AI Act: Gedragscode voor GPAI-modellen

Na drie concepten en diverse vergaderingen hebben de vier werkgroepen de definitieve versie van de Gedragscode voor General Purpose AI (GPAI)-modellen, zoals die achter ChatGPT, Gemini en Claude, ingediend bij de Europese Commissie. Het betreft in essentie richtlijnen voor de naleving van de bepalingen van de AI-wet, die op 2 augustus van kracht werd. De Computer & Communications Industry Association (CCIA) uitte direct kritiek op de tekst.

Transparantie, auteursrecht en veiligheid

De gedragscode is niet verplicht , maar dient ter illustratie van de naleving van de artikelen 53 en 55 van de AI-wet met betrekking tot GPAI-modellen (standaard en met systeemrisico's). Bedrijven die ervoor kiezen zich aan de code te houden, verbinden zich ertoe de instructies in de drie hoofdstukken te volgen.

Het eerste hoofdstuk gaat over transparantie . AI-aanbieders moeten volledige informatie over hun modellen verstrekken wanneer deze op de markt komen en wanneer ze worden bijgewerkt. Dit gebeurt via een formulier dat uit verschillende secties bestaat. Het bedrijf moet bijvoorbeeld de modelnaam, releasedatum, architectuur, omvang, input-/outputtypen, distributie- en licentiemethoden, gebruikstype en specificaties voor het trainingsproces specificeren.

Het tweede hoofdstuk gaat over auteursrecht . De ondertekenaars verbinden zich ertoe de Europese auteursrechtwetgeving na te leven. Zo mogen ze bijvoorbeeld geen websitecontent zonder toestemming gebruiken of modellen trainen met illegaal gekopieerd materiaal. Ze moeten ook maatregelen nemen om te voorkomen dat er output wordt gegenereerd die inbreuk maakt op het auteursrecht.

Het derde hoofdstuk behandelt de beveiliging van AI-modellen met systeemrisico's. Aanbieders zetten zich in voor het detecteren en beperken van risico's, zoals het gebruik van modellen voor cyberaanvallen of de ontwikkeling van wapens. Beveiligingsincidenten moeten binnen bepaalde termijnen worden gemeld en corrigerende maatregelen moeten worden genomen (bijvoorbeeld twee dagen voor schade aan kritieke infrastructuur en vijf dagen voor datalekken).

Verschillende Europese bedrijven hadden om uitstel gevraagd voor de implementatie van de AI-wet voor GPAI-modellen, maar de Europese Commissie bevestigde de deadline van 2 augustus. Volgens de Kamer van Koophandel komt de gedragscode ten goede aan aanbieders die niet tekenen en worden er maatregelen ingevoerd die verder gaan dan de reikwijdte van de AI-wet.