Was bedeutet GPAI?
GPAI-Modelle sind KI-Modelle, die für eine große Bandbreite von Aufgaben eingesetzt werden können. Anbieter wie OpenAI, Microsoft, Anthropic, Google, Mistral oder Meta können Anbieterpflichten nach Art. 53 bis 56 EU AI Act treffen. Finanzinstitute sind typischerweise Nutzer oder Betreiber von KI-Systemen und Diensten, die auf solchen Modellen aufbauen.
Wofür nutzen Finanzinstitute GPAI typischerweise?
Für Textanalyse, Zusammenfassungen, Dokumentation und Coding, über ChatGPT, Microsoft Copilot, Claude/Gemini, GitHub Copilot oder lokale LLMs.
| Dienst | Typische Nutzung | Governance-Frage |
|---|---|---|
| ChatGPT / GPT | Textanalyse, Zusammenfassungen, interne Dokumentation | Datenkategorien, AVV, TIA, Nutzungsregeln |
| Microsoft Copilot | Office, Teams, Outlook, Excel | Tenant-Konfiguration, Berechtigungen, Protokollierung |
| Claude / Gemini | Recherche, Textverarbeitung, Analyse | Freigabeprozess und Drittstaatentransfer |
| GitHub Copilot | Code-Unterstützung | Quellcode, Sicherheitsreview, IP- und Datenschutzfragen |
| lokale LLMs | interne Analyse sensibler Daten | Betriebsmodell, Modellrisiko, Security und Monitoring |
Die Dienste in der Tabelle sind illustrative Beispiele; maßgeblich sind die tatsächlich lizenzierte Produktvariante, die Modellversion und die vertraglich vereinbarte Datenverarbeitung.
Welche Governance-Pflichten haben Institute bei GPAI?
Inventar, Dokumentation, DSGVO-Rollen und AVV, KI-Kompetenz nach Art. 4, Provider-Due-Diligence unter DORA und die Begrenzung von Shadow-GPAI.
- GPAI-Dienste und API-Nutzungen ins KI-Inventar aufnehmen
- Verwendungszwecke, Datenkategorien und Verantwortliche dokumentieren
- DSGVO-Rollen, AVV und Drittstaatentransfers prüfen
- Angemessene Maßnahmen zur Förderung der KI-Kompetenz der eingesetzten Personen treffen (Art. 4 EU AI Act in der durch den Digital Omnibus geänderten Fassung: verlangt sind Maßnahmen, kein garantiertes individuelles Kompetenzniveau) und als Governance-Empfehlung nachvollziehbar dokumentieren
- Provider-Due-Diligence: Code-of-Practice-Status, Dokumentation und Sicherheitsnachweise prüfen; IKT- und Cyberrisiken von Frontier-Modellen nach DORA steuern (vgl. gemeinsame Erklärung von EBA, EIOPA und ESMA vom 31. Juli 2026)
- Shadow-GPAI über technische und organisatorische Kontrollen begrenzen
Wie unterscheiden sich Modell, Dienst und Altmodell?
GPAI-Modellanbieter (Art. 53 ff.) und Betreiber einer darauf aufbauenden Anwendung sind getrennte Rollen: Weder tragen Modellanbieter sämtliche Nutzungsrisiken, noch treffen das Institut die Modellanbieterpflichten. GPAI-Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, müssen die Anbieterpflichten erst bis 2. August 2027 erfüllen (Art. 111 Abs. 3). Lieferantenfragen sollten daher Modell und Modellversion, Zeitpunkt des Inverkehrbringens, verfügbare Dokumentation und den tatsächlich genutzten Dienst getrennt erfassen.
Wann wird das Institut selbst zum Anbieter?
Art. 25 Abs. 1 EU AI Act verlagert Anbieterpflichten nur in drei Hochrisiko-Konstellationen auf das Institut: eigener Name oder eigene Marke auf einem bereits in Verkehr gebrachten Hochrisiko-KI-System, wesentliche Veränderung eines Hochrisiko-KI-Systems oder eine Zweckänderung, durch die ein KI-System (auch ein GPAI-System) zum Hochrisiko-System wird. Davon getrennt sind die allgemeine Anbieterdefinition nach Art. 3 Nr. 3 und die Rolle des GPAI-Modellanbieters nach Art. 53 ff. Fine-Tuning, RAG und eigene KI-Anwendungen lösen nicht automatisch Anbieterpflichten aus, sollten aber auf Zweckänderung, Hochrisiko-Einsatz und Außenwirkung geprüft werden.
Was regelt der GPAI Code of Practice?
Der GPAI Code of Practice, den die EU-Kommission am 10. Juli 2025 veröffentlicht hat, ist ein freiwilliges Instrument für GPAI-Modellanbieter, um Compliance mit Transparenz-, Urheberrechts- und bei systemischem Risiko Sicherheitsanforderungen nachzuweisen. Für Institute ist der Signatur- und Nachweisstatus ein Due-Diligence-Signal, ersetzt aber nicht die eigene Prüfung.
Ergänzend hat die EU-Kommission am 10. Juni 2026 den Code of Practice zur Transparenz KI-generierter Inhalte finalisiert; bis Ende Juli 2026 hatten rund 190 Unternehmen und Organisationen unterzeichnet. Er konkretisiert die seit 2. August 2026 geltenden Kennzeichnungspflichten nach Art. 50 und ist für Institute relevant, die generative Dienste mit Kundenkontakt oder für veröffentlichte Inhalte einsetzen. Die finalen Leitlinien der Kommission zu Art. 50 (20. Juli 2026) ordnen die Pflichten den Rollen zu: Anbieter gestalten die Interaktionsinformation und die maschinenlesbare Markierung, Betreiber kennzeichnen Deepfakes und veröffentlichte KI-Texte von öffentlichem Interesse. Die seit September 2026 verfügbaren EU-Icons zur Kennzeichnung KI-generierter Inhalte sind freiwillig und ersetzen die Prüfung der gesetzlichen Pflicht nicht.
Welche Fragen sollte der Vorstand zu GPAI stellen?
Fünf Fragen zu Freigabe, Dateneingaben, Code-of-Practice-Nachweisen, Kennzeichnung nach Art. 50 und Zweckänderung durch RAG oder Fine-Tuning.
- Welche GPAI-Dienste sind offiziell freigegeben, welche werden faktisch genutzt?
- Dürfen personenbezogene Daten, Kundendaten oder vertrauliche Dokumente eingegeben werden?
- Welche Anbieter haben den GPAI Code of Practice unterzeichnet oder liefern alternative Nachweise?
- Welche generativen Dienste erzeugen Inhalte mit Außenwirkung, und ist die Kennzeichnung nach Art. 50 – etwa über den Transparenz-Code of Practice des Anbieters – sichergestellt?
- Welche RAG- oder Fine-Tuning-Anwendungen verändern den Zweck eines Systems?
Ing. Mag. Patrick Eiler
Patrick Eiler berät Banken und Versicherungen in Wien zu aufsichtlichem Meldewesen, Datenarchitektur und KI-Compliance. Über zwanzig Jahre in Banken, Versicherungen und Finanzdienstleistung; Vortragender beim Hypo-Verband (Fachsitzung 23. September 2026).