AI Act Kompas

Hoofdstuk V van de AI Act bevat de verplichtingen voor aanbieders van general-purpose AI-modellen. Die zijn geformuleerd op doelniveau: documenteer je model, informeer downstream-aanbieders, voer een auteursrechtbeleid en publiceer een samenvatting van je trainingsdata. Hoe je dat concreet doet, staat er niet bij. Daarvoor voorziet artikel 56 in gedragscodes die onder begeleiding van het AI Office tot stand komen.

Wat een gedragscode juridisch betekent

De code is geen wet. Toch is het effect aanzienlijk. Aanbieders die de code ondertekenen en naleven, kunnen daarmee aantonen dat zij aan de verplichtingen voldoen; het AI Office en de AI Board beoordelen of de code toereikend is. De Commissie kan een code via een uitvoeringshandeling algemene geldigheid geven binnen de Unie. Wie niet ondertekent, moet aantonen dat hij op een alternatieve adequate wijze voldoet — een zwaardere bewijslast, want dan moet je zelf aannemelijk maken dat jouw aanpak gelijkwaardig is.

Spoor 1 — Transparantie

Het transparantiehoofdstuk vertaalt de documentatieplicht in een concreet modeldocumentatieformulier. Daarin leg je onder meer vast:

• algemene modelinformatie: naam, versie, releasedatum, modaliteiten, architectuur en parameteraantal;
• het beoogde gebruik en bekende beperkingen;
• informatie over trainings-, test- en validatiedata: aard, herkomst, omvang en curatiemethoden;
• het gebruikte rekenvermogen en het energieverbruik;
• evaluatieresultaten en toegepaste testmethoden;
• het beleid voor acceptabel gebruik en distributiekanalen.

Een deel van deze informatie gaat naar het AI Office, een ander deel naar downstream-aanbieders die het model in hun eigen systeem integreren. Dat tweede spoor is precies wat een bedrijf nodig heeft om zijn eigen AI Act-verplichtingen te kunnen invullen.

Spoor 2 — Auteursrecht

Aanbieders moeten een beleid voeren om het Unierecht inzake auteursrecht na te leven, in het bijzonder het voorbehoud van rechten bij tekst- en datamining onder de DSM-richtlijn. Concrete maatregelen die de code uitwerkt:

• alleen rechtmatig toegankelijke content crawlen en paywalls respecteren;
• machineleesbare voorbehouden lezen en honoreren, waaronder het robots.txt-protocol;
• maatregelen om te voorkomen dat het model auteursrechtelijk beschermde content letterlijk reproduceert;
• een klachtmechanisme voor rechthebbenden;
• een publieke samenvatting van de gebruikte trainingscontent volgens het model van het AI Office.

Spoor 3 — Veiligheid en beveiliging

Dit hoofdstuk geldt alleen voor modellen met systeemrisico. Kern is een Safety and Security Framework waarin de aanbieder beschrijft hoe hij systeemrisico's identificeert, analyseert en mitigeert gedurende de hele levenscyclus. Onderdelen daarvan:

• risicotaxonomie en acceptatiecriteria: welke risico's zijn onaanvaardbaar en wat gebeurt er als een drempel wordt geraakt;
• state-of-the-art modelevaluaties, inclusief adversarial testing en red-teaming;
• mitigatiemaatregelen in het model en in de omgeving eromheen;
• rapportage aan het AI Office, waaronder modelrapporten vóór het op de markt brengen;
• het melden van ernstige incidenten en het beschermen van modelgewichten tegen ongeoorloofde toegang.

Verhouding tot geharmoniseerde normen

Gedragscodes zijn een tussenoplossing tot er geharmoniseerde Europese normen zijn. Zodra die normen zijn gepubliceerd en van toepassing zijn, verschuift het zwaartepunt daarnaartoe: toepassing van een geharmoniseerde norm geeft een formeel vermoeden van conformiteit. Tot die tijd is de code het meest praktische anker.

Volg de publicaties van het AI Office voor de actuele versie, de lijst van ondertekenaars en aanvullende richtsnoeren.