Direct antwoord
Wanneer bent u een aanbieder van een GPAI-model onder de AI Act?
6 verplichtingen uit de AI-verordening raken dit, waarvan er 6 nu gelden.
Eerste stap: Leg per eis vast op welke norm of specificatie u leunt, en rechtvaardig elke afwijking.
Of u een aanbieder van een GPAI-model bent is geen kwestie van hoe u uzelf noemt, maar van wat u met het systeem doet. Over de 6 verplichtingen heen staan 18 voorwaarden en uitzonderingen die dat bepalen. Hieronder staan zij per bepaling, met de officiële vindplaats erbij. Waarschijnlijke rol: aanbieder van een gpai-model.
Dit geldt nu
- Artikelen 40 tot en met 42: normen, gemeenschappelijke specificaties en vermoeden van conformiteitVan toepassing
- Artikel 4a: rechtsgrond voor biastoetsing met bijzondere persoonsgegevensVan toepassing
- Artikel 52: kennisgeving van een GPAI-model met systeemrisicoVan toepassing
- Artikel 53: GPAI-modelaanbiedersVan toepassing
- Artikel 54: gemachtigde van een aanbieder van een GPAI-modelVan toepassing
- Artikel 55: GPAI-modellen met systeemrisicoVan toepassing
Wat bepaalt of dit over u gaat
- Geldt als: Het vermoeden van artikel 40, lid 1, ontstaat pas wanneer de referenties van de geharmoniseerde norm overeenkomstig Verordening (EU) nr. 1025/2012 in het Publicatieblad van de Europese Unie zijn bekendgemaakt, en het reikt slechts voor zover die normen die eisen of verplichtingen dekken. Hetzelfde geldt voor de cyberbeveiligingscertificering van artikel 42, lid 2, waarvan de referenties eveneens in het Publicatieblad moeten zijn bekendgemaakt.
- Geldt als: De rechtvaardigingsplicht van artikel 41, lid 5, ontstaat alleen wanneer er voor de betrokken eis daadwerkelijk een gemeenschappelijke specificatie bij uitvoeringshandeling is vastgesteld en de aanbieder die niet toepast. Bestaat die specificatie niet, dan is er niets om van af te wijken en toont u de conformiteit langs de gewone weg aan.
- Tenzij: Een vermoeden van conformiteit is geen vaststelling van naleving. De tekst zegt dat het systeem wordt geacht in overeenstemming te zijn, en uitsluitend voor zover de norm of de specificatie de betrokken eisen of verplichtingen dekt. Buiten die dekking blijft de bewijslast onverkort bij de aanbieder, en een markttoezichtautoriteit kan het vermoeden weerleggen wanneer het systeem in werkelijkheid niet aan de eisen voldoet.
- Tenzij: Artikel 41, lid 4, laat een gemeenschappelijke specificatie vervallen zodra de norm er is: wanneer de referentie van een geharmoniseerde norm in het Publicatieblad van de Europese Unie wordt bekendgemaakt, trekt de Commissie de uitvoeringshandelingen of delen daarvan die dezelfde eisen of verplichtingen dekken in. Een dossier dat op een ingetrokken specificatie leunt, verliest daarmee zijn grondslag.
- Geldt als: Lid 1 staat uitsluitend open voor de aanbieder van een hoog-risico AI-systeem, en alleen voor zover de verwerking strikt noodzakelijk is om vertekening op te sporen en te corrigeren overeenkomstig artikel 10, lid 2, punten f) en g). De gebruiksverantwoordelijke kan zich niet op dit lid beroepen, ook niet bij een hoog-risico systeem; voor hem loopt de weg via lid 2.
- Geldt als: Lid 2 staat open voor aanbieders en gebruiksverantwoordelijken van andere AI-systemen en modellen en voor gebruiksverantwoordelijken van hoog-risico AI-systemen, maar met een eigen materiele drempel: de verwerking moet strikt noodzakelijk zijn met het oog op mogelijke vertekening die de gezondheid en veiligheid van personen waarschijnlijk raakt, negatieve gevolgen heeft voor grondrechten of leidt tot krachtens het Unierecht verboden discriminatie, in het bijzonder waar uitvoer de invoer voor toekomstige verwerkingen beinvloedt. Vertekening zonder een van die gevolgen valt er niet onder.
