Jeśli firma wdraża rozwiązanie oparte na modelu GPAI, pierwszym krokiem nie jest wybór promptów, lecz ustalenie, czy korzysta z modelu jako *deployer*, czy sama staje się dostawcą modelu. Według materiałów o AI Act, pełne obowiązki rozdziału V dotyczą podmiotu, który rozwija i wprowadza model GPAI do obrotu, a nie każdej firmy, która używa gotowego API w swoim procesie biznesowym.
W praktyce to rozróżnienie decyduje o tym, czy firma ma głównie obowiązki wdrożeniowe i organizacyjne, czy także obowiązki dokumentacyjne, copyrightowe i raportowe. Według regulation-ai.eu obowiązki dla GPAI zaczynają obowiązywać w UE od 2 sierpnia 2025 r., więc pytanie o rolę firmy trzeba zadać przed podpisaniem umowy z dostawcą.
Według dokumentacji opisującej art. 53 AI Act dostawca GPAI musi przygotować dokumentację techniczną, opisać metodologię trenowania, wyniki ewaluacji, zużycie energii oraz źródła danych. Ten sam zestaw źródeł wskazuje też na obowiązek udostępnienia downstream providerom informacji o możliwościach i ograniczeniach modelu, tak aby mogli go bezpiecznie zintegrować.
Drugim filarem jest prawo autorskie. Według regulation-ai.eu i serwisów prawniczych dostawca musi mieć politykę zgodności z prawem autorskim oraz opublikować publiczne podsumowanie treści użytych do trenowania modelu, na tyle konkretne, by uprawnieni mogli wykonywać swoje prawa. Jeżeli model uznaje się za model o ryzyku systemowym, dochodzą jeszcze znormalizowane ewaluacje, testy odpornościowe, ocena i ograniczanie ryzyk systemowych, zgłaszanie poważnych incydentów oraz odpowiednie cyberbezpieczeństwo.
Firma wdrażająca nie musi automatycznie spełniać obowiązków dostawcy GPAI, ale powinna sprawdzić, czy umowa i dokumentacja dają wystarczające informacje o modelu, jego ograniczeniach i warunkach użycia. Według źródeł prawniczych i technicznych oznacza to weryfikację, czy dostawca przekazuje dane potrzebne do bezpiecznej integracji, a także czy firma ma polityki korzystania z modelu zgodne z instrukcją producenta.
W obszarze operacyjnym firma wdrażająca powinna przygotować trzy rzeczy:
Według materiałów o AI Act sama integracja API zwykle nie czyni firmy dostawcą GPAI. Wyjątek pojawia się dopiero wtedy, gdy firma naprawdę modyfikuje model w zakresie, który może ją przesunąć do roli provider, na przykład przy bardzo głębokim fine-tuningu opisanym w jednej z analiz jako przekraczającym jedną trzecią training compute modelu pierwotnego.
Dla firmy wdrażającej najważniejsze jest więc nie tylko „czy model działa”, ale też „czy wiemy, kto odpowiada za dokumentację, licencje, incydenty i aktualizacje”. To właśnie od tej odpowiedzi zależy, jakie obowiązki trzeba wpisać do umowy, polityk bezpieczeństwa i procedur zakupowych.
Lub System pomaga firmom B2B wdrażać AI, automatyzację i rozwiązania IT kompleksowo - od strategii po wdrożenie. Zobacz nasze usługi lub skontaktuj się z nami, aby omówić Twój przypadek.