← Alle inzichten
EU AI Act · GPAI

GPAI-verplichtingen onder de EU AI Act: wat verandert er als u een foundation model integreert

Een foundation model gebruiken maakt u nog niet de aanbieder ervan. Uw rol in de waardeketen bepaalt welk bewijs u nodig hebt.

LMXAI · Leiden, NL · Gepubliceerd · Herzien

Samenvatting

Een AI-model voor algemene doeleinden integreren maakt een organisatie niet de aanbieder van dat model, maar het schept wel eigen plichten. Dit artikel scheidt de verplichtingen van aanbieders van GPAI-modellen van het bewijs dat een downstream-integrator nodig heeft, legt uit waarom open gewichten governance niet overbodig maken, en beschrijft due diligence op leveranciers en een modelregister. Onderzoek naar foundation models levert de technische onderbouwing: gebreken in een upstream-model worden downstream overgenomen.

Trefwoorden EU AI Act · AI voor algemene doeleinden · foundation models · downstream-integrator · modelregister · due diligence

Inhoud

  1. Inleiding
  2. Achtergrond en verwant werk
  3. Aanbieders van GPAI-modellen
  4. Downstream-aanbieders en integratoren
  5. Modellen met open gewichten maken governance niet overbodig
  6. Due diligence op leveranciers wordt onderdeel van de AI-architectuur
  7. Bouw een modelregister
  8. De aanpak van LMXAI
01

Inleiding

Een AI-model voor algemene doeleinden gebruiken maakt een organisatie niet automatisch de aanbieder van dat model. De EU AI Act maakt onderscheid tussen de organisatie die een GPAI-model aanbiedt en downstream-aanbieders of -integratoren die daar systemen op bouwen.

Dat onderscheid is belangrijk, omdat het compliancebewijs dat u nodig hebt afhangt van uw rol in de waardeketen.

02

Achtergrond en verwant werk

De term foundation model werd geïntroduceerd voor modellen die op brede data zijn getraind en voor veel downstream-taken worden aangepast. Hetzelfde rapport waarschuwt dat deze homogenisering betekent dat de gebreken van het foundation model worden overgenomen door alle aangepaste modellen downstream[1]. Dat is de technische reden waarom een integrator het upstream-model niet als andermans probleem kan behandelen.

De transparantie upstream is beperkt. Een index van 100 indicatoren, in 2023 gescoord voor tien grote ontwikkelaars, vond dat geen enkele ontwikkelaar wezenlijke informatie gaf over de downstream-impact van zijn belangrijkste model[2]. Juridische analyse van generatieve AI stelt voor om ontwikkelaars, gebruiksverantwoordelijken, gebruikers en ontvangers te onderscheiden en plichten per partij af te stemmen[3], en de Verordening legt verplichtingen voor AI-modellen voor algemene doeleinden apart vast van die voor de systemen die erop worden gebouwd[4]. Voor de eigen administratie van de integrator bieden model cards een compact formaat voor beoogd gebruik en evaluatieresultaten[5].

03

Aanbieders van GPAI-modellen

Aanbieders die AI-modellen voor algemene doeleinden op de EU-markt brengen, hebben verplichtingen rond technische documentatie, informatie voor downstream-aanbieders, een auteursrechtbeleid en openbare transparantie over trainingsdata. Aanbieders van modellen met een systeemrisico krijgen extra verplichtingen voor veiligheid, evaluatie, incidenten en cyberbeveiliging.

Volgens de Europese Commissie gelden de GPAI-verplichtingen sinds 2 augustus 2025, en de handhavingsbevoegdheden van de Commissie vanaf 2 augustus 2026.

04

Downstream-aanbieders en integratoren

De meeste zakelijke AI-teams trainen geen foundation model vanaf nul. Ze combineren een model met retrieval, tools, bedrijfslogica, databronnen en een gebruikersinterface.

Ook dat schept verantwoordelijkheden.

Een downstream-aanbieder moet kunnen uitleggen:

  • welk model en welke versie het systeem gebruikt;
  • wat het model binnen het product hoort te doen;
  • welke beperkingen bekend zijn;
  • welke informatie is ontvangen van de upstream-modelaanbieder;
  • hoe het model is geëvalueerd voor deze specifieke toepassing;
  • welke controles er zijn rond prompts, retrieval, tools en output;
  • hoe modelwijzigingen worden getest vóór de uitrol in productie.
05

Modellen met open gewichten maken governance niet overbodig

Een model met open gewichten zelf hosten kan de controle over datastromen en infrastructuur verbeteren, maar het neemt niet weg dat het resulterende AI-systeem onder de Act moet worden geclassificeerd.

