AI-verordening: bepalingen inzake AI-modellen voor algemene doeleinden van kracht – Wat dit betekent voor uw bedrijf

Vanaf 2 augustus 2025 handhaaft de Europese Unie officieel het eerste bindende wettelijke kader voor AI-modellen voor algemene doeleinden in het kader van de AI-Verordening. Hoewel de aandacht tot nu toe vooral uitging naar risicovolle toepassingen zoals gezichtsherkenning of AI in medische apparatuur (zie ook onze andere blogpost over dit onderwerp: hier), verschuift de focus nu naar AI-modellen, de grootschalige basismodellen die ten grondslag liggen aan veel moderne AI-tools, zoals ChatGPT (OpenAI), Gemini (Google) en Copilot (Microsoft). Dit is een belangrijk keerpunt voor bedrijven die AI-modellen ontwikkelen of verfijnen. In deze blogpost wordt ingegaan op wat de bepalingen inhouden en wat ze betekenen voor bedrijven die momenteel AI-modellen ontwikkelen en/of gebruiken in de AI-waardeketen. 

Wat is AI voor algemene doeleinden? 

De AI-verordening introduceert een definitie van AI voor algemene doeleinden. Volgens artikel 3, punt 63, van de verordening: 

"AI-model voor algemene doeleinden”: een AI-model, ook wanneer een dergelijk AI-model is getraind met een grote hoeveelheid gegevens met behulp van zelftoezicht op grote schaal, dat een aanzienlijke algemeenheid vertoont en in staat is om een breed scala aan verschillende taken competent uit te voeren, ongeacht de manier waarop het model in de handel wordt gebracht, en dat kan worden geïntegreerd in een verscheidenheid aan downstreamsystemen of -toepassingen, met uitzondering van AI-modellen die worden gebruikt voor onderzoeks-, ontwikkelings- of prototypingactiviteiten voordat zij op de markt worden gebracht.” 

Naast AI-modellen voor algemene doeleinden zijn er ook AI-systemen voor algemene doeleinden. Volgens artikel 3, lid 66, van de verordening wordt verstaan onder 

 "AI-systeem voor algemene doeleinden": een AI-systeem dat is gebaseerd op een AI-model voor algemene doeleinden en dat geschikt is voor verschillende doeleinden, zowel voor direct gebruik als voor integratie in andere AI-systemen; 

ChatGPT is bijvoorbeeld een AI-systeem voor algemene doeleinden, aangezien het de geïmplementeerde toepassing is die met gebruikers communiceert, terwijl GPT-4 het onderliggende GPAI-model is dat als kernmotor achter de mogelijkheden ervan fungeert. 

Wat is er nu daadwerkelijk in werking getreden? 

De belangrijkste bepalingen die nu van kracht zijn geworden, vallen onder hoofdstuk V van de AI-wet en hebben betrekking op regels voor AI-model voor algemene doeleinden. Deze regels hebben tot doel transparantie, auteursrechtelijke vereisten en verantwoordingsplicht op modelniveau in te voeren, voordat het AI-model in een specifieke gebruikssituatie wordt ingezet. 

De belangrijkste bepalingen van hoofdstuk V zijn van toepassing op aanbieders van AI-modellen, zoals OpenAI, Google, Meta, Anthropic en Mistral, die de meest opvallende aanbieders zijn. Een belangrijk hulpmiddel voor deze aanbieders om te voldoen aan de regels van hoofdstuk V is de onlangs ontwikkelde gedragscode voor AI-modellen voor algemene doeleinden. De gedragscode is op 10 juli 2025 gepubliceerd en aangevuld met richtsnoeren van de Commissie inzake belangrijke begrippen in verband met AI-modellen voor algemene doeleinden. Voor aanbieders van AI-modellen die de code vrijwillig ondertekenen, vormt dit een belangrijke tool om aan te kunnen aantonen dat zij de AI-verordening naleven door zich aan de code te houden. Dit zal de administratieve lasten verminderen en de rechtszekerheid vergroten. 

