Кодекс практики загального використання штучного інтелекту (GPAI CoP) — інструмент відповідності, опублікований Європейською комісією 10 липня 2025 року для підтримки дотримання Акту Європейського Союзу про штучний інтелект (Акту про ШІ). Він надає оперативні рекомендації для постачальників моделей ШІ загального призначення, зокрема стосовно статей 53 та 55 Акту про ШІ, який набрав чинності 2 серпня 2025 року.

Кодекс складається з трьох розділів (Прозорість, Авторське право та Безпека) та окреслює, як постачальники можуть виконувати відповідні зобов'язання, передбачені Актом.

Хоча Кодекс і є актом м'якого права, постачальники можуть покладатися на його дотримання, а це означає, що регуляторні органи ЄС вважатимуть, що постачальники, які дотримуються Кодексу, відповідають відповідним правовим вимогам Закону про штучний інтелект. Таким чином, підписанти Кодексу отримають вигоду від зменшення адміністративного навантаження та підвищення правової визначеності порівняно з постачальниками, які доводять відповідність іншими способами. Хоча дотримання Кодексу є добровільним, дотримання Закону про штучний інтелект таким не є.

Передісторія Акт про штучний інтелект, прийнятий у 2024 році, встановив режим регулювання штучного інтелекту в Європейському Союзі, що базується на ризиках. Обґрунтування для створення CoP GPAI випливає зі статті 56 Акту про штучний інтелект, яка уповноважує Управління ЄС про штучний інтелект розробляти добровільний збірник правил, який би керував тим, як постачальники моделей штучного інтелекту можуть виконувати свої юридичні зобов'язання, зокрема ті, що містяться у статтях 53 та 55.

Згідно зі статтями 53 та 55, розробники моделей штучного інтелекту загального призначення, обчислення для навчання яких перевищує 10²³ операцій з плаваючою комою (FLOP) та які розміщуються на ринку ЄС, повинні дотримуватися зобов'язань щодо прозорості та запровадити політику щодо законодавства ЄС про авторське право.

Моделі, навчені з більш ніж 1025 FLOP, класифікуються як такі, що становлять системний ризик, і до них застосовуються посилені вимоги безпеки. Комісія також може визначити модель як таку, що становить системний ризик, якщо вона має еквівалентний вплив або можливості (критерії Додатка XIII), навіть нижче цього обчислювального показника.

Оскільки Закон про штучний інтелект досить розпливчастий щодо того, як постачальники моделей повинні впроваджувати ці вимоги, Кодекс покликаний допомогти, детально описуючи процеси та практики для дотримання вимог.

Процес складання Розробку GPAI CoP виконали 13 незалежних експертів за участю чотирьох тематичних робочих груп: Прозорість та авторське право, Оцінка ризиків системного ризику, Зменшення технічних ризиків системного ризику та Зменшення управлінських ризиків системного ризику. Кожну групу координував Офіс штучного інтелекту Європейського Союзу (EU AI Office), спираючись на внески майже 1000 зацікавлених сторін, включаючи розробників ШІ, науковців, організації громадянського суспільства, національні органи влади та міжнародних спостерігачів.

Кодекс пройшов три попередні ітерації у листопаді 2024 року, грудні 2024 року та березні 2025 року, перш ніж остаточна версія була опублікована 10 липня 2025 року, більш ніж на два місяці пізніше, ніж планувалося спочатку. GPAI CoP, ймовірно, буде постійно оновлюватися Офісом ЄС з питань штучного інтелекту, поряд з іншими інструментами, такими як шаблон зведення даних навчання.

Підписанти Серед американських технологічних компаній, Amazon, Anthropic, Google, IBM, Microsoft та OpenAI підписали GPAI CoP. Компанія xAI, заснована Ілоном Маском, підписала лише один із трьох розділів, а саме розділ про безпеку та захист. Серед відомих європейських компаній у сфері штучного інтелекту, які підписали угоду, є та Mistral AI.

Європейська комісія оновлює список підписантів. Станом на січень 2026 року Meta є найвідомішою компанією, яка відмовилася підписати Кодекс. Великі китайські компанії зі штучного інтелекту, такі як Alibaba, Baidu або Deepseek, також не підписали його.