- Geldt als: De zes voorwaarden van lid 1 gelden cumulatief en, via lid 2, punt b), ook voor de ruimere kring: a) andere gegevens, waaronder synthetische of geanonimiseerde, volstaan aantoonbaar niet; b) er gelden technische beperkingen op hergebruik plus beveiligings- en privacybeschermende maatregelen die de stand van de techniek weerspiegelen, waaronder pseudonimisering; c) er is strikte toegangscontrole met documentatie en geheimhouding; d) de gegevens worden niet aan andere partijen doorgegeven, overgedragen of anderszins toegankelijk gemaakt; e) zij worden gewist zodra de vertekening is gecorrigeerd of de bewaartermijn verstrijkt, al naargelang wat zich het eerst voordoet; f) het register van verwerkingsactiviteiten vermeldt waarom de verwerking strikt noodzakelijk was en waarom het doel niet met andere gegevens kon worden bereikt.
- Tenzij: Lid 2 sluit af met de bepaling dat het geen verplichting schept om vertekening op te sporen en te corrigeren. Artikel 4a is dus een grondslag en geen opdracht: zonder die verwerking te doen valt er onder dit artikel niets na te leven, er is geen datum waarop iets af moet zijn, en buiten het doel van biasopsporing en biascorrectie geeft het geen enkele ruimte.
- Geldt als: Van toepassing op de aanbieder van een AI-model voor algemene doeleinden zodra dat model voldoet aan de voorwaarde van artikel 51, lid 1, punt a): capaciteiten met een grote impact, die op grond van artikel 51, lid 2, worden vermoed wanneer de cumulatieve hoeveelheid rekenkracht die voor de training is gebruikt, gemeten in zwevendekommabewerkingen, groter is dan 10^25. De termijn van twee weken loopt vanaf het moment waarop aan die eis is voldaan of waarop bekend is geworden dat eraan zal worden voldaan. De tweede route naar systeemrisico, een aanwijzing door de Commissie op grond van artikel 51, lid 1, punt b), of artikel 52, lid 4, valt hier niet onder: artikel 52, lid 1, verwijst uitsluitend naar punt a).
- Tenzij: Voor AI-modellen voor algemene doeleinden die voor 2 augustus 2025 in de handel zijn gebracht bepaalt artikel 111, lid 3, dat de aanbieder de nodige stappen onderneemt om uiterlijk op 2 augustus 2027 aan de verplichtingen van deze verordening te voldoen. Voor die modellen is de bepalende datum dus 2 augustus 2027 en niet de termijn van twee weken.
- Geldt als: De partij is aanbieder van een GPAI-model dat op de Uniemarkt wordt aangeboden.
- Geldt als: Voor modellen die vanaf 2 augustus 2025 op de markt zijn gebracht gelden de plichten vanaf dat moment. Modellen die vóór 2 augustus 2025 op de markt waren moeten uiterlijk 2 augustus 2027 voldoen.
- Tenzij: De open-source-uitzondering is beperkt en laat onder meer het auteursrechtenbeleid en de publieke samenvatting van trainingsinhoud in stand. Voor modellen met systeemrisico gelden aanvullende plichten.
- Geldt als: Van toepassing wanneer het model kwalificeert als AI-model voor algemene doeleinden in de zin van artikel 3, punt 63, de aanbieder ervan in een derde land is gevestigd, en dat model in de Unie in de handel wordt gebracht. De aanwijzing gebeurt bij schriftelijke machtiging in de zin van artikel 3, punt 5, die niet alleen is gegeven maar ook aanvaard, en zij gebeurt voordat het model in de handel wordt gebracht. Het moment waarop dat laatste zich voordoet is voor een model minder scherp bepaald dan voor een systeem; zie de redactionele duiding.
- Geldt als: Voor modellen die vanaf 2 augustus 2025 in de handel zijn gebracht geldt de aanwijsplicht vanaf dat moment. Aanbieders van modellen die voor 2 augustus 2025 in de handel waren, nemen op grond van artikel 111, lid 3, de nodige stappen om uiterlijk 2 augustus 2027 aan de verplichtingen van de verordening te voldoen.
