GPAI: modele AI ogólnego przeznaczenia w AI Act – obowiązki

GPAI to w AI Act modele AI ogólnego przeznaczenia, czyli duże modele, na których buduje się czaty, asystentów i narzędzia generatywne. Ich dostawcy od 2 sierpnia 2025 r. muszą prowadzić dokumentację techniczną, informować firmy budujące na modelu, mieć politykę praw autorskich i publikować streszczenie danych treningowych. Firma korzystająca z modelu przez API zwykle nie jest dostawcą GPAI.

Najważniejsze informacje

• Model AI ogólnego przeznaczenia (art. 3 pkt 63) to „silnik”, np. duży model językowy. Aplikacja zbudowana na takim modelu to osobny system AI i podlega osobnym regułom.
• Obowiązki z art. 53 dotyczą każdego dostawcy modelu GPAI. Modele z ryzykiem systemowym (domniemanie przy treningu powyżej 10^25 operacji zmiennoprzecinkowych) mają dodatkowe obowiązki z art. 55.
• Przepisy stosuje się od 2 sierpnia 2025 r. Modele wprowadzone do obrotu wcześniej mają czas do 2 sierpnia 2027 r.
• Kodeks praktyk dla GPAI z lipca 2025 r. jest dobrowolny, ale podpisała go większość dużych dostawców modeli.
• Nadzór nad modelami sprawuje Komisja Europejska przez Urząd ds. AI, a nie polska KRiBSI. Kary do 15 mln euro lub 3% światowego obrotu Komisja może nakładać od 2 sierpnia 2026 r.

Co to jest GPAI i czym różni się od systemu AI?

Skrót GPAI pochodzi od angielskiego general-purpose AI. Oficjalny polski tekst rozporządzenia (UE) 2024/1689 posługuje się pojęciem model AI ogólnego przeznaczenia. Według art. 3 pkt 63 jest to model trenowany dużą ilością danych, najczęściej z wykorzystaniem nadzoru własnego na dużą skalę, który wykazuje znaczną ogólność i potrafi kompetentnie wykonywać szeroki zakres różnych zadań. Taki model można zintegrować z wieloma systemami i aplikacjami niższego szczebla.

W praktyce najłatwiej odróżnić dwie warstwy. Model to silnik: GPT, Claude, Gemini, Llama czy polskie modele językowe, takie jak PLLuM rozwijany z udziałem Ministerstwa Cyfryzacji albo Bielik tworzony przez społeczność SpeakLeash. System AI ogólnego przeznaczenia to produkt zbudowany na modelu, na przykład czat z interfejsem, filtrami bezpieczeństwa i integracjami. AI Act reguluje te warstwy osobno. Modelom poświęcony jest rozdział V (art. 51–56). Systemy ocenia się tak jak każdy inny system AI: według poziomu ryzyka i, jeśli rozmawiają z ludźmi albo generują treści, według obowiązków przejrzystości z art. 50.

Wytyczne Komisji Europejskiej podają orientacyjny próg: model trenowany z użyciem ponad 10^23 operacji zmiennoprzecinkowych, który generuje język (tekst lub dźwięk) albo obraz czy wideo z tekstu, prawdopodobnie jest modelem ogólnego przeznaczenia. To filtr wstępny, nie sztywna granica. Rozstrzyga to, czy model rzeczywiście wykazuje znaczną ogólność. Szersze tło całego rozporządzenia opisuje nasz przewodnik po AI Act.

Jeżeli organizacja nie trenuje własnych modeli, tylko z nich korzysta, jej obowiązki wynikają z przypadku użycia, a nie z rozdziału V. Dobrym punktem wyjścia jest uporządkowanie, kto w firmie i do czego używa AI. W tym pomaga bezpłatna ocena AI governance od Opsio: odpowiedzi na pytania pokazują, w jakiej roli występuje firma przy każdym zastosowaniu AI i co z tego wynika.

Art. 53: obowiązki każdego dostawcy modelu GPAI

Dostawca to podmiot, który rozwija model albo zleca jego rozwój i wprowadza go do obrotu pod własną nazwą lub znakiem towarowym, odpłatnie albo nieodpłatnie. Art. 53 nakłada na niego cztery podstawowe obowiązki.

Zwolnienie obejmuje modele udostępniane na bezpłatnej licencji otwartego oprogramowania, z publicznie dostępnymi wagami, architekturą i informacjami o użyciu. Dostawca spoza UE musi przed wprowadzeniem modelu na rynek unijny wyznaczyć upoważnionego przedstawiciela w Unii (art. 54); także tu modele otwarte bez ryzyka systemowego są zwolnione. Pełne brzmienie przepisów zawiera polska wersja rozporządzenia 2024/1689 w EUR-Lex.

