Obowiązki GPAI: co muszą zrobić dostawcy modeli i twórcy
Cztery obowiązki dostawców modeli GPAI, cztery kolejne przy ryzyku systemowym i co muszą zrobić ci, którzy budują na tych modelach.
Dostawcy modeli AI ogólnego przeznaczenia (GPAI) muszą udokumentować model, informować dostawców niższego szczebla, opublikować streszczenie danych treningowych i prowadzić politykę praw autorskich (art. 53).
Obowiązki mają zastosowanie do modeli wprowadzonych do obrotu w UE od 2 sierpnia 2025. Komisja może nakładać kary za naruszenia od 2 sierpnia 2026. Wynoszą one do 3 % światowego obrotu lub 15 mln EUR, zależnie od tego, która kwota jest wyższa (art. 101). Dla wcześniejszych modeli naruszenia nie mogą powstać przed 2 sierpnia 2027 (art. 111 ust. 3). Dostawcy spoza UE potrzebują upoważnionego przedstawiciela w UE, z wyjątkiem dla modeli open source (art. 54). Następny krok: dostawcy przygotowują dokumentację; dostawcy niższego szczebla (twórcy systemów) żądają informacji o modelu.
Model GPAI to model AI wykonujący wiele różnych zadań
Model AI ogólnego przeznaczenia wykazuje znaczną ogólność, kompetentnie wykonuje szeroki zakres różnych zadań i może być zintegrowany z wieloma systemami i aplikacjami niższego szczebla (art. 3 pkt 63). Badania, testy i rozwój modelu przed jego wprowadzeniem do obrotu lub oddaniem do użytku są poza zakresem rozporządzenia, ale testy w warunkach rzeczywistych nie (art. 2 ust. 8). Poza nim są też modele opracowane i oddane do użytku wyłącznie do celów badań naukowych i prac rozwojowych (art. 2 ust. 6).
Wszystkie modele GPAI
Dostawcy modeli GPAI muszą spełnić cztery obowiązki z art. 53 ust. 1, z wyjątkiem dla modeli open source (art. 53 ust. 2).
Modele GPAI z ryzykiem systemowym
Model niesie ryzyko systemowe, jeśli ma zdolności o dużym oddziaływaniu (art. 51 ust. 1 lit. a). Są to zdolności równe zdolnościom najbardziej zaawansowanych modeli GPAI lub większe od nich (art. 3 pkt 64). Rozporządzenie zakłada to, gdy trening wymagał ponad 1025 operacji zmiennoprzecinkowych (FLOP) (art. 51 ust. 2). Komisja może też wyznaczyć model. Ci dostawcy muszą dodatkowo spełnić obowiązki z art. 55.
Art. 53 nakłada na dostawców GPAI cztery obowiązki
Udokumentować model
Sporządź i aktualizuj dokumentację techniczną modelu, w tym wyniki treningu, testów i oceny. Udostępniaj ją na żądanie Urzędowi ds. AI (funkcji Komisji nadzorującej modele GPAI) i krajowym organom (art. 53 ust. 1 lit. a).
Informować dostawców niższego szczebla
Sporządź i udostępnij informacje o możliwościach i ograniczeniach modelu, aby dostawcy budujący na nim systemy AI mogli wywiązać się z własnych obowiązków. Nie zmienia to konieczności przestrzegania i ochrony praw własności intelektualnej oraz poufnych informacji handlowych lub tajemnic przedsiębiorstwa zgodnie z prawem Unii i prawem krajowym (art. 53 ust. 1 lit. b).
Prowadzić politykę praw autorskich
Wprowadź politykę zgodności z prawem autorskim Unii. Musi ona rozpoznawać i respektować zastrzeżenia praw przez uprawnionych wobec eksploracji tekstów i danych (zautomatyzowanej analizy treści w celu znalezienia wzorców) (art. 53 ust. 1 lit. c; dyrektywa (UE) 2019/790, art. 4 ust. 3).
Opublikować streszczenie danych treningowych
Opublikuj dostatecznie szczegółowe streszczenie treści użytych do trenowania modelu, według wzoru Urzędu ds. AI (art. 53 ust. 1 lit. d).
Dostawcy modeli na wolnej licencji otwartego oprogramowania są zwolnieni z dwóch pierwszych obowiązków, dokumentacji i informowania, jeśli wagi, architektura i informacje o użytkowaniu są publiczne. Polityka praw autorskich i streszczenie pozostają obowiązkowe. Zwolnienie nie obejmuje modeli z ryzykiem systemowym (art. 53 ust. 2).
Dostawcy modeli wprowadzonych do obrotu przed 2 sierpnia 2025 mają czas do 2 sierpnia 2027 na dostosowanie się (art. 111 ust. 3). Komisja nie może ukarać naruszenia obowiązków przez takie modele przed 2 sierpnia 2027 (art. 101 ust. 1 lit. a). Kary na podstawie art. 101 ust. 1 lit. b–d, za nieodpowiedzenie na żądanie informacji, niezastosowanie się do żądanego środka lub nieudzielenie dostępu do oceny, mają zastosowanie od 2 sierpnia 2026.