- Tenzij: Lid 6 sluit de verplichting uit voor aanbieders van AI-modellen die worden vrijgegeven onder een vrije en opensource licentie die raadpleging, gebruik, wijziging en distributie mogelijk maakt en waarvan de parameters, met inbegrip van de wegingen, de informatie over de modelarchitectuur en de informatie over het gebruik van het model openbaar worden gemaakt. Die uitzondering vervalt zodra het model een systeemrisico vertoont. Of een concrete uitgave eronder valt, is een feitelijke toets die nergens is uitgemaakt; wij lezen haar eng, zodat een gedeeltelijk openbare uitgave niet kwalificeert.
- Geldt als: Het GPAI-model heeft capaciteiten met grote impact, vermoed bij cumulatieve trainingsrekenkracht boven 10^25 FLOPs, of is door de Commissie aangewezen.
- Tenzij: De GPAI Code of Practice kan na de adequaatheidsbeoordeling dienen als middel om naleving aan te tonen.
Dit zijn de vragen die u zelf beantwoordt. Praxikon toont welke voorwaarde in welke bepaling staat; of uw systeem eraan voldoet, stelt u vast.
Wie zwaar finetunet wordt zelf modelaanbieder
Een Europese scale-up finetunet een bestaand model voor algemene doeleinden voor het eigen product en zet daarbij meer rekenkracht in dan een derde van de rekenkracht waarmee het oorspronkelijke model getraind is.
Herkomst: De richtsnoeren van de Commissie over de reikwijdte van de GPAI-plichten behandelen dit geval bij de vraag wanneer iemand zelf modelaanbieder wordt. Het document is niet bindend.
Reken voor de finetuning uit hoeveel rekenkracht u inzet ten opzichte van het oorspronkelijke model, want boven een derde daarvan wordt u zelf aanbieder en gelden de documentatie-, auteursrecht- en samenvattingsplichten voor uw aanpassing.
Commission Guidelines C(2025) 5045 final, 18.7.2025, reikwijdte van de plichten voor GPAI-modelaanbieders
financiële dienstverlening
Lichte finetuning maakt u geen modelaanbieder
Een bank finetunet een bestaand model voor algemene doeleinden op de eigen productdocumentatie en klantvragen, met een fractie van de oorspronkelijke rekenkracht, en bouwt daaromheen een klantenchatbot die zij onder eigen naam aanbiedt.
Herkomst: De richtsnoeren van de Commissie over de reikwijdte van de GPAI-plichten behandelen dit geval bij de vraag wanneer iemand zelf modelaanbieder wordt. Het document is niet bindend.
Blijft uw finetuning ver onder een derde van de oorspronkelijke rekenkracht, dan wordt u geen modelaanbieder, maar gelden voor u nog wel de plichten voor het AI-systeem dat u onder eigen naam aanbiedt.
Commission Guidelines C(2025) 5045 final, 18.7.2025, reikwijdte van de plichten voor GPAI-modelaanbieders
Een model met systeemrisico aanpassen trekt de zwaarste plichten naar u toe
Een downstreampartij past een bestaand model met systeemrisico zo ingrijpend aan dat de aanpassing boven de drempel uitkomt en publiceert het resultaat als eigen model.
Herkomst: De richtsnoeren van de Commissie over de reikwijdte van de GPAI-plichten behandelen dit geval bij de vraag wanneer iemand zelf modelaanbieder wordt. Het document is niet bindend.
Ligt de aanpassing van een model met systeemrisico boven de drempel, dan wordt uw resultaat verondersteld capaciteiten met grote impact te hebben, dus schat de rekenkracht vooraf en meld binnen twee weken bij de Commissie.
Commission Guidelines C(2025) 5045 final, 18.7.2025, reikwijdte van de plichten voor GPAI-modelaanbieders
technologie en software
Open source in naam, maar niet in de zin van de verordening
Drie aanbieders noemen hun model open source. De eerste licentie staat alleen niet-commercieel onderzoek toe. De tweede vraagt een aparte commerciele licentie zodra het aantal maandelijkse gebruikers boven een drempel komt. De derde geeft het model gratis weg, maar host het uitsluitend op het eigen platform waar bezoekers betaalde advertenties te zien krijgen.
Herkomst: De richtsnoeren van de Commissie over de reikwijdte van de GPAI-plichten behandelen dit geval bij de vraag wanneer iemand zelf modelaanbieder wordt. Het document is niet bindend.
