AI Act: verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden en sancties

Nieuwe verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden

Hoofdstuk V van de AI-verordening, waarin verschillende verplichtingen zijn opgenomen voor aanbieders die AI-modellen voor algemene doeleinden (ook wel ‘General Purpose AI-modellen’ of ‘GPAI-modellen’ genoemd) in de handel brengen, is op 2 augustus 2025 van kracht geworden. Voor AI-modellen voor algemene doeleinden die al voor 2 augustus 2025 beschikbaar waren geldt een overgangsperiode, en de aanbieders daarvan moeten uiterlijk 2 augustus 2027 volledig aan de verordening voldoen.

Definitie van AI-modellen voor algemene doeleinden en aanbieders

In de AI Act wordt ‘AI-model voor algemene doeleinden’ gedefinieerd als “een AI-model, ook wanneer het is getraind met een grote hoeveelheid data met behulp van self-supervision op grote schaal, dat een aanzienlijk algemeen karakter vertoont en in staat is op competente wijze een breed scala aan verschillende taken uit te voeren, ongeacht de wijze waarop het model in de handel wordt gebracht, en dat kan worden geïntegreerd in een verscheidenheid aan systemen verder in de AI-waardeketen of toepassingen verder in de AI-waardeketen, met uitzondering van AI-modellen die worden gebruikt voor onderzoek, ontwikkeling of prototypingactiviteiten alvorens zij in de handel worden gebracht.”
Een voorbeeld van dergelijke modellen is de technologie achter ChatGPT en DALL-E.

Een ‘aanbieder’ van een AI-model voor algemene doeleinden is een natuurlijke of rechtspersoon, overheidsinstantie, agentschap of ander orgaan die/dat een AI-model voor algemene doeleinden ontwikkelt of laat ontwikkelen en dat model in de handel brengt of in gebruik stelt onder de eigen naam of merk, al dan niet tegen betaling.

Verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden

Aanbieders van AI-modellen voor algemene doeleinden moeten sinds 2 augustus 2025 aan de volgende verplichtingen voldoen:

1. Technische documentatie: er moet actuele technische documentatie voor het AI-model worden opgesteld. In deze documentatie moet in ieder geval de in bijlage XI bij de AI-verordening genoemde informatie worden opgenomen, zoals de ontwerpspecificaties van het model en het trainingsproces. Deze informatie moet op verzoek aan het AI-bureau en de nationale bevoegde autoriteiten beschikbaar worden gesteld.
2. Informatie voor aanbieders verder in de AI-waardeketen: er moet actuele informatie en documentatie worden opgesteld en bijgehouden voor aanbieders van AI-systemen die het AI-model voor algemene doeleinden in hun eigen systemen willen integreren. Aanbieders verder in de AI-waardeketen moeten aan de hand van deze informatie in staat zijn om de mogelijkheden en beperkingen van het model te begrijpen en hun eigen verplichtingen op grond van de AI-verordening na te komen. De inhoud die minimaal moet worden opgenomen, is vermeld in bijlage XII bij de AI-verordening.
3. Beleid inzake naleving van het auteursrecht: aanbieders moeten een beleid invoeren ter naleving van het EU-recht inzake auteursrechten, met name ter vaststelling en naleving van het door rechthebbenden geuite voorbehoud van rechten.
4. Samenvatting van trainingcontent: er moet een voldoende gedetailleerde samenvatting worden opgesteld en openbaar worden gemaakt over de voor het trainen van het AI-model voor algemene doeleinden gebruikte content. Hiervoor is door het Europese AI-bureau op 24 juli 2025 een sjabloon gepubliceerd. Dit sjabloon is hier te vinden.
5. Samenwerking met autoriteiten: aanbieders moeten met de Europese Commissie en de nationale bevoegde autoriteiten samenwerken.
6. Gemachtigde: aanbieders die buiten de EU zijn gevestigd, moeten een gemachtigde in de EU aanwijzen voordat zij een AI-model voor algemene doeleinden in de EU in de handel brengen. De gemachtigde is verantwoordelijk voor de waarborging van conformiteit met de AI-verordening en treedt op als contactpersoon voor de autoriteiten.

