GPAI staat voor general-purpose AI: in de AI-verordening heet dat een AI-model voor algemene doeleinden, zoals het taalmodel achter ChatGPT, Gemini of Copilot. Aanbieders van zulke modellen hebben sinds 2 augustus 2025 eigen plichten: documentatie, informatie voor afnemers, een auteursrechtbeleid en een samenvatting van de trainingsdata. Wie een model alleen gebruikt, valt meestal niet onder die regels.
Het belangrijkste in het kort
- Een AI-model voor algemene doeleinden is de motor; het product dat erop draait (een chatapp, een assistent in Office) is een AI-systeem. De verordening regelt die twee apart.
- Elke aanbieder van een GPAI-model moet voldoen aan artikel 53: technische documentatie, informatie voor partijen die erop bouwen, een beleid voor auteursrecht en een openbare samenvatting van de trainingsinhoud.
- Modellen met een systeemrisico krijgen er in artikel 55 plichten bij, zoals evaluaties, adversarial testing, incidentmelding en cyberbeveiliging. Het vermoeden van systeemrisico ligt bij meer dan 10²⁵ rekenoperaties (FLOP) aan training.
- Toezicht op GPAI-modellen ligt bij de Europese Commissie via het AI-bureau, niet bij de Autoriteit Persoonsgegevens of de RDI.
- Een Nederlandse organisatie die een model via een API of een licentie gebruikt, is doorgaans gebruiksverantwoordelijke of aanbieder van een eigen AI-systeem, niet van het model.
Wat is een GPAI-model precies?
Artikel 3, punt 63, van de verordening omschrijft een AI-model voor algemene doeleinden als een model dat, vaak met grote hoeveelheden data en self-supervision op schaal getraind, een aanzienlijke algemeenheid vertoont, een breed scala aan taken goed kan uitvoeren en in allerlei toepassingen verderop in de keten kan worden ingebouwd. Grote taalmodellen zijn het bekendste voorbeeld, maar ook modellen die tekst omzetten in beeld of video kunnen eronder vallen.
Het verschil met een AI-systeem is in de praktijk belangrijk. Het model zelf is het getrainde netwerk met zijn gewichten. Een systeem is wat een bedrijf eromheen bouwt: een interface, filters, koppelingen met mailbox of CRM. Microsoft 365 Copilot is zo'n systeem; het onderliggende taalmodel is het GPAI-model. Hoofdstuk V van de verordening (artikelen 51 tot en met 56) gaat over modellen. Systemen vallen onder de gewone regels: risicoklassen, en voor chatbots en gegenereerde inhoud de transparantieplichten van artikel 50. Hoe de verordening als geheel in elkaar zit, leest u in onze uitleg van de AI-verordening.
De Commissie hanteert in haar richtsnoeren een vuistregel: een model dat met meer dan 10²³ FLOP is getraind en taal, beeld of video kan genereren, is waarschijnlijk een GPAI-model. Het is een eerste filter, geen harde grens. Doorslaggevend blijft of het model breed inzetbaar is.
Voor de meeste organisaties in Nederland is de vraag dus niet "voldoen wij aan hoofdstuk V?", maar "welke rol hebben wij bij elk AI-gebruik?". Met de gratis AI governance-scan van Opsio brengt u per toepassing in kaart of u aanbieder of gebruiksverantwoordelijke bent en welke plichten daaruit volgen.
Hulp nodig met cloud?
Plan een gratis 30-minuten gesprek met een van onze cloud-specialisten. We analyseren uw behoefte en geven concrete aanbevelingen — geheel vrijblijvend.
