Het GPAI-regime: wat aanbieders van algemene AI-modellen nu al moeten

Terwijl de hoogrisicoverplichtingen naar verwachting opschuiven naar eind 2027, draait het regime voor AI-modellen voor algemene doeleinden (GPAI) al op volle kracht. Hoofdstuk V geldt sinds 2 augustus 2025 voor nieuwe modellen, en op 2 augustus 2026 krijgt het Europese AI Office de bevoegdheid om het af te dwingen. Voor iedereen die grote modellen aanbiedt — of erop bouwt — is dit op dit moment het meest concrete deel van de AI-verordening.

De basisverplichtingen (artikel 53)

Elke aanbieder van een GPAI-model moet: technische documentatie opstellen en bijhouden; informatie en documentatie leveren aan partijen die het model in hun eigen AI-systemen verwerken; een beleid voeren om het Europese auteursrecht na te leven, inclusief het respecteren van tekst- en datamining-voorbehouden; en een publieke samenvatting van de trainingsdata publiceren. Voor die samenvatting is sinds 24 juli 2025 een verplicht template beschikbaar, dat onder meer vraagt naar de belangrijkste databronnen en domeinnamen.

Extra eisen bij systeemrisico (artikel 55)

Modellen met systeemrisico — het vermoeden ligt bij een trainingsomvang boven 10^25 FLOPs, of bij aanwijzing door de Commissie — dragen een tweede laag: modelevaluaties inclusief adversarial testing, beoordeling en beperking van systeemrisico's op Unieniveau, het melden van ernstige incidenten aan het AI Office, en een passend niveau van cyberbeveiliging voor model en infrastructuur.

De gedragscode als nalevingsroute

De GPAI-gedragscode van 10 juli 2025 vertaalt deze open verplichtingen naar concrete maatregelen in drie hoofdstukken: transparantie, auteursrecht en veiligheid. Ondertekening is vrijwillig, maar wie tekent krijgt een vereenvoudigd toezichtspad — naleving van de code geldt als gangbare route om aan hoofdstuk V te voldoen. Grote aanbieders, waaronder Microsoft en Google, hebben getekend; de ondertekenaars vormen sinds dit voorjaar een Signatory Taskforce onder voorzitterschap van het AI Office om de code eenduidig toe te passen.

Handhaving en de datum die telt

Vanaf 2 augustus 2026 kan het AI Office informatie opvragen, evaluaties gelasten, maatregelen opleggen en boetes uitdelen tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet (artikel 101). Modellen die vóór 2 augustus 2025 al op de markt waren, moeten uiterlijk 2 augustus 2027 volledig voldoen. Voor Europese organisaties die geen eigen modellen bouwen is het regime indirect maar wezenlijk: de documentatie en trainingsdata-samenvattingen van hun leveranciers zijn straks de basis waarop zij hun eigen zorgvuldigheid — van inkoop tot geletterdheid — kunnen aantonen.