Artikel 55: verplichtingen bij systeemrisico
Artikel 55 van de AI-verordening: wanneer een AI-model voor algemene doeleinden een systeemrisico heeft, de melding binnen twee weken, de vier extra verplichtingen, data en boetes.
Aanbieders van AI-modellen voor algemene doeleinden (GPAI) met systeemrisico hebben vier extra verplichtingen (artikel 55, lid 1). Ze betreffen evaluatie en tests, risicobeperking, melding van incidenten en cyberbeveiliging.
Een model heeft een systeemrisico als het capaciteiten met een grote impact heeft (artikel 51). De verordening veronderstelt dat bij meer dan 1025 drijvendekommabewerkingen (FLOP) voor de training. Aanbieders moeten de Commissie binnen twee weken op de hoogte stellen (artikel 52, lid 1). De verplichtingen gelden sinds 2 augustus 2025. Sinds 2 augustus 2026 kan de Commissie aanbieders een boete opleggen. De boete bedraagt maximaal 3% van de wereldwijde omzet of EUR 15 miljoen, naargelang welk bedrag hoger is (artikel 101). Volgende stap: controleer de trainingsrekenkracht van uw model.
Een model heeft een systeemrisico als het capaciteiten met een grote impact heeft of de Commissie het aanwijst
Rekendrempel
Capaciteiten met een grote impact zijn capaciteiten die gelijk zijn aan of groter dan die van de meest geavanceerde GPAI-modellen (artikel 3, punt 64). De verordening veronderstelt ze wanneer de cumulatieve rekenkracht die voor de training is gebruikt meer dan 1025 drijvendekommabewerkingen (FLOP) bedraagt. De Commissie kan de drempel bij gedelegeerde handeling aanpassen aan de technologische ontwikkeling (artikel 51, leden 2 en 3).
Aanwijzing door de Commissie
De Commissie kan ook ambtshalve of na een gekwalificeerde waarschuwing van het wetenschappelijk panel een model aanwijzen met gelijkwaardige capaciteiten of impact. Zij past de criteria van bijlage XIII toe, zoals parameters, trainingsdata, rekenkracht, modaliteiten, benchmarks en bereik (artikel 51, lid 1, punt b)). Een model dat beschikbaar is voor ten minste 10 000 in de Unie gevestigde geregistreerde zakelijke gebruikers wordt geacht een grote impact op de interne markt te hebben (bijlage XIII).
De Commissie binnen twee weken op de hoogte stellen
De aanbieder moet de Commissie onverwijld en in ieder geval binnen twee weken melden dat zijn model voldoet aan de voorwaarde van artikel 51, lid 1, punt a). De termijn gaat ook in zodra bekend wordt dat het model aan de voorwaarde zal voldoen. De melding moet de informatie bevatten die aantoont dat aan de voorwaarde is voldaan (artikel 52, lid 1).
Bij de melding kan de aanbieder voldoende onderbouwde argumenten aanvoeren dat het model bij wijze van uitzondering, vanwege zijn specifieke kenmerken, geen systeemrisico vormt. De Commissie beslist; verwerpt zij de argumenten, dan wordt het model beschouwd als een model met systeemrisico (artikel 52, leden 2 en 3). Aanbieders van aangewezen modellen kunnen ten vroegste zes maanden na de aanwijzing een met redenen omkleed verzoek om herbeoordeling indienen, met objectieve, gedetailleerde en nieuwe redenen. De Commissie publiceert en actualiseert een lijst van GPAI-modellen met systeemrisico (artikel 52, leden 5 en 6).
Modellen met systeemrisico hebben vier extra verplichtingen
Deze verplichtingen komen bovenop die van de artikelen 53 en 54 (artikel 55, lid 1). De technische documentatie van deze modellen moet bovendien de evaluatiestrategieën en resultaten beschrijven. Waar van toepassing voegt zij de maatregelen voor tests gericht op het opsporen van kwetsbaarheden en de systeemarchitectuur toe (bijlage XI, sectie 2).
Het model evalueren en testen
Evalueer het model met gestandaardiseerde protocollen en hulpmiddelen die de stand van de techniek weerspiegelen. Dat omvat tests gericht op het opsporen van kwetsbaarheden, waarbij het model met opzet wordt aangevallen (artikel 55, lid 1, punt a)).
