Die GPAI Signatory Taskforce der Europäischen Kommission hat am 17. Juli 2026 in ihrer vierten Sitzung Nachmarktüberwachungspflichten nach Maßnahme 3.5 sowie Crawler-Transparenzpflichten nach Maßnahme 1.3(4) des GPAI Code of Practice konkretisiert. Das KI-Büro veröffentlichte den Bericht dazu am 3. August 2026 und knüpfte die Nutzung von Marginal-Risk-Klauseln an strenge Nachweis- und Verfahrensvorgaben.
- Die GPAI Signatory Taskforce tagte am 17. Juli 2026 zum vierten Mal und behandelte das Sicherheits- sowie das Urheberrechtskapitel des Code of Practice.
- Laufende Modellnutzung fließt künftig laut KI-Büro über Maßnahme 3.5 in die systemische Risikobewertung ein, nicht mehr nur Tests vor dem Marktstart.
- Marginal-Risk-Klauseln dürfen laut KI-Büro nur unter außergewöhnlichen Umständen und mit strengen Nachweis- und Verfahrensvorgaben greifen.
- Anbieter müssen nach Maßnahme 1.3(4) Rechteinhabern öffentlich Auskunft über eingesetzte Webcrawler und robots.txt-Funktionen geben.
- Rechteinhaber erhalten laut KI-Büro künftig automatische Benachrichtigungen, sobald sich Crawler- und Rechtsvorbehalt-Informationen ändern.
Eine Taskforce-Sitzung mit echten Zähnen für den AI Act
Am 17. Juli 2026 hat die GPAI Signatory Taskforce der Europäischen Kommission zum vierten Mal getagt und zwei Kapitel des Code of Practice für General-Purpose AI vorangetrieben: das Sicherheitskapitel und das Urheberrechtskapitel. Das KI-Büro der Kommission veröffentlichte den Bericht über die Sitzung am 3. August 2026. Er listet konkret auf, welche Auflagen für Anbieter großer KI-Modelle künftig greifen. Wer bislang dachte, der Code of Practice bleibe eine Absichtserklärung, bekommt hier zwei handfeste Gegenbeispiele.
Die GPAI Signatory Taskforce bringt Vertreter der unterzeichnenden Unternehmen und das KI-Büro an einen Tisch, um die Umsetzung der freiwilligen Selbstverpflichtung zu besprechen. Bei der vierten Runde ging es weniger um grundsätzliche Fragen als um handfeste Prüfschritte. Wie beobachtet das KI-Büro Modelle nach dem Marktstart? Was schulden Anbieter jenen Rechteinhabern, deren Werke beim Training verwendet wurden? Beide Themen berühren operative Prozesse bei den Anbietern, nicht nur ihre Kommunikationsabteilungen.
Wer die Entwicklung des Verhaltenskodex seit der finalen Fassung des Verhaltenskodex verfolgt, erkennt ein Muster. Die Kommission füllt die Lücken zwischen den großen Ankündigungen mit Detailarbeit in genau solchen Taskforce-Sitzungen. Das mindert den PR-Wert eines einzelnen Termins. Es erhöht aber die Verbindlichkeit der einzelnen Klauseln, die am Ende Anbieter in ihre Compliance-Prozesse einbauen müssen.
Für Beobachter der KI-Regulierung liegt der eigentliche Nachrichtenwert nicht im großen Rahmenwerk, sondern in solchen Arbeitssitzungen. Sie zeigen, welche Auslegung einzelner Maßnahmen sich in der Praxis durchsetzt, lange bevor die ersten Bußgeldverfahren überhaupt beginnen. Anbieter, die diese Signale ignorieren, riskieren, bei der nächsten Prüfung mit veralteten Prozessen dazustehen. Wer dagegen früh mitliest, kann interne Vorgaben anpassen, bevor eine förmliche Prüfung überhaupt ansteht. Genau dafür wurde die Taskforce eingerichtet: als Frühwarnsystem für alle, die den Code of Practice unterschrieben haben.
