GPAI (AI-model voor algemene doeleinden)

Wat is een GPAI-model?

GPAI staat voor general-purpose AI model, in het Nederlands een AI-model voor algemene doeleinden. Het is de naam die de AI Act geeft aan een model dat veel verschillende dingen kan in plaats van één specifiek ding. In gewone taal: de grote taalmodellen die je effectief gebruikt, zijn GPAI-modellen.

De verordening omschrijft het als een AI-model, ook wanneer het getraind is met een grote hoeveelheid data via zelfsupervisie op schaal, dat een aanzienlijke algemeenheid vertoont en dat een brede reeks uiteenlopende taken bekwaam kan uitvoeren. De woorden die het werk doen zijn aanzienlijke algemeenheid. Een model dat getraind is om defecten op één productielijn te herkennen, is geen GPAI-model. Een model dat kan samenvatten, vertalen, code schrijven en vragen over zowat alles beantwoorden, is dat wel.

De reden dat deze categorie überhaupt bestaat, is dat de rest van de AI Act rond toepassingen georganiseerd is. Die aanpak werkt niet voor een model dat geen enkele vaste toepassing heeft, want datzelfde model belandt in een klantendienstsysteem, in een wervingstool en in een spel. Daarom regelt de verordening het model apart van de toepassingen die erop gebouwd worden.

Model, systeem, en waarom dat onderscheid telt

De verordening scheidt twee dingen die mensen in een gesprek door elkaar halen, en dat verschil bepaalt wie waarvoor verantwoordelijk is.

Een AI-model voor algemene doeleinden is het model zelf. De gewichten, het ding dat getraind is.

Een AI-systeem voor algemene doeleinden is een systeem dat op zo'n model gebouwd is en dat verschillende doelen kan dienen, zowel voor rechtstreeks gebruik als om in andere AI-systemen ingebouwd te worden.

Het praktische gevolg is een verdeling van verantwoordelijkheid. De aanbieder van het model draagt de GPAI-verplichtingen. Bouw jij iets op dat model, dan word je daarmee niet plots een modelaanbieder, maar je kan wel de aanbieder van een AI-systeem worden. Zit jouw toepassing dan in bijlage III, dan kijk je tegen de hoog-risico verplichtingen aan. Anders gezegd: dat het model in orde is, maakt jouw toepassing niet in orde.

GPAI met systeemrisico

Binnen de categorie GPAI snijdt de verordening een zwaardere laag uit voor modellen met systeemrisico.

Systeemrisico wordt omschreven als een risico dat eigen is aan de capaciteiten met grote impact van AI-modellen voor algemene doeleinden, dat een aanzienlijke impact heeft op de Europese markt door het bereik van het model, of door werkelijke of redelijkerwijs te voorziene negatieve gevolgen voor de volksgezondheid, de veiligheid, de openbare veiligheid, de grondrechten of de samenleving als geheel, en dat op schaal doorheen de waardeketen kan doorwerken.

Lees dat aandachtig en je ziet waar de opstellers zich zorgen over maakten. Niet over een model dat een slecht antwoord geeft, maar over een model waar zoveel systemen op steunen dat één zwakte erin op hetzelfde moment iedereens zwakte wordt.

Aanbieders van modellen in die laag dragen extra plichten: systeemrisico beheren, het model evalueren, ernstige incidenten melden, en eisen rond cyberbeveiliging. Die laag mikt op de allergrootste modelaanbieders, dus jij bent dat zeer waarschijnlijk niet. Ze is toch de moeite om te kennen, want het is een van de dingen waar je een leverancier naar kan vragen.

Wat dit betekent voor jou als afnemer

Zowat elk bedrijf dat dit leest, is een gebruiker van GPAI-modellen en geen aanbieder ervan. De plichten zijn dus niet de jouwe, en wat die plichten opleveren is wel bruikbaar voor jou.

GPAI-aanbieders moeten technische documentatie over het model opmaken en bijhouden. Ze moeten ook informatie beschikbaar stellen aan de bedrijven die erop bouwen, zodat die genoeg begrijpen van de mogelijkheden en de beperkingen van het model om hun eigen verplichtingen na te komen. Er zijn ook eisen rond auteursrechtenbeleid en rond het publiceren van een samenvatting van de inhoud die voor de training gebruikt is.

Dat laatste punt onthoud je best voor het moment dat je iets aankoopt. Als een leverancier je niet kan zeggen wat een model wel en niet kan, of je niet naar documentatie kan doorverwijzen, dan is dat niet enkel lastig. Dan zit er een gat in het papierwerk dat je nodig hebt als jouw eigen toepassing hoog-risico blijkt te zijn.

Handhaving sinds augustus 2026

De GPAI-verplichtingen zelf gelden al sinds 2 augustus 2025. Wat op 2 augustus 2026 veranderde, is de handhaving.

Vanaf die datum zijn de handhavingsbevoegdheden van de Europese Commissie tegenover aanbieders van AI-modellen voor algemene doeleinden in werking getreden, samen met het volledige boeteregime. De Commissie kan documentatie en informatie opvragen, een model laten evalueren, maatregelen opleggen zoals risicobeperking, een beperking op de markt, terugroeping of intrekking, en boetes uitspreken. Voor GPAI-aanbieders lopen die boetes op tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet, afhankelijk van wat het hoogst is.

Er is nog één datum die de moeite is om te kennen. Aanbieders van modellen die al voor 2 augustus 2025 op de markt waren, hebben tijd tot 2 augustus 2027 om in orde te zijn.

Daarnaast bestaat er een praktijkcode voor AI voor algemene doeleinden, die transparantie, auteursrecht en veiligheid behandelt. Ondertekenen is vrijwillig, en het is een manier voor een aanbieder om te tonen hoe hij zijn verplichtingen invult.

Waar moet je op letten bij GPAI

Haal de lagen niet door elkaar. GPAI gaat over het model. Hoog-risico gaat over het gebruik. Een doodgewoon GPAI-model dat je inzet om sollicitanten te screenen, levert je een hoog-risico systeem op, en dat het model zelf in orde is, helpt je daar niet.

Vraag de documentatie op voor je tekent. De informatie die een GPAI-aanbieder verschuldigd is aan wie erop bouwt, is precies wat jij in je eigen dossier nodig hebt. Vraag ze bij de aankoop en niet tijdens een controle.

Zelf hosten verandert je positie. Een open-weight model zelf draaien mag, maar als je een model fine-tunet of ingrijpend aanpast, laat dan door een jurist bekijken waar de grens naar aanbiederstatus voor jou ligt. Die vraag heeft een echt antwoord en het hangt af van wat je precies gedaan hebt.

Een latere deadline voor hoog-risico is geen algemeen uitstel. Het uitstel dat in 2026 afgesproken werd, slaat op de hoog-risico verplichtingen. De GPAI-bepalingen zijn niet verschoven en gelden al sinds 2025.