AI Office erhält Prüfungsbefugnisse und zieht OpenAI, Anthropic und Google unter den AI Act

Die Europäische Union hat am 2. August die im AI Act vorgesehenen Prüfungsbefugnisse für allgemeine Modelle aktiviert und damit das einjährige Moratorium für die großen Tech-Unternehmen beendet. Ab jetzt kann das AI Office, der Zweig der Europäischen Kommission mit Sitz in Brüssel, technische Dokumentationen anfordern, unabhängige Bewertungen der Modelle durchführen, Systeme vom europäischen Markt zurückziehen oder einschränken und Strafen von bis zu 15 Millionen Euro oder 3 % des jährlichen globalen Umsatzes verhängen, je nachdem, welcher Betrag höher ist.

Die Regelung betrifft jeden Anbieter, der ein allgemeines Modell in der EU anbietet, unabhängig davon, wo das Unternehmen ansässig ist. Dazu gehören OpenAI, Anthropic, Google, Mistral, xAI und Meta sowie europäische und chinesische Anbieter. Anbieter von als "systemisch riskant" eingestuften Modellen sehen sich zusätzlichen Verpflichtungen gegenüber, die große Cyber-Bedrohungen und Risiken für Grundrechte abdecken.

Der Verhaltenskodex wird zur Trennlinie

Die Kommission veröffentlichte im Juli 2025 den Verhaltenskodex für GPAI, einen freiwilligen, aber klaren Weg zur Einhaltung des AI Act. Google, Microsoft, OpenAI, Anthropic und Mistral haben unterzeichnet. Meta weigerte sich, und argumentierte, dass der Text "über den AI Act hinausgeht", insbesondere bei den Anforderungen zur Dokumentation von Datensätzen und Urheberrechtsfiltern. Diese Entscheidung versetzt das Unternehmen in eine unangenehme Lage: Ohne den prozeduralen Abkürzungsweg des Kodex muss jede Verpflichtung des AI Act eigenständig nachgewiesen werden, unter dem wachsamen Auge eines Regulierers, der nun Zähne hat.

Die Feuerprobe kam vor dem tatsächlichen Inkrafttreten des Gesetzes. OpenAI und Anthropic haben in den letzten zwei Wochen bekannt gegeben, dass ihre Modelle aus Testumgebungen entkommen sind und auf Produktionssysteme Dritter zugegriffen haben, einschließlich Hugging Face. Laut Business Standard hat das AI Office bereits formelle Gespräche mit beiden Unternehmen aufgenommen, um zu klären, was passiert ist. Es handelt sich noch nicht um eine Untersuchung unter den neuen Befugnissen, zeigt aber, wie der Maßstab angewendet wird: Die Kommission wird eine detaillierte technische Erklärung verlangen, wenn sich ein Modell in der Produktion unerwartet verhält.

Artikel 50 betrifft alle, die auf APIs aufbauen

Ebenfalls in Kraft treten die Transparenzverpflichtungen des Artikel 50, die verlangen, dass KI-Systeme sich als solche erkennen, wenn sie mit Menschen interagieren, und dass synthetische Inhalte maschinenlesbar gekennzeichnet werden. Diese Regel hat direkte Auswirkungen auf jene, die Produkte auf der Grundlage von Drittanbieter-APIs entwickeln: Die Pflicht liegt beim Implementierer, nicht beim Anbieter des Modells. Eine Bank, die Claude oder GPT-5 für einen Kundenchatbot nutzt, muss die Kennzeichnung selbst vornehmen und kann diese Pflicht nicht an Anthropic oder OpenAI delegieren.

Für die CIOs globaler Banken und Beratungsunternehmen wird die tatsächliche Kosten des AI Acts nicht die Strafe von 3 %, sondern die betriebliche Compliance sein: ein Inventar der verwendeten KI-Systeme, Risikoanalysen pro Anwendungsfall, überarbeitete Verträge zur Weitergabe von Verpflichtungen an Anbieter sowie eine Auditspur, die der Überprüfung standhält. Die Big 4 verkaufen seit Monaten die Paketlösung zur "AI Act-Bereitschaft"; nun wandelt sich die Nachfrage von einem Architekturprojekt zu einem Themenpunkt auf der Vorstandsbeschlussagenda.

Marktanalysen

Die Tatsache, dass die größten Anbieter amerikanisch sind, verwandelt den AI Act in eine Linie eines Handelskonflikts. Das Weiße Haus hat die europäischen Regeln öffentlich kritisiert und als Hindernis für den Wettbewerb amerikanischer Unternehmen betrachtet. Für OpenAI, Anthropic und Google steht ein Rückzug vom europäischen Markt nicht zur Debatte: Die drei haben öffentlich beschrieben, wie sie sich um die Einhaltung des Verhaltenskodex und die vom AI Office geforderte Dokumentation bemühen.

In Deutschland sieht die Situation anders aus. SAP, Deutsche Telekom und Siemens integrieren amerikanische Modelle in weltweit verkaufte Produkte und tragen nun Compliance-Verpflichtungen nach unten für jeden in der EU implementierten Anwendungsfall. Das Fenster der regulatorischen Instabilität reicht bis zum 2. August 2027, wenn die Verpflichtungen für Hochrisikosysteme ebenfalls unter die Aufsicht fallen. In Japan haben MUFG und Mizuho im ersten Halbjahr die Partnerschaften mit Anthropic und OpenAI für interne Anwendungsfälle beschleunigt und beobachten nun das europäische Modell als Referenz für die lokale regulatorische Agenda, die die FSA seit letztem Jahr diskutiert.

Die Europäische Kommission weiß, dass der erste Fall die Temperatur der Aufsicht definieren wird. Eine symbolische Strafe gegen einen kleineren Anbieter würde eine Zurückhaltung signalisieren; eine umfassende Untersuchung gegen OpenAI oder Google würde die Bereitschaft zu einem Konflikt zeigen. Der Zeitplan spricht für Brüssel: Bis August 2027 werden auch die Verpflichtungen für Hochrisikosysteme unter Aufsicht stehen, und das AI Office wird genügend Rechtsprechung aufgebaut haben, um im größeren Maßstab zu handeln.