GPAI w AI Act: obowiązki modeli ChatGPT, Claude i Gemini i egzekwowanie od 2026

👁 164 przeczytań

GPAI to skrót od general-purpose AI - modele sztucznej inteligencji ogólnego przeznaczenia, na których działają m.in. ChatGPT, Claude, Gemini czy Mistral. Ich dostawcy mają obowiązki z art. 53-55 AI Act od 2 sierpnia 2025, a od 2 sierpnia 2026 Komisja Europejska może je egzekwować i nakładać kary do 15 mln euro albo 3% obrotu. Polska firma, która tylko korzysta z tych modeli przez API albo w przeglądarce, nie ma obowiązków GPAI, ale ma własne - i może stać się dostawcą, jeśli zbuduje na modelu produkt pod swoją marką.

Czym jest model GPAI

Art. 3 pkt 63 AI Act definiuje model AI ogólnego przeznaczenia jako model, który wykazuje znaczną ogólność, potrafi kompetentnie wykonywać szeroki zakres różnych zadań i może być zintegrowany z różnymi systemami. Wytyczne Komisji z 18 lipca 2025 dają prosty test orientacyjny: model trenowany z użyciem ponad 10²³ FLOP, który generuje język (tekst lub dźwięk), obraz z tekstu albo wideo z tekstu. Model to nie to samo co system: GPT czy Claude to modele, a ChatGPT czy aplikacja Claude to systemy AI zbudowane na modelach.

Obowiązki dostawców GPAI: tabela

Próg 10²⁵ FLOP i open source

Model uznaje się za model z ryzykiem systemowym, gdy łączna moc obliczeniowa użyta do trenowania przekracza 10²⁵ operacji zmiennoprzecinkowych (domniemanie z art. 51 ust. 2). Komisja może też uznać model za taki na podstawie innych kryteriów z załącznika XIII, a próg zmieniać aktem delegowanym (art. 51 ust. 3). W praktyce próg przekraczają czołowe modele największych laboratoriów.

Zwolnienie dla open source (art. 53 ust. 2) obejmuje dokumentację i informacje dla integratorów. Według wytycznych Komisji model musi spełnić trzy warunki:

• wolna i otwarta licencja pozwalająca na dostęp, użycie, modyfikację i dystrybucję,
• publicznie dostępne parametry, w tym wagi, informacje o architekturze i o użyciu,
• brak monetyzacji modelu.

Polityka praw autorskich i streszczenie danych obowiązują także otwarte modele. Model otwarty z ryzykiem systemowym ma pełne obowiązki.

Kodeks praktyk GPAI i wytyczne

Komisja przygotowała w lipcu 2025 trzy narzędzia:

1. Kodeks praktyk GPAI - opublikowany 10 lipca 2025, trzy rozdziały: przejrzystość, prawa autorskie, bezpieczeństwo. Komisja uznała go za adekwatne dobrowolne narzędzie wykazania zgodności.
2. Wytyczne w sprawie zakresu obowiązków dostawców GPAI - 18 lipca 2025.
3. Wzór publicznego streszczenia danych treningowych - 24 lipca 2025, z listą źródeł danych, w tym głównych domen.

Według listy Komisji cały kodeks podpisało 21 firm, m.in. OpenAI, Anthropic, Google, Microsoft, Amazon, IBM, Mistral AI, Cohere, Aleph Alpha i Black Forest Labs. xAI podpisał tylko rozdział o bezpieczeństwie, a przejrzystość i prawa autorskie ma wykazywać innymi środkami. Na liście nie ma Mety. Sygnatariusze mieli łagodniejszy start: Komisja zapowiadała, że jeśli nie wdrożą od razu wszystkich zobowiązań, w pierwszym roku nie uzna tego za ich złamanie. Ten rok minął w sierpniu 2026.

Terminy w liczbach

Egzekwowanie od 2 sierpnia 2026

Przez pierwszy rok obowiązki GPAI działały bez sankcji. Od 2 sierpnia 2026 Komisja, przez Urząd ds. AI, ma pełny zestaw narzędzi:

• art. 91 - żądanie dokumentacji i informacji od dostawcy,
• art. 92 - ocena modelu, także przez dostęp do modelu przez API albo do kodu źródłowego,
• art. 93 - żądanie środków naprawczych, ograniczenie udostępniania, wycofanie modelu z rynku,
• art. 101 - kary do 15 mln euro albo 3% całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa.

Procedury opisuje rozporządzenie wykonawcze Komisji (UE) 2026/1755 z 20 lipca 2026. Według relacji Agence Europe z briefingu Komisji 1 września 2026 Urząd ds. AI wysłał pierwsze żądania informacji do ponad 30 firm AI, dotyczące bezpieczeństwa modeli oraz praw autorskich i przejrzystości. To relacja prasowa, nie oficjalny komunikat. Potwierdzonej oficjalnie kary dla dostawcy GPAI na 1 października 2026 nie znam - informacje o „karach” krążące w sieci od sierpnia nie mają oparcia w źródłach. Szczegóły startu egzekucji opisywałem w starszym tekście o egzekwowaniu przepisów GPAI od 2 sierpnia 2026.

Omnibus: Urząd ds. AI nadzoruje też czaty dostawców

Digital Omnibus (rozporządzenie 2026/1744) nie zmienił obowiązków z art. 53-55, ale przebudował nadzór. Nowy art. 75 ust. 1 daje Urzędowi ds. AI wyłączną kompetencję nad systemami AI opartymi na modelu GPAI, jeśli model i system pochodzą od tego samego dostawcy lub grupy. Czytam to tak: czat udostępniany przez samego twórcę modelu podlega Brukseli, a nie 27 krajowym organom. Wyjątki: AI w produktach z załącznika I, infrastruktura krytyczna, systemy organów ścigania, granicznych i instytucji finansowych z art. 74 ust. 6 oraz wymiaru sprawiedliwości. Urząd nadzoruje też systemy będące bardzo dużymi platformami i wyszukiwarkami w rozumieniu DSA.