Постачальники, які не підпишуть Кодекс GPAI, все одно повинні будуть дотримуватися обов'язкових вимог Закону ЄС про штучний інтелект. Європейська комісія зазначила, що може вжити жорсткіших заходів проти компаній, які не підписали Кодекс.

Розділи про прозорість та авторське право Перші два розділи Кодексу дій GPAI стосуються прозорості та дотримання авторських прав і застосовуються до всіх постачальників GPAI. Вони пропонують спосіб продемонструвати дотримання своїх зобов'язань згідно зі статтею 53 Закону про штучний інтелект.

Розділ про прозорість стосується документування можливостей, обмежень та контактних осіб моделі, а також очікує, що постачальники нададуть ключову документацію постачальникам, що працюють нижче за течією. Підписанти також повинні публікувати короткий виклад контенту, який використовується для навчання їхніх моделей.

У розділі про авторське право Підписанти зобов’язуються дотримуватися політики, яка відповідає законодавству ЄС про авторське право. Наприклад, вони зобов’язуються зменшувати ризик порушення авторських прав.

Розділ про безпеку та захист Розділ «Безпека та захист» є найширшим розділом Кодексу та застосовується до моделей GPAI із системним ризиком, тобто він стосується лише невеликої кількості постачальників найсучасніших моделей. У ньому зазначено, як Підписанти зобов’язуються виконувати зобов’язання за статтею 55(1) щодо:

Проводити оцінювання моделей для виявлення системних ризиків Оцінити та пом'якшити ці ризики Відстежуйте та повідомляйте про серйозні інциденти Забезпечити кібербезпеку та фізичну безпеку своїх моделей

У цьому розділі окреслено комплексний процес управління ризиками, який необхідно застосовувати до прийняття важливих рішень щодо впровадження, таких як випуск нової моделі GPAI для системних ризиків на ринку ЄС або суттєве оновлення існуючої.

Підписанти зобов'язуються виявляти системні ризики своєї моделі, аналізувати та оцінювати їх, визначати, чи є рівні ризику прийнятними, та вживати заходів щодо їх пом'якшення, якщо необхідно. Цей процес слід повторювати, доки моделі не досягнуть прийнятного рівня ризику за всіма виявленими ризиками.

Виявлення ризиків Підписанти зобов'язуються аналізувати та оцінювати щонайменше чотири «визначені» категорії системного ризику:

ХБРЯ (хімічна, біологічна, радіологічна та ядерна) Втрата контролю Кіберзлочин Шкідливі маніпуляції

Вони також повинні виявляти інші системні ризики для громадського здоров'я, безпеки та основних прав. Кодекс доручає постачальникам враховувати можливості, схильності та доступні можливості моделі під час цієї ідентифікації.

Підписанти зобов'язуються розробляти сценарії ризиків, що ілюструють, як виявлені ризики можуть матеріалізуватися в реальних умовах.

Аналіз ризиків та оцінка ризиків Після визначення потенційних системних ризиків Підписанти зобов'язуються проаналізувати та оцінити ризики, щоб визначити їх прийнятність чи ні, спираючись на наукову літературу, аналіз даних навчання, бази даних інцидентів, консультації експертів та інші джерела.

Вони також зобов'язуються проводити найсучасніші оцінки моделей, такі як бенчмаркінг, червоні команди та дослідження підняття людського потенціалу, зосереджуючись на кожному ризику.

Процес аналізу ризиків взаємопов'язаний: результати моделювання ризиків повинні бути враховані при розробці оцінки моделі, тоді як постмаркетинговий моніторинг повинен використовуватись для постійного аналізу. Підписанти зобов'язуються зрештою оцінити ймовірність та серйозність кожного системного ризику.

Незалежні зовнішні оцінки моделей Додаток 3.5 розділу «Безпека» вимагає від підписантів забезпечити проведення оцінювання моделей незалежними зовнішніми оцінювачами. Підписанти можуть вимагати звільнення від цієї вимоги лише за умови, що вони можуть продемонструвати, що їхня модель є «аналогічно безпечною», як і інша модель, яка вже продемонструвала відповідність Кодексу, або якщо вони не можуть призначити відповідно кваліфікованого оцінювача.

