GPAI: KI-modeller for allmenne formål i KI-forordningen

GPAI står for «general-purpose AI», på norsk KI-modeller for allmenne formål, som de store språkmodellene bak ChatGPT, Claude og Gemini. KI-forordningen pålegger leverandørene av slike modeller dokumentasjon, informasjon til nedstrøms leverandører, opphavsrettspolicy og et sammendrag av treningsdata. De fleste norske virksomheter er brukere av modellene, ikke leverandører.

Det viktigste i korthet

• En KI-modell for allmenne formål (selve motoren) reguleres for seg. Et KI-system bygd på modellen, som en chat-app, reguleres etter risikonivå og åpenhetsreglene.
• Pliktene i artikkel 53 gjelder i EU fra 2. august 2025. Modeller som var på markedet før den datoen, har frist 2. august 2027.
• Modeller trent med mer enn 10^25 flyttallsoperasjoner antas å ha systemisk risiko og får ekstra krav i artikkel 55.
• Atferdskodeksen for GPAI ble publisert 10. juli 2025 og er frivillig.
• Tilsynet ligger hos EU-kommisjonen og KI-kontoret. For Norge krever dette en EØS-tilpasning som det forhandles om per oktober 2026.

Hva er en KI-modell for allmenne formål?

Forordningen skiller mellom modellen og systemet. En KI-modell for allmenne formål er definert i artikkel 3 nr. 63 som en modell som er trent på store datamengder, viser betydelig generalitet og kan utføre et bredt spekter av ulike oppgaver, og som kan integreres i mange andre systemer. Et KI-system for allmenne formål er produktet som bygger på en slik modell.

Et eksempel gjør det enklere. Språkmodellen som ligger under Microsoft 365 Copilot, er modellen. Copilot med grensesnitt, sikkerhetsfiltre og tilgang til dokumentene deres, er systemet. Kapittel V i forordningen (artikkel 51–56) handler om modellene. Systemene behandles som andre KI-systemer: etter risikonivå, og etter åpenhetsreglene i artikkel 50 når de samhandler med mennesker eller lager innhold.

Kommisjonens retningslinjer gir en tommelfingerregel: en modell som er trent med mer enn 10^23 flyttallsoperasjoner og kan generere tekst, lyd, bilder eller video, er trolig en GPAI-modell. Det er et filter, ikke en absolutt grense. Det avgjørende er om modellen har betydelig generalitet. Hvordan GPAI-reglene passer inn i resten av regelverket, står i guiden til KI-forordningen.

Pliktene i artikkel 53 for alle GPAI-leverandører

Unntaket for åpen kildekode gjelder modeller med fri lisens og offentlig tilgjengelige vekter, arkitektur og bruksinformasjon. Leverandører utenfor EU må utnevne en autorisert representant i EU før modellen gjøres tilgjengelig der (artikkel 54). Artikkelteksten finner dere på artificialintelligenceact.eu, og den gjeldende versjonen på EUR-Lex (konsolidert tekst).

Systemisk risiko og artikkel 55

En modell har systemisk risiko når den har såkalte høypåvirkningsevner. Etter artikkel 51 antas det når den samlede regnekraften brukt til trening overstiger 10^25 flyttallsoperasjoner. Kommisjonen kan også peke ut modeller etter andre kriterier i vedlegg XIII, som antall brukere. Leverandøren må varsle Kommisjonen innen to uker etter at terskelen er nådd, og kan argumentere for at modellen likevel ikke har systemisk risiko.

I tillegg til artikkel 53 må leverandører av slike modeller:

• evaluere modellen med standardiserte metoder, inkludert motstandstesting (adversarial testing),
• vurdere og redusere mulige systemiske risikoer på EU-nivå,
• registrere og rapportere alvorlige hendelser til KI-kontoret uten unødig opphold,
• sikre et tilstrekkelig nivå av cybersikkerhet for modellen og infrastrukturen.

Dette treffer i praksis noen få store, internasjonale modellutviklere. Norske forsknings- og språkmiljøer som publiserer egne språkmodeller, kan være GPAI-leverandører under terskelen for systemisk risiko.

Atferdskodeksen for GPAI

Artikkel 56 åpner for atferdskodekser som leverandørene kan bruke for å vise at de etterlever reglene inntil harmoniserte standarder finnes. Kodeksen for KI-modeller for allmenne formål ble publisert 10. juli 2025 og har tre kapitler: åpenhet (med et dokumentasjonsskjema), opphavsrett og sikkerhet (det siste gjelder bare modeller med systemisk risiko).

Per oktober 2026 har blant andre Amazon, Anthropic, Google, IBM, Microsoft, Mistral AI og OpenAI signert. Meta takket nei i juli 2025, og xAI signerte bare sikkerhetskapittelet. Listen oppdateres fortløpende på Kommisjonens sider. Å signere er frivillig, men de som signerer, kan bruke kodeksen som dokumentasjon, mens andre må vise etterlevelse på andre måter.

For en norsk innkjøper er listen nyttig. Bruker dere en modell fra en leverandør som har signert, er det enklere å få den dokumentasjonen dere trenger. Spør etter den i leverandørvurderingen.

Viktige datoer for GPAI

Hvordan GPAI-datoene henger sammen med høyrisiko og åpenhet, ser dere i tidslinjen for KI-forordningen.

Tilsyn: KI-kontoret og Kommisjonen – og hva med Norge?

