EU AI Office: Welche Aufsicht gilt und was eine Taxonomie ergänzen könnte

Das KI-Büro der Europäischen Kommission beaufsichtigt Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI), wenn sie ihre Modelle auf dem EU-Markt anbieten. Es kann Informationen anfordern und unter bestimmten Voraussetzungen Modelle bewerten lassen. Eine öffentlich einsehbare Taxonomie für Sicherheitsentscheidungen, die solche Einordnungen vergleichbarer machen soll, ist dagegen ein politischer Vorschlag, keine geltende EU-Regel.

Für die Aufsicht ist entscheidend, ob es um einen GPAI-Anbieter oder um den Einsatz eines KI-Systems geht: Bei GPAI-Anbietern hat die Kommission eine direkte Zuständigkeit. Bei anderen KI-Systemen liegt die Marktüberwachung grundsätzlich bei den Mitgliedstaaten.

Wen das AI Office direkt beaufsichtigt

Die Zuständigkeit des AI Office erstreckt sich auf Anbieter von GPAI-Modellen, die diese in der EU auf den Markt bringen, unabhängig davon, ob das Unternehmen innerhalb oder außerhalb der Union sitzt. Die Europäische Kommission beschreibt die direkte Aufsicht über KI-Systeme als Ausnahme: Sie greift, wenn der GPAI-Modellanbieter zugleich der Anbieter des KI-Systems ist. In den übrigen Fällen unterstützt das AI Office die zuständigen Marktüberwachungsbehörden der Mitgliedstaaten. Die Kommission erläutert die Zuständigkeiten in ihrer GPAI-FAQ.

GPAI steht für „General-Purpose AI“, also KI-Modelle mit allgemeinem Verwendungszweck. Die Regeln für solche Anbieter sind damit nicht gleichbedeutend mit einer direkten Zuständigkeit des AI Office für jedes KI-System, das auf einem Modell aufbaut.

Was die Artikel 91, 92 und 93 erlauben

Der AI Act verteilt die Befugnisse auf mehrere Artikel: Artikel 91 ermöglicht Informations- und Dokumentationsanfragen, Artikel 92 Bewertungen und Artikel 93 bestimmte Maßnahmen. Die Europäische Kommission beschreibt diese Instrumente in ihren Leitlinien zu GPAI-Pflichten.

Eine Bewertung nach Artikel 92 bedeutet nicht automatisch, dass ein Modell als unsicher eingestuft wird. Sie ist ein Instrument zur Prüfung der Einhaltung von Pflichten oder zur Untersuchung systemischer Risiken. Für bestimmte Maßnahmen zur Risikominderung nennt Artikel 93 ausdrücklich die Schwelle ernsthafter und begründeter Bedenken.

Wie Modellbewertungen ablaufen und welche Rechte gelten

Die Durchführungsverordnung (EU) 2026/1755 trat am 10. August 2026 in Kraft. Sie regelt, wie der Zugang für eine Bewertung festgelegt wird: Er muss zum konkreten Prüfziel passen, und die Zugangsentscheidung muss unter anderem technische Mittel, Bedingungen und Frist nennen. Je nach Ziel kann der Zugang etwa über eine API oder intern erfolgen und Quellcode, Modellgewichte oder die Hosting-Infrastruktur umfassen. Die Verordnung ist bei EUR-Lex veröffentlicht.

Für beauftragte Fachleute gelten Anforderungen an Unabhängigkeit und Vertraulichkeit; sie müssen Interessen offenlegen und Sicherheitsvorkehrungen einhalten. In Bußgeldverfahren muss ein Anbieter mindestens 21 Tage Zeit erhalten, um zu vorläufigen Feststellungen schriftlich Stellung zu nehmen und Belege einzureichen. Geschäftsgeheimnisse und vertrauliche Informationen unterliegen dabei eigenen Schutzregeln.

Die Durchsetzung der GPAI-Pflichten durch die Kommission gilt seit dem 2. August 2026. Die Europäische Kommission nennt als Höchstmaß für bestimmte Geldbußen gegen GPAI-Anbieter 3 Prozent des weltweiten Jahresumsatzes oder 15 Millionen Euro, je nachdem, welcher Betrag höher ist. Die Kommissionsleitlinien erläutern auch diesen Bußgeldrahmen.

Was eine öffentliche Taxonomie ergänzen könnte

Tech Policy Press veröffentlichte am 2. November 2026 den Vorschlag für eine öffentlich einsehbare, von einer Aufsichtsbehörde gepflegte Taxonomie. Anbieter würden darin Entscheidungen und Grundsätze aus dem Lebenszyklus ihrer Modelle nach einem gemeinsamen Raster einordnen. Unabhängige, akkreditierte Stellen könnten prüfen, ob die veröffentlichte Einordnung zu den Belegen des Anbieters passt. Sie sollten dabei nicht entscheiden, welche Sicherheitsposition die richtige ist.

Der praktische Unterschied: Die gesetzlichen Befugnisse ermöglichen der Kommission, Informationen anzufordern und Bewertungen durchzuführen. Die vorgeschlagene Taxonomie würde bestimmte Entscheidungen der Anbieter vergleichbar machen. Sie ist jedoch ein Vorschlag und keine von der Kommission oder dem AI Office beschlossene Regel.

Verhaltenskodex und freiwillige externe Prüfer

Die Kommission beschreibt die Einhaltung eines als angemessen bewerteten Verhaltenskodex für GPAI als einen Weg, die Erfüllung von Pflichten nachzuweisen. Eine Vermutung der Konformität entsteht dadurch nicht; diese Wirkung ordnet die Kommission harmonisierten Normen zu. Der Kodex und eine harmonisierte Norm haben also unterschiedliche rechtliche Wirkungen.

Eine freiwillige Unternehmenszusage ist wiederum etwas anderes als die gesetzlichen Befugnisse der Kommission. Dario Amodei beschrieb in einem Beitrag vom September 2026 Anthropics Zusage, externe Prüfer einzubinden. Sie sollten fortlaufend Zugang erhalten, Sicherheitspraktiken überprüfen, Vorfälle melden und Modelle sowie Trainingsabläufe bewerten können. Amodei beschrieb eine geplante Einladung an ein Team und Zugangsrechte, die weitgehend denen interner Risikoteams entsprechen sollten. Ausnahmen nannte er für gesetzliche oder vertragliche Pflichten sowie zum Schutz von Kunden- und Partnerinformationen. Die Prüfer sollten zentrale Erkenntnisse veröffentlichen und öffentlich darauf hinweisen können, wenn eine Schwärzung ihre Schlussfolgerungen beeinflusst. Amodeis Beitrag beschreibt die geplante Vereinbarung und ihre Grenzen.