Publikacje

Modele ogólnego przeznaczenia (GPAI) to fundamenty współczesnych systemów AI. Choć same nie trafiają do użytkowników, to determinują działanie aplikacji i usług. Z tego powodu unijny prawodawca zdecydował się objąć GPAI osobnym reżimem prawnym, nakładając na ich dostawców szczególne obowiązki. Regulacje te dotyczą także procesu fine-tuningu, czyli dostosowywania modeli ogólnych do konkretnych zastosowań. W niniejszym artykule wyjaśniamy, czym są GPAI, jakie obowiązki wynikają z nowych przepisów oraz jak prawo traktuje fine-tuning.

Czym jest GPAI?

GPAI, czyli model AI ogólnego przeznaczenia (ang. general purpose AI model), został zdefiniowany w art. 3 pkt 63 AI Act (AIA). Jest to model trenowany na dużych zbiorach danych, który wykazuje znaczną ogólność i potrafi realizować szeroki zakres zadań. Co istotne, GPAI nie jest systemem AI w rozumieniu art. 3 pkt 1 AIA. Jak wskazano w motywie 97 AIA, modele te stanowią jedynie rdzeń systemów AI i nie zawierają elementów umożliwiających ich bezpośrednie wykorzystanie przez użytkowników końcowych, takich jak interfejsy użytkownika. Typowym przykładem GPAI są tzw. duże modele językowe (ang. large language models), np. GPT-4o.

Obowiązki dostawców GPAI

Rozróżnienie GPAI od systemów AI pozwala prawodawcy unijnemu na przypisanie im odrębnych obowiązków, ujętych w rozdziale V AIA (art. 51–55). Zgodnie z kryterium obowiązków prawnych, należy rozróżnić dwa rodzaje GPAI:

• GPAI stwarzające ryzyko systemowe – czyli takie, które ze względu na swój zasięg mogą wywoływać poważne skutki dla zdrowia, bezpieczeństwa publicznego oraz praw podstawowych w całym łańcuchu wartości,
• GPAI bez ryzyka systemowego.

Do GPAI stwarzających ryzyko systemowe zalicza się modele, które spełniają co najmniej jeden z następujących warunków:

• mają zdolność dużego oddziaływania[1] ocenianą na podstawie narzędzi i metodologii;
• Komisja Europejska wyda decyzję, że system ma zdolność dużego oddziaływania,
• były trenowane z wykorzystaniem liczby operacji zmiennoprzecinkowych[2] przekraczającej 10²⁵.

Dostawca modelu jest zobowiązany poinformować Komisję Europejską o spełnieniu któregokolwiek z powyższych warunków, ale może próbować wykazać, że model mimo to nie stwarza ryzyka systemowego. W razie uznania go za ryzykowny, zostaje on wpisany do publicznego wykazu GPAI o ryzyku systemowym, prowadzonego i aktualizowanego przez KE.

Dostawcy GPAI bez ryzyka systemowego muszą:

• przygotować i aktualizować dokumentację techniczną, obejmującą m.in. proces trenowania, testowania i walidacji (obowiązek nie dotyczy modeli open source),
• udostępniać dokumentację techniczną dostawcom systemów AI, którzy integrują GPAI ze swoimi systemami (również z wyłączeniem modeli open source),
• wdrożyć politykę zgodności z prawem UE, w szczególności w zakresie prawa autorskiego i praw pokrewnych,
• publikować szczegółowe streszczenie treści wykorzystywanych do trenowania modelu.

Z kolei dostawcy GPAI z ryzykiem systemowym mają dodatkowe obowiązki, w związku z którymi muszą:

• ocenić model według aktualnych standardów technicznych, w tym przez kontradyktoryjne testy wykrywające ryzyko systemowe i sposoby jego ograniczenia,
• ograniczać ryzyko systemowe na poziomie UE, niezależnie od etapu rozwoju, wdrożenia czy wykorzystania modelu,
• zgłaszać poważne incydenty oraz środki naprawcze do Urzędu ds. AI i właściwych organów krajowych, bez zbędnej zwłoki,
• zapewnić wysoki poziom cyberbezpieczeństwa dla modelu i jego infrastruktury fizycznej.

