AI Act: GPAI-Pflichten gelten auch ohne Verkauf

Im Juli 2026 verschafften sich KI-Modelle von OpenAI während interner Cybersicherheitstests Zugang zum Internet und drangen in Systeme von Hugging Face ein. Nach dem technischen Bericht, den OpenAI Ende August veröffentlichte, hatte ein „internal-only research model" die größte Rolle — ein Modell, das nie öffentlich angeboten worden war. Der Vorfall wirft eine Frage auf, die weit über OpenAI hinausreicht: Gilt die KI-Verordnung auch für Modelle, die ein Unternehmen nur im eigenen Haus nutzt? Die kurze Antwort lautet: häufig ja. Die KI-Verordnung knüpft nicht an den Verkauf an, sondern an die Bereitstellung — und dazu zählt der Eigengebrauch.

Rechtsgrundlage

Art. 3 Nr. 11, Art. 53, Art. 55 KI-VO, ErwG 97

GPAI-Pflichten anwendbar seit

2. August 2025

Durchsetzung durch die Kommission

seit 2. August 2026

Bußgeldrahmen

bis 15 Mio. € oder 3 % des Weltumsatzes

Der Anlass: ein Modell, das nie verkauft wurde

Nach der Darstellung von OpenAI umgingen mehrere Modelle bei internen Sicherheitsevaluierungen die Isolation vom Internet, nutzten eine bis dahin unbekannte Schwachstelle in der Infrastruktur und griffen auf Systeme Dritter zu. OpenAI stellte Training und Inferenz des maßgeblich beteiligten Forschungsmodells und seiner Ableitungen am 25. Juli 2026 ein. Die Rechtswissenschaftlerin Eliška Andrš hat den Vorfall am 16. September 2026 in einem Beitrag für Lawfare zum Anlass genommen, die Reichweite der KI-Verordnung für intern eingesetzte Modelle mit allgemeinem Verwendungszweck (General-Purpose AI, GPAI) zu untersuchen. Ihr Befund: Unternehmen können nicht davon ausgehen, dass interne Systeme außerhalb des Anwendungsbereichs liegen.

Eigengebrauch genügt: Inverkehrbringen und Inbetriebnahme

Die KI-Verordnung unterscheidet zwei Wege in den Anwendungsbereich. Inverkehrbringen ist die erstmalige Bereitstellung auf dem Unionsmarkt (Art. 3 Nr. 9 KI-VO) — entgeltlich oder unentgeltlich. Inbetriebnahme ist nach Art. 3 Nr. 11 KI-VO die Bereitstellung eines KI-Systems in der Union zum Erstgebrauch direkt an den Betreiber oder zum Eigengebrauch entsprechend seiner Zweckbestimmung. Ein Verkauf ist für keinen der beiden Tatbestände erforderlich. Wer ein KI-System für die eigene Belegschaft in der Union in Betrieb nimmt, ist Anbieter dieses Systems.

Für das zugrunde liegende Modell ergänzt Erwägungsgrund 97 eine Zurechnung: Integriert der Anbieter eines GPAI-Modells sein eigenes Modell in ein eigenes KI-System, das auf dem Markt bereitgestellt oder in Betrieb genommen wird, gilt das Modell als in Verkehr gebracht. Damit greifen die Modellpflichten aus Art. 53 KI-VO — und bei Modellen mit systemischem Risiko zusätzlich aus Art. 55 KI-VO —, auch wenn das Modell selbst nie außerhalb des Unternehmens angeboten wurde.

Die Forschungsausnahmen sind eng

Andrš legt den Schwerpunkt auf die beiden Forschungsausnahmen des Art. 2 KI-VO. Die erste (Abs. 6) setzt voraus, dass Modell oder System eigens für den alleinigen Zweck der wissenschaftlichen Forschung und Entwicklung entwickelt und in Betrieb genommen werden. Das Merkmal „alleinig" ist entscheidend: Produktnahe Forschung oder Forschung mit gemischter, auch kommerzieller Zielsetzung erfüllt es nicht. Die zweite (Abs. 8) erfasst Forschungs-, Test- und Entwicklungstätigkeiten nur für die Phase vor dem Inverkehrbringen oder der Inbetriebnahme. Ist ein System einmal — auch nur intern — in Betrieb genommen, endet diese Ausnahme.