Nowe art. 75a-75d dają Urzędowi uprawnienia organu nadzoru rynku:

• kontrole zdalne i na miejscu, wstęp do lokali, wgląd w księgi i dane, kopie, plombowanie (art. 75a),
• wiążące zobowiązania firmy zamiast decyzji (art. 75b),
• kary według art. 99 ust. 3-7 i okresowe kary do 5% średniego dziennego obrotu za każdy dzień (art. 75c),
• pięcioletnie przedawnienie i publikacja decyzji (art. 75c ust. 8, art. 75d ust. 4).

Co to znaczy dla polskiej firmy, która tylko używa ChatGPT, Claude czy Gemini

• Obowiązki GPAI cię nie dotyczą - dokumentację modelu, streszczenie danych i testy robi OpenAI, Anthropic czy Google.
• Kompetencje w zakresie AI (art. 4) obowiązują od lutego 2025: pracownicy powinni rozumieć np. halucynacje modeli. Więcej w tekście o szkoleniach z art. 4.
• Oznaczanie treści (art. 50 ust. 4) - realistyczne obrazy i wideo z AI oraz niesprawdzone teksty o sprawach publicznych trzeba ujawniać. Zobacz jak oznaczać deepfake’i.
• Chatbot na stronie zbudowany na API - zwykle jesteś jego dostawcą, więc musisz informować, że klient rozmawia z AI (art. 50 ust. 1).
• Zastosowania wysokiego ryzyka - jeśli model ocenia kandydatów do pracy albo zdolność kredytową, wchodzisz w systemy wysokiego ryzyka (od 2 grudnia 2027).
• Nadzór - twoje obowiązki sprawdza w Polsce KRiBSI (kontrole od 28 października 2026), a nie Urząd ds. AI.

Kiedy firma sama staje się dostawcą

Granica przebiega w trzech miejscach:

1. Dostawca systemu AI (art. 3 pkt 3) - jeśli na bazie API budujesz własną aplikację i udostępniasz ją pod swoją nazwą lub marką, jesteś dostawcą tego systemu. Masz wtedy obowiązki z art. 50 ust. 1 i 2, ale nie obowiązki GPAI.
2. Dostawca modelu GPAI - według wytycznych Komisji firma, która modyfikuje lub dostraja (fine-tuning) cudzy model, staje się dostawcą GPAI dopiero wtedy, gdy zużywa na to ponad jedną trzecią mocy obliczeniowej użytej do trenowania oryginału. Typowe dostrajanie w polskiej firmie jest daleko od tego progu.
3. Dostawca systemu wysokiego ryzyka (art. 25 ust. 1) - gdy umieszczasz swoją nazwę na systemie wysokiego ryzyka, istotnie go zmieniasz albo zmieniasz przeznaczenie systemu (także opartego na GPAI) tak, że staje się systemem wysokiego ryzyka. Omnibus dopisał w art. 25 ust. 2 obowiązek współpracy pierwotnego dostawcy z nowym, a naruszenia art. 25 ust. 2 i 4 są zagrożone karą do 15 mln euro albo 3%.

Pełną mapę obowiązków i terminów zebrałem w przewodniku po AI Act, a stawki kar w tekście o karach w AI Act.

Najczęstsze pytania

Co to jest GPAI?

General-purpose AI - model sztucznej inteligencji ogólnego przeznaczenia, który wykonuje wiele różnych zadań i może być wbudowany w różne systemy, np. GPT, Claude, Gemini czy Llama.

Czy ChatGPT podlega AI Act?

Tak. Model, na którym działa, jest modelem GPAI, a OpenAI ma obowiązki z art. 53, przy modelach z ryzykiem systemowym także z art. 55. Po Omnibusie sam czat jako system zbudowany na własnym modelu dostawcy nadzoruje Urząd ds. AI.

Kto nakłada kary na dostawców GPAI?

Komisja Europejska, od 2 sierpnia 2026 - do 15 mln euro albo 3% światowego obrotu, zależnie od tego, która kwota jest wyższa (art. 101). Krajowe organy, w tym KRiBSI, nie karzą dostawców modeli.

Czy modele open source mają obowiązki?

Lżejsze: bez dokumentacji technicznej i informacji dla integratorów, ale z polityką praw autorskich i streszczeniem danych treningowych. Modele open source z ryzykiem systemowym mają pełne obowiązki.

Czy fine-tuning modelu robi ze mnie dostawcę GPAI?

Zwykle nie. Według wytycznych Komisji dopiero modyfikacja zużywająca ponad jedną trzecią mocy obliczeniowej oryginalnego trenowania. Możesz za to zostać dostawcą systemu AI, jeśli udostępniasz go pod własną marką.

Co z modelami wydanymi przed sierpniem 2025?

Ich dostawcy mają czas na pełną zgodność do 2 sierpnia 2027 (art. 111 ust. 3).

To nie jest porada prawna - przy budowie własnego produktu na modelu AI skonsultuj się z prawnikiem.

// czytaj dalejCzy ChatGPT może zastąpić człowieka?ChatGPTJak rozwija się ChatGPT?ChatGPTJak ChatGPT radzi sobie z różnymi językami?ChatGPT