Toen de AI Act werd onderhandeld, bestonden ChatGPT, Claude en Gemini in hun huidige vorm nog niet. Halverwege het wetgevingstraject, eind 2022, brak generatieve AI in een paar maanden door. De Europese wetgever moest snel een passend regime bedenken voor deze nieuwe categorie modellen. Het resultaat: een apart hoofdstuk in de AI Act voor General Purpose AI, kortweg GPAI. Met eigen definities, eigen verplichtingen en een eigen deadline.
In dit artikel leest u wat een GPAI-model is, wanneer het wordt aangemerkt als GPAI met systeemrisico, welke verplichtingen voor providers gelden, wat het regime betekent als u GPAI inbouwt in een eigen product, en wat de tijdslijn is voor Nederlandse organisaties.
Wat is een GPAI-model?
Artikel 3 punt 63 AI Act definieert een GPAI-model als een AI-model dat met grote hoeveelheden data is getraind, dat aanzienlijke generaliteit vertoont, dat in staat is een breed scala aan verschillende taken bekwaam uit te voeren, en dat geintegreerd kan worden in diverse downstream-systemen of -applicaties.
De definitie heeft vier elementen die in combinatie tellen. Een, training op grote hoeveelheden data, doorgaans web-schaal corpora. Twee, aanzienlijke generaliteit, het model is niet getraind voor een vaste taak. Drie, brede taakuitvoering, in plaats van een gespecialiseerd model. Vier, herbruikbaarheid, het model kan in veel verschillende producten worden ingebouwd.
Voorbeelden van GPAI-modellen zijn GPT-4 en GPT-5 van OpenAI, de Claude-familie van Anthropic, Gemini van Google, Llama van Meta en Mistral van Mistral AI. Ook beeldgeneratoren als DALL-E, Imagen en Stable Diffusion vallen onder GPAI wanneer ze de definitiekenmerken vervullen. Het regime is technologie-neutraal: tekst, beeld, audio of multimodaal.
Twee niveaus: GPAI versus GPAI met systeemrisico
De AI Act maakt onderscheid tussen gewone GPAI-modellen en GPAI-modellen met systeemrisico. Voor de tweede categorie gelden zwaardere verplichtingen, op grond van artikel 51 tot en met 55.
Wanneer is een model GPAI met systeemrisico? Artikel 51 lid 2 noemt twee triggers. Ten eerste een kwantitatieve drempel: een model dat is getraind met meer dan 10 tot de 25e floating point operations (FLOPs) wordt vermoed systeemrisico te hebben. Dat is een enorme hoeveelheid trainingscompute, en deze drempel raakt momenteel de grote frontier-modellen van de bekende labs. Ten tweede een kwalitatieve aanwijzing: de Europese Commissie kan ook andere modellen, los van de FLOP-drempel, aanwijzen als systeemrisicomodel op basis van impact, gebruikersaantallen of marktpositie.
Tien tot de vijfentwintigste floating point operations is een maat voor de hoeveelheid rekenwerk tijdens training. Modellen als GPT-4 zitten naar schatting net onder of net boven deze drempel; latere generaties zitten er ruim boven. De Europese Commissie publiceert een lijst van als systeemrisico aangemerkte modellen.
De achtergrond van de tweedeling is dat de wetgever erkent dat de meeste GPAI-modellen weliswaar krachtig zijn, maar dat slechts een klein deel daarvan systeembrede risico's kan veroorzaken: maatschappelijke ontwrichting, manipulatie op grote schaal, biologische of cybersecurity-incidenten. Voor die top wordt het regime aangescherpt.
Verplichtingen voor providers van GPAI
Voor alle GPAI-modellen, met of zonder systeemrisico, gelden de verplichtingen van artikel 53. De vier kernpunten:
- Technische documentatie. De provider stelt en houdt actuele technische documentatie bij die het ontwerp, het trainingsproces en de evaluatie van het model beschrijft. Deze documentatie moet beschikbaar zijn voor de Europese Commissie en de toezichthouders op verzoek.
- Informatie aan downstream providers. Partijen die het GPAI-model in eigen producten inbouwen, moeten van de provider voldoende informatie krijgen om zelf aan hun verplichtingen te voldoen. Denk aan een gebruiksinstructie, beperkingen, en relevante prestatiekenmerken.
- EU-copyright naleving. Providers moeten beleid hebben om te zorgen dat de training de EU-copyrightregels respecteert, in het bijzonder de mogelijkheid om opt-out te respecteren bij text and data mining.
- Samenvatting van trainingsdata publiek. Een voldoende gedetailleerde samenvatting van de gebruikte trainingsdata moet publiek beschikbaar zijn, in een door de Commissie aangegeven standaardformat.
Open-source GPAI met vrij beschikbare gewichten en architectuur is grotendeels uitgezonderd van artikel 53, behalve voor de EU-copyright bepaling en de trainingsdatasamenvatting. Dat is een bewuste keuze om de open-source ecologie niet te verstikken. Voor de systeemrisico-modellen vervalt de open-source uitzondering wel.