Systeemrisico's beoordelen en beperken
Beoordeel en beperk mogelijke systeemrisico's op Unieniveau, inclusief de bronnen ervan (artikel 55, lid 1, punt b)).
Ernstige incidenten melden
Houd ernstige incidenten bij, documenteer ze met mogelijke corrigerende maatregelen en meld ze zonder onnodige vertraging aan het AI-bureau en, in voorkomend geval, aan de nationale bevoegde autoriteiten (artikel 55, lid 1, punt c)).
Beschermen tegen cyberaanvallen
Zorg voor een passend niveau van cyberbeveiliging voor het model en de fysieke infrastructuur ervan (artikel 55, lid 1, punt d)).
Praktijkcodes kunnen naleving aantonen totdat er een geharmoniseerde norm bestaat
Aanbieders kunnen zich baseren op praktijkcodes (artikel 56) om aan te tonen dat ze artikel 55 naleven, totdat er een geharmoniseerde norm is gepubliceerd. Wie een Europese geharmoniseerde norm naleeft, geniet een vermoeden van overeenstemming, voor zover de norm deze verplichtingen dekt. Aanbieders die zich noch aan een goedgekeurde praktijkcode houden noch aan een Europese geharmoniseerde norm voldoen, moeten alternatieve passende wijzen van naleving aantonen. De Commissie beoordeelt die (artikel 55, lid 2). Verkregen informatie, met inbegrip van bedrijfsgeheimen, wordt vertrouwelijk behandeld (artikel 55, lid 3). Volgende stap: lees de AI-praktijkcode voor algemene doeleinden van de Commissie.
Open-sourcemodellen ontsnappen niet aan artikel 55
De opensourcevrijstelling van artikel 53, lid 2, geldt niet voor modellen met systeemrisico (artikel 53, lid 2). Ook aanbieders van zulke modellen die buiten de Unie zijn gevestigd, moeten een gemachtigde aanwijzen (artikel 54, lid 6).
Sommige toepassingen vallen buiten de verordening
De verordening geldt niet voor AI-systemen wanneer en voor zover zij uitsluitend voor militaire doeleinden, defensiedoeleinden of doeleinden op het gebied van nationale veiligheid worden gebruikt. Dat geldt ook voor het in de handel brengen en het in gebruik stellen voor die doeleinden (artikel 2, lid 3). Ze geldt niet voor AI-systemen of AI-modellen die specifiek met als enig doel wetenschappelijk onderzoek en wetenschappelijke ontwikkeling zijn ontwikkeld en in gebruik gesteld (artikel 2, lid 6). Ze geldt niet voor onderzoek, tests en ontwikkeling van AI-systemen of AI-modellen voordat zij in de handel worden gebracht of in gebruik worden gesteld (artikel 2, lid 8). Tests onder real-world omstandigheden vallen niet onder deze uitsluiting.
De verplichtingen gelden sinds 2 augustus 2025; boetes ten vroegste vanaf 2 augustus 2026
Artikel 113 past hoofdstuk V (artikelen 51 tot en met 56) toe vanaf 2 augustus 2025. Hoofdstuk XII over sancties is vanaf dezelfde datum van toepassing, met één uitzondering: artikel 101 over boetes voor aanbieders van GPAI-modellen is van toepassing vanaf 2 augustus 2026 (artikel 113).
Aanbieders van modellen die vóór 2 augustus 2025 in de handel zijn gebracht, hebben tot 2 augustus 2027 om te voldoen (artikel 111, lid 3). De Commissie kan een inbreuk van deze modellen op de verplichtingen niet vóór 2 augustus 2027 beboeten (artikel 101, lid 1, punt a)). Boetes op grond van artikel 101, lid 1, punten b) tot en met d), voor het niet beantwoorden van een informatieverzoek, het niet volgen van een gevraagde maatregel of het niet verlenen van toegang voor een evaluatie, gelden vanaf 2 augustus 2026.
