AI Act (Teil 1): GenAI-Update für Life-Science-KMU

Titus Kaletta
28. Aug. 2025
4 Min. Lesezeit

Aktualisiert: 6. Nov. 2025

Futuristische Abbildung AI Act (Hintergrund von Brian Penny, Pixabay)

Ab dem 2. August 2025 werden weitere zentrale Vorschriften der KI-Verordnung wirksam – dies betrifft auch mittelständische Unternehmen aus dem Life-Science-Sektor (u.a. MedTech, BioTech und Pharma). Welche Regeln gelten künftig für GenAI und welche Rolle übernehmen die neuen Aufsichtsstrukturen? Alle Antworten und noch viel mehr finden Sie hier – kurz und branchenspezifisch.

Welche KI-Vorschriften gelten ab dem 02. August 2025?

Vor einem Jahr ist der Artificial Intelligence Act (AI Act) der EU offiziell in Kraft getreten – inklusive abgestufter Umsetzungsfristen verschiedener Vorschriften. So traten bereits zum Stichtag im Februar 2025 insbesondere neue Kompetenzpflichten (Kapitel I, Art. 4) für betroffene Unternehmen in Kraft. Mit der jetzigen Umsetzungsfrist greifen nun folgende für KMU entscheidende Regelungsbereiche:

GPAI (Kapitel V, insbesondere Art. 53)	Transparenz gegenüber Behörden und nachgelagerten KI-Anbietern*
Governance (Kapitel VII)	Nationale Aufsicht und Meldepflichten
Sanktionen (Kapitel XII)	Verwarnungen und Geldbußen

*Hinweis: Transparenzpflichten gegenüber Endnutzern (Kapitel IV, Art. 50) gelten erst ab 2. August 2026.

Definition von GPAI Der ähnlich klingende Begriff GenAI (generative KI) ist den meisten wahrscheinlich geläufiger - auch wenn dieser mit GPAI nicht direkt gleichzusetzen ist. So bildet GenAI bspw. nur einen Teil von GPAI. In der KI-Verordnung der EU wird übrigens ausschließlich der Begriff GPAI verwendet. Hier die darinstehende offizielle Definition: Unter einem KI-Modell mit allgemeinem Verwendungszweck (General-Purpose AI oder GPAI) ist ein KI-Modell zu verstehen, ,,das eine erhebliche allgemeine Verwendbarkeit aufweist und in der Lage ist, [...] ein breites Spektrum unterschiedlicher Aufgaben kompetent zu erfüllen, und das in eine Vielzahl nachgelagerter Systeme oder Anwendungen integriert werden kann". (Art. 3 Nr. 63, KI-VO) Konkrete Beispiele für solche großen Sprach-/Multimodalmodelle sind u.a. ChatGPT, Dall-E und Sora, die für vielfältige Zwecke genutzt werden (Text, Bild, Code usw.). Zum Vergleich: Spezialisierte Modelle, die nur eng umrissene Aufgaben erfüllen und keine breite Übertragbarkeit besitzen, fallen nicht unter die GPAI-Pflichten von Kapitel V. Dennoch können diese weiterhin den allgemeinen risikobasierten Regeln unterliegen – insbesondere dann, wenn sie als Hochrisiko-System eingestuft werden.

Welche Rolle übernehmen die neuen Aufsichtsstrukturen? Seit Anfang August 2025 muss in jedem EU-Mitgliedsstaat mindestens eine zuständige nationale Behörde benannt und ausgestattet sein. Diese Marktüberwachungs- und Notifizierungsbehörde verantwortet die Um- und Durchsetzung der KI-Verordnung auf nationaler Ebene. Hierunter fällt bspw. das Benennen notifizierter Stellen für Konformitätsbewertungen sowie das Einrichten sog. „Regulatory Sandboxes“ (betreute Testumgebungen für neue KI-Modelle).

Für mittelständische Unternehmen gut zu wissen: Die in Deutschland ansässige Notifizierungsbehörde, die Bundesnetzagentur (BNetzA), bietet mit ihrem KI-Service Desk eine Anlaufstelle für Unternehmen rund um Fragen zur KI-Compliance (siehe Kontaktformular). Für branchenspezifischere Auskünfte empfehlen wir folgenden Beitrag: AI Act vs. MDR & IVDR: Handlungsempfehlungen (Teil 2)

Wichtig: Was KI-Modelle mit allgemeinem Verwendungszweck betrifft (GPAI), so fallen diese unter den Zuständigkeitsbereich der EU und ihren dafür eigens eingerichteten institutionellen Strukturen (European Artificial Intelligence Board, Wissenschaftspanel unabhängiger Expert:innen usw.). Das AI Office mit seiner exklusiven Aufsichtskompetenz ist nun ebenfalls operativ und veröffentlichte um den Stichtag herum auch gleich ein Template zur Trainingsdaten-Zusammenfassung sowie Leitlinien für GPAI-Anbieter. Harte Durchsetzungsinstrumentarien des KI-Büros (Ermittlungsmaßnahmen und eigene Kommissionsbußgelder) werden erst im darauffolgenden Jahr wirksam (Kapitel IX, Art. Art. 88–94, 101). Eine Liste nützlicher Links und Downloads der europäischen Kommission finden Sie weiter unten.