Aanbieders van AI-modellen voor algemene doeleinden die worden vrijgegeven in het kader van een vrije en opensource-licentie en waarvan de parameters, architectuur en informatie over het gebruik openbaar worden gemaakt, zijn van sommige documentatie- en informatieverplichtingen vrijgesteld, tenzij het model een systeemrisico inhoudt. Wel moeten zij nog steeds een samenvatting van trainingcontent verstrekken en beleid inzake auteursrechten naleven.

Systeemrisico: aanvullende verplichtingen

Indien een AI-model voor algemene doeleinden een ‘systeemrisico’ vertegenwoordigt, gelden er aanvullende verplichtingen. Daarbij gaat het om de kans op grootschalige schade door de meest geavanceerde modellen, zoals modellen waarmee belemmeringen voor de ontwikkeling van chemische of biologische wapens worden verlaagd of die uitdagingen opleveren voor het behoud van menselijke controle op autonome systemen. Een AI-model voor algemene doeleinden wordt vermoed een systeemrisico in te houden wanneer de cumulatieve hoeveelheid berekeningen die wordt gebruikt om het model te trainen, gemeten in zwevendekommabewerkingen, groter is dan 10^25.

Voor aanbieders van dergelijke modellen gelden aanvullende verplichtingen, waaronder:

1. een modelevaluatie uitvoeren overeenkomstig gestandaardiseerde protocollen en instrumenten die de stand van de techniek weerspiegelen;
2. mogelijke systeemrisico’s op EU-niveau beoordelen en beperken;
3. relevante informatie over ernstige incidenten en corrigerende maatregelen bijhouden, documenteren en rapporteren aan het AI-bureau en aan de nationale autoriteiten; en
4. zorgen voor een passend niveau van cyberbeveiligingsbescherming voor het AI-model voor algemene doeleinden met een systeemrisico en de infrastructuur daarvan.

Praktijkcodes

Het AI-bureau heeft op 10 juli 2025 de praktijkcode voor AI-modellen voor algemene doeleinden gepubliceerd. Dit is een vrijwillig instrument dat door aanbieders van AI-modellen kan worden ondertekend om te laten zien dat zij de AI-verordening naleven. De code bestaat uit drie hoofdstukken. Uit de hoofdstukken over transparantie en auteursrechten blijkt de nakoming van de verplichtingen op grond van artikel 53 van de AI-verordening. Het hoofdstuk over veiligheid en beveiliging geldt alleen voor AI-modellen voor algemene doeleinden met een systeemrisico. De hoofdstukken van de code zijn hier te vinden.

Sancties voor schendingen van de AI-verordening

Het sanctiekader is opgenomen in de artikelen 99 en 100 van de AI-verordening. Voor kleine en middelgrote ondernemingen geldt het laagste van de twee bedragen. Geldboeten worden door de bevoegde nationale rechter of regelgevende instantie opgelegd, al naargelang wat hierover in de plaatselijke implementatiewetgeving is bepaald. Onder meer de volgende geldboeten kunnen worden opgelegd:

• Geldboeten van maximaal EUR 35 miljoen of 7% van de wereldwijde omzet, indien dat hoger is, voor niet-naleving van het verbod op de AI-praktijken waarvan in artikel 5 is bepaald dat deze een onaanvaardbaar risico inhouden.
• Geldboeten van maximaal EUR 15 miljoen of 3% van de wereldwijde omzet, indien dat hoger is, voor niet-naleving van de in artikel 99 lid 4 van de AI-verordening vermelde bepalingen.
• Geldboeten van maximaal EUR 7,5 miljoen of 1% van de wereldwijde omzet, indien dat hoger is, voor de verstrekking van onjuiste, onvolledige of misleidende informatie aan aangemelde instanties of nationale bevoegde autoriteiten.

De sancties voor aanbieders van AI-modellen voor algemene doeleinden gelden vanaf 2 augustus 2026. Alleen de Europese Commissie (niet de nationale autoriteiten) mag geldboeten van maximaal EUR 15 miljoen of 3% van de wereldwijde omzet opleggen voor bepaalde gevallen van niet-naleving door aanbieders van AI-modellen voor algemene doeleinden.