterzogen werden kann.

Die unmittelbarste der neuen Verpflichtungen ist Artikel 50, der Transparenz verlangt: Chatbots müssen sich zu Beginn der Interaktion als KI identifizieren, von KI generierte oder manipulierte Inhalte (einschließlich Deepfakes) müssen mit einer maschinenlesbaren Kennzeichnung versehen sein. Dies betrifft Abläufe im Kundenservice, Marketing und Automatisierung, die viele Unternehmen in Produktion ohne explizite Kennzeichnung betreiben.

Gesunder Skeptizismus

Cornelia Kutterer, Anwältin und ehemalige Microsoft-Mitarbeiterin, die heute KI-Governance am Jacques Delors Institut erforscht, hat argumentiert, dass das AI-Büro nach wie vor unterdimensioniert ist, um das Portfolio an Modellen, das ihm anvertraut wurde, effektiv zu überwachen. Das europäische Team besteht aus weniger als 100 Fachleuten. Auf der anderen Seite haben Branchenverbände wie die CCIA Europe bereits eine zusätzliche Übergangsphase gefordert und argumentiert, dass der im Juli 2025 veröffentlichte Verhaltenskodex in Fragen des Urheberrechts, der systematischen Risikobewertung und der Datentransparenz Grauzonen hinterlässt. Keine der beiden Kritiken schmälert die Vollstreckungsbefugnis, die das Datum des 2. August nun entfesselt hat.

Was sich für Unternehmen, die in Europa tätig sind, ändert

Wer ein GPAI-Modell in ein Produkt auf dem europäischen Binnenmarkt einführt, muss ab sofort drei Dokumente im Hinterkopf haben, die das AI-Büro ohne Vorankündigung anfordern kann: eine Zusammenfassung der Trainingsdaten im Format der Kommission, technische Dokumentationen, die mit dem Anhang XI des AI-Gesetzes übereinstimmen, und eine interne Compliance-Politik gemäß der Urheberrechtsrichtlinie. Ein Anbieter, der diese Dokumente nicht vorlegt, erhält zwar nicht automatisch eine Geldstrafe, wird jedoch in die Warteschlange für den "technischen Dialog" mit dem Regulierer versetzt. Wiederholte Verstöße oder böse Absicht führen zur 15-Millionen-Euro-Strafe.

Marktsicht

Für den amerikanischen Hyperscaler ist die Auswirkung mehr operativer als finanzieller Natur. OpenAI, Anthropic und Google DeepMind haben bereits 2025 damit begonnen, ihre Policy-Teams in Brüssel neu zu strukturieren, und der Verhaltenskodex wurde fast von allen großen Anbietern unterzeichnet (Meta war die auffälligste Ausnahme). Das tatsächliche Risiko besteht in einer ersten exemplarischen Geldstrafe, die als Präzedenzfall dient, wahrscheinlich in einem Fall von unzureichender Zusammenfassung bei den Trainingsdaten, und nicht in einer breiten Welle von Sanktionen.

In Japan und im Vereinigten Königreich, die beide regulierungsfreundliche Ansätze mit einem Fokus auf Prinzipien verfolgen, hat der europäische Standard keine direkte Wirkung, erzeugt jedoch Spillover-Druck: Europäische multinationalen Unternehmen, die in Tokio oder London tätig sind, neigen dazu, die gleichen internen Kontrollen auf andere Märkte aufgrund von Compliance-Standardisierung zu übertragen. Dies hat den gleichen Effekt wie die DSGVO geschaffen. In Brasilien deckt der Rahmen der LGPD bereits einen Teil der Datenanliegen ab, aber die brasilianische Version eines Regulierungsrahmens für generische Modelle hängt weiterhin vom PL 2338/2023 ab, der seit 2023 im Kongress verhandelt wird, ohne festen Zeitplan. In der Zwischenzeit erbt ein brasilianisches Unternehmen, das Dienstleistungen an Europa exportiert, die Standards von Brüssel vertraglich, nicht durch lokale Gesetze.