開源開發者需要了解的歐盟人工智慧法案對通用人工智慧模型（GPAI）的規定

簡而言之：自2025年8月2日起，歐盟人工智慧法案對通用人工智慧（GPAI）模型的提供者施加了新的義務，對僅用於研究目的或根據自由和開源許可釋出的模型提供全部或部分豁免。本指南旨在幫助人工智慧開發者根據人工智慧法案文字和操作守則、GPAI指南等檔案，確定這些義務是否適用於其GPAI模型工作以及如何履行這些義務。

歐盟人工智慧法案於2024年8月1日生效，引入了基於風險的規則，確定哪些AI系統和GPAI模型可以在歐盟市場銷售和部署，以及如何銷售和部署。該法案將分階段實施至2027年8月，並且從2025年8月2日起，GPAI模型的提供者在將其模型投放歐盟市場時，必須遵守一系列義務，無論其是否在歐盟境內。在2025年8月2日之前投放歐盟市場的GPAI模型提供者，有到2027年8月2日的時間來遵守。

對開源社群來說的好訊息是，人工智慧法案旨在促進或自動化研究人員和開源開發者的合規性。許多從事科學目的GPAI模型開發的研究人員完全不在法案的範圍內，非商業活動下的開發也是如此。對於確實在歐盟人工智慧法案範圍內的模型，根據自由和開源許可釋出也使開發者免除了一些要求，特別是那些對於公開共享模型來說是多餘或不切實際的要求。這些豁免旨在反映對開放開發價值和潛力的認可，同時仍確保問責制。然而，何時以及在何種程度上適用這些豁免可能難以確定。

本指南的主要目標是闡明這些問題，併為從事開放GPAI模型研究和開發的科研人員和開發者提供一個易於理解的入口。我們將引導您瞭解關鍵定義、義務以及開源豁免，以及開源提供者如何使用歐盟委員會的官方指南（如GPAI操作守則、GPAI指南和訓練資料公開摘要模板）來遵守規定。如果您時間緊迫，我們甚至製作了一個互動應用程式，可以為您提供一個高層概覽，歡迎試用！

您可以在此處找到此部落格的Spaces版本。需要進一步的人工智慧法案指南？我們還在Hugging Face和Linux基金會釋出了針對開源開發者的通用指南。

使用者旅程：您是否符合“GPAI模型提供者”的資格，如果有，哪些條款適用？

此應用程式可幫助開源開發者評估其GPAI模型專案是否符合AI法案規定的“GPAI模型提供者”資格，如果符合，則確定相關的義務。您可以在此處找到一個更大、獨立的Hugging Face Space版本。

目錄

• 瞭解通用人工智慧模型（GPAI）提供者義務是否適用
  • 什麼是“通用人工智慧模型（GPAI）模型”？
  • 什麼是“通用人工智慧系統風險模型（GPAISR）”？
  • 開發者如何才被認定為通用人工智慧模型（GPAI）的“提供者”？
    • 如果我開發GPAI模型僅用於研究目的，我是否是提供者？
    • 如果我微調或修改其他提供者的通用人工智慧模型（GPAI），我是否是提供者？
• 瞭解通用人工智慧模型（GPAI）提供者的開源豁免
  • 我是否符合開源豁免條件？
  • 哪些義務在開源豁免範圍內？
• 瞭解適用義務的合規要求
  • 第53(1a-b)條：透明度和文件
  • 第53(1c)條：版權
  • 第53(1d)條：訓練資料文件
  • 第55條：GPAISR模型的安全與保障
• 後續步驟和行動呼籲

瞭解GPAI模型提供者義務是否適用

什麼是“GPAI模型”？

簡而言之：AI法案中使用的“GPAI模型”一詞大致相當於通常所說的“基礎模型”。通常，如果一個模型在廣泛任務上表現良好，能夠生成文字或其他媒體，並且累積訓練計算量達到或超過10^23 FLOPs，那麼它很有可能被視為AI法案下的GPAI模型。