De juridische rol hangt af van wat de organisatie met het model doet, hoe ingrijpend ze het aanpast en hoe het resulterende systeem in de handel wordt gebracht of wordt gebruikt. Vanuit engineering is de veilige standaard om herkomst, configuratie, evaluatieresultaten en deploymentgeschiedenis van het model te bewaren.

06

Due diligence op leveranciers wordt onderdeel van de AI-architectuur

Wanneer een organisatie afhankelijk is van een externe modelaanbieder, raken contract- en architectuurbeslissingen met elkaar verbonden.

Het downstream-team moet genoeg informatie opvragen om het model in de context van de uitrol te beoordelen. Nuttige vragen:

  1. Welke modelversie wordt geleverd en hoe worden updates gecommuniceerd?
  2. Welke technische documentatie is beschikbaar voor downstream-aanbieders?
  3. Wat zijn de bekende beperkingen en de grenzen van het beoogde gebruik?
  4. Welke kanalen zijn er voor beveiliging en incidenten?
  5. Kan de klant een modelversie vastzetten?
  6. Waar worden prompts en output verwerkt en bewaard?
  7. Wat gebeurt er als de aanbieder het gedrag van het model verandert?
07

Bouw een modelregister

Een praktische controle voor organisaties is een modelregister dat aan elk productiesysteem is gekoppeld.

Leg per model vast:

  • aanbieder en modelidentificatie;
  • versie of checkpoint;
  • licentie en gebruiksbeperkingen;
  • locatie van de deployment;
  • status van kwantisatie of fine-tuning;
  • evaluatieset en acceptatiedrempels;
  • bekende beperkingen;
  • wijzigingsgeschiedenis;
  • systemen die van het model afhankelijk zijn.

Zo hebben engineering-, beveiligings- en complianceteams één gedeelde bron van waarheid.

08

De aanpak van LMXAI

LMXAI behandelt foundation models als vervangbare componenten binnen een beheerst systeem. De architectuur moet het mogelijk maken van aanbieder te wisselen of modellen zelf te hosten zonder evaluatie, logging, toegangscontrole of auditbewijs te verliezen.

Dat modelonafhankelijke ontwerp is niet alleen nuttig voor soevereiniteit en kostenbeheersing; het verkleint ook het compliancerisico wanneer upstream-modellen veranderen.

Primaire bronnen

Verder lezen

Referenties

  1. Bommasani, R., Hudson, D. A., Adeli, E., Altman, R., Arora, S., et al. (2021). On the opportunities and risks of foundation models. arXiv preprint arXiv:2108.07258. arxiv.org/abs/2108.07258
  2. Bommasani, R., Klyman, K., Longpre, S., Kapoor, S., Maslej, N., Xiong, B., Zhang, D., & Liang, P. (2023). The Foundation Model Transparency Index. arXiv preprint arXiv:2310.12941. arxiv.org/abs/2310.12941
  3. Hacker, P., Engel, A., & Mauer, M. (2023). Regulating ChatGPT and other large generative AI models. Proceedings of the 2023 ACM Conference on Fairness, Accountability, and Transparency (FAccT '23), 1112–1123. doi:10.1145/3593013.3594067 arxiv.org/abs/2302.02337
  4. European Parliament and Council of the European Union (2024). Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Official Journal of the European Union, L series, 12 July 2024. eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
  5. Mitchell, M., Wu, S., Zaldivar, A., Barnes, P., Vasserman, L., et al. (2019). Model cards for model reporting. Proceedings of the Conference on Fairness, Accountability, and Transparency (FAT* '19), 220–229. doi:10.1145/3287560.3287596 arxiv.org/abs/1810.03993

Elke referentie is gecontroleerd bij de uitgever, arXiv of de officiële bron.

Citeren

LMXAI. (2026). GPAI-verplichtingen onder de EU AI Act: wat verandert er als u een foundation model integreert. LMXAI Inzichten. https://lmxai.com/nl/insights/eu-ai-act-gpai-downstream-integrators.html