Artikel 53: plichten voor iedere GPAI-aanbieder
Een aanbieder is de partij die het model ontwikkelt of laat ontwikkelen en het onder eigen naam in de handel brengt, ook als dat gratis gebeurt. Vier plichten gelden voor elke aanbieder van een GPAI-model:
| Plicht | Wat het inhoudt | Uitzondering voor open source? |
|---|---|---|
| Technische documentatie (art. 53 lid 1 onder a, bijlage XI) | Trainings- en testproces, evaluatieresultaten, architectuur, rekenkracht en energieverbruik; actueel houden en op verzoek aan het AI-bureau en nationale autoriteiten verstrekken | Ja, tenzij er een systeemrisico is |
| Informatie voor afnemers (art. 53 lid 1 onder b, bijlage XII) | Genoeg informatie over mogelijkheden en beperkingen, zodat bedrijven die op het model bouwen hun eigen verplichtingen kunnen nakomen | Ja, tenzij er een systeemrisico is |
| Auteursrechtbeleid (art. 53 lid 1 onder c) | Beleid om het EU-auteursrecht na te leven, inclusief het respecteren van een voorbehoud tegen tekst- en datamining | Nee |
| Samenvatting trainingsinhoud (art. 53 lid 1 onder d) | Een openbare, voldoende gedetailleerde samenvatting volgens het sjabloon van de Commissie | Nee |
De uitzondering voor open source geldt voor modellen onder een vrije licentie waarvan de gewichten, de architectuur en de gebruiksinformatie openbaar zijn. Aanbieders buiten de EU moeten volgens artikel 54 een gemachtigde in de Unie aanwijzen voordat zij een model hier op de markt brengen. De volledige tekst staat in de Nederlandse versie van Verordening (EU) 2024/1689 op EUR-Lex.
Systeemrisico: wanneer gelden er extra plichten?
Een GPAI-model heeft een systeemrisico als het capaciteiten met een grote impact heeft. Artikel 51 legt een vermoeden: dat is zo wanneer de training meer dan 10²⁵ FLOP aan rekenkracht heeft gekost. De Commissie kan een model ook op andere gronden aanwijzen, bijvoorbeeld het aantal gebruikers of het bereik (bijlage XIII). Een aanbieder die de drempel haalt, meldt dat binnen twee weken bij de Commissie en mag onderbouwen waarom het model ondanks de rekenkracht geen systeemrisico oplevert.
Bovenop artikel 53 vraagt artikel 55 dan:
- modelevaluaties volgens gestandaardiseerde protocollen, inclusief adversarial testing;
- het beoordelen en beperken van mogelijke systeemrisico's op Unieniveau;
- het bijhouden en zonder onnodige vertraging melden van ernstige incidenten en corrigerende maatregelen aan het AI-bureau;
- een passend niveau van cyberbeveiliging voor het model en de fysieke infrastructuur.
Dit raakt in de praktijk een klein aantal grote modelbouwers. Een Nederlandse scale-up die een bestaand open model verfijnt voor juridische teksten komt daar zelden aan, maar moet wel nagaan of die aanpassing haar tot aanbieder van een nieuw model maakt. De richtsnoeren van de Commissie van juli 2025 geven daarvoor een indicatieve drempel: wie voor de aanpassing meer dan een derde van de oorspronkelijke trainingsrekenkracht gebruikt, wordt in de regel zelf aanbieder van een nieuw GPAI-model. Lichte fine-tuning blijft daar ruim onder.
De praktijkcode voor GPAI
Artikel 56 maakt praktijkcodes mogelijk waarmee aanbieders naleving kunnen aantonen zolang er geen geharmoniseerde normen zijn. De praktijkcode voor AI-modellen voor algemene doeleinden is op 10 juli 2025 gepubliceerd en heeft drie hoofdstukken: transparantie (met een formulier voor modeldocumentatie), auteursrecht en veiligheid en beveiliging. Dat laatste hoofdstuk geldt alleen voor modellen met een systeemrisico.