人工智慧法案將通用人工智慧（GPAI）模型分為兩類：GPAI模型和具有系統風險的GPAI模型（GPAISR；見下一節）。GPAI模型在第3(63)條中定義為

GPAI指南明確指出，“模型被視為GPAI模型的指示性標準是其訓練計算量大於10^23 FLOPs，**並且**能夠生成語言（無論是文字還是音訊）、文字到影像或文字到影片。”根據指南，該閾值對應於通常用於在大量資料上訓練具有十億引數的模型的大致計算量。該指南提供了在範圍之內和範圍之外的模型示例（參見表1）。

✅ GPAI模型示例	❌ 非GPAI模型示例
一個模型在 curated 和 scraped 自網際網路及其他來源的廣泛自然語言資料（即文字）上訓練，使用10^24 FLOPs。	一個模型專門用於將語音轉錄為文字的任務，使用10^24 FLOPs。 一個模型專門用於下棋或影片遊戲，使用10^24 FLOPs。 一個模型專門用於模擬天氣模式或物理系統，使用10^24 FLOPs。

表1：符合或不符合GPAI模型條件的模型示例（來源：歐盟委員會，GPAI指南）

請注意，GPAI模型與AI法案中的“AI系統”不同——正如第3(1)條所定義。根據序言97，雖然GPAI模型是AI系統的基本組成部分，但它們本身並非AI系統。要成為AI系統，模型必須與附加元件（如使用者介面或其他功能模組）結合，以實現互動和部署。根據您提供的是GPAI模型、AI系統還是兩者兼而有之（例如，將您的GPAI整合到您的使用者介面中），可能適用不同的法律義務。如果提供者同時提供GPAI模型和AI系統，則這些義務同時適用，並且適用於AI系統的義務將取決於AI系統可能產生的風險的強度和範圍。這些額外義務不在本指南的討論範圍之內。

什麼是“GPAISR模型”？

簡而言之：具有系統風險的GPAI模型（GPAISR）與所謂的“前沿模型”大致相同；也就是說，它們是目前市場上最先進的GPAI模型。人工智慧法案認為，如果一個模型符合其“高影響力能力”的定義，或其訓練計算量超過10^25 FLOPs，則被視為GPAISR。

根據第51(1)條，如果一個GPAI模型符合以下兩個條件之一，則被歸類為具有系統風險：

1. 它具有與最先進模型記錄的能力相匹配或超越的“高影響力能力”，這些能力透過適當的技術工具、方法、指標和基準進行評估；
2. 根據歐洲委員會的決定，其能力或影響力等同於人工智慧法案文字中提供的一系列標準（在附錄XIII中）所定義的高影響力能力，例如模型的規模、其在基準和評估中的表現，以及其在歐盟範圍內的使用廣度。

當用於訓練的累積計算量超過10^25 FLOPs時，GPAI模型被*假定*具有高影響力能力——目前，這隻會涵蓋處於或接近人工智慧發展前沿的模型，如GPT-4o、Grok 4或Mistral 2 Large。GPAI指南解釋說，這個閾值對於識別此類高影響力能力至關重要。歐洲委員會可能會隨著時間調整效能和計算閾值，以確保人工智慧法案跟上最先進的技術水平。

雖然所有達到閾值的模型都必須通知歐洲委員會，但開發者也可以提交證據，“以證明由於其特定特性，通用人工智慧模型例外地不呈現系統性風險”，根據序言112；例如，如果操作守則安全和安保章節附錄1.3.1中列出的能力低於其他非GPAISR模型的能力——這對於主要作為研究成果而開發的大型模型可能是一個有用的選擇。