GPAI-leverandører har ett tilsyn i EU: Kommisjonen via KI-kontoret (AI Office), ikke nasjonale myndigheter. Kommisjonen kan kreve dokumentasjon, evaluere modeller med uavhengige eksperter og kreve tiltak som risikoreduksjon eller tilbaketrekking. Etter artikkel 101 kan den ilegge bøter på inntil 15 millioner euro eller 3 prosent av global årsomsetning, det høyeste av de to. Digital Omnibus ga KI-kontoret i tillegg eksklusivt tilsyn med KI-systemer bygd på en GPAI-modell fra samme leverandør eller konsern.

Akkurat dette er et av de vanskelige punktene i EØS-arbeidet. Norge kan ikke uten videre la en EU-institusjon føre tilsyn med norske selskaper, og regjeringen har derfor pekt på behov for egne EØS-tilpasninger. Per oktober 2026 er det ikke avklart hvordan GPAI-tilsynet blir organisert for Norge. Se status for KI-loven og EØS-innlemmelsen. En norsk modellutvikler som gjør modellen tilgjengelig i EU, er uansett omfattet i EU nå.

Hva betyr det om dere bare bruker ChatGPT, Copilot eller Gemini?

De fleste norske virksomheter trener ikke egne grunnmodeller. Kaller dere en modell via API eller bruker en ferdig assistent, ligger pliktene i kapittel V hos modellleverandøren. Deres posisjon er som regel en av disse:

• Idriftsetter av et KI-system. Dere må treffe tiltak for KI-kompetanse, og hvis bruken er høyrisiko, for eksempel å sortere jobbsøknader, gjelder pliktene for idriftsettere i artikkel 26. Se hva KI-kompetanse krever av de ansatte.
• Leverandør av eget KI-system. Bygger dere en kundeservice-chatbot på en GPAI-modell og tilbyr den under eget navn, er dere leverandør av systemet, og artikkel 50 krever at brukerne får vite at de snakker med en KI.
• Mulig modellleverandør. Finjusterer dere en modell betydelig og gjør den tilgjengelig for andre, kan dere bli leverandør av en endret modell. Kommisjonens retningslinjer setter terskelen ved en tredjedel av regnekraften som ble brukt til å trene den opprinnelige modellen.

Det praktiske arbeidet for en brukerorganisasjon handler om leverandørvurdering, avtaler, regler for de ansatte og en oversikt over hvilke modeller som brukes hvor. Med Opsios gratis vurdering av KI-styring får dere blant annet en sjekkliste for KI-leverandører skrevet ut fra svarene deres. Trenger dere hjelp med selve driften av KI-plattformene, se administrert KI-støtte.

Ofte stilte spørsmål

Hva betyr GPAI?

GPAI er en forkortelse for «general-purpose AI», som i KI-forordningen betyr KI-modeller for allmenne formål. Det er modeller som kan løse mange ulike oppgaver og bygges inn i mange systemer, typisk store språkmodeller og bildemodeller. Forordningen regulerer modellene i kapittel V, atskilt fra systemene som bygger på dem.

Er vi GPAI-leverandør hvis vi bruker ChatGPT i bedriften?

Nei. Bruker dere en modell via abonnement eller API, er dere normalt idriftsetter av et KI-system, eller leverandør av et eget system hvis dere bygger noe under eget navn. GPAI-pliktene ligger hos den som har utviklet modellen og gjort den tilgjengelig, for eksempel OpenAI, Microsoft eller Google.

Gjelder GPAI-reglene i Norge?

Ikke før KI-forordningen er tatt inn i EØS-avtalen og KI-loven er vedtatt. GPAI-tilsynet krever en egen EØS-tilpasning fordi det ligger hos Kommisjonen. En norsk leverandør som gjør en modell tilgjengelig i EU, er likevel omfattet av EU-reglene allerede nå.

Hva er atferdskodeksen for GPAI?

Det er en frivillig kodeks publisert 10. juli 2025 med kapitler om åpenhet, opphavsrett og sikkerhet. Leverandører som signerer, kan bruke den til å vise at de oppfyller artikkel 53 og 55. De fleste store modellleverandørene har signert, men ikke alle. Listen oppdateres på Kommisjonens nettsider.

Hva er straffen for brudd på GPAI-reglene?

Kommisjonen kan ilegge leverandører av KI-modeller for allmenne formål bøter på inntil 15 millioner euro eller 3 prosent av global årsomsetning, det høyeste beløpet, etter artikkel 101. Denne myndigheten gjelder fra 2. august 2026.

Få kontroll på modellene dere bruker

GPAI-reglene treffer få direkte, men alle som bruker KI-modeller, trenger orden på leverandører, avtaler og interne regler. Med gratis maler for KI-policy og KI-styring fra Opsio svarer dere på spørsmål i fjorten steg, rundt 40 minutter, og får fire dokumenter skrevet ut fra svarene: retningslinjer for bruk av KI, et rammeverk for KI-styring, en sjekkliste for KI-leverandører og en mal for risikovurdering, pluss et modenhetsbilde. Spørsmålene er på norsk, dokumentene kommer på engelsk som Word-filer dere kan endre. Gratis og uten forpliktelser.

Denne artikkelen er generell informasjon og ikke juridisk rådgivning. Kontroller den konsoliderte teksten til forordning (EU) 2024/1689 slik den er endret ved forordning (EU) 2026/1744, og følg med på regjeringen.no for status for KI-loven og EØS-innlemmelsen. Opplysningene gjelder per oktober 2026.