Ondertekenen is vrijwillig. Per oktober 2026 staan onder meer Amazon, Anthropic, Google, IBM, Microsoft, Mistral AI en OpenAI op de lijst van ondertekenaars die de Commissie bijhoudt; Meta weigerde in juli 2025 te tekenen. De lijst verandert, dus controleer de actuele stand op de site van de Europese Commissie over de AI-verordening voordat u er in een inkooptraject op leunt. Wie niet tekent, moet op een andere manier aantonen dat hij voldoet en kan meer informatieverzoeken verwachten.
Belangrijke data voor GPAI
| Datum | Wat er gebeurt |
|---|---|
| 10 juli 2025 | Praktijkcode voor GPAI-modellen gepubliceerd |
| 2 augustus 2025 | Artikelen 53 tot en met 55 gelden voor modellen die vanaf deze datum op de markt komen |
| 2 augustus 2026 | De Commissie kan boetes opleggen aan GPAI-aanbieders (artikel 101) |
| 2 augustus 2027 | Uiterste datum voor modellen die al vóór 2 augustus 2025 op de markt waren |
Hoe deze data zich verhouden tot de termijnen voor AI-systemen met een hoog risico, ziet u in de tijdlijn van de AI-verordening.
Toezicht en boetes: het AI-bureau
Voor GPAI-modellen is het toezicht Europees geregeld. De Commissie, via het AI-bureau, kan documentatie opvragen, modellen laten evalueren door onafhankelijke deskundigen en maatregelen eisen, tot beperking of terugtrekking van een model aan toe. Een wetenschappelijk panel kan waarschuwen voor systeemrisico's. Boetes kunnen oplopen tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet, als dat hoger is.
De digitale omnibus, Verordening (EU) 2026/1744, heeft die rol uitgebreid. Het AI-bureau houdt nu exclusief toezicht op AI-systemen die gebouwd zijn op een GPAI-model van dezelfde aanbieder of groep, en op AI in zeer grote online platforms en zoekmachines. Een chatproduct en het model eronder, van één bedrijf, hebben daardoor één toezichthouder. Wat de omnibus verder veranderde, staat in ons artikel over de digitale omnibus. Voor AI-systemen van andere partijen blijven de nationale markttoezichtautoriteiten aan zet; in Nederland krijgen volgens het wetsvoorstel onder meer de AP en de RDI die rol.
Wat betekent dit als u ChatGPT, Copilot of Gemini gebruikt?
De meeste organisaties trainen geen modellen. Een woningcorporatie die Copilot uitrolt, een webshop die een klantenservicebot bouwt op een taalmodel-API of een advocatenkantoor dat een samenvattingstool afneemt, gebruikt een GPAI-model van een ander. De plichten van hoofdstuk V liggen dan bij die modelaanbieder. Uw positie is meestal een van deze drie:
- Gebruiksverantwoordelijke van een AI-systeem. U zet het systeem in onder eigen verantwoordelijkheid. U neemt maatregelen voor AI-geletterdheid van uw medewerkers, en bij een toepassing met een hoog risico, zoals het selecteren van sollicitanten, gelden de plichten van artikel 26.
- Aanbieder van uw eigen AI-systeem. Zet u een chatbot op een model en biedt u die onder uw eigen naam aan klanten aan, dan bent u aanbieder van dat systeem. Artikel 50 lid 1 vraagt dan dat gebruikers weten dat ze met AI praten.
- Mogelijk aanbieder van een gewijzigd model. Alleen als u een model zo ingrijpend aanpast dat het in feite een nieuw model is.
Wat u wél moet doen, is uw leverancier kritisch bevragen. Vraag naar de informatie die artikel 53 lid 1 onder b voorschrijft, naar ondertekening van de praktijkcode, naar de plaats van gegevensverwerking en naar het gebruik van uw invoer voor training. Dat sluit aan op de AVG: zodra er persoonsgegevens in prompts zitten, heeft u een verwerkersovereenkomst nodig en moet u doorgifte buiten de EU beoordelen. Daarover meer in AI-verordening en AVG.
Veelgestelde vragen
Wat betekent GPAI?
