Skip to main content

Ocena dostawcy GPAI: art. 53–55

Dostawcy modeli AI ogólnego przeznaczenia: obowiązki z art. 53–55 i prowadzona ocena Scanara.

Dostawcy modeli AI ogólnego przeznaczenia (GPAI) muszą udokumentować model, informować dostawców niższego szczebla, opublikować streszczenie danych treningowych i prowadzić politykę praw autorskich (art. 53).

Obowiązki mają zastosowanie do modeli wprowadzonych do obrotu w UE od 2 sierpnia 2025. Komisja może nakładać kary za naruszenia od 2 sierpnia 2026. Wynoszą one do 3 % światowego obrotu lub 15 mln EUR, zależnie od tego, która kwota jest wyższa (art. 101). Dla wcześniejszych modeli naruszenia nie mogą powstać przed 2 sierpnia 2027 (art. 111 ust. 3). Dostawcy spoza UE potrzebują upoważnionego przedstawiciela w UE, z wyjątkiem dla modeli open source (art. 54). Następny krok: dostawcy przygotowują dokumentację; dostawcy niższego szczebla (twórcy systemów) żądają informacji o modelu.

Art. 53 nakłada na dostawców GPAI cztery obowiązki

  • Udokumentować model

    Sporządź i aktualizuj dokumentację techniczną modelu, w tym wyniki treningu, testów i oceny. Udostępniaj ją na żądanie Urzędowi ds. AI (funkcji Komisji nadzorującej modele GPAI) i krajowym organom (art. 53 ust. 1 lit. a).

  • Informować dostawców niższego szczebla

    Sporządź i udostępnij informacje o możliwościach i ograniczeniach modelu, aby dostawcy budujący na nim systemy AI mogli wywiązać się z własnych obowiązków. Nie zmienia to konieczności przestrzegania i ochrony praw własności intelektualnej oraz poufnych informacji handlowych lub tajemnic przedsiębiorstwa zgodnie z prawem Unii i prawem krajowym (art. 53 ust. 1 lit. b).

  • Prowadzić politykę praw autorskich

    Wprowadź politykę zgodności z prawem autorskim Unii. Musi ona rozpoznawać i respektować zastrzeżenia praw przez uprawnionych wobec eksploracji tekstów i danych (zautomatyzowanej analizy treści w celu znalezienia wzorców) (art. 53 ust. 1 lit. c; dyrektywa (UE) 2019/790, art. 4 ust. 3).

  • Opublikować streszczenie danych treningowych

    Opublikuj dostatecznie szczegółowe streszczenie treści użytych do trenowania modelu, według wzoru Urzędu ds. AI (art. 53 ust. 1 lit. d).

Dostawcy modeli na wolnej licencji otwartego oprogramowania są zwolnieni z dwóch pierwszych obowiązków, dokumentacji i informowania, jeśli wagi, architektura i informacje o użytkowaniu są publiczne. Polityka praw autorskich i streszczenie pozostają obowiązkowe. Zwolnienie nie obejmuje modeli z ryzykiem systemowym (art. 53 ust. 2).

Modele z ryzykiem systemowym mają cztery dodatkowe obowiązki

Model niesie ryzyko systemowe, jeśli ma zdolności o dużym oddziaływaniu (art. 51 ust. 1 lit. a). Są to zdolności równe zdolnościom najbardziej zaawansowanych modeli GPAI lub większe od nich (art. 3 pkt 64). Rozporządzenie zakłada to, gdy trening wymagał ponad 1025 operacji zmiennoprzecinkowych (FLOP) (art. 51 ust. 2). Komisja może też wyznaczyć model. Ci dostawcy muszą dodatkowo spełnić obowiązki z art. 55.

  • Ocenić i przetestować model

    Oceń model za pomocą znormalizowanych protokołów i narzędzi odzwierciedlających aktualny stan wiedzy. Obejmuje to testy typu adversarial (celowe atakowanie modelu w celu znalezienia słabych punktów) (art. 55 ust. 1 lit. a).

  • Oceniać i ograniczać ryzyko systemowe

    Oceniaj i ograniczaj możliwe ryzyko systemowe na poziomie Unii, w tym jego źródła (art. 55 ust. 1 lit. b).

  • Zgłaszać poważne incydenty

    Śledź poważne incydenty, dokumentuj je wraz z możliwymi środkami naprawczymi i zgłaszaj je bez zbędnej zwłoki Urzędowi ds. AI oraz, w stosownych przypadkach, właściwym organom krajowym (art. 55 ust. 1 lit. c).