開發者如何才被認定為“GPAI模型”的“提供者”？

簡而言之：無論您是否在歐盟境內，如果您滿足以下兩個條件，您將被視為GPAI模型的提供者：1）您開發了一個GPAI模型或讓其他人為您開發；2）您將其投放歐盟市場，這意味著您或您所工作的組織以商業活動的一部分（無論是否收費）在歐盟提供或使用它。截至本指南撰寫之時，在這種情況下，構成商業活動的具體界限仍然是一個懸而未決的問題。雖然相關的歐盟法規表明，它不太可能涵蓋個人“業餘”開發者的工作，並且不自動包括在GitHub或Hugging Face等平臺上以FOSS許可證共享的未由開發者盈利的工件，但具體判斷可能需要根據個案情況而定。

人工智慧法案在第3(3)條中將通用人工智慧模型（GPAI）的提供者定義為

第3條將“投放市場”定義為“人工智慧系統或通用人工智慧模型首次在歐盟市場上市”（第3(9)條），將“在市場上提供”定義為“在商業活動過程中，在歐盟市場上提供人工智慧系統或通用人工智慧模型以供分發或使用，無論是否收費”（第3(10)條）。簡單來說，根據歐盟法律，產品首次在歐盟市場上市即為“投放市場”。此後，任何後續供應（如從一個分銷商到另一個分銷商，或向客戶供應）均稱為“在市場上提供”。序言97（注：在歐盟法律中，序言提供對法律文字條款的非約束性解釋）澄清道，“通用人工智慧模型可以透過各種方式投放市場，包括透過庫、應用程式程式設計介面（API）、直接下載或實體副本。”

“商業活動”的概念對於理解何謂將模型或系統投放歐盟市場至關重要；這比簡單地向歐盟公民提供更具體的含義。雖然在歐盟人工智慧法案適用性方面尚未對人工智慧模型做出具體決定，但《歐盟產品規則實施藍皮書》旨在作為立法框架內的通用指南。根據藍皮書，“商業活動”被理解為在商業相關背景下提供商品。非營利組織如果在此背景下運營，也可以被視為從事商業活動。這隻能根據具體情況進行評估，同時考慮供應的規律性、產品的特點、供應商的意圖等。原則上，慈善機構或業餘愛好者的偶然供應不應被視為發生在商業相關背景下。”

另一個參考點是歐盟的《網路彈性法案》（CRA）。CRA包含了關於生產免費和開源軟體的人或組織是否應被視為CRA下的“製造商”的措辭。作為其中的一部分，CRA的序言18部分指出：“*...產品製造商未將其作為商業行為進行貨幣化的免費和開源軟體數字元素的提供，不應被視為商業活動。*”雖然CRA的措辭可能不具有約束力，無法解釋AI法案，但CRA中的這一及其他措辭確實表明，提供FOSS許可軟體可能不*總是、固有地*被視為CRA下的“商業活動”，特別是當生產者未從中“貨幣化”時。這可能暗示AI法案的目的也有類似的方法。

同樣重要的是，AI法案具有域外管轄權，這意味著它適用於在歐盟市場投放GPAI模型的提供者，無論其是否在歐盟境內或第三國。在將GPAI模型投放歐盟市場之前，在第三國設立或位於第三國的提供者必須在歐盟境內指定一名授權代表。然而，如下文進一步討論，除非微調或修改的GPAI模型符合開源豁免條件，否則此義務不適用於根據自由和開源許可提供GPAI模型的提供者，除非其存在系統性風險。

如果我開發GPAI模型僅用於研究目的，我是否是提供者？

簡而言之：僅為科學研究和開發而開發的GPAI模型豁免於人工智慧法案。

如果您開發GPAI模型僅用於科學研究和開發，則您將不被視為人工智慧法案下的提供者，並可免除其義務。這意味著，當GPAI開發主要旨在將模型和相關資料作為科學成果釋出時，尤其是在學術和非營利環境中，歐盟人工智慧法案不引入任何額外義務。第2(6)條規定：