Hinzu kommt die Einschränkung am Ende von Erwägungsgrund 97: Die Modellpflichten sollen nicht gelten, wenn ein eigenes Modell für rein interne Prozesse genutzt wird, die für die Bereitstellung eines Produkts oder einer Dienstleistung an Dritte nicht wesentlich sind, und Rechte natürlicher Personen nicht berührt werden. Der Lawfare-Beitrag geht auf diese Passage nicht ein. Die Voraussetzungen müssen kumulativ vorliegen und stehen nur in einem Erwägungsgrund, nicht im verfügenden Teil der Verordnung. Nach unserer Einschätzung dürfte die Einschränkung deshalb selten tragen, sobald ein Modell in Prozesse eingebunden ist, die Produkte, Kunden oder Beschäftigte betreffen.

Die Pflichten entstehen im Training, nicht beim Launch

Der zweite Kern des Beitrags betrifft den Zeitpunkt. Nach den Leitlinien der Kommission zu den Pflichten der GPAI-Anbieter vom Juli 2025 beginnt der Lebenszyklus eines Modells mit dem großen Pre-Training-Lauf; alle nachgelagerten Änderungen gelten als Teil desselben Modells. Mehrere Pflichten lassen sich nur während der Entwicklung erfüllen und nicht nachträglich zum Zeitpunkt der Markteinführung herstellen:

• Technische Dokumentation einschließlich des Trainings- und Testverfahrens (Art. 53 Abs. 1 lit. a KI-VO).
• Informationen für nachgelagerte Anbieter, die das Modell in eigene Systeme integrieren (Art. 53 Abs. 1 lit. b KI-VO).
• Eine Strategie zur Einhaltung des Urheberrechts, insbesondere zur Ermittlung und Beachtung von Rechtevorbehalten (Art. 53 Abs. 1 lit. c KI-VO).
• Eine hinreichend detaillierte Zusammenfassung der Trainingsinhalte nach dem Muster der Kommission (Art. 53 Abs. 1 lit. d KI-VO).
• Bei systemischem Risiko: Modellbewertung, Bewertung und Minderung systemischer Risiken, Meldung schwerwiegender Vorfälle und angemessene Cybersicherheit (Art. 55 Abs. 1 KI-VO).
• Bei Erreichen der Schwelle für systemisches Risiko: Mitteilung an die Kommission unverzüglich, spätestens innerhalb von zwei Wochen (Art. 52 Abs. 1 KI-VO) — also regelmäßig lange vor einer Veröffentlichung.

Daraus folgt das zentrale Argument: Wird ein Modell später — intern oder extern — in Betrieb genommen, bleibt es nach Andrš nur dann unbeanstandet, wenn es seit Beginn des großen Pre-Trainings konform entwickelt wurde. Angesichts komplexer Entwicklungspipelines dürfte es schwierig sein, ein Artefakt zu isolieren, das nie auch nur teilweise in ein Modell auf dem EU-Markt einfließt. Wer darauf setzt, die Pflichten erst beim Launch zu erfüllen, riskiert, dass Dokumentation und Urheberrechtsnachweise für das Training fehlen und nicht mehr beschafft werden können.

Kann die Kommission schon vor dem Markteintritt eingreifen?

Seit dem 2. August 2026 kann die Kommission ihre Durchsetzungsbefugnisse gegenüber GPAI-Anbietern ausüben. Nach Art. 93 Abs. 1 lit. c KI-VO kann sie verlangen, die Bereitstellung auf dem Markt einzuschränken, ein Modell zurückzunehmen oder zurückzurufen; Art. 101 KI-VO sieht Geldbußen bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Andrš vertritt, dass diese Befugnisse auch eine vorgelagerte Kontrolle tragen können: Die Rücknahme ist definiert als Maßnahme, die verhindern soll, dass ein in der Lieferkette befindliches System auf dem Markt bereitgestellt wird — sie setzt also gerade vor der Bereitstellung an.

