--- name: gpai-systemisches-risiko-urheberrecht-policy description: "Anbieter eines sehr grossen Basismodells fragt: Haben wir die Schwelle für systemisches Risiko ueberschritten und welche Zusatzpflichten gelten dann? Art. 51 und 55 KI-VO GPAI systemisches Risiko. Prüfraster: Schwellenwert 10 hoch 25 FLOP Trainingsrechenleistung Notifikationspflicht Kommission Ar" --- # GPAI-Modelle mit systemischem Risiko — Art. 51 bis 55 KI-VO ## Arbeitsbereich Anbieter eines sehr großen Basismodells fragt: Haben wir die Schwelle für systemisches Risiko ueberschritten und welche Zusatzpflichten gelten dann? Art. 51 und 55 KI-VO GPAI systemisches Risiko. Prüfraster: Schwellenwert 10 hoch 25 FLOP Trainingsrechenleistung Notifikationspflicht Kommission Art. 52 Abs. 1. Zusatzpflichten Art. 55: Modellbewertungen Gegenmassnahmen Vorfallmeldung Cybersicherheit adversarielle Tests. Output: Pflichtenprogramm systemisches-Risiko mit Fristen und Nachweisdokumentation. Abgrenzung zu gpai-modelle-art-51-bis-55 (Basis-GPAI-Pflichten). Arbeite entlang dieser konkreten Prüfungslinie und trenne Rolle, Frist, Zuständigkeit, Beweislast und gewünschten Output. ## Arbeitsweg - Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht? - Fristen und Eilrisiken zuerst markieren: KI-VO Art. 5 Verbote ab 02.02.2025, Art. 51-55 GPAI ab 02.08.2025, Hochrisiko Anhang III ab 02.08.2026, Hochrisiko Anhang I ab 02.08.2027, schwerwiegender Vorfall 15 Tage / 2 Tage (Tod). - Tragende Normen verifizieren: KI-VO (EU 2024/1689) Art. 3, 5 (Verbote), 6 (Hochrisiko), 8-15 (Anforderungen), 16, 26 (Pflichten Anbieter/Betreiber), 50 (Transparenz), 51-55 (GPAI), 73, 99 (Sanktionen) — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate. - Zuständige Stelle bestimmen und Adressaten richtig wählen: Anbieter, Betreiber, Importeur, Händler, Marktüberwachungsbehörde (BNetzA/BMDV), benannte Stelle, EU-AI-Office, AI Board. - Dokumente und Beweismittel sammeln und auf Lücken prüfen: Konformitätserklärung Art. 47, technische Dokumentation Anhang IV, Risikomanagement-System Art. 9, Datengovernance Art. 10, FRIA (Fundamental Rights Impact Assessment) Art. 27, EU-Datenbank-Registrierung Art. 49 — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis. ## Schwellenwert — 10e25 FLOP (Art. 51 Abs. 1 lit. a KI-VO) Ein GPAI-Modell gilt als Modell mit systemischem Risiko, wenn die kumulierte Trainingsrechenleistung 10e25 FLOP (Floating Point Operations) übersteigt. **Was ist FLOP?** FLOP ist eine Maßeinheit für Rechenoperationen. 10e25 FLOP entspricht zehn hoch 25 Rechenoperationen — eine sehr hohe Schwelle, die zum Zeitpunkt der Verabschiedung der KI-VO nur von den größten bekannten Grundmodellen überschritten wurde. **Prüffragen:** - Kennt Ihr Unternehmen die kumulierte Trainingsrechenleistung des Modells? - Überschreitet diese Rechenleistung 10e25 FLOP? **Wenn unklar:** Die Berechnung der FLOP-Trainingsrechenleistung hängt von Architektur, Datenmenge und Trainingszeit ab. Im Zweifelsfall sind technische Experten und das Europäische KI-Büro zu konsultieren. ## Systemisches Risiko durch Kommissionsbeschluss (Art. 51 Abs. 1 lit. b KI-VO) Unabhängig von der FLOP-Schwelle kann die Kommission ein GPAI-Modell durch Beschluss als Modell mit systemischem Risiko einstufen, wenn es auf der Grundlage bestimmter Kriterien ein systemisches Risiko darstellt. Solche Beschlüsse können auch für Modelle unterhalb der FLOP-Schwelle gelten. **Kriterien für einen Kommissionsbeschluss:** - Anzahl der Nutzer (Erreichung kritischer Masse) - Einsatz in Hochrisikobereichen - Marktmacht des Anbieters - Potenzielle Auswirkungen auf demokratische Prozesse ## Notifikationspflicht (Art. 52 Abs. 1 KI-VO) Anbieter von GPAI-Modellen, die die FLOP-Schwelle überschreiten, müssen dies der Kommission vor dem Inverkehrbringen des Modells mitteilen. **Inhalt der Notifikation:** - Identität des Anbieters - Trainingsrechenleistung - Datum des Inverkehrbringens oder der Bereitstellung Anbieter können auch freiwillig eine Selbsteinstufung vornehmen, wenn sie meinen, dass ihr Modell systemisches Risiko aufweist. ## Zusätzliche Pflichten für Modelle mit systemischem Risiko (Art. 55 KI-VO) ### Pflicht 1 — Modellbewertung (Art. 55 Abs. 1 lit. a KI-VO) Anbieter müssen: - Das Modell auf der Grundlage standardisierter Protokolle und Tools evaluieren - Systemische Risiken identifizieren und bewerten - Red-Teaming-Übungen durchführen, um Adversarial-Risiken zu erkennen ### Pflicht 2 — Gegenmaßnahmen (Art. 55 Abs. 1 lit. b KI-VO) Anbieter müssen angemessene Maßnahmen ergreifen, um festgestellte systemische Risiken zu mindern: - Technische Schutzmaßnahmen - Informations- und Sicherheitsrichtlinien - Kooperation mit anderen Anbietern (gemeinsame Risikobewertung) ### Pflicht 3 — Vorfallmeldung (Art. 55 Abs. 1 lit. c KI-VO) Anbieter von Modellen mit systemischem Risiko müssen schwerwiegende Vorfälle und mögliche Korrektivmaßnahmen unverzüglich der Kommission und der nationalen Behörde melden. Fristen werden durch Durchführungsrechtsakte konkretisiert. ### Pflicht 4 — Cybersicherheit (Art. 55 Abs. 1 lit. d KI-VO) Anbieter müssen ein angemessenes Niveau an Cybersicherheitsschutz sicherstellen — sowohl für das Modell selbst als auch für die physische Infrastruktur. ## Verhältnis zu Codes of Practice (Art. 56 KI-VO) Anbieter von GPAI-Modellen (mit und ohne systemisches Risiko) sollen an der Ausarbeitung von Verhaltenskodizes mitwirken. Für Modelle mit systemischem Risiko können Verhaltenskodizes als Konkretisierung der Pflichten aus Art. 55 KI-VO dienen. → `code-of-practice-und-harmonisierte-normen` --- Hinweis: Keine Rechtsberatung. Mechanische Prüfung anhand vom Nutzer behaupteter Tatsachen. Die KI-VO ist in Auslegung und Konkretisierung dynamisch; Leitlinien der Kommission und Durchführungsrechtsakte sind laufend zu beobachten. ## Aktuelle Rechtsprechung (v14.2) - Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren. ## Zentrale Normen (Paragrafenkette) - Art. 3 Nr. 3/4 KI-VO — Anbieter / Betreiber-Definition - Art. 5 KI-VO — verbotene Praktiken (absolut ab 02.02.2025) - Art. 6 i.V.m. Anhang III KI-VO — Hochrisiko-Klassifikation - Art. 26 KI-VO — Betreiberpflichten - Art. 99 KI-VO — Bussgelder bis 35 Mio. EUR / 7 % Jahresumsatz ## Triage zu Beginn 1. Welche Rolle hat das Unternehmen im KI-Lieferkette (Art. 3 KI-VO — Anbieter, Betreiber, Importeur)? 2. Liegt ein Hochrisiko-System vor (Art. 6 i.V.m. Anhang III Nr. 1-8 KI-VO)? 3. Sind verbotene Praktiken nach Art. 5 KI-VO ausgeschlossen? 4. Welche konkreten Pflichten aus dem aktuellen Skill-Kontext sind einschlaegig? 5. Ist die Maßnahme fristgerecht umgesetzt (KI-VO Stufenplan bis 02.08.2026)? ## Output-Template — Prüfergebnis **Adressat:** Prüfer / Rechtsberater — Tonfall: strukturiert-rechtlich ``` PRUEFERGEBNIS — GPAI SYSTEMISCHES RISIKO SCHWELLE 10E25 FLOP [DATUM] — System: [SYSTEMNAME] — Mandant: [NAME MANDANT] [AKTENZEICHEN] Gepruefte Norm(en): [Art. 51 Abs. 1 lit. b Rn. 8] Ergebnis: [ ] Anforderung erfuellt [ ] Anforderung nicht erfuellt — Massnahmen erforderlich: 1. [MASSNAHME — Verantwortlicher: NAME — Frist: DATUM] [ ] Nicht einschlaegig — Begruendung: [BEGRUENDUNG] Sanktionsrisiko: [NIEDRIG / MITTEL / HOCH — bis [BETRAG] nach Art. 99 KI-VO] Naechster Skill: [FOLGE-SKILL] Geprueft: [NAME], [DATUM] ```