Inleiding: het einde van black boxes in Europa?
Sinds de snelle opkomst van LLM’s eind 2022 zijn Europese toezichthouders zich bewust geworden van een grote lacune in de regelgeving: het ontbreken van duidelijke informatie over de werking van zogenaamde « algemene » AI-modellen of GPAI (General-Purpose AI Models). Het resultaat? Een race tegen de klok om hun ontwerp, uitrol en vooral… hun transparantie juridisch te reguleren.
Op 10 juli 2025 publiceerde het AI Office de definitieve versie van de Praktijkcode GPAI, een vrijwillig instrument dat is opgebouwd rond drie pijlers: transparantie, auteursrecht en veiligheid. De bijbehorende verplichtingen worden juridisch van toepassing vanaf 2 augustus 2025, op grond van de artikelen 53 en 55 van de AI-verordening. Aanbieders die al modellen op de markt hebben, krijgen een overgangsperiode tot 2 augustus 2027. Grote spelers zoals Google, OpenAI en Anthropic hebben de Praktijkcode ondertekend om te profiteren van erkende naleving, terwijl sommige bedrijven (Meta, xAI) de voorwaarden gedeeltelijk of volledig hebben afgewezen.
Deze bepalingen vereisen gestandaardiseerde technische documentatie over de doelstellingen van het model, de trainingsgegevens, de prestatiemetrieken en de bekende beperkingen — via twee afzonderlijke instrumenten (Bijlage XI voor autoriteiten, Bijlage XII voor integratoren).
Voor het professionele publiek (bedrijven of autoriteiten) wordt deze transparantie geconcretiseerd door een « Model Card »-dossier:
-
Technisch formulier (Bijlage XI): technische documentatie voor aanbieders van AI-modellen voor algemeen gebruik
-
Informatieblok (Bijlage XII): technische documentatie voor aanbieders van AI-modellen voor algemeen gebruik bestemd voor downstream-aanbieders die het model in hun AI-systeem integreren
Voor werkelijk open source-modellen (gewichten, code, architectuur en informatie over het gebruik van het model) is een vrijstelling voorzien op grond van artikel 53, lid 2, tenzij het model een systeemrisico vormt.
Let op: deze vrijstelling betreft uitsluitend de technische documentatie maar niet de documentatie met betrekking tot trainingsgegevens en auteursrecht!
Maar laten we eerst de basis herhalen: de AI-verordening definieert niet het begrip model (dat zou kunnen worden omschreven als een autonome software-entiteit, getraind, in staat om inferenties te genereren op basis van wiskundige criteria) maar wel dat van een AI-model voor algemeen gebruik (GPAIM Art. 3, lid 63): « een AI-model, ook wanneer een dergelijk AI-model is getraind met behulp van een grote hoeveelheid gegevens met behulp van zelfsupervisie op schaal, dat aanzienlijke algemeenheid vertoont en in staat is om op competente wijze een breed scala aan verschillende taken uit te voeren, ongeacht de wijze waarop het model in de handel wordt gebracht, en dat kan worden geïntegreerd in diverse downstream-systemen of -toepassingen, met uitzondering van AI-modellen die worden gebruikt voor onderzoek, ontwikkeling of prototypingactiviteiten voordat zij in de handel worden gebracht ».
Nu dit onderscheid is gemaakt, wat zijn de implicaties voor deze GPAI?
Waarom deze transparantie onmisbaar is geworden
-
Verantwoording van de aanbieder — gedaan met het « black box-model »: de aanbieder moet de rol aannemen van informatieve partner voor professionele integratoren, wat de opkomst van de accountability by design-standaard weerspiegelt.
-
Sectorale naleving — net als de handleiding van kritieke apparatuur worden deze kaarten (Model Card) essentieel voor overheden of bedrijven die externe AI-componenten integreren in hun producten, diensten of activiteiten.
-
Voldoen aan governance-verwachtingen — bepaalde organisaties (publiek of privaat) nemen deze elementen al op in hun criteria voor markttoegang (bijv. DPIA of technische specificaties). Het bieden van duidelijke documentatie wordt zo een hefboom voor vertrouwen en een voorwaarde voor toegang tot bepaalde markten.
Wat is een conforme « Model Card »?
De Praktijkcode GPAI, gepubliceerd door het AI Office in juli 2025, stelt een gevalideerd sjabloon voor om de vereiste documentatie te structureren (Maatregel 1.1). Dit sjabloon moet worden bijgewerkt met eventuele opeenvolgende versies, met verplichte archivering gedurende 10 jaar na het in de handel brengen.
Moet bevatten:
-
Informatie voor autoriteiten (Bijlage XI):
-
Beschrijving van het model (versie, ontwikkelaar, doel, architectuur).
-
Trainingsgegevens: bronnen, licenties, maatregelen tegen poisoning of illegale scraping.
-
Evaluatieresultaten (metrieken, bekende vooroordelen, adversarial robustness).
-
Incident- en risicobeheer.
-
-
Informatie voor integratoren (Bijlage XII):
-
Belangrijkste mogelijkheden en operationele beperkingen.
-
Aanbevelingen voor menselijk toezicht, afgeraden prompts, « buiten bereik »-vooroordelen.
-
Gebruiksdomeinen (bijv. gezondheidszorg, financiën) en te vermijden gevallen.
-
Technische beste praktijken:
-
Vermeld de gebruikte testdatasets (benchmarks, arbitrage).
-
Meld storingen (bijv. verkeerd geïnterpreteerde zinnen, typische hallucinaties).
-
Beschrijf beperkingen rond prompt-injectie of contaminatievectoren.
Hoe bedrijven en autoriteiten zich moeten voorbereiden
1. Voorbereidende analyse
-
Stel vast of uw model een GPAI is (cf. Art. 3, lid 63).
-
Breng de beoogde downstream-toepassingen in kaart en definieer een documentatieketen.
2. Opbouw van een documentair governance-model
-
Gebruik het officiële sjabloon van het AI Office.
-
Raadpleeg de « Model Card Regulatory Check »-tool van de OESO om juridische/technische checklists te standaardiseren.
3. Interne juridisch-technische coördinatie
-
Werk in een tandem jurist / R&D-team: data, architecturen, fraudedetectie, gebruikscatalogi (bij voorkeur use-case cards geïnspireerd op het UML / AI Cards-model).
4. Revisiecyclus: beveiliging & kwaliteitscontrole
-
Het is ook noodzakelijk om de kwaliteit van de informatie te handhaven, teneinde de traceerbaarheid, integriteit en consistentie van de vastgelegde gegevens te waarborgen — met name door middel van versiebeheer, hash-vingerafdrukcontroles en interne logging.
Dit « Model Card »-dossier is nu de hoeksteen voor elk AI-model voor algemeen gebruik dat voldoet aan het Europese regime. Reglementaire technische documentatie (Bijlagen XI/XII) weerspiegelt niet langer een vrijwillige praktijk: het is een noodzaak voor elke professionele aanbieder of overheidsinstantie.
Hier vindt u het sjabloon om u te helpen bij uw nalevingsinspanningen.
Als gespecialiseerd advocatenkantoor kan Lawgitech u bijstaan bij:
-
Het beheren van de audit van uw bestaande documentatie
-
Het mede-ontwerpen van de modelversie (beheer van vertrouwelijke informatie)
-
Het opleiden van uw teams (technisch + juridisch) over de documentatieketen
-
U ondersteunen bij verzoeken van het AI Office of de nationale autoriteit