Skip to main content

Beoordeling voor GPAI-aanbieders: artikelen 53 tot en met 55

Aanbieders van AI-modellen voor algemene doeleinden: de plichten van de artikelen 53 tot 55 en de begeleide beoordeling van Scanara.

Aanbieders van AI-modellen voor algemene doeleinden (GPAI) moeten het model documenteren, downstreamaanbieders informeren, een samenvatting van de trainingsgegevens publiceren en een auteursrechtbeleid hebben (artikel 53).

De verplichtingen gelden voor modellen die vanaf 2 augustus 2025 op de EU-markt zijn gebracht. De Commissie kan overtredingen beboeten vanaf 2 augustus 2026. De boete bedraagt maximaal 3% van de wereldwijde omzet of EUR 15 miljoen, naargelang welk bedrag hoger is (artikel 101). Voor eerdere modellen kunnen overtredingen niet vóór 2 augustus 2027 ontstaan (artikel 111, lid 3). Aanbieders buiten de EU hebben een gemachtigde in de EU nodig, met een uitzondering voor open source (artikel 54). Volgende stap: aanbieders stellen de documentatie op; downstreamaanbieders (systeembouwers) vragen de modelinformatie op.

Artikel 53 stelt vier verplichtingen aan GPAI-aanbieders

  • Het model documenteren

    Stel de technische documentatie van het model op en houd die actueel, inclusief de resultaten van training, tests en evaluatie. Stel haar op verzoek ter beschikking van het AI-bureau (de functie van de Commissie die toezicht houdt op GPAI-modellen) en de nationale autoriteiten (artikel 53, lid 1, punt a)).

  • Downstreamaanbieders informeren

    Stel informatie over de mogelijkheden en beperkingen van het model op en maak die beschikbaar, zodat aanbieders die er AI-systemen op bouwen aan hun eigen verplichtingen kunnen voldoen. Dit laat onverlet dat intellectuele-eigendomsrechten en vertrouwelijke bedrijfsinformatie of bedrijfsgeheimen moeten worden geëerbiedigd en beschermd, overeenkomstig het Unierecht en het nationale recht (artikel 53, lid 1, punt b)).

  • Een auteursrechtbeleid hebben

    Voer een beleid in om het Unierecht inzake auteursrecht na te leven. Het moet voorbehouden van rechthebbenden tegen tekst- en datamining (geautomatiseerde analyse van content om patronen te vinden) herkennen en naleven (artikel 53, lid 1, punt c); Richtlijn (EU) 2019/790, artikel 4, lid 3).

  • Een samenvatting van de trainingsgegevens publiceren

    Publiceer een voldoende gedetailleerde samenvatting van de content die voor het trainen van het model is gebruikt, volgens het sjabloon van het AI-bureau (artikel 53, lid 1, punt d)).

Aanbieders van modellen onder een vrije en opensourcelicentie zijn vrijgesteld van de eerste twee verplichtingen, documentatie en informatie, als parameters, architectuur en gebruiksinformatie openbaar zijn. Het auteursrechtbeleid en de samenvatting blijven verplicht. De vrijstelling geldt niet voor modellen met systeemrisico (artikel 53, lid 2).

Modellen met systeemrisico hebben vier extra verplichtingen

Een model heeft een systeemrisico als het capaciteiten met een grote impact heeft (artikel 51, lid 1, punt a)). Dat zijn capaciteiten die gelijk zijn aan of groter dan die van de meest geavanceerde GPAI-modellen (artikel 3, punt 64). De verordening veronderstelt dit als de training meer dan 1025 drijvendekommabewerkingen (FLOP) vergde (artikel 51, lid 2). De Commissie kan ook een model aanwijzen. Deze aanbieders moeten bovendien voldoen aan de verplichtingen van artikel 55.

  • Het model evalueren en testen

    Evalueer het model met gestandaardiseerde protocollen en hulpmiddelen die de stand van de techniek weerspiegelen. Dat omvat tests gericht op het opsporen van kwetsbaarheden, waarbij het model met opzet wordt aangevallen (artikel 55, lid 1, punt a)).

  • Systeemrisico's beoordelen en beperken

    Beoordeel en beperk mogelijke systeemrisico's op Unieniveau, inclusief de bronnen ervan (artikel 55, lid 1, punt b)).

  • Ernstige incidenten melden

    Houd ernstige incidenten bij, documenteer ze met mogelijke corrigerende maatregelen en meld ze zonder onnodige vertraging aan het AI-bureau en, in voorkomend geval, aan de nationale bevoegde autoriteiten (artikel 55, lid 1, punt c)).

