Czym są modele GPAI

GPAI, czyli modele AI ogólnego przeznaczenia (general purpose AI), to modele wytrenowane na dużych, zróżnicowanych zbiorach danych, zdolne do wykonywania szerokiego zakresu odrębnych zadań, niezależnie od tego, w jaki konkretny produkt zostaną później wbudowane. Do tej kategorii należą modele takie jak GPT (OpenAI), Claude (Anthropic) czy Gemini (Google), a więc dokładnie te narzędzia, z których na co dzień korzysta większość polskich firm, bezpośrednio przez interfejs czatu albo pośrednio przez API wbudowane w inne oprogramowanie.

Obowiązki dotyczące GPAI weszły w życie 2 sierpnia 2025, wcześniej niż większość pozostałych przepisów rozporządzenia (poza zakazanymi praktykami i kompetencjami AI z lutego 2025). Pełny harmonogram opisuje artykuł Kalendarz wejścia w życie AI Act.

Obowiązki dostawcy modelu GPAI

To najważniejsze rozróżnienie w tym temacie: obowiązki opisane w tej sekcji dotyczą firmy, która tworzy i udostępnia model GPAI, czyli w praktyce OpenAI, Anthropic, Google, Meta i garstki innych organizacji na świecie. Nie dotyczą Twojej firmy, jeśli tylko korzystasz z takiego modelu.

Dostawca modelu GPAI musi:

  • prowadzić i aktualizować dokumentację techniczną modelu, obejmującą m.in. proces treningu i testowania,
  • udostępniać dokumentację i informacje dostawcom systemów, którzy integrują dany model w swoich produktach, w zakresie potrzebnym do zrozumienia możliwości i ograniczeń modelu,
  • wdrożyć politykę zgodności z unijnym prawem autorskim, w tym w zakresie danych treningowych,
  • publikować wystarczająco szczegółowe podsumowanie treści wykorzystanych do treningu modelu.

Dodatkowe obowiązki dla modeli z ryzykiem systemowym

Modele GPAI uznane za niosące ryzyko systemowe, czyli te o szczególnie dużej skali obliczeniowej użytej do treningu (rozporządzenie posługuje się tu konkretnym progiem technicznym) lub wyznaczone decyzją Komisji Europejskiej, podlegają dodatkowym, surowszym wymogom:

  • ocena i łagodzenie ryzyk systemowych związanych z modelem,
  • zgłaszanie poważnych incydentów do odpowiedniego organu unijnego,
  • zapewnienie odpowiedniego poziomu cyberbezpieczeństwa modelu i infrastruktury, na której działa,
  • przeprowadzanie testów przeciwdziałających nadużyciom (tzw. adversarial testing).

Te wymogi dotyczą praktycznie wyłącznie największych, najbardziej zaawansowanych modeli na rynku, nie mniejszych czy wyspecjalizowanych rozwiązań GPAI.

Co z tego spływa na firmę korzystającą z modelu przez API

To pytanie, które najbardziej interesuje polskie MŚP: skoro obowiązki dokumentacyjne i techniczne spoczywają na dostawcy modelu, co pozostaje po stronie firmy, która z tego modelu korzysta?

Odpowiedź: rola stosującego wobec modelu GPAI, opisana ogólnie w artykule Dostawca vs stosujący, nakłada znacznie węższy zakres obowiązków niż rola dostawcy. Konkretnie:

  • Obowiązek kompetencji AI (art. 4) dotyczy Twojego zespołu, niezależnie od tego, że sam model dostarcza ktoś inny.
  • Obowiązek przejrzystości (art. 50) dotyczy sposobu, w jaki Twoja firma wykorzystuje wyniki działania modelu, np. czy generowane teksty publikujesz jako treść dziennikarską bez oznaczenia, czy chatbot zbudowany na tym modelu ujawnia użytkownikowi, że rozmawia z AI.
  • Nie dotyczy Cię dokumentacja techniczna samego modelu, testy bezpieczeństwa treningu ani zgłaszanie incydentów na poziomie modelu bazowego, chyba że sam istotnie zmodyfikowałeś model w sposób opisany w artykule o rolach.