Extra verplichtingen voor GPAI met systeemrisico
Artikel 55 voegt voor systeemrisicomodellen een extra laag toe:
- Modelevaluatie inclusief red-teaming. State-of-the-art evaluaties uitvoeren om kwetsbaarheden, schadelijke capaciteiten en misbruikrisico's te identificeren. Red-teaming, het systematisch proberen het model te breken, is standaard onderdeel.
- Systeemrisicobeoordeling en -mitigatie. De provider beoordeelt structureel of het model systeembrede risico's veroorzaakt en treft mitigaties.
- Melding van ernstige incidenten. Ernstige incidenten en corrigerende maatregelen worden zonder onnodige vertraging gemeld aan de Europese Commissie en relevante nationale autoriteiten.
- Cybersecurity. Een passend niveau van cybersecurity bescherming voor het model en zijn infrastructuur is verplicht. Modeldiefstal of -manipulatie raakt direct het hele downstream-veld.
Wat als u GPAI inzet in uw eigen product?
De meeste Nederlandse organisaties zijn geen provider van een GPAI-model, maar wel gebruiker of downstream-bouwer. Twee scenario's spelen:
Scenario een: u bouwt een eigen product op een GPAI-model. U bent dan downstream provider (van het eigen product), niet provider van het GPAI-model zelf. Uw verplichtingen onder de AI Act hangen af van de classificatie van uw product. Is het hoog-risico onder artikel 6, dan gelden de zware provider-verplichtingen (artikel 16 e.v.). Is het generieke generatieve AI, dan gelden de transparantieverplichtingen van artikel 50. De GPAI-provider levert u de input-documentatie die u nodig heeft om uw eigen documentatie op te bouwen.
Scenario twee: u gebruikt een GPAI-model intern. U bent deployer. Uw verplichtingen hangen af van waarvoor u het model inzet. Voor interne brainstorm of contentcreatie: artikel 4 (AI-geletterdheid), artikel 50 (transparantie waar nodig) en AVG-rechten op de data die u erin stopt. Voor een hoog-risico gebruik (bv. cv-screening): de volle artikel 26 verplichtingen.
Code of practice voor GPAI
Naast de wet zelf is er een Code of Practice ontwikkeld voor GPAI. Dat is een vrijwillig instrument waarin GPAI-providers concrete naleving-werkwijzen vastleggen. Het is geen wet, maar wie de Code volgt heeft een vermoeden van naleving en kan dat aan de Commissie aantonen. De Code bevat afspraken over transparantie, copyright, evaluatie en risicobeheer. Grote labs zoals OpenAI, Anthropic, Google en Meta hebben (delen van) de Code ondertekend.
Voor downstream-gebruikers is de Code indirect relevant. Een leverancier die ondertekent geeft u meer zekerheid dat de gevraagde transparantie en documentatie ook daadwerkelijk geleverd wordt. Vraag bij inkoopgesprekken expliciet welke onderdelen van de Code uw leverancier toepast.
Tijdslijn voor GPAI-verplichtingen
De GPAI-verplichtingen kennen een eigen ritme binnen de gefaseerde inwerkingtreding van de AI Act.
- 2 augustus 2025: de GPAI-verplichtingen uit hoofdstuk V worden van kracht voor nieuwe GPAI-modellen die na deze datum op de markt komen.
- 2 augustus 2026: handhaving van de GPAI-verplichtingen start, gelijktijdig met de start van de algemene handhavingsperiode van de AI Act.
- 2 augustus 2027: GPAI-modellen die al voor 2 augustus 2025 op de markt waren, moeten ook volledig voldoen aan de verplichtingen. De providers krijgen dus extra tijd om bestaande modellen aan te passen.
Praktische consequentie: als u in 2026 een GPAI-product inkoopt, mag u redelijkerwijs verwachten dat de provider voldoet aan artikel 53. Vraag tijdens de selectie naar de technische documentatie, de trainingsdatasamenvatting en, voor systeemrisicomodellen, de evaluatierapporten.
Wat betekent dit voor Nederlandse bedrijven?
Nederland heeft geen eigen GPAI-providers van wereldformaat. De meeste Nederlandse organisaties zijn aan de gebruikerskant van het regime. Drie praktische aandachtspunten:
Een, controleer of uw provider voldoet aan artikel 53. Bij inkoop van GPAI-diensten of -modellen vraagt u om de transparantiedocumentatie. Een leverancier die deze niet kan leveren, voldoet niet aan de wet, en u draagt het risico bij doorgebruik.
Twee, check de gebruiksinstructies en beperkingen. Artikel 53 lid 1b verplicht providers om u informatie over capaciteiten en beperkingen te geven. Lees dit en stem uw inzet erop af. Een GPAI-model dat niet getest is op medische toepassingen inzetten voor patientcommunicatie is risicovol.
Drie, koppel uw use case aan de juiste classificatie. Het feit dat u een GPAI inzet zegt op zichzelf niets over uw verplichtingen. Bepalend is waarvoor u het inzet. Generieke contentcreatie: licht regime. Hoog-risico gebruik zoals recruitment of kredietbeoordeling: zwaar regime. De keuze van het model heft de classificatie van uw use case niet op.
Zet u GPAI in en wilt u weten of u voldoet?
De ActCheck-scan koppelt uw GPAI-gebruik aan de juiste classificatie en geeft een rapport met openstaande punten.
Start de gratis check