Een gebruiksbeperking is niet vanzelf fataal: specifieke, proportionele en niet-discriminatoire veiligheidsbepalingen mag u opnemen, terwijl een drempel op maandelijkse gebruikers of een aparte commerciële licentie de licentie diskwalificeert.
Commission Guidelines C(2025) 5045 final, 18.7.2025, reikwijdte van de plichten voor GPAI-modelaanbieders
Wanneer een downstream-partij die finetunet zelf GPAI-aanbieder wordt
De richtsnoeren van de Commissie van 18 juli 2025 (C(2025) 5045 final) over het toepassingsbereik van de verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden stellen in punt (61) dat het niet nodig is dat elke aanpassing van zo'n model ertoe leidt dat de downstream-partij als aanbieder van het aangepaste model wordt aangemerkt, in lijn met de Blue Guide die bepaalt dat een product dat belangrijke wijzigingen of revisies heeft ondergaan met het oog op wijziging van de oorspronkelijke prestaties, het doel of het type, als een nieuw product kan worden beschouwd. Punt (62) bepaalt dat de Commissie een downstream-partij pas als aanbieder van het aangepaste model beschouwt wanneer de aanpassing leidt tot een aanzienlijke verandering in de algemeenheid, de capaciteiten of het systeemrisico van het model. Punt (63) formuleert het indicatieve criterium: een downstream-partij wordt geacht aanbieder te zijn wanneer de voor de aanpassing gebruikte trainingscompute groter is dan een derde van de trainingscompute van het oorspronkelijke model. Punt (64) bepaalt dat wanneer de downstream-partij die waarde niet kan kennen, bijvoorbeeld omdat de aanbieder van het oorspronkelijke model haar niet heeft meegedeeld, en haar evenmin kan schatten, de drempel wordt vervangen door een derde van 10 tot de macht 25 FLOP wanneer het oorspronkelijke model een model met systeemrisico is, en anders door een derde van 10 tot de macht 23 FLOP. Punt (65) licht toe dat een aanpassing van die omvang naar verwachting een aanzienlijke verandering oplevert die de transparantieverplichtingen van artikel 53 lid 1, punten a en b, rechtvaardigt, dat zo'n aanpassing naar verwachting een aanzienlijke hoeveelheid data heeft gebruikt wat van belang is voor het auteursrechtbeleid en de openbare samenvatting van de trainingsinhoud onder artikel 53 lid 1, punten c en d, en dat bij een oorspronkelijk model met systeemrisico het aangepaste model naar verwachting een aanzienlijk ander systeemrisico vertoont. Punt (67) merkt op dat momenteel weinig aanpassingen aan dit criterium voldoen, dat het aantal downstream-partijen dat aanbieder wordt in de loop van de tijd kan toenemen, en dat het criterium daarmee vooral toekomstgericht is. Punt (68) bepaalt dat de verplichtingen bij een aanpassing beperkt blijven tot die aanpassing: de documentatie onder artikel 53 lid 1, punten a en b, is beperkt tot informatie over de aanpassing, en het auteursrechtbeleid onder punt c en de samenvatting van de gebruikte trainingsinhoud onder punt d zijn beperkt tot de data die als onderdeel van de aanpassing zijn gebruikt. Punt (69) bepaalt dat de downstream-partij die aanbieder wordt ook aan artikel 54 moet voldoen, wat neerkomt op het aanwijzen van een in de Unie gevestigde gemachtigde voor zover die partij zelf buiten de Unie is gevestigd. Punt (70) bepaalt dat wanneer een downstream-partij een als systeemrisicomodel geclassificeerd model zodanig aanpast dat zij aanbieder van het aangepaste model wordt, het resulterende model eveneens wordt vermoed capaciteiten met grote impact te hebben en dus als model met systeemrisico geldt, en punt (71) bepaalt dat die partij dan moet voldoen aan de verplichtingen voor aanbieders van modellen met systeemrisico en de Commissie moet informeren overeenkomstig artikel 52 lid 1.
Commission Guidelines C(2025) 5045 final, 18.7.2025, sectie 3.2, randnummers (60) tot en met (67), en secties 3.2.1 en 3.2.2, randnummers (68) tot en met (71)
Algemene duiding, geen juridisch advies. Getoetst aan Verordening (EU) 2024/1689 en de Digital Omnibus (EU) 2026/1744; de officiële bron blijft leidend.
Volledige kaart voor uw situatie