Dostawcy mogą opierać się na kodeksach praktyk (art. 56), aby wykazać spełnienie tych obowiązków, do czasu opublikowania normy zharmonizowanej. Zgodność z europejskimi normami zharmonizowanymi daje domniemanie zgodności w zakresie, w jakim normy te obejmują te obowiązki. Dostawcy, którzy nie zobowiązują się do przestrzegania zatwierdzonego kodeksu praktyk lub nie zapewniają zgodności z europejską normą zharmonizowaną, muszą przedstawić Komisji do oceny adekwatne alternatywne środki zapewnienia zgodności (art. 53 ust. 4). Następny krok: przeczytaj Kodeks postępowania w zakresie AI ogólnego przeznaczenia Komisji i jej wytyczne dla dostawców modeli AI ogólnego przeznaczenia.
Modele z ryzykiem systemowym mają cztery dodatkowe obowiązki
Dostawcy modeli GPAI z ryzykiem systemowym muszą spełnić te obowiązki oprócz obowiązków z art. 53 i 54 (art. 55 ust. 1). Muszą też powiadomić Komisję w ciągu dwóch tygodni od chwili, gdy model spełnia warunek zdolności o dużym oddziaływaniu lub gdy wiadomo, że go spełni (art. 52 ust. 1).
Ocenić i przetestować model
Oceń model za pomocą znormalizowanych protokołów i narzędzi odzwierciedlających aktualny stan wiedzy. Obejmuje to testy typu adversarial (celowe atakowanie modelu w celu znalezienia słabych punktów) (art. 55 ust. 1 lit. a).
Oceniać i ograniczać ryzyko systemowe
Oceniaj i ograniczaj możliwe ryzyko systemowe na poziomie Unii, w tym jego źródła (art. 55 ust. 1 lit. b).
Zgłaszać poważne incydenty
Śledź poważne incydenty, dokumentuj je wraz z możliwymi środkami naprawczymi i zgłaszaj je bez zbędnej zwłoki Urzędowi ds. AI oraz, w stosownych przypadkach, właściwym organom krajowym (art. 55 ust. 1 lit. c).
Chronić przed cyberatakami
Zapewnij odpowiedni poziom cyberbezpieczeństwa modelu i jego infrastruktury fizycznej (art. 55 ust. 1 lit. d).
Kto dostarcza system AI zbudowany na modelu GPAI, jest dostawcą niższego szczebla
Dostawca niższego szczebla to dostawca systemu AI, który integruje model AI, niezależnie od tego, czy sam go stworzył, czy otrzymał od innego podmiotu (art. 3 pkt 68). Obowiązki z art. 53 pozostają przy dostawcy modelu.
Poproś dostawcę modelu o informacje
Dostawca modelu musi udostępnić Ci informacje o możliwościach i ograniczeniach modelu (art. 53 ust. 1 lit. b). Wykorzystaj je do własnej oceny ryzyka. Prawa własności intelektualnej i tajemnice przedsiębiorstwa dostawcy pozostają chronione. Dostawcy modeli na wolnej licencji otwartego oprogramowania bez ryzyka systemowego są zwolnieni.
Twój własny system jest klasyfikowany osobno
Jeśli Twój system AI jest systemem wysokiego ryzyka według załącznika III (listy zastosowań wysokiego ryzyka w rozporządzeniu, np. rekrutacja lub ocena zdolności kredytowej), musisz jako jego dostawca spełniać wymogi dla systemów wysokiego ryzyka od 2 grudnia 2027 (art. 113). Systemy wprowadzone do obrotu lub oddane do użytku przed tą datą są objęte dopiero po istotnych zmianach w ich projekcie; w każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2). Obowiązki dostawcy modelu z art. 53 dotyczą modelu, a nie Twojego systemu.
Częste pytania: korzystanie z API i dostawcy spoza UE
Czy korzystanie z API czyni mnie dostawcą GPAI?
Nie. Kto przez API buduje system AI na modelu GPAI, jest dostawcą niższego szczebla. Obowiązki z art. 53 pozostają przy dostawcy modelu. Jeśli zmieniasz lub dostrajasz model, odpowiedź może się zmienić: motyw 109 stanowi, że obowiązki dostawcy powinny ograniczać się do tej zmiany, a wytyczne Komisji wskazują, od kiedy zmiana jest na tyle istotna, że stajesz się dostawcą. Wytyczne nie są prawnie wiążące, a wykładnia Komisji może się zmienić. Jeśli Twój system jest systemem wysokiego ryzyka, spełniasz jako jego dostawca wymogi dla systemów wysokiego ryzyka.
Co, jeśli mój dostawca GPAI jest spoza UE?
Obowiązki nadal obowiązują, jeśli model jest wprowadzany do obrotu w UE (art. 2 ust. 1 lit. a). Dostawca musi najpierw ustanowić upoważnionego przedstawiciela w UE, chyba że model jest wolny, open source i nie niesie ryzyka systemowego (art. 54).
Szczegóły każdego obowiązku
Scanara przygotowuje dowody na podstawie Państwa repozytoriów
Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.