El Codi de bones pràctiques d'IA d'ús general (GPAI CoP) és una eina de compliment publicada per la Comissió Europea el 10 de juliol de 2025 per donar suport al compliment de la Llei d'intel·ligència artificial de la Unió Europea (Llei d'IA). Proporciona orientació operativa per als proveïdors de models d'IA d'ús general, en particular en relació amb els articles 53 i 55 de la Llei d'IA, que va entrar en aplicació el 2 d'agost de 2025.
El Codi s'organitza en tres capítols (Transparència, Drets d'autor i Seguretat) i descriu com els proveïdors poden complir amb les obligacions pertinents de la Llei.
Tot i que no és vinculant, els proveïdors poden confiar en l'adhesió al Codi, la qual cosa significa que els reguladors de la UE assumiran que els proveïdors que segueixen el Codi compleixen els requisits legals corresponents de la Llei d'IA. Per tant, els signataris del Codi es beneficiaran d'una reducció de les càrregues administratives i d'una major certesa jurídica en comparació amb els proveïdors que demostren el compliment d'altres maneres. Si bé l'adhesió al Codi és voluntària, el compliment de la Llei d'IA no ho és.
Rerefons La Llei d'IA de la UE, adoptada el 2024, va establir un règim regulador basat en el risc per a la intel·ligència artificial a la Unió Europea. La justificació del Comitè d'Actuació de la GPAI prové de l'article 56 de la Llei d'IA, que faculta l'Oficina d'IA de la UE per desenvolupar un manual de normes voluntari per orientar com els proveïdors de models d'IA poden complir les seves obligacions legals, concretament les que es troben als articles 53 i 55.
Segons els articles 53 i 55, els desenvolupadors de models d'IA d'ús general el càlcul d'entrenament dels quals superi les 1023 operacions de coma flotant (FLOP) i que es comercialitzin al mercat de la UE han de complir les obligacions de transparència i establir una política per a la legislació de drets d'autor de la UE.
Els models entrenats amb més de 1025 FLOP es classifiquen com a models que presenten risc sistèmic i estan subjectes a requisits de seguretat reforçats. La Comissió també pot designar un model com a model de risc sistèmic si té un impacte o unes capacitats equivalents (criteris de l'annex XIII), fins i tot per sota d'aquesta xifra de càlcul.
Com que la Llei d'IA és relativament vaga sobre com els proveïdors de models han d'implementar aquests requisits, el Codi pretén ajudar detallant els processos i les pràctiques per al compliment.
Procés de redacció El desenvolupament de la CoP de la GPAI va ser elaborat per 13 experts independents i va involucrar quatre grups de treball temàtics: Transparència i drets d'autor, Avaluació de riscos per al risc sistèmic, Mitigació del risc tècnic per al risc sistèmic i Mitigació del risc de governança per al risc sistèmic. Cada grup va ser coordinat per l'Oficina d'Intel·ligència Artificial de la Unió Europea (Oficina d'IA de la UE), basant-se en contribucions de gairebé 1.000 parts interessades, inclosos desenvolupadors d'IA, acadèmics, organitzacions de la societat civil, autoritats nacionals i observadors internacionals.
El Codi va ser sotmès a tres iteracions anteriors el novembre de 2024, el desembre de 2024 i el març de 2025, abans que es publiqués la versió final el 10 de juliol de 2025, més de dos mesos més tard del previst inicialment. El CoP del GPAI probablement serà actualitzat contínuament per l'Oficina d'IA de la UE, juntament amb altres eines com la plantilla de resum de dades de formació.
Signatoris Entre les empreses tecnològiques amb seu als Estats Units, Amazon, Anthropic, Google, IBM, Microsoft i OpenAI han signat el GPAI CoP. xAI, fundada per Elon Musk, només ha signat un dels tres capítols, concretament el capítol de seguretat. Entre les principals empreses europees d'IA que han signat hi ha Aleph Alpha i Mistral AI.
La Comissió Europea manté una llista actualitzada dels signataris. A gener de 2026, Meta és l'empresa més destacada que s'ha negat a signar el Codi. Les principals empreses xineses d'IA, com ara Alibaba, Baidu o Deepseek, tampoc no l'han signat.
Els proveïdors que no signin el Codi de Pràctiques de la GPAI encara hauran de complir els requisits vinculants de la Llei d'IA de la UE. La Comissió Europea ha indicat que podria prendre mesures més dures contra les empreses que no van signar el Codi.
Capítols de transparència i drets d'autor Els dos primers capítols del CoP de la GPAI tracten la transparència i el compliment dels drets d'autor i s'apliquen a tots els proveïdors de GPAI. Ofereixen una manera de demostrar el compliment de les seves obligacions en virtut de l'article 53 de la Llei d'IA.
El capítol de Transparència aborda la documentació de les capacitats, limitacions i punts de contacte d'un model, i espera que els proveïdors posin la documentació clau a disposició dels proveïdors posteriors. Els signataris també han de publicar resums del contingut utilitzat per entrenar els seus models.
En el capítol sobre drets d'autor, els signataris es comprometen a seguir una política que s'ajusti a la legislació de drets d'autor de la UE. Per exemple, es comprometen a mitigar el risc de producció que infringeixi els drets d'autor.
Capítol de Seguretat i Protecció El capítol sobre Seguretat i Protecció és el més extens del Codi i s'aplica als models GPAI amb risc sistèmic, és a dir, que només és rellevant per al petit nombre de proveïdors dels models més avançats. Especifica com els signataris es comprometen a complir les obligacions de l'article 55(1) per:
Realitzar avaluacions de models per identificar riscos sistèmics Avaluar i mitigar aquests riscos Seguiment i denúncia d'incidents greus Garantir la ciberseguretat i la seguretat física dels seus models
El capítol descriu un procés integral de gestió de riscos que s'ha d'aplicar abans de prendre decisions importants de desplegament, com ara el llançament d'un nou model GPAI de risc sistèmic al mercat de la UE o l'actualització substancial d'un model existent.