  • Beschermen tegen cyberaanvallen

    Zorg voor een passend niveau van cyberbeveiliging voor het model en de fysieke infrastructuur ervan (artikel 55, lid 1, punt d)).

Aanbieders van GPAI-modellen met systeemrisico moeten aan deze verplichtingen voldoen, naast die van de artikelen 53 en 54 (artikel 55, lid 1). Zij moeten de Commissie ook binnen twee weken op de hoogte stellen nadat het model aan de voorwaarde van capaciteiten met een grote impact voldoet, of nadat bekend wordt dat het daaraan zal voldoen (artikel 52, lid 1).

Data: verplichtingen sinds 2 augustus 2025, eerdere modellen tot 2 augustus 2027

Volgens onze lezing kan voor modellen die vóór 2 augustus 2025 in de handel zijn gebracht een inbreuk op de verplichtingen van artikel 53 niet vóór 2 augustus 2027 ontstaan, omdat artikel 111, lid 3, hun tot dan de tijd geeft. Boetes op grond van artikel 101, lid 1, punten b) tot en met d), voor het niet beantwoorden van een informatieverzoek, het niet volgen van een gevraagde maatregel of het niet verlenen van toegang voor een evaluatie, gelden vanaf 2 augustus 2026.

Wat Scanara doet voor GPAI-aanbieders

Scanara beslist niet welke verplichtingen voor uw model gelden. U beslist, met juridisch advies waar veel op het spel staat.

Een begeleide beoordeling voor GPAI-aanbieders

Scanara leidt u voor uw model door de verplichtingen van de artikelen 53 tot en met 55 en legt uw antwoorden vast. U beslist welke verplichtingen gelden, met juridisch advies als er veel op het spel staat.

Documenten volgens bijlage XI en XII

Scanara genereert de documentatie volgens bijlage XI en XII op basis van sjablonen, deels vooraf ingevuld met uw antwoorden. De modelspecifieke inhoud schrijft u zelf.

Regelgebaseerde controles, geen modeltests

Scanara controleert code en documenten aan de hand van regels die zijn afgeleid van de artikelen 51 tot en met 55. Het test of evalueert uw model niet; de tests van artikel 55 blijven uw werk.

Open de Scanara-demo

De details van verwante verplichtingen

Veelgestelde vragen over GPAI-aanbieders

Maakt het gebruik van een API mij een GPAI-aanbieder?

Nee. Wie via een API een AI-systeem bouwt op een GPAI-model, is downstreamaanbieder. De verplichtingen van artikel 53 blijven bij de modelaanbieder. Als u een model wijzigt of verfijnt, kan het antwoord veranderen: overweging 109 stelt dat de verplichtingen van de aanbieder tot die wijziging beperkt moeten blijven, en de richtsnoeren van de Commissie geven aan wanneer een wijziging groot genoeg is om u aanbieder te maken. De richtsnoeren zijn niet juridisch bindend en de uitleg van de Commissie kan veranderen. Als uw systeem een hoogrisicosysteem is, voldoet u als aanbieder ervan aan de hoogrisicovereisten.

Hebben open-source-GPAI-modellen minder verplichtingen?

Gedeeltelijk. Modellen onder een vrije en opensourcelicentie zijn vrijgesteld van twee verplichtingen: documentatie en informatie aan downstreamaanbieders (artikel 53, lid 1, punten a) en b)). De vrijstelling vereist openbare parameters, architectuur en gebruiksinformatie. Het auteursrechtbeleid en de samenvatting van de trainingsgegevens blijven verplicht. De vrijstelling geldt niet voor modellen met systeemrisico (artikel 53, lid 2).

Vanaf wanneer gelden deze verplichtingen?

Sinds 2 augustus 2025 voor modellen die vanaf die datum op de EU-markt zijn gebracht. Modellen die vóór 2 augustus 2025 in de handel zijn gebracht, hebben tot 2 augustus 2027 (artikel 111, lid 3). De Commissie kan vanaf 2 augustus 2026 boetes opleggen (artikel 101).

Is een model card verplicht?

De verordening gebruikt de term „model card” niet. Artikel 53, lid 1, onder b), vereist informatie en documentatie voor aanbieders die het model integreren, met ten minste de elementen van bijlage XII. Een model card is daarvoor een gangbaar formaat.

Scanara bereidt bewijs voor vanuit uw repositories

Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.