根據序言25，產品導向研究過程中的測試和開發活動也超出了人工智慧法案的範圍，儘管如果模型在測試過程中投放市場或投入使用，此豁免將終止。序言109闡明，雖然為科學研究目的開發GPAI模型的開發者被豁免，但應鼓勵他們自願遵守提供者的這些義務。

如果我微調或修改其他提供者的GPAI模型，我是否是提供者？

簡而言之：如果您以顯著改變模型的方式微調GPAI模型，您可能需要在力所能及的範圍內遵守提供者的義務。一般來說，如果微調所用的計算量高於基礎模型訓練所用計算量的⅓，則屬於這種情況。

僅當您的修改導致模型的通用性、能力或系統風險發生顯著變化時，您才會被視為GPAI模型的提供者。“顯著變化”的閾值是修改所需的訓練計算量是否超過原始模型訓練計算量的三分之一。

如果您無法確定此值（例如，因為原始提供者未披露訓練計算量），則GPAI指南解釋說，您應該使用替代閾值：對於GPAI模型，為10^23 FLOPs閾值的三分之一；對於GPAISR模型，為10^25 FLOPs閾值的三分之一。

如果您進行的修改使您具備提供者資格，則您在第53條下的義務將限於您所做的修改，這意味著您只需要記錄微調過程、新的訓練資料和更改。此外，在將其投放歐盟市場之前，在第三國設立的GPAI模型提供者需要書面授權在歐盟指定一名授權代表的義務也將適用，除非微調或修改的GPAI模型符合開源豁免條件。

瞭解通用人工智慧模型（GPAI）提供者的開源豁免

符合“通用人工智慧模型（GPAI）”或“通用人工智慧系統風險模型（GPAISR）”的“提供者”資格意味著該模型受人工智慧法案的管轄，並受第51條至第55條規定的若干義務約束。然而，根據自由和開源許可釋出並投放歐盟市場的GPAI模型，可免除這些條款中規定的部分要求。瞭解這些豁免的範圍是理解個人在人工智慧法案下義務的下一步。

我是否符合開源豁免條件？

簡而言之：如果您根據自由和開源許可釋出GPAI模型，並提供充分的文件且未對模型進行貨幣化，則您將部分豁免GPAI開發者的義務。

要獲得GPAI模型的開源豁免，第53(2)條和GPAI指南明確指出您必須滿足三個條件

1. GPAI模型必須根據允許訪問、使用、修改和分發模型的自由和開源許可釋出；並且
2. 引數，包括權重、模型架構資訊和模型使用資訊，必須公開可用；並且
3. GPAI模型不得以收費方式提供或以其他方式貨幣化。

這種自由和開源許可的定義可能包括廣泛使用的寬容軟體許可，如Apache 2.0和MIT，以及寬容模型許可，如OpenMDW。GPAI指南解釋說，所有四項權利（即訪問、使用、修改和分發）都必須得到遵守才能符合自由和開源許可的條件（第78段），因此，具有使用限制的許可（例如，僅限研究、可接受的使用限制、商業條款）不符合自由和開源許可的條件（第83段）。然而，指南隨後對這一要求進行了限定，指出在許可方認為可能對公共安全、保障或基本權利構成重大風險的領域，允許在其他FOSS許可中包含特定、相稱且以安全為導向的使用限制（第84段）。

如果GPAI模型以收費方式提供或以其他方式進行貨幣化，則它將無法享受開源豁免。根據GPAI指南，貨幣化包括：以任何形式的付款為條件提供模型，要求從提供商處購買其他產品或服務（例如，技術支援或培訓服務），在開發者託管的平臺上檢視廣告，或者提供商接收和/或處理個人資料作為訪問條件。序言103澄清說，“透過開放儲存庫提供AI元件本身不構成貨幣化”，但其界限取決於是否在模型的釋出或使用周圍採用了額外的貨幣化策略。