Ryzyko systemowe: próg 10^25 FLOP i art. 55

Model ma ryzyko systemowe, jeśli ma zdolności dużego oddziaływania, czyli dorównuje najbardziej zaawansowanym modelom albo je przewyższa. Zgodnie z art. 51 domniemywa się to, gdy łączna moc obliczeniowa użyta do treningu przekracza 10^25 operacji zmiennoprzecinkowych. Komisja może też uznać model za systemowy na podstawie innych kryteriów z załącznika XIII, takich jak liczba użytkowników czy zasięg. Dostawca, którego model przekracza próg, ma dwa tygodnie na powiadomienie Komisji (art. 52) i może wykazywać, że mimo tego model nie stwarza ryzyka systemowego.

Ponad wymogi z art. 53 dostawca modelu z ryzykiem systemowym musi zgodnie z art. 55:

• przeprowadzać ewaluacje modelu według ustandaryzowanych protokołów, w tym testy kontradyktoryjne (red teaming);
• oceniać i ograniczać możliwe ryzyka systemowe na poziomie Unii;
• rejestrować poważne incydenty i działania naprawcze oraz bez zbędnej zwłoki zgłaszać je Urzędowi ds. AI, a w razie potrzeby organom krajowym;
• zapewnić odpowiedni poziom cyberbezpieczeństwa modelu i jego infrastruktury fizycznej.

Kodeks praktyk dla modeli ogólnego przeznaczenia

Art. 56 przewiduje kodeksy praktyk, którymi dostawcy mogą wykazywać zgodność, dopóki nie pojawią się normy zharmonizowane. Kodeks praktyk dla GPAI opublikowano 10 lipca 2025 r. po wieloetapowych konsultacjach. Ma trzy rozdziały: przejrzystość (z formularzem dokumentacji modelu), prawa autorskie oraz bezpieczeństwo i ochronę, przy czym ostatni dotyczy wyłącznie modeli z ryzykiem systemowym.

Według listy prowadzonej przez Komisję (stan na październik 2026 r.) sygnatariuszami są m.in. Amazon, Anthropic, Google, IBM, Microsoft, Mistral AI i OpenAI. xAI podpisało tylko rozdział o bezpieczeństwie, a Meta publicznie odmówiła podpisu w lipcu 2025 r. Lista jest aktualizowana na bieżąco, więc przed powołaniem się na nią warto sprawdzić stronę Komisji Europejskiej o kodeksie praktyk. Podpisanie kodeksu jest dobrowolne. Sygnatariusze mogą nim wykazywać zgodność, a pozostali dostawcy muszą to zrobić innymi środkami i liczyć się z większą liczbą zapytań.

Najważniejsze daty dla GPAI

Jak te daty łączą się z terminami dla systemów wysokiego ryzyka i przejrzystości, pokazuje artykuł AI Act – kiedy wchodzi w życie.

Kto nadzoruje modele: Urząd ds. AI, a co z KRiBSI?

Dostawców modeli ogólnego przeznaczenia nadzoruje centralnie Komisja Europejska za pośrednictwem Urzędu ds. AI. Na podstawie art. 91–94 może żądać dokumentacji i informacji, przeprowadzać ewaluacje modelu (także z pomocą niezależnych ekspertów) i żądać środków zaradczych, ograniczenia dostępności na rynku albo wycofania modelu. Panel naukowy niezależnych ekspertów może wydawać ostrzeżenia o ryzyku systemowym. Art. 101 pozwala Komisji nałożyć karę do 15 mln euro lub 3% całkowitego światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa.

Rozporządzenie (UE) 2026/1744, czyli Digital Omnibus, poszerzyło rolę Urzędu ds. AI. Ma on teraz wyłączny nadzór nad systemami AI zbudowanymi na modelu GPAI przez tego samego dostawcę lub grupę, a także nad AI zintegrowaną z bardzo dużymi platformami internetowymi i wyszukiwarkami. Szczegóły opisuje przegląd zmian wprowadzonych przez Digital Omnibus.

W Polsce organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), powołana ustawą z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji. Ustawa stosuje się co do zasady również do modeli ogólnego przeznaczenia, a do zadań KRiBSI należy współpraca z dostawcami modeli na warunkach z art. 53 ust. 3 AI Act. Kontrola samych modeli pozostaje jednak domeną Komisji Europejskiej. KRiBSI zajmie się przede wszystkim systemami budowanymi i używanymi na polskim rynku. Więcej o polskich przepisach zawiera artykuł ustawa o systemach sztucznej inteligencji i KRiBSI.

Co to oznacza dla firmy, która tylko korzysta z ChatGPT, Copilota czy Gemini?

Większość polskich firm nie trenuje modeli bazowych. Bank, który wdraża Microsoft 365 Copilot, sieć handlowa z czatem obsługi klienta czy software house używający asystenta kodowania korzystają z modeli przez API albo gotowe narzędzia. Obowiązki z rozdziału V spoczywają wtedy na dostawcy modelu. Pozycja takiej firmy zwykle wygląda tak:

• Podmiot stosujący system AI. Firma musi spełnić obowiązki zależne od zastosowania: wspierać kompetencje w zakresie AI personelu, a jeśli zastosowanie jest wysokiego ryzyka (np. preselekcja CV), także obowiązki z art. 26.
• Dostawca własnego systemu AI. Jeżeli firma buduje na modelu GPAI czat dla klientów i udostępnia go pod własną marką, jest dostawcą tego systemu. Wtedy art. 50 ust. 1 wymaga, by czat informował użytkowników, że rozmawiają z AI. Praktyczne przykłady opisuje artykuł o oznaczaniu treści AI i art. 50.
• Dostawca zmodyfikowanego modelu – rzadko. Kto istotnie dostraja albo modyfikuje model, może stać się dostawcą zmienionego modelu. Wytyczne Komisji wskazują, że chodzi o modyfikację wykorzystującą więcej niż jedną trzecią mocy obliczeniowej użytej do treningu pierwotnego modelu. Zwykłe dostrajanie na własnych danych zazwyczaj tego progu nie przekracza.