De Commissie kan een aanbieder een boete opleggen van maximaal 3% van zijn wereldwijde jaaromzet of EUR 15 miljoen, naargelang welk bedrag hoger is. Rechtsgrond: artikel 101, lid 1. Boetes gelden voor opzettelijk of nalatig gedrag. Daaronder vallen het overtreden van de relevante bepalingen, het niet naleven van een gevraagde maatregel en het weigeren van toegang tot het model voor een evaluatie. Ook het niet beantwoorden van een verzoek om documenten of informatie en het verstrekken van onjuiste, onvolledige of misleidende informatie vallen eronder. Voor een model dat vóór 2 augustus 2025 in de handel is gebracht, moeten de verplichtingen uiterlijk 2 augustus 2027 zijn nageleefd (artikel 111, lid 3). Een overtreding van de verplichtingen van artikel 53 door zo'n model kan dus niet eerder worden beboet. Gedrag als bedoeld in artikel 101, lid 1, punten b) tot en met d), kan vanaf 2 augustus 2026 worden beboet. De Commissie moet de aanbieder eerst horen (artikel 101, lid 2). Het Hof van Justitie van de Europese Unie kan de boete nietig verklaren, verlagen of verhogen (artikel 101, lid 5).
Wat Scanara doet voor aanbieders met systeemrisico
Een begeleide beoordeling voor GPAI-aanbieders
Scanara leidt u voor uw model door de verplichtingen van de artikelen 53 tot en met 55 en legt uw antwoorden vast. U beslist welke verplichtingen gelden, met juridisch advies als er veel op het spel staat.
Documenten volgens bijlage XI, inclusief de sectie over systeemrisico
Scanara genereert de documentatie volgens bijlage XI op basis van sjablonen, deels vooraf ingevuld met uw antwoorden. De evaluatieresultaten en de modelspecifieke inhoud levert u zelf aan.
Documenteert uw tests, maar voert ze niet uit
Scanara helpt u de modelevaluatie en de tests gericht op het opsporen van kwetsbaarheden te documenteren. Het voert ze niet uit en beslist niet of uw model een systeemrisico heeft.
Veelgestelde vragen: drempel, sancties, ingangsdata en open source
Valt mijn GPAI-model onder artikel 55?
Ja, als het een systeemrisico heeft. Eerste route: de cumulatieve rekenkracht voor de training overschrijdt de drempel van artikel 51, lid 2, die de verordening behandelt als vermoeden van capaciteiten met een grote impact. Tweede route: de Commissie heeft het model aangewezen (artikel 51, lid 1). Bij de melding kunt u aanvoeren dat het model bij wijze van uitzondering geen systeemrisico vormt (artikel 52, lid 2). De Commissie beslist (artikel 52, lid 3).
Wat gebeurt er als wij de verplichtingen niet naleven?
Sinds 2 augustus 2026 kan de Commissie aanbieders een boete opleggen. De boete bedraagt maximaal 3% van de wereldwijde omzet of EUR 15 miljoen, naargelang welk bedrag hoger is (artikel 101, lid 1). Boetes gelden voor opzettelijke of nalatige overtredingen. Het Hof van Justitie van de Europese Unie kan de boete nietig verklaren, verlagen of verhogen (artikel 101, lid 5).
Vanaf wanneer gelden deze verplichtingen?
Sinds 2 augustus 2025 voor modellen die vanaf die datum op de EU-markt zijn gebracht. Modellen die vóór 2 augustus 2025 in de handel zijn gebracht, hebben tot 2 augustus 2027 (artikel 111, lid 3). Artikel 55 geldt samen met artikel 53, waarvoor dezelfde data gelden.
Is een model onder een opensourcelicentie vrijgesteld?
Nee, niet bij systeemrisico. De opensourcevrijstelling geldt niet voor modellen met systeemrisico (artikel 53, lid 2), en aanbieders die buiten de Unie zijn gevestigd, moeten een gemachtigde aanwijzen (artikel 54, lid 6).
De details van verwante verplichtingen
Artikel 53: verplichtingen van GPAI-aanbieders
Behandelt de vier verplichtingen van elke GPAI-aanbieder, waarop artikel 55 voortbouwt.
GPAI-verplichtingen: wat modelaanbieders en bouwers moeten doen
Geeft het overzicht voor aanbieders en voor bouwers die een GPAI-model via een API gebruiken.
Deadlines van de AI-verordening: volledige tijdlijn
Toont alle toepassingsdata van de verordening, GPAI-data inbegrepen.
Scanara bereidt bewijs voor vanuit uw repositories
Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.