Tabela: obowiązki dostawcy modelu a Twoja firma jako stosujący

Obowiązek Dostawca modelu GPAI (np. OpenAI, Anthropic) Twoja firma, korzystająca przez API
Dokumentacja techniczna treningu modelu Tak Nie dotyczy
Podsumowanie danych treningowych Tak Nie dotyczy
Ocena ryzyka systemowego (modele o dużej skali) Tak, dla wybranych modeli Nie dotyczy
Kompetencje AI zespołu korzystającego z narzędzia Dotyczy własnego personelu dostawcy Tak, dotyczy Twojego zespołu
Ujawnienie kontaktu z AI wobec klienta końcowego Zależy od produktu dostawcy Tak, jeśli budujesz na modelu produkt z kontaktem z użytkownikiem
Oznaczanie treści wygenerowanych jako syntetyczne Zapewnia techniczne znakowanie (gdzie ma zastosowanie) Odpowiada za widoczne oznaczenie w publikowanej treści

Częsty błąd: przekonanie, że skoro “OpenAI odpowiada za swój model”, to Twoja firma jest w pełni zwolniona z jakichkolwiek obowiązków związanych z AI Act przy korzystaniu z tego modelu. Odpowiedzialność dostawcy modelu i odpowiedzialność stosującego dotyczą innych warstw tego samego łańcucha i obie istnieją równolegle.

Dlaczego to rozróżnienie bywa mylące w rozmowach o “AI Act dla mojej branży”

Duża część niepokoju wokół AI Act w mediach dotyczy w rzeczywistości obowiązków dostawców modeli GPAI, czyli garstki globalnych firm technologicznych, a nie obowiązków milionów firm korzystających z tych modeli. Kiedy nagłówek mówi “OpenAI musi ujawnić dane treningowe”, to obowiązek OpenAI jako dostawcy, nie Twojej firmy jako stosującego. Warto rozdzielać te dwie warstwy przy każdej informacji o AI Act, którą się czyta, żeby nie przenosić na siebie obowiązków, które w ogóle jej nie dotyczą.

Praktyczna konsekwencja dla firm SaaS budujących na API

Firmy budujące własne produkty na modelach GPAI przez API znajdują się w szczególnej sytuacji: zwykle pozostają stosującym wobec samego modelu bazowego, ale stają się dostawcą własnego produktu zbudowanego na tym modelu, z obowiązkami przejrzystości wobec swoich użytkowników końcowych. Ten scenariusz szerzej opisuje artykuł AI Act dla firm SaaS na API.

Najczęściej zadawane pytania

Czy muszę czytać dokumentację techniczną modelu, z którego korzystam?

Nie ma takiego formalnego obowiązku, ale warto znać podstawowe ograniczenia i ryzyka używanego modelu w ramach obowiązku kompetencji AI z art. 4, choćby na poziomie ogólnym.

Czy korzystanie z ChatGPT przez zwykły interfejs czatu (nie API) coś zmienia?

Nie w kontekście obowiązków GPAI. Niezależnie od tego, czy korzystasz z modelu przez interfejs czatu czy przez API, jesteś stosującym wobec tego modelu, z tym samym zakresem obowiązków.

Czy mniejsze modele open source też podlegają obowiązkom GPAI?

Tak, jeśli spełniają definicję modelu ogólnego przeznaczenia, choć rozporządzenie przewiduje pewne złagodzenia dla modeli udostępnianych na wolnych licencjach open source, o ile nie niosą ryzyka systemowego.

Co jeśli dostawca modelu, z którego korzystam, nie spełnia swoich obowiązków GPAI?

To ryzyko leżące głównie po stronie dostawcy, egzekwowane przez odpowiedni organ unijny nadzorujący modele GPAI, nie przez polski organ nadzoru wobec Twojej firmy. Twoja odpowiedzialność jako stosującego dotyczy tego, jak wykorzystujesz wyniki działania modelu, niezależnie od zgodności samego dostawcy.