W relacji z dostawcą modelu warto zadbać o umowę. Należy sprawdzić, czy dostawca udostępnia dokumentację dla dostawców niższego szczebla, czy podpisał kodeks praktyk, gdzie przetwarzane są dane, czy dane firmy mogą trafić do treningu i jak wygląda wyjście z umowy. To również kwestia RODO: dane osobowe wpisywane do promptów to przetwarzanie, które wymaga podstawy prawnej i umowy powierzenia. Ryzyka narzędzi używanych bez wiedzy IT omawia tekst o shadow AI i rejestrze systemów AI.

Najczęściej zadawane pytania

Czy nasza firma jest dostawcą GPAI, jeśli korzysta z API OpenAI albo Anthropic?

Zazwyczaj nie. Dostawcą modelu ogólnego przeznaczenia jest firma, która model trenuje i wprowadza do obrotu. Korzystając z API, firma jest podmiotem stosującym albo dostawcą własnego systemu AI zbudowanego na modelu, na przykład czatu dla klientów pod własną marką. Obowiązki z art. 53 i 55 wtedy jej nie dotyczą, ale obowiązują przepisy zależne od zastosowania, w tym art. 4 i art. 50.

Od kiedy obowiązują przepisy o modelach AI ogólnego przeznaczenia?

Od 2 sierpnia 2025 r. dla modeli wprowadzanych do obrotu od tej daty. Modele, które były na rynku wcześniej, muszą spełnić wymogi do 2 sierpnia 2027 r. Uprawnienia Komisji Europejskiej do egzekwowania obowiązków i nakładania kar na dostawców GPAI stosuje się od 2 sierpnia 2026 r. Digital Omnibus tych terminów nie przesunął.

Czy polskie modele, takie jak PLLuM czy Bielik, podlegają AI Act?

AI Act nie robi wyjątków ze względu na kraj pochodzenia modelu. Jeśli model spełnia definicję modelu AI ogólnego przeznaczenia i jest wprowadzany do obrotu w UE, jego dostawca ma obowiązki z art. 53. Przy licencji otwartej, z publicznymi wagami, część obowiązków (dokumentacja, informacje dla dostawców niższego szczebla) nie ma zastosowania, chyba że model ma ryzyko systemowe.

Czy podpisanie kodeksu praktyk jest obowiązkowe?

Nie. Kodeks praktyk dla GPAI jest dobrowolny. Daje jednak dostawcom uznany sposób wykazania zgodności z art. 53 i 55, a Komisja zapowiedziała, że wobec sygnatariuszy skupi się na monitorowaniu przestrzegania kodeksu. Dostawca, który nie podpisał kodeksu, musi udowodnić zgodność w inny sposób i może spodziewać się szczegółowych zapytań Urzędu ds. AI.

Kto w Polsce kontroluje modele ogólnego przeznaczenia?

Modele GPAI nadzoruje Komisja Europejska przez Urząd ds. AI. Polska KRiBSI jest organem nadzoru rynku dla systemów AI i współpracuje z dostawcami modeli w zakresie przewidzianym w art. 53 ust. 3 AI Act. Jeśli firma buduje na modelu własny system i udostępnia go w Polsce, ten system podlega nadzorowi KRiBSI.

Porządek w korzystaniu z modeli AI w firmie

Największe ryzyko dla większości organizacji nie leży w rozdziale V, tylko w tym, jak pracownicy używają gotowych modeli: jakie dane wpisują, kto weryfikuje wyniki i które narzędzia są zatwierdzone. Wystarczy odpowiedzieć na pytania, by odebrać politykę AI oraz trzy dokumenty AI governance: ocena Opsio ma 14 kroków i zajmuje ok. 40 minut. Pytania są po polsku, a ramy zarządzania AI, polityka korzystania z AI, checklista weryfikacji dostawców AI i wzór oceny ryzyka AI powstają po angielsku jako edytowalne pliki Word. Za darmo i bez zobowiązań. Jeśli potrzebne jest wsparcie przy wdrożeniu, pomaga zespół doradztwa AI governance.

Ten artykuł ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Stan prawny na październik 2026 r. Przed podjęciem decyzji należy sprawdzić skonsolidowany tekst rozporządzenia (UE) 2024/1689 w brzmieniu zmienionym rozporządzeniem (UE) 2026/1744 oraz aktualną listę sygnatariuszy kodeksu praktyk.