General-purpose AI-modellen: praktische gids voor SaaS-teams

General-purpose AI-modellen zijn relevant wanneer een productfunctie, interne workflow of leverancier afhankelijk is van een model dat veel verschillende taken in verschillende contexten kan uitvoeren. De praktische vraag is niet alleen of het model krachtig is. Het gaat erom of het bedrijf het model levert, integreert in een AI-systeem, downstream gebruikt of ervan afhankelijk is voor klantverplichtingen.

Onder de EU AI Act staan de kernverplichtingen in hoofdstuk V. Artikel 53 vraagt technische documentatie, informatie voor integratoren, een copyrightbeleid en een openbare samenvatting van trainingsinhoud. Artikel 55 voegt plichten toe voor modellen met systemisch risico, zoals evaluatie, risicobeperking, incidentmelding en cybersecurity. Artikel 51 beschrijft de classificatie van systemisch risico.

Waarom dit telt

Modelkeuze is niet alleen engineering. Het raakt productgedrag, klantdocumentatie, vendor risk, security review, privacy, copyright, auditbewijs en verkoopantwoorden.

De eerste taak is rolhelderheid. Een team dat een model via API gebruikt, is meestal geen modelprovider. Het kan wel provider zijn van een AI-systeem dat het model integreert, deployer, distributeur in bepaalde afspraken of SaaS-vendor die vragen moet beantwoorden over grenzen, veiligheid, privacy en wijzigingen.

Rollen in kaart brengen

Maak een lijst van alle modellen die het bedrijf gebruikt of aanbiedt: hosted APIs, open source, fine-tuned modellen, vendorfuncties, interne tools, copilots, supportassistenten en klantconfigureerbare workflows.

Leg per item naam, provider, versie, hosting, use case, owner, data, klantblootstelling, geografie, fine-tuning en directe of indirecte modelblootstelling vast.

Wijs daarna een rolhypothese toe: modelprovider, downstream provider van een AI-systeem, deployer, klant van een vendorfunctie of platform dat AI-gebruik door klanten mogelijk maakt.

Basisverplichtingen

Als het bedrijf een general-purpose AI-model levert, is artikel 53 het startpunt. De documentatie moet autoriteiten en integratoren helpen capaciteiten, beperkingen en verplichtingen te begrijpen.

Artikel 53 vraagt ook een copyrightbeleid en een voldoende gedetailleerde openbare samenvatting van trainingsinhoud. Sommige open-source modellen kunnen vrijgesteld zijn van bepaalde documentatieplichten, maar niet wanneer zij systemisch risico hebben.

Ook zonder eigen training moeten SaaS-teams leveranciers vragen naar technische documentatie, integratiedocumentatie, copyright, trainingssamenvatting, gebruiksbeperkingen, security en wijzigingsmeldingen.

Systemisch risico

Artikel 51 ziet op high-impact capabilities of een besluit van de Commissie. Meer dan 10^25 floating point operations voor training schept een vermoeden van high-impact capabilities.

Voor modellen met systemisch risico vereist artikel 55 evaluatie, adversarial testing, beheer van systemische risico's, melding van ernstige incidenten en cybersecurity. Downstream teams moeten vragen of het model zo is geclassificeerd en welk bewijs beschikbaar is.

Bewijspakket

Een praktisch pakket bevat modelinventaris, rollenkaart, use case, provider, versie, hosting, datacategorieen, klantblootstelling, toegestane en verboden gebruiken, vendorinformatie, copyright, security, privacy review, logging, monitoring, oversight, wijzigingsproces en fallbackplan.

Bij fine-tuning horen dataset, herkomst, privacybasis, evaluatie, beperkingen, tests, release approval en rollback. Bij klantfuncties horen productdocumentatie, trust center, goedgekeurde antwoorden en support runbooks.

FAQ

Waar dient deze governance voor?

Om te weten welke modellen het bedrijf gebruikt, welke rol het heeft, welk bewijs bestaat en wat er gebeurt als model, use case of juridische context verandert.

Wanneer geldt dit voor SaaS?

Wanneer het team een general-purpose AI-model levert, integreert, deployt, configureert, fine-tunet of ervan afhankelijk is.

Wat documenteer je eerst?

Modelinventaris en rollenkaart, daarna providerinformatie, use case, data, klanten, security, privacy, copyright, grenzen, monitoring en wijzigingen.