Die konkrete Frage: das KI-Büro zur Marktüberwachung sagt
Das KI-Büro stellte in der Sitzung dar, dass die Analyse der tatsächlichen Modellnutzung Teil der Nachmarktüberwachung nach Maßnahme 3.5 werden kann und in die systemische Risikobewertung einfließt. Anbieter müssen demnach nicht nur vor dem Marktstart testen, sondern auch beobachten, wie ihre Modelle im Feld tatsächlich eingesetzt werden. Das ist ein Wechsel von einer Momentaufnahme zu einer laufenden Beobachtung.
Nutzungsdaten und Verhaltensmuster während des Betriebs ergänzen laut KI-Büro die Ergebnisse der Bewertungen vor der Markteinführung. Sie fließen in mehrere Schritte der Risikoprüfung ein, nicht nur in eine abschließende Bewertung. Für Compliance-Teams bedeutet das zusätzlichen Aufwand: Wer nur einmalig testet und danach abhakt, erfüllt die Erwartung der Kommission nicht mehr.
Diese Verschiebung von einer einmaligen Prüfung zu einer fortlaufenden Beobachtung ist der eigentliche Kern der Sitzung. Sie betrifft vor allem Anbieter mit hoher Nutzerzahl, deren Modelle sich durch Feedback-Schleifen, Fine-Tuning oder neue Anwendungsfälle im Feld spürbar verändern können.
Technisch bedeutet das für Anbieter, dass Telemetrie- und Monitoring-Systeme künftig nicht nur Ausfälle und Fehlermeldungen erfassen müssen, sondern auch Nutzungsmuster, die auf ein verändertes Risikoprofil hindeuten. Wer solche Systeme heute schon betreibt, etwa für interne Qualitätssicherung, kann sie vermutlich erweitern. Wer bislang nur einmalige Sicherheitsberichte einreicht, muss seine Prozesse grundlegend umbauen.
Ein Nebeneffekt dieser Regel dürfte sein, dass Anbieter interne Anreize schaffen, Nutzungsdaten ehrlicher zu erfassen als bisher. Ein Modell, das im Feld deutlich riskanter agiert als im Testlabor, lässt sich nach dieser Logik schwerer verschweigen, sobald das Monitoring lückenlos dokumentiert werden muss. Für Aufsichtsbehörden entsteht dadurch erstmals ein belastbarer Datenstrom aus dem realen Betrieb, nicht nur aus kontrollierten Testumgebungen.
Die Grenzen der Ausnahmeklausel für riskante Modelle
Die Taskforce diskutierte außerdem, wie sogenannte Marginal-Risk-Klauseln mit dem systemischen Risikomanagement der Anbieter zusammenhängen. Diese Klauseln erlauben einem Anbieter theoretisch, ein riskanteres Modell auf den Markt zu bringen, wenn Wettbewerber bereits vergleichbar unsichere Systeme ausrollen und damit die Grenzen des Machbaren verschieben.
Das KI-Büro machte deutlich, dass eine solche Ausnahme nur unter außergewöhnlichen Umständen und mit strengen Nachweis- und Verfahrensvorgaben zulässig ist. Ein bloßer Verweis auf die Konkurrenz reicht demnach nicht aus, um eigene Sicherheitsstandards abzusenken.
Für die Praxis heißt das: Anbieter, die sich auf eine Marginal-Risk-Klausel berufen wollen, müssen dokumentieren, welches Konkurrenzmodell sie als Referenz heranziehen und welche Prüfschritte sie trotzdem einhalten. Das KI-Büro behält sich vor, diese Nachweise im Einzelfall zu prüfen und notfalls zurückzuweisen.
Diese Klausel ist ein heikles Instrument. Sie erkennt an, dass ein einzelner Anbieter im globalen Wettbewerb kaum allein strengere Standards halten kann, ohne Marktanteile zu verlieren. Gleichzeitig öffnet jede Ausnahme ein Einfallstor für ein Wettrüsten nach unten, bei dem sich Anbieter gegenseitig mit dem Verweis auf die jeweils anderen rechtfertigen. Die von der Kommission verlangten Nachweis- und Verfahrensauflagen sollen genau das verhindern.