Ein ausdrückliches Vorabprüfverfahren, wie es etwa die Entwaldungsverordnung oder REACH kennen, enthält die KI-Verordnung allerdings nicht. Ob und ab welchem Entwicklungsstadium die Kommission eingreifen darf, ist offen. Andrš fordert die Kommission deshalb auf, die Grenze zwischen interner Nutzung und den Forschungsausnahmen klar zu ziehen, die zeitliche Reichweite ihrer Prüfbefugnisse zu klären, die betroffenen Anbieter auf ihre Pflichten hinzuweisen und diese erforderlichenfalls durchzusetzen.

The EU and the world cannot afford to ignore systems run behind closed doors, which is precisely where the frontier is being pushed.

Systemische Risiken: Kontrollverlust ist ausdrücklich erfasst

Besonderes Gewicht hat die Frage bei Modellen mit systemischem Risiko. Ein solches Risiko wird nach Art. 51 Abs. 2 KI-VO vermutet, wenn für das Training mehr als 10²⁵ Gleitkommaoperationen (FLOP) aufgewendet wurden. Das Kapitel „Safety and Security" des GPAI-Verhaltenskodex nennt den Verlust der Kontrolle über ein Modell ausdrücklich als systemisches Risiko, das zu bewerten und zu mindern ist. Andrš verweist darauf, dass führende Labore nach eigenen Angaben einen großen Teil ihres Codes bereits von KI schreiben lassen, und warnt vor Systemen, die eigenständig neue Versionen ihrer selbst entwickeln. Solche Fähigkeiten entstehen zuerst in internen Modellen. Der Hugging-Face-Vorfall zeigt, dass sich ihre Risiken nicht auf das Innere eines Unternehmens beschränken.

Was das für Unternehmen bedeutet, die KI nutzen

Die GPAI-Pflichten treffen in erster Linie die Entwickler großer Modelle. Die meisten Unternehmen setzen fremde Modelle ein und sind insoweit Betreiber. Der Gedanke des Lawfare-Beitrags reicht aber weiter: Die KI-Verordnung stellt nicht auf den Vertrieb ab, sondern auf die Bereitstellung. Das betrifft auch Unternehmen, die nie ein KI-Produkt verkaufen.

• Interne Systeme in das KI-Inventar aufnehmen. „Nur intern" ist kein Ausschlusskriterium. Entscheidend ist, ob ein System in der Union in Betrieb genommen wird.
• Forschung und Produktivbetrieb trennen und dokumentieren. Wer sich auf eine Forschungsausnahme stützen will, muss belegen können, dass der Zweck ausschließlich wissenschaftlich ist oder das System noch nicht in Betrieb genommen wurde.
• Die eigene Rolle bei Anpassungen prüfen. Fine-Tuning, eigene Wissensanbindung oder das Angebot unter eigenem Namen können aus einem Betreiber einen Anbieter machen (Art. 25 KI-VO).
• Angaben des Modellanbieters einholen. Die Dokumentation nach Art. 53 Abs. 1 lit. b ist für nachgelagerte Anbieter bestimmt. Wer ein Modell integriert, sollte sie anfordern und den Vorgang festhalten.

Was die Rechtsprechung bislang beiträgt

Eine gerichtliche Entscheidung zur Reichweite der GPAI-Pflichten bei interner Nutzung gibt es bislang nicht. Gerichte haben aber einzelne Pflichten aus Art. 53 KI-VO bereits aufgegriffen. Das LG Hamburg (Urt. v. 27.9.2024 – 310 O 227/23, LAION) zog Art. 53 Abs. 1 lit. c KI-VO heran, um zu bestimmen, wann ein Nutzungsvorbehalt nach § 44b Abs. 3 UrhG „maschinenlesbar" ist. Das OLG Hamburg (Urt. v. 10.12.2025 – 5 U 104/24) hat die Berufung des klagenden Fotografen zurückgewiesen; die Revision ist beim BGH anhängig (I ZR 281/25, Verkündungstermin 17. Dezember 2026). Das LG München I (Urt. v. 11.11.2025 – 42 O 14139/24, GEMA ./. OpenAI; nicht rechtskräftig) hat entschieden, dass im Modell memorisierte Liedtexte Vervielfältigungen sind, die die TDM-Schranke nicht deckt. Beide Verfahren betreffen genau die Trainingsphase, in der nach dem Lawfare-Beitrag auch die Pflichten aus der KI-Verordnung entstehen.

Die maßgeblichen Termine