GPAI is de Engelse afkorting van general-purpose AI. De Nederlandse tekst van de AI-verordening spreekt van een "AI-model voor algemene doeleinden": een model dat breed inzetbaar is en in veel verschillende toepassingen kan worden ingebouwd, zoals een groot taalmodel. Het systeem dat erop draait, bijvoorbeeld een chatassistent, is een "AI-systeem voor algemene doeleinden". Voor modellen en systemen gelden verschillende regels.
Ben ik GPAI-aanbieder als ik ChatGPT in mijn bedrijf gebruik?
Nee. Wie een bestaand model via een licentie of API gebruikt, is geen aanbieder van dat model. De plichten van artikel 53 liggen bij de partij die het model ontwikkelt en op de markt brengt. U bent meestal gebruiksverantwoordelijke van een AI-systeem, of aanbieder van een eigen systeem als u er iets onder uw naam mee bouwt. Dan gelden onder meer AI-geletterdheid en de transparantieregels.
Sinds wanneer gelden de GPAI-regels?
De plichten voor aanbieders van GPAI-modellen gelden sinds 2 augustus 2025 voor nieuwe modellen. Modellen die al eerder op de markt waren, moeten uiterlijk 2 augustus 2027 voldoen. De Commissie kan sinds 2 augustus 2026 boetes opleggen. De digitale omnibus heeft deze GPAI-termijnen niet uitgesteld; uitstel gold alleen voor AI-systemen met een hoog risico.
Wie houdt in Nederland toezicht op GPAI-modellen?
Niemand in Nederland: op GPAI-modellen houdt de Europese Commissie toezicht via het AI-bureau. Nationale toezichthouders, zoals volgens het wetsvoorstel voor de Uitvoeringswet AI-verordening de AP en de RDI, richten zich op AI-systemen die in Nederland worden aangeboden of gebruikt. Zij kunnen wel samenwerken met het AI-bureau als een probleem bij het onderliggende model ligt.
Moet ik als bedrijf iets met de praktijkcode doen?
Alleen als u zelf een GPAI-model aanbiedt; dan kunt u ervoor kiezen te tekenen. Als afnemer is de lijst van ondertekenaars vooral nuttig bij leveranciersselectie. Een modelaanbieder die de praktijkcode volgt, levert doorgaans gestandaardiseerde documentatie die u helpt uw eigen plichten in te vullen. Leg in uw inkoopvoorwaarden vast welke informatie u verwacht.
Breng uw rol per AI-toepassing in kaart
De GPAI-regels raken weinig Nederlandse bedrijven direct, maar het gebruik van die modellen raakt bijna iedereen. Begin daarom bij uw eigen toepassingen en leveranciers. Met de kosteloze scan voor AI-beleid en AI governance beantwoordt u in veertien stappen, in ongeveer 40 minuten, vragen over uw AI-gebruik. Daarna ontvangt u vier documenten op basis van uw antwoorden: een AI-gebruiksbeleid, een AI governance-raamwerk, een Checklist AI-leveranciersbeoordeling en een Sjabloon AI-risicoanalyse, plus een beeld van uw volwassenheid over tien domeinen. De vragen zijn in het Nederlands; de documenten krijgt u in het Engels als bewerkbare Word-bestanden. Gratis en vrijblijvend.
Dit artikel is algemene informatie, geen juridisch advies. Raadpleeg de geconsolideerde tekst van Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744. Datums en gegevens: stand oktober 2026.
Geschreven door
Country Manager, India
Praveena leidt Opsio's activiteiten in India en brengt meer dan 17 jaar sectoroverstijgende ervaring mee op het gebied van AI, productie, DevOps en managed services.
Redactionele richtlijnen: Dit artikel is geschreven door cloudspecialisten en beoordeeld door ons engineeringteam. We herzien het wanneer de technologie of regelgeving waarover het gaat verandert; de datums op deze pagina tonen de laatste update. Opsio is redactioneel onafhankelijk.