Kritiker der Klausel könnten einwenden, dass sich Wettbewerbsdruck kaum sauber dokumentieren lässt. Wer entscheidet, ob ein Konkurrenzmodell tatsächlich unsicherer ist oder nur anders vermarktet wird? Das KI-Büro hat diese Frage in der vierten Sitzung angesprochen, aber noch keine abschließende Methodik vorgelegt.
Der Grund: Post-Market-Monitoring kein Bürokratie-Detail ist
Wer Post-Market-Monitoring für ein Verwaltungsdetail hält, unterschätzt die Reichweite der Sitzung. Das KI-Büro verknüpft die Beobachtung im laufenden Betrieb direkt mit der systemischen Risikobewertung, also mit jener Einstufung, die über zusätzliche Pflichten für besonders leistungsfähige Modelle entscheidet.
Ein Anbieter, dessen Modell im Feld unerwartete Nutzungsmuster zeigt, kann durch diese neuen Beobachtungspflichten in eine andere Risikokategorie rutschen, selbst wenn die Vorab-Tests unauffällig waren. Das verschiebt Verantwortung von der einmaligen Zulassungsprüfung hin zu einem fortlaufenden Monitoring, das Personal und Budget bindet.
Gleichzeitig zeigt die Copyright-Diskussion der Sitzung, dass die Kommission auch bei Trainingsdaten nachschärft. Beide Themenstränge, Sicherheit und Urheberrecht, laufen bei der GPAI Signatory Taskforce zusammen und werden in derselben Sitzung, nicht getrennt voneinander, verhandelt.
Kleinere Anbieter dürften diese Kombination besonders spüren. Sie verfügen selten über eigene Teams für kontinuierliches Monitoring und für Urheberrechts-Compliance gleichzeitig. Größere Anbieter mit etablierten Rechtsabteilungen können die neuen Pflichten eher in bestehende Prozesse integrieren, was den Abstand zwischen kleinen und großen Signataren des Code of Practice tendenziell vergrößert.
Für Start-ups, die ein GPAI-Modell erst seit kurzem anbieten, dürfte allein die Frage, welche Abteilung für Post-Market-Monitoring zuständig ist, eine organisatorische Hürde sein. Wer diese Zuständigkeit nicht klärt, bevor die Kommission konkrete Berichte anfordert, verliert wertvolle Zeit.
Copyright-Pflicht Nummer eins: Transparenz über Crawler
Beim Urheberrechtskapitel erläuterte das KI-Büro Maßnahme 1.3 und richtete den Fokus auf die Pflichten der Anbieter nach Maßnahme 1.3(4). Signatare verpflichten sich demnach, betroffenen Rechteinhabern Auskunft über eingesetzte Webcrawler und deren robots.txt-Funktionen zu geben.
Diese Informationen müssen öffentlich zugänglich sein, nicht nur auf Anfrage verfügbar. Anbieter sollen zudem offenlegen, mit welchen weiteren Maßnahmen sie Rechtsvorbehalte beim Crawling erkennen und respektieren, etwa über zusätzliche Opt-out-Signale jenseits von robots.txt.
Für Rechteinhaber ist das ein Fortschritt gegenüber dem Status quo, in dem viele Trainingsprozesse kaum nachvollziehbar waren. Für Anbieter bedeutet es zusätzlichen Dokumentationsaufwand, gerade wenn sie mehrere Crawler-Systeme parallel betreiben und Nachweise über verschiedene Produktlinien hinweg pflegen müssen.
Verlage und einzelne Autorinnen und Autoren fordern eine solche Transparenz seit Jahren, oft ohne verbindliche Antwort von den großen Modellanbietern. Mit Maßnahme 1.3(4) bekommt diese Forderung erstmals eine konkrete Verfahrensgrundlage innerhalb des Code of Practice, auch wenn die Durchsetzung im Einzelfall noch offen ist.