Визначення «подібно безпечного» ґрунтується на порівнянній продуктивності за бенчмарками та подібності інших характеристик моделі, таких як їхня архітектура. CoP визнає, що така інформація зазвичай доступна лише для моделей одного постачальника або, можливо, для моделей з відкритим кодом чи ваговим коефіцієнтом.

Критерії прийняття ризику Кодекс вимагає від постачальників порівнювати оцінені ризики з попередньо визначеними критеріями прийнятності, які мають бути вимірними, базуватися на можливостях моделі та визначеними превентивно. Хоча постачальники самі визначають рівень ризику, який вони вважають прийнятним, попередньо визначені критерії та пороги прийнятності гарантують, що постачальники не можуть гнучко коригувати свій рівень толерантності до прийняття рішень щодо розгортання.

Модель слід розгортати лише тоді, коли всі ризики нижчі за прийнятний рівень.

Безперервне управління ризиками та корпоративне управління Кодекс вимагає постійного управління ризиками протягом усього життєвого циклу моделі, включаючи незначні оцінки, постійне пом'якшення наслідків, моніторинг після виходу на ринок, а також відстеження та звітність про інциденти.

Це також вимагає від структур організаційного управління розподілу відповідальності за управління ризиками та очікує, що постачальники послуг сприятимуть «здоровій культурі ризиків», включаючи інформування співробітників про політику захисту викривачів, дозвіл на внутрішнє оскарження рішень щодо управління системними ризиками та зобов’язання не вживати заходів помсти проти співробітників, які повідомляють про занепокоєння щодо системних ризиків органам нагляду.

Документація та прозорість Підписанти зобов'язуються створити два типи документації:

Структура безпеки та захисту: загальний документ, який пояснює, як вони впроваджують заходи управління ризиками, включаючи опис процесів оцінки ризиків, заходів щодо їх пом'якшення та попередньо визначених порогових значень ризику. Звіт про модель безпеки та захисту: звіт, що описує, як їхня модель відповідає структурі, та обґрунтовує, чому системні ризики, що виникають із моделі, є прийнятними, підкріплений документацією щодо процесу виявлення, аналізу та пом'якшення ризиків, який був проведений. Це також включає доступні звіти від зовнішніх оцінювачів та аудиторів безпеки.

Підписанти зобов’язуються повідомляти Бюро ЄС з питань штучного інтелекту про свої звіти про Рамки безпеки та моделі безпеки та захисту.

Публічне розкриття інформації обмежене, оскільки постачальники послуг зобов'язані публікувати короткий виклад своїх систем безпеки та звітів про моделі лише тоді, коли модель може становити більший ризик, ніж аналогічні моделі, що вже доступні в ЄС, і лише в тій мірі, в якій це необхідно для оцінки або пом'якшення системних ризиків. Таке обмежене розкриття інформації значно зменшує ступінь громадського контролю та оцінки практики безпеки та захисту постачальників послуг.

Постачальники послуг нижче за течією Згідно зі статтею 53 та вимогами щодо прозорості, викладеними в Кодексі, постачальники послуг нижче за течією мають право отримати «пакет послуг нижче за течією» від постачальника GPAI. Цей пакет включає заповнену форму типової документації та ключову інформацію, що вимагається згідно з Додатком XII до Закону про штучний інтелект, таку як опис моделі, передбачувані завдання, продуктивність, архітектура, умови ліцензування та специфікації інтеграції.

Розділ про прозорість також вимагає від постачальників GPAI надавати додаткову інформацію, запитувану постачальниками нижче за течією, протягом 14 календарних днів, за умови, що запитувана інформація необхідна для розуміння можливостей та обмежень моделі, а також для того, щоб постачальники нижче за течією могли виконувати свої зобов'язання згідно із Законом про штучний інтелект.

Примітки

Посилання

General-Purpose AI Code of Practice now available