Womit muss bei Verstößen fortan gerechnet werden? Ebenfalls wirksam geworden ist nun ein EU-weiter Sanktionsmechanismus. Verstöße gegen geltende KI-Pflichten können ab sofort von den einzelnen EU-Mitgliedsstaaten mittels abgestufter Geldbußen je nach Ausmaß geahndet werden.

Bevor Sanktionen jedoch verhängt werden, können Behörden zunächst Verwarnungen äußern und Korrekturen anordnen. Separate Kommissionsbußgelder für GPAI-Anbieter greifen erst ab dem 2. August 2026.

Welche Regeln gelten künftig für GPAI? Für Anbieter von generativen KI-Modellen mit allgemeinem Verwendungszweck (General Purpose AI oder kurz GPAI) gelten ab sofort verbindliche Transparenz- und Dokumentationspflichten – etwa zu Herkunft der Trainingsdaten, Modellgrenzen und bekannten Schwächen.

Diese AI-Act-Vorgaben bestanden bereits vorher, sind nun aber rechtlich wirksam und bei Verstößen sanktionierbar (Hinweis: Für GPAI-Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, gilt eine Übergangsfrist bis zum 2. August 2027).

Für GPAI-Anbieter fortan offenzulegen sind:

standardisierte Informationspakete an nachgelagerte Anbieter (Anhang XII),

eine öffentliche Zusammenfassung der Trainingsdaten (Art. 53 Abs. 1 d),

eine technische Dokumentation (Art. 53 Abs. 1 a) sowie eine

Urheberrechts-Policy (Art. 53 Abs. 1 c).

Was bedeutet dieser Stichtag speziell für Life-Science-KMU? Für kleine und mittelständische Anbieter aus dem Life-Science-Bereich (u.a. MedTech, BioTech und Pharma) - die generative KI-Modelle in einem besonders Daten-sensiblen Umfeld bereitstellen - gilt ab dem Stichtag, 02. August 2025, nun ein wirksamer Rechtsrahmen für deren Dokumentation, Transparenz und Urheberrecht.

Wer sich als Life-Science-Unternehmen an diese für den Markt vertrauensschaffenden Vorgaben hält, steht klar im Vorteil. So sorgt eine konsequente Einhaltung für mehr Klarheit bei regulatorischen Anforderungen, fundiertere Risikoeinschätzungen sowie mehr Offenheit und Verlässlichkeit im Umgang mit Geschäftspartnern und Behörden.

Transparenz schafft Vertrauen – von der Modellprüfung bis zur behördlichen Freigabe.

Mehr zu möglichen Erleichterungen und praxisnahen Umsetzungsschritten lesen Sie in unserem nächsten Beitrag: ,,GenAI-Update: Handlungsempfehlungen (Teil 2)".

Wenn Ihnen dieser Artikel gefallen hat, freuen wir uns über Ihr Feedback in den Kommentaren. Teilen Sie Ihre Gedanken und lassen Sie uns wissen, wie wir Sie noch besser unterstützen können. Verpassen Sie außerdem nicht unsere nächste Veröffentlichung, die wie immer donnerstags und diesmal am 25. September 2025 erscheint.

Nützliche Quellen:

§ Infobox zur KI-Verordnung der EU:

Der sogenannte „Direct Effect“ (siehe van Gend en Loos 1963) bedeutet, dass KI-Vorschriften direkt aus der EU-Verordnung heraus gelten und unmittelbar gegenüber Unternehmen umsetzbar sind – ohne dass ein deutsches Gesetz nötig wäre. Für Unternehmen besteht somit eine unmittelbare Umsetzungsverantwortung (siehe auch „Primacy of EU Law“ - Costa v. ENEL1964 sowie Simmenthal 1978).

Das könnte Sie auch interessieren:

AI Act: Fakten, Zahlen und Infografiken

Disclaimer: Alle Angaben erfolgen nach bestem Wissen und Gewissen, jedoch ohne Gewähr für Vollständigkeit, Richtigkeit und Aktualität.