Vanaf 2 augustus 2025 moeten alle nieuwe AI-modellen die op de EU-markt worden gebracht (of oude AI-modellen die na deze datum ingrijpend worden gewijzigd) voldoen aan: 

• Transparantieverplichtingen omvatten het openbaar maken van de modelarchitectuur, een beleid voor aanvaardbaar gebruik, het beoogde doel en de aard, en de beperkingen (restricties en verboden gebruik). Een gedetailleerde lijst van de transparantieverplichtingen is te vinden in de gedragscode. Upstream-aanbieders zijn verplicht de documentatie bij te houden en bij te werken, en deze ter beschikking te stellen aan downstream-aanbieders en, op verzoek, aan het AI-bureau of de nationale bevoegde autoriteiten. 
• Samenvatting van de trainingsgegevens: aanbieders moeten een samenvatting publiceren aan de hand van het door de Europese Commissie verstrekte model. 
• Naleving van het auteursrecht, wat onder meer vereist dat er een auteursrechtbeleid wordt vastgesteld en maatregelen worden genomen om de naleving van het Unierecht inzake auteursrecht en naburige rechten te waarborgen (d.w.z. maatregelen om de overeenkomstig artikel 4, lid 3, van de Richtlijn 2019/790/EU geformuleerde voorbehouden rechten te identificeren en na te leven). 

Voor bestaande AI-modellen die vóór die datum al op de markt zijn gebracht, geldt een overgangsperiode van twee jaar. Zij moeten uiterlijk op 2 augustus 2027 volledig aan de voorschriften voldoen. 

Vanaf 2 augustus 2026 kan het AI-bureau de AI-verordening formeel handhaven door middel van informatieverzoeken, herstelbevelen, boetes, enz. De boetes kunnen oplopen tot 15 miljoen euro of 3 % van de wereldwijde omzet, indien dit hoger is. 

De EU-lidstaten waren ook verplicht om uiterlijk op 2 augustus 2025 een nationale autoriteit op te richten om de bepalingen van de AI-verordening te handhaven. De Federale Overheidsdienst (FOD) Economie heeft een lijst gepubliceerd van autoriteiten op federaal en regionaal niveau die bevoegd zijn om de bepalingen van de AI-verordening te handhaven. De lijst kan worden geraadpleegd via de volgende link: https://economie.fgov.be/sites/default/files/Files/Online/Overzicht-van-de-Belgische-autoriteiten-voor-de-bescherming-van-de-grondrechten.pdf. 

De extra last voor AI-modellen met "systeemrisico" 

Niet alle AI-modellen worden gelijk behandeld in de AI-verordening. Sommige AI-modellen, met name de krachtigste en meest geavanceerde, zullen worden aangemerkt als "systeemrisico"-modellen vanwege hun enorme rekenkracht ("meest geavanceerde") en potentiële impact die gelijk is aan die van de meest geavanceerde AI-modellen. 

Om de meest geavanceerde AI-modellen te kunnen vaststellen, legt de AI-verordening (voorlopig) een rekenkrachtdrempel vast van 10²⁵ floating-point operations (FLOP) of meer voor het trainen van het AI-model. In dit geval wordt uitgegaan van "grote impact", waardoor het een AI-model met systeemrisico is. Aanbieders die een model ontwikkelen dat aan deze drempel van 10²⁵ FLOP’s voldoet, moeten de Commissie hiervan binnen twee weken na het redelijkerwijs voorzien of bereiken van de drempel in kennis stellen. Het vermoeden kan door aanbieders worden weerlegd door middel van bewijs dat het AI-model geen systeemrisico vormt. Dit kan echter door de Commissie op gemotiveerde worden afgewezen en de aanbieders blijven tijdens de beoordelingsperiode aan de strikte verplichtingen gehouden. 

Deze "meest geavanceerde" AI-modellen moeten aan nog strengere eisen voldoen, zoals: 

• Het uitvoeren van regelmatige modelevaluaties en gedetailleerde risicobeoordelingen gedurende de hele levenscyclus van het systeemrisicomodel 
• Registratie van ernstige incidenten en kwetsbaarheden en melding van ernstige incidenten aan het AI-bureau en, indien nodig, aan de nationale bevoegde autoriteiten 
• Het implementeren van krachtige risicobeperkende maatregelen 
• Het AI-bureau mogelijk in kennis stellen van aanstaande implementaties 

Tot nu toe is het onduidelijk wat wordt bedoeld met "potentiële impact die gelijkwaardig is aan de meest geavanceerde modellen", en de Commissie is bevoegd om modellen aan te merken als systemisch risico op basis van criteria zoals de evaluatie van de capaciteiten van het model, het aantal gebruikers, de schaalbaarheid of de toegang tot tools. 