Die konkrete Frage: Rechteinhaber künftig automatisch erfahren
Über die reine Veröffentlichungspflicht hinaus müssen Signatare laut KI-Büro auch sicherstellen, dass betroffene Rechteinhaber automatisch benachrichtigt werden, sobald sich diese Informationen ändern. Eine einmalige Meldung zu Beginn reicht damit nicht aus.
Die Regel ergänzt weitere Vorgaben aus dem Werkzeugkasten der Kommission gegen unkontrollierte KI-Nutzung, etwa das Verbot bestimmter Deepfake-Anwendungen, über das unser Bericht zum Deepfake-Verbot bereits informierte. Beide Regelungen verlagern Kontrolle über Herkunft und Nutzung von Inhalten zurück zu den ursprünglichen Rechteinhabern.
Wie die automatische Benachrichtigung technisch umgesetzt werden soll, ließ das KI-Büro in der Sitzung offen. Die Taskforce wird das Thema in künftigen Runden vertiefen müssen, sobald erste Anbieter konkrete Vorschläge vorlegen.
Für Rechteinhaber-Organisationen, die seit Jahren mit einzelnen Anbietern über Ausschlusslisten verhandeln, wäre eine standardisierte, automatische Benachrichtigung ein spürbarer Fortschritt. Bislang mussten viele Verlage manuell prüfen, ob sich Crawler-Regeln geändert haben, oft erst nachdem bereits neue Inhalte erfasst worden waren.
Ob diese Benachrichtigung per E-Mail, über ein zentrales Portal oder über maschinenlesbare Feeds erfolgen soll, hat das KI-Büro nicht festgelegt. Genau dieser technische Punkt dürfte in der fünften Sitzung der Taskforce zur Sprache kommen, sobald Anbieter erste Umsetzungsvorschläge einreichen.
Blick auf die nächste Sitzung und offene Fragen
Die Sitzung endete mit einem kurzen Überblick des KI-Büros über laufende Initiativen rund um den GPAI Code of Practice sowie einer Diskussion zur Organisation künftiger Taskforce-Treffen. Einen konkreten Termin für die fünfte Sitzung nannte die Kommission im veröffentlichten Bericht nicht.
Offen bleibt vor allem, wie streng das KI-Büro die neuen Monitoring- und Transparenzpflichten in der Praxis durchsetzt, sobald erste Anbieter ihre Berichte einreichen. Die bisherigen vier Sitzungen der GPAI Signatory Taskforce liefern Leitplanken, aber noch keine Sanktionspraxis.
Für Anbieter und Rechteinhaber lohnt sich in den kommenden Monaten ein Blick auf die konkreten Vorlagen, mit denen das KI-Büro die Maßnahmen 3.5 und 1.3(4) operationalisiert. Erst diese Vorlagen zeigen, ob Anbieter ihre Monitoring-Pipelines anpassen oder nur Formulare ausfüllen.
Bis dahin bleibt die GPAI Signatory Taskforce der Ort, an dem sich die abstrakten Prinzipien des Code of Practice in überprüfbare Pflichten verwandeln. Wer als Anbieter, Rechteinhaber oder Compliance-Team betroffen ist, sollte die Protokolle der nächsten Sitzungen genauso aufmerksam lesen wie die großen Verordnungstexte selbst.
Die kommenden Monate werden zeigen, ob Marginal-Risk-Klauseln in der Praxis überhaupt jemals angewendet werden oder ob sie eher als theoretisches Sicherheitsventil im Regelwerk stehen bleiben. Bis zur nächsten Sitzung bleibt das eine offene Rechnung zwischen Kommission und den unterzeichnenden Unternehmen.
Was halten Sie von dem Thema? Hier können Sie mit anderen Leserinnen und Lesern ins Gespräch gehen.
Mitreden & diskutieren
Ihre Meinung zählt — teilen Sie Gedanken, Fragen oder Erfahrungen zu diesem Artikel.