1. GPAI-modeller med systemisk risiko: det skærpede compliance-spor
EU AI Act (forordning EU 2024/1689) introducerer et todelt forpligtelsesregime for udbydere af såkaldte GPAI-modeller — General Purpose AI-modeller. På dansk kan man oversætte det til "almene AI-modeller" eller "foundation models": store, forudtrænede modeller der kan anvendes til et bredt spektrum af opgaver og integreres i mange forskellige systemer og produkter.
Alle GPAI-udbydere er underlagt et basissæt af krav i artikel 53. Men forordningen går et afgørende skridt videre: udbydere hvis modeller vurderes at udgøre en *systemisk risiko* — typisk de allermest kapacitetsrige modeller på markedet — er underlagt en hel ekstra kategori af forpligtelser i artikel 54 og 55.
Det er dette skærpede compliance-spor, som store europæiske virksomheder og tech-firmaer der bygger produkter ovenpå foundation models, skal forstå i dybden. Artiklen her gennemgår forpligtelserne struktureret, fra tærsklerne i artikel 51 over basiskravene i artikel 53 til de udvidede krav i artikel 54 og 55 — herunder adversarial testing, cybersikkerhed og hændelsesrapportering til EU AI Office.
2. Tærsklen for systemisk risiko: 10²⁵ FLOPs og EU AI Office-designationen
Hvornår klassificeres en GPAI-model som havende "systemisk risiko"? Svaret finder man i artikel 51 i EU AI Act.
Den kvantitative tærskel er udtrykt i FLOPs (floating-point operations): en GPAI-model formodes at udgøre systemisk risiko, hvis den er trænet med en beregningskraft der overstiger 10²⁵ FLOPs kumulativt. Dette tal er fastsat i forordningens artikel 51, stk. 1, litra a, og den gældende delegerede retsakt.
For at give en praktisk reference: GPT-4 estimeres af uafhængige analytikere til at være trænet i størrelsesordenen 10²⁴–10²⁵ FLOPs, mens de nyeste frontier-modeller ligger klart over tærsklen. Det er altså primært de mest avancerede kommercielle modeller fra de store AI-laboratorier — OpenAI, Google DeepMind, Anthropic, Meta og tilsvarende — der rammer tærsklen.
EU AI Office kan derudover, jf. artikel 51, stk. 1, litra b, selvstændigt *designe* en model til at have systemisk risiko, selv hvis den ikke overstiger FLOPs-tærsklen, hvis kontoret vurderer at modellens kapaciteter udgør et systemisk risikopotentiale. Denne skønsmæssige beføjelse sikrer, at tærsklen ikke omgås ved at træne på "lidt færre" FLOPs men med mere effektive metoder.
Konsekvensen er klar: enhver udbyder der markedsfører eller stiller en GPAI-model til rådighed i EU, og som nærmer sig eller overskrider tærsklen, skal allerede under modeludviklingen forberede sig på forpligtelserne i artikel 54 og 55 — ikke vente til en formel designation.
3. Art. 53: basiskrav for alle GPAI-udbydere
Artikel 53 i EU AI Act stiller krav til *alle* udbydere af GPAI-modeller, uanset om modellen har systemisk risiko eller ej. Det er et grundlag, enhver europæisk virksomhed der træner eller distribuerer en GPAI-model, skal overholde fra august 2025 (den dato hvor GPAI-kapitel-forpligtelserne trådte i kraft).
Basiskravene i artikel 53 omfatter:
a) Teknisk dokumentation. Udbyderen skal udarbejde og vedligeholde teknisk dokumentation i overensstemmelse med bilag XI (artikel 53, stk. 1, litra a). Dokumentationen skal indeholde oplysninger om modellens arkit