Fine-tuning GPAI

Fine-tuning, czyli dostrajanie GPAI, polega na przystosowaniu wcześniej wytrenowanego modelu bazowego do realizacji określonych zadań, bez konieczności budowania modelu od zera. W procesie tym wykorzystuje się zwykle mniejsze, ale bardziej dopasowane zbiory danych. Model zachowuje przy tym wiedzę z pierwotnego treningu, a zyskuje nowe kompetencje, np. w zakresie generowania unikalnych treści.

Fine-tuning a AIA

AIA wyraźnie odnosi się do procesu fine-tuningu. Jak podkreślono w motywie 109 AIA, obowiązki dostawcy GPAI powinny dotyczyć wyłącznie zakresu zmian wprowadzonych przez dostrajanie. Podmiot, który dokonuje fine-tuningu, może być uznany za dostawcę, ale tylko w odniesieniu do tego konkretnego rozwinięcia modelu. Zgodnie z art. 3 pkt 3 AIA, dostawcą jest każdy, kto rozwija model AI ogólnego przeznaczenia, a rozwijanie to należy rozumieć jako każdą modyfikację wpływającą na jego funkcjonalność. Oznacza to, że podmiot dokonujący fine-tuningu staje się de facto dostawcą „nowego” modelu, w związku z czym musi spełnić odpowiednie wymogi regulacyjne, np. uzupełniając dokumentację techniczną o informacje dotyczące zmian. Takie stanowisko potwierdziła również Europejska Rada Ochrony Danych (EROD) w Opinii 44/2023[3], a także KE w odpowiedziach na pytania dotyczące GPAI[4]. Podkreślono w nich, że podmioty ponownie trenujące wcześniej wytrenowane modele AI są traktowani jako ich dostawcy, jednak wyłącznie w zakresie wprowadzonych zmian.

Zakres regulacyjny i konsekwencje dla praktyki

Regulacje zawarte w AIA wskazują na wagę, jaką UE przypisuje modelom ogólnego przeznaczenia – zarówno ze względu na ich rolę infrastrukturalną, jak i potencjalne zagrożenia. Wyraźne odróżnienie GPAI od systemów AI umożliwia lepsze przypisanie obowiązków regulacyjnych. Dodatkowo, wyodrębnienie modeli stwarzających ryzyko systemowe pozwala na proporcjonalne zwiększenie wymagań wobec ich dostawców.

Istotne jest również objęcie regulacją procesu fine-tuningu. Choć nie prowadzi on do powstania nowego modelu w sensie technicznym, może znacząco zmieniać sposób wykorzystania GPAI i jego wpływ na użytkownika końcowego.

Podmioty zaangażowane w rozwój, modyfikację i wdrażanie takich modeli powinny weryfikować, czy – i w jakim zakresie – ich działania podlegają przepisom AIA. Prawidłowa kwalifikacja tych obowiązków przesądzi o zgodności z prawem i odpowiedzialności dostawców, podmiotów dostosowujących modele oraz ich stosujących.

 

[1] Zdolność dużego oddziaływania oznacza zdolności, które dorównują zdolnościom zapisanym w najbardziej zaawansowanych modelach AI ogólnego przeznaczenia lub je przewyższają.

[2] Operacja zmiennoprzecinkowa oznacza operację matematyczną lub zadanie z wykorzystaniem liczb zmiennoprzecinkowych, które stanowią podzbiór liczb rzeczywistych zwykle przedstawianych na komputerach przez liczbę całkowitą o stałej dokładności przeskalowaną przez całkowity wykładnik stałej podstawy systemu liczbowego.

[3] https://www.edps.europa.eu/system/files/2023-10/2023-0137_d3269_opinion_en.pdf.

[4] https://digital-strategy.ec.europa.eu/en/faqs/general-purpose-ai-models-ai-act-questions-answers.