Welche AI-Act-Pflichten treffen Unternehmen, die eine LLM-API nutzen?

Seit dem 2. August 2026 wird der EU AI Act für Allzweck-KI-Modelle mit Bußgeldern durchgesetzt. Die gute Nachricht für die meisten Unternehmen: Wer ein fremdes Modell nur über eine API nutzt, ist in der Regel „Betreiber“ (Deployer) — und trägt deutlich schlankere Pflichten als der Modellhersteller. Die schlechte Nachricht: „schlanker“ heißt nicht „keine“.

Die Rollenfrage zuerst

Der AI Act verteilt Pflichten nach Rollen. Der Anbieter (Provider) eines Allzweck-KI-Modells — etwa Mistral oder OpenAI — trägt die Modellpflichten aus Art. 53 (technische Dokumentation, Trainingsdaten-Zusammenfassung, Urheberrechts-Policy). Der Betreiber (Deployer) — Ihr Unternehmen, wenn es die API einsetzt — trägt Einsatzpflichten. Vorsicht bei zwei Grenzfällen: Wer ein Modell wesentlich verändert (z. B. durch Fine-Tuning mit erheblichem Rechenaufwand) oder unter eigenem Namen vermarktet, kann selbst in die Anbieterrolle rutschen. Und wer KI-Systeme in Hochrisiko-Bereichen einsetzt (etwa Personalauswahl, Kreditvergabe, kritische Infrastruktur), trägt die deutlich strengeren Hochrisiko-Betreiberpflichten aus Art. 26.

Die drei Pflichten, die fast jeden treffen

• KI-Kompetenz (Art. 4): Bereits seit Februar 2025 müssen Unternehmen sicherstellen, dass Mitarbeitende, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Das heißt praktisch: dokumentierte Schulungen oder Leitlinien für alle, die KI-Ausgaben verwenden oder weitergeben.
• Transparenz (Art. 50): Interagiert ein KI-System direkt mit Menschen (Chatbot auf der Website, Voice-Assistent), muss das für die Nutzer erkennbar sein. KI-generierte Inhalte, die als Deepfakes oder journalistisch wirkende Texte veröffentlicht werden, müssen als KI-generiert gekennzeichnet sein.
• Auswahlverantwortung: Keine explizite Einzelnorm, aber die praktische Konsequenz aus DSGVO + AI Act: Wer einen KI-Anbieter einsetzt, muss dessen Compliance prüfen können — AVV, Hosting-Standorte, Modell-Dokumentation. Genau dafür existiert unsere Anbieter-Datenbank: Sie zeigt, welcher Anbieter welche Nachweise tatsächlich vorlegt.

Was Sie vom Anbieter verlangen sollten

Als Betreiber erben Sie das Dokumentationsrisiko Ihres Anbieters. Prüfen Sie vor Vertragsschluss: Hat der Modellhersteller den GPAI Code of Practice unterzeichnet (öffentliche Signatarliste der EU-Kommission — Mistral und Aleph Alpha stehen darauf)? Stellt der API-Anbieter klar, welche Rolle er selbst einnimmt (etwa IONOS, das seine Distributor-/Provider-Rolle öffentlich dokumentiert)? Liegt eine Modell-Dokumentation vor, auf die Sie sich im Auditfall berufen können? Ein Anbieter, der diese Fragen nicht beantwortet, verlagert sein Compliance-Risiko auf Sie.

Zeitplan und Bußgelder

Die GPAI-Pflichten gelten seit August 2025, die Durchsetzung mit Bußgeldern seit dem 2. August 2026. Für Hochrisiko-Systeme laufen weitere Übergangsfristen bis 2027. Bußgelder reichen je nach Verstoß bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes — die für Betreiberpflichten relevanten Rahmen liegen darunter, sind aber empfindlich genug, um die Dokumentation ernst zu nehmen.