  • Chronić przed cyberatakami

    Zapewnij odpowiedni poziom cyberbezpieczeństwa modelu i jego infrastruktury fizycznej (art. 55 ust. 1 lit. d).

Dostawcy modeli GPAI z ryzykiem systemowym muszą spełnić te obowiązki oprócz obowiązków z art. 53 i 54 (art. 55 ust. 1). Muszą też powiadomić Komisję w ciągu dwóch tygodni od chwili, gdy model spełnia warunek zdolności o dużym oddziaływaniu lub gdy wiadomo, że go spełni (art. 52 ust. 1).

Terminy: obowiązki od 2 sierpnia 2025, wcześniejsze modele do 2 sierpnia 2027

Naszym zdaniem w przypadku modeli wprowadzonych do obrotu przed 2 sierpnia 2025 naruszenie obowiązków z art. 53 nie może powstać przed 2 sierpnia 2027, ponieważ art. 111 ust. 3 daje im czas do tej daty. Kary z art. 101 ust. 1 lit. b–d za nieudzielenie odpowiedzi na żądanie informacji, niezastosowanie się do żądanego środka lub nieudzielenie dostępu do oceny mają zastosowanie od 2 sierpnia 2026.

Co Scanara robi dla dostawców GPAI

Scanara nie rozstrzyga, które obowiązki dotyczą Państwa modelu. Decydują Państwo, a przy wysokiej stawce z pomocą prawnika.

Prowadzona ocena dla dostawców GPAI

Scanara prowadzi Cię przez obowiązki z art. 53–55 dla Twojego modelu i zapisuje Twoje odpowiedzi. Ty decydujesz, które obowiązki mają zastosowanie, a przy wysokiej stawce z pomocą prawnika.

Dokumenty według załączników XI i XII

Scanara generuje dokumentację według załączników XI i XII z szablonów, częściowo wstępnie wypełnioną Twoimi odpowiedziami. Treść specyficzną dla modelu piszesz Ty.

Kontrole oparte na regułach, bez testowania modelu

Scanara sprawdza kod i dokumenty według reguł opartych na art. 51–55. Nie testuje ani nie ocenia Twojego modelu; testy z art. 55 pozostają Twoim zadaniem.

Otwórz demo Scanara

Szczegóły powiązanych obowiązków

Najczęstsze pytania o dostawców GPAI

Czy korzystanie z API czyni mnie dostawcą GPAI?

Nie. Kto przez API buduje system AI na modelu GPAI, jest dostawcą niższego szczebla. Obowiązki z art. 53 pozostają przy dostawcy modelu. Jeśli zmieniasz lub dostrajasz model, odpowiedź może się zmienić: motyw 109 stanowi, że obowiązki dostawcy powinny ograniczać się do tej zmiany, a wytyczne Komisji wskazują, od kiedy zmiana jest na tyle istotna, że stajesz się dostawcą. Wytyczne nie są prawnie wiążące, a wykładnia Komisji może się zmienić. Jeśli Twój system jest systemem wysokiego ryzyka, spełniasz jako jego dostawca wymogi dla systemów wysokiego ryzyka.

Czy modele GPAI open source mają ograniczone obowiązki?

Częściowo. Modele na wolnej licencji otwartego oprogramowania są zwolnione z dwóch obowiązków: dokumentacji i informowania dostawców niższego szczebla (art. 53 ust. 1 lit. a i b). Zwolnienie wymaga publicznych wag, architektury i informacji o użytkowaniu. Polityka praw autorskich i streszczenie danych treningowych pozostają obowiązkowe. Zwolnienie nie obejmuje modeli z ryzykiem systemowym (art. 53 ust. 2).

Od kiedy obowiązują te obowiązki?

Od 2 sierpnia 2025 dla modeli wprowadzonych do obrotu w UE od tej daty. Modele wprowadzone do obrotu przed 2 sierpnia 2025 mają czas do 2 sierpnia 2027 (art. 111 ust. 3). Komisja może nakładać kary od 2 sierpnia 2026 (art. 101).

Czy wymagana jest karta modelu?

Rozporządzenie nie używa pojęcia „karta modelu”. Art. 53 ust. 1 lit. b wymaga informacji i dokumentacji dla dostawców, którzy integrują model, co najmniej z elementami załącznika XII. Karta modelu to jeden z powszechnych formatów takiej dokumentacji.

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.