Vad är en GPAI-modell?

När AI-förordningen (AI Act) diskuteras dyker begreppet GPAI upp snabbt, ofta utan att det förklaras. Det är värt att reda ut, för det avgör vem som bär vilket ansvar när du bygger på en stor AI-modell. Kortsvaret: det mesta av bördan ligger hos den som byggt modellen, inte hos dig som använder den – men du har ett eget ansvar som är lätt att missa.

Vad GPAI betyder

GPAI står för general-purpose AI, generell AI, och definieras i AI-förordningens artikel 3. Det är en modell som tränats brett på stora datamängder och som kan användas för många olika uppgifter – att skriva text, sammanfatta, klassificera, koda och mycket annat – snarare än en modell byggd för en enda avgränsad funktion.

De stora språkmodellerna bakom tjänster som Copilot är typiska GPAI-modeller. Poängen med kategorin är att förordningen lägger särskilda skyldigheter på just den som bygger och tillhandahåller en sådan modell, eftersom den blir en byggsten i väldigt många nedströms-tillämpningar.

Rollfördelningen: byggare kontra användare

Det här är kärnan, och det som oftast missförstås. Ansvaret är delat mellan två roller.

Modellbyggaren – leverantören – bär GPAI-skyldigheterna i förordningens kapitel V. De omfattar bland annat teknisk dokumentation, information till nedströms-utvecklare och en policy för upphovsrätt. De här skyldigheterna gäller sedan den 2 augusti 2025.

Du som använder modellen i din verksamhet är i stället driftansvarig (deployer) enligt artikel 26. Din börda handlar om hur du använder systemet: mänsklig tillsyn, att följa leverantörens instruktioner och att inte ta systemet utanför dess avsedda syfte. Det centrala att förstå är att leverantörens GPAI-börda inte följer med när du köper åtkomst – men ditt eget driftansvar tillkommer. Två olika roller, två olika ansvarsområden.

Sanktionslogiken

Vem betalar om något går fel på modellnivå? Även här är svaret uppdelat. Enligt artikel 101 kan en GPAI-leverantör som bryter mot förordningen bötfällas med upp till 15 miljoner euro eller 3 procent av global årsomsättning, beroende på vilket belopp som är högst.

Den sanktionen träffar leverantören, inte kunden. Ett brott mot GPAI-skyldigheterna är leverantörens ansvar, och det är leverantören som riskerar boten. Det betyder inte att du är fri från allt ansvar – ditt driftansvar enligt artikel 26 har sina egna regler – men bördan för själva modellens efterlevnad ligger inte på ditt bord.

Systemrisk och den oklara klassningen

En delmängd av GPAI-modellerna klassas som modeller med systemrisk. Tröskeln bygger på hur mycket beräkningskraft som lagts på träningen: passerar modellen en viss nivå bedöms den kunna få särskilt stor samhällspåverkan och får då skärpta krav.

Problemet i praktiken är att officiell klassning kan saknas eller dröja för en enskild modell. Då står du utan besked om vilken kravnivå som gäller. Ett konkret scenario: ni vill bygga på en av de allra största modellerna men hittar ingen tydlig klassning. Den pragmatiska hållningen är att betrakta en frontier-modell som sannolik GPAI med systemrisk tills klassningen är klar. Bygger du din dokumentation för det högre kravet från start slipper du efterhandsjustera om bedömningen till slut landar strängt.

Vilka som är GPAI-leverantörer i din stack

För att göra det konkret: i en Copilot- eller Foundry-stack är GPAI-leverantörerna de som bygger själva grundmodellerna. Det är OpenAI, Anthropic, Google och Mistral för sina respektive modeller, och Microsoft för sina egna. Samma bolag kan uppträda i flera roller – både som modellbyggare och som plattform som driftar modellen – men GPAI-skyldigheterna knyts till rollen som byggt modellen.

För dig som köpare betyder det två saker. Kartlägg vem som är modellbyggare bakom varje tjänst du använder, så att du vet var kapitel V-ansvaret ligger. Och håll ordning på ditt eget driftansvar enligt artikel 26, för det är din del oavsett hur ansvarsfull leverantören är. Vill du ha hjälp att reda ut rollerna i en konkret AI-lösning kan du läsa mer om vårt arbete med AI eller höra av dig.