Artikel 55: Verplichtingen van aanbieders van AI-modellen voor algemene doeleinden met een systeemrisico

Artikel 55 verplicht aanbieders van GPAI-modellen met systeemrisico om modelevaluaties uit te voeren, systeemrisico's te beoordelen en te mitigeren, ernstige incidenten te melden, en een passend niveau van cyberbeveiliging te waarborgen.

Ja, artikel 55 verplicht aanbieders om ernstige incidenten en mogelijke corrigerende maatregelen onverwijld te melden aan het AI-bureau en de bevoegde autoriteiten.

Artikel 55 van de AI Act maakt geen algemene uitzondering voor het MKB. Wel voorziet de AI Act in ondersteunende maatregelen en eventueel verlichte verplichtingen voor kleine en middelgrote ondernemingen, afhankelijk van hun rol in de AI-waardeketen.

Artikel 55 van de AI Act werkt aanvullend op de AVG. Waar de AVG persoonsgegevens beschermt, richt de AI Act zich op de veiligheid en betrouwbaarheid van AI-systemen. Organisaties moeten aan beide regelgevingen voldoen wanneer hun AI-systeem persoonsgegevens verwerkt.

De AI Act kent een gefaseerde invoering. Verboden AI-praktijken gelden vanaf februari 2025, verplichtingen voor hoog-risico AI-systemen vanaf augustus 2026, en overige bepalingen worden geleidelijk van kracht. De specifieke deadline voor artikel 55 hangt af van de categorie van de verplichting.

Ja, artikel 55 van de AI Act kan ook relevant zijn wanneer u AI-systemen inkoopt. Als gebruiksverantwoordelijke (deployer) heeft u eigen verplichtingen onder de AI Act, ongeacht of u het systeem zelf heeft ontwikkeld of ingekocht bij een aanbieder.

Bij artikel 55 van de AI Act is de provider (aanbieder) degene die het AI-systeem ontwikkelt of op de markt brengt, terwijl de deployer (gebruiksverantwoordelijke) degene is die het systeem onder eigen verantwoordelijkheid inzet. Beide rollen hebben verschillende verplichtingen.

Artikel 55 van de AI Act vereist dat relevante documentatie wordt bijgehouden als onderdeel van het compliance-proces. Dit kan technische documentatie, gebruiksaanwijzingen, logs of conformiteitsverklaringen omvatten, afhankelijk van de classificatie van het AI-systeem.

Bovenop de basisverplichtingen van artikel 53 moeten aanbieders van GPAI-modellen met systeemrisico: modelevaluaties uitvoeren, adversarial testing (red teaming) doen, ernstige incidenten rapporteren aan het AI Office, en adequate cybersecuritymaatregelen treffen.

Een GPAI-model wordt verondersteld systeemrisico te hebben als de cumulatieve rekenkracht voor training meer dan 10^25 FLOP bedraagt (artikel 51). De Europese Commissie kan ook op basis van andere criteria uit Bijlage XIII (zoals 10.000+ zakelijke gebruikers) een model als systeemrisico classificeren.

De Europese Commissie houdt een register bij van GPAI-modellen met systeemrisico. Grote modellen zoals GPT-4, Gemini Ultra en Claude met een training boven 10^25 FLOP vallen hier waarschijnlijk onder. Aanbieders moeten het AI Office notificeren wanneer hun model deze drempel bereikt.