Dit betekent dat bedrijven die actief zijn op het gebied van de ontwikkeling van systeemrisicomodellen niet alleen robuuste documentatiepijplijnen nodig hebben, maar ook doorlopende governancesystemen die met de systeemrisicomodellen mee kunnen evolueren. 

Wat betekent dit voor bedrijven die AI-modellen voor algemene doeleinden integreren of aanpassen? 

U denkt misschien dat deze bepalingen alleen van toepassing zijn op AI-modelaanbieders zoals OpenAI of Google, maar als een downstream-aanbieder een AI-model ingrijpend wijzigt, kan hij ook worden beschouwd als een aanbieder van het AI-model en onderworpen worden aan de overeenkomstige modelverplichtingen in hoofdstuk V van de AI-wet. 

Om dit te verduidelijken, maken we onderscheid tussen twee soorten (downstream) bedrijven: 

1. Bedrijven die een AI-model in hun eigen AI-systeem integreren: Deze downstream-actoren worden doorgaans beschouwd als aanbieders van het AI-systeem, niet van het AI-model zelf. Bijgevolg zijn zij niet onderworpen aan de verplichtingen voor AI-modelaanbieders uit hoofde van de artikelen 53 tot en met 55. In plaats daarvan moeten zij voldoen aan de basisvereisten die gelden voor alle aanbieders van AI-systemen, zoals transparantieverplichtingen en het bevorderen van AI-geletterdheid onder hun personeel, en moeten zij voldoen aan de vereisten voor hoge risico's wanneer het AI-systeem als risicovol is aangemerkt. 

2. Bedrijven die een AI-model verder aanpassen of verfijnen tot een nieuw model 
Deze bedrijven kunnen worden beschouwd als aanbieders van het nieuwe aangepaste AI-model. In dergelijke gevallen zijn de verplichtingen uit hoofde van de AI-verordening in het algemeen alleen van toepassing op de aangebrachte wijzigingen, bijvoorbeeld door de aanbieder te verplichten de technische documentatie bij te werken of details over het verfijningsproces openbaar te maken. Dit geldt echter alleen als de wijziging als substantieel wordt beschouwd. Volgens de richtsnoeren van de Europese Commissie wordt een wijziging waarschijnlijk als substantieel beschouwd als deze leidt tot een significante verandering in de algemeenheid, de mogelijkheden of het systeemrisico van het AI-model. Als indicatieve drempel stelt de Commissie voor dat een wijziging als substantieel moet worden beschouwd als de voor de wijziging gebruikte rekenkracht meer dan een derde bedraagt van de rekenkracht die is gebruikt om het oorspronkelijke model te trainen. Wanneer deze drempel wordt overschreden, kan de downstream-actor worden aangemerkt als aanbieder van een gewijzigd AI-model voor algemene doeleinden en wordt hij onderworpen aan de transparantieverplichtingen van artikel 53 en, indien van toepassing, de verplichtingen inzake systeemrisico's van artikel 55 van de AI-wet. Als de rekenkracht die is gebruikt om het oorspronkelijke model te trainen onbekend is of niet redelijkerwijs kan worden geschat, gelden de volgende terugvaldrempels: 10²³ FLOP voor standaard AI-modellen en 10²⁵ FLOP voor AI-modellen waarvan wordt aangenomen dat ze systeemrisico's met zich meebrengen. 

Conclusie 

Hoewel hoofdstuk V van de AI-verordening niet onmiddellijk van toepassing zal zijn op de meeste bedrijven, is voorzichtigheid geboden voor organisaties die AI-modellen voor algemeen gebruik verfijnen of anderszins wijzigen. De Europese Commissie verduidelijkt dat niet alle wijzigingen een downstream-actor tot aanbieder maken, maar dat ingrijpende wijzigingen in de algemeenheid, de mogelijkheden of het systeemrisico van een model wel tot deze status kunnen leiden. Dit kan met name het geval zijn wanneer de rekenkracht die voor de wijziging wordt gebruikt, meer dan een derde bedraagt van de rekenkracht die voor het trainen van het oorspronkelijke model is gebruikt. 

Het is essentieel dat u uw positie in de AI-waardeketen begrijpt. Zelfs als u slechts een downstreamgebruiker bent, zullen toezichthouders transparantie verwachten over hoe het model wordt gebruikt, waar het vandaan komt en wat de potentiële risico's zijn. Door in een vroeg stadium stappen te ondernemen om uw betrokkenheid te beoordelen en te documenteren, kunt u later ernstige nalevingsproblemen voorkomen.