Els signants es comprometen a identificar els riscos sistèmics del seu model, analitzar-los i avaluar-los, determinar si els nivells de risc són acceptables i implementar mesures de mitigació si cal. Aquest procés s'ha de repetir fins que els models aconsegueixin un nivell de risc acceptable en tots els riscos identificats.
Identificació de riscos Els signataris es comprometen a analitzar i avaluar almenys quatre categories "especificades" de risc sistèmic:
NRBQ (químic, biològic, radiològic i nuclear) Pèrdua de control Delicte cibernètic Manipulació nociva
També s'espera que identifiquin altres riscos sistèmics per a la salut pública, la seguretat i els drets fonamentals. El Codi instrueix els proveïdors a tenir en compte les capacitats, les propensions i les possibilitats del model en aquesta identificació.
Els signants es comprometen a desenvolupar escenaris de risc que il·lustrin com els riscos identificats podrien materialitzar-se en condicions reals.
Anàlisi de riscos i avaluació de riscos Després d'identificar els possibles riscos sistèmics, els signataris es comprometen a analitzar i avaluar els riscos per determinar si són acceptables o no, basant-se en la literatura científica, l'anàlisi de dades de formació, les bases de dades d'incidents, la consulta d'experts i altres fonts.
També es comprometen a dur a terme avaluacions de models d'última generació, com ara anàlisi comparativa, red teaming i estudis d'augment humà, centrant-se en cada risc.
El procés d'anàlisi de riscos està interconnectat: les dades obtingudes a partir de la modelització de riscos haurien d'informar el disseny de l'avaluació del model, mentre que el seguiment posterior a la comercialització hauria de contribuir a l'anàlisi contínua. Els signataris es comprometen a estimar en última instància la probabilitat i la gravetat de cada risc sistèmic.
Avaluacions externes independents del model L'apèndix 3.5 del capítol sobre seguretat i protecció exigeix als signataris que garanteixin que avaluadors externs independents realitzin avaluacions de models. Els signataris només poden sol·licitar una exempció d'aquest requisit si poden demostrar que el seu model és "similarment segur" a un altre model que ja s'ha demostrat que compleix amb el Codi, o si no poden nomenar un avaluador degudament qualificat.
La determinació de "similarment segur" es basa en un rendiment comparable en punts de referència i la similitud d'altres característiques del model, com ara la seva arquitectura. El CoP reconeix que aquest tipus d'informació normalment només està disponible per a models del mateix proveïdor, o potencialment per a models de pesos oberts o de codi obert.
Criteris d'acceptació de riscos El Codi exigeix que els proveïdors comparin els riscos estimats amb criteris d'acceptació predefinits, que han de ser mesurables, basats en les capacitats del model i definits de manera preventiva. Si bé els proveïdors poden determinar ells mateixos el nivell de risc que consideren acceptable, els criteris i llindars d'acceptació predefinits garanteixen que els proveïdors no puguin ajustar el seu nivell de tolerància de manera flexible abans de les decisions de desplegament.
Només s'hauria de desplegar un model si tots els riscos estan per sota dels nivells acceptables.
Gestió i governança contínues de riscos El Codi exigeix una gestió contínua del risc al llarg del cicle de vida del model, incloent-hi avaluacions lleugeres, mitigació contínua, monitorització posterior a la comercialització i seguiment i notificació d'incidents.
A més, exigeix que les estructures de governança organitzativa assignin la responsabilitat de la gestió de riscos i espera que els proveïdors promoguin una "cultura de risc saludable", incloent-hi informar els empleats sobre la política de protecció dels denunciants, permetre impugnacions internes de decisions relatives a la gestió de riscos sistèmics i comprometre's a no prendre represàlies contra els empleats que revelin preocupacions sobre riscos sistèmics a les autoritats de supervisió.
Documentació i transparència Els signants es comprometen a crear dos tipus de documentació:
Marc de seguretat i protecció: un document general que explica com implementen les mesures de gestió de riscos, incloent-hi la descripció dels processos d'avaluació de riscos, les mesures de mitigació i els llindars de risc predefinits. Informe del model de seguretat: un informe que descriu com el seu model compleix amb el marc i justifica per què els riscos sistèmics derivats del model són acceptables, recolzat per la documentació del procés d'identificació, anàlisi i mitigació de riscos que es va dur a terme. Això també inclou els informes disponibles d'avaluadors externs i auditors de seguretat.
Els signataris es comprometen a notificar a l'Oficina d'IA de la UE els seus informes del Marc de Seguretat i del Model de Seguretat.
La divulgació pública és limitada, ja que els proveïdors només han de publicar resums del seu marc de seguretat i informes de models quan un model pugui representar un risc més gran que els models comparables ja disponibles a la UE, i només en la mesura que sigui necessari per avaluar o mitigar els riscos sistèmics. Aquesta divulgació limitada redueix significativament l'abast de l'escrutini públic i l'avaluació de les pràctiques de seguretat dels proveïdors.
Proveïdors de contingut Segons l'article 53 i els requisits de transparència establerts al Codi, els proveïdors posteriors tenen dret a rebre un "paquet posterior" del proveïdor de GPAI. Aquest paquet inclou un formulari de documentació del model degudament emplenat i informació clau requerida a l'annex XII de la Llei d'IA, com ara una descripció del model, les tasques previstes, el rendiment, l'arquitectura, els termes de llicència i les especificacions d'integració.