哪些義務在開源豁免範圍內？

簡而言之：如果您符合開源豁免條件，您仍需提供詳細的訓練資料文件，並證明您如何遵守歐盟版權法。您無需履行向歐盟委員會或下游使用者編制更詳細文件或在歐盟指定授權代表的義務。

人工智慧法案對通用人工智慧（GPAI）模型提供者的義務採取了分層方法（參見表3）。第53和54條規定了適用於所有GPAI模型的基本義務——但根據自由和開源許可釋出的GPAI模型除外，它們可免除其中一些義務（參見表3左上方象限）。除了這些義務外，更嚴格的義務（第55條規定）適用於GPAISR模型提供者，並且所有開源豁免均不適用於它們。

	使用自由和開源許可	不使用自由和開源許可
通用人工智慧 (GPAI)	部分豁免 需要遵守第53(1)(c)-(d)條 （例如，OLMo 2）	不豁免 需要遵守第53(1)和54條 （例如，Llama 3-8B）
具有系統風險的通用人工智慧 (GPAISR)	不豁免 需要遵守第53(1)、54和55條 （目前沒有示例）	不豁免 需要遵守第53(1)、54和55條 （例如，GPT-4.5）

表3：通用人工智慧模型不同類別的義務和豁免概述

我們在表4中總結了GPAI和GPAISR模型提供者的各項義務以及開源豁免是否適用。

義務	開源GPAI模型	開源GPAISR模型	官方 指南
第53(1a)條：編制並保持模型文件最新。	豁免	不豁免	操作守則透明度章節，模型文件表格
第53(1b)條：編制、更新並向有意將其AI系統整合GPAI模型的AI系統提供者提供文件。	豁免	不豁免	操作守則透明度章節，模型文件表格
第53(1c)條：制定遵守歐盟版權及相關權利法律的政策。	不豁免	不豁免	操作守則版權章節
第53(1d)條：編制並公開足夠詳細的訓練資料摘要。	不豁免	不豁免	訓練資料公開摘要模板
第54條：在第三國設立的提供者，在將其投放歐盟市場之前，必須以書面委託方式在歐盟指定一名授權代表。	豁免	不豁免	不適用
第55(1a-d)條：GPAISR特定義務，包括模型評估、系統風險評估和緩解、向當局報告事件，以及網路安全保護。	不適用	不豁免	操作守則安全和安保章節

表4：GPAI模型提供者的義務、開源豁免和官方指南

瞭解適用義務的合規要求

簡而言之：開源GPAI模型提供者必須遵守歐盟版權法，並使用人工智慧辦公室的模板釋出訓練資料摘要，同時豁免透明度和文件義務。開源GPAISR模型的提供者必須遵守第53-55條的所有義務。操作守則為大多數義務的合規性提供了自願指導，包括透明度和文件、版權合規性以及管理系統風險的安全和保障要求。

我們根據人工智慧法案文字本身以及操作守則 (CoP)、GPAI指南和訓練資料公開摘要模板等官方指南，對開源GPAI開發者的合規要求和措施進行了簡要概述。再次提醒，這並非法律建議，但旨在為您提供關於如果您符合GPAI模型提供者的資格，哪些規定可能適用於您以及您可以如何遵守規定的見解。如上所述，僅為研究目的開發和分發的GPAI模型完全豁免。

本指南的大部分內容來源於GPAI CoP，這是一個自願性框架，旨在促進GPAI和GPAISR模型提供者履行義務。一旦獲得歐盟成員國和歐盟委員會的認可，自願簽署的提供者可以遵循它作為證明其合規性的一種方式。這意味著CoP是遵守AI法案中GPAI模型規則的一種方式，但選擇不遵循CoP的提供者仍有義務以他們認為適合目的的其他方式遵守義務。無論如何，合規性將由相關機構進行評估。

為方便起見，以下是開源GPAI模型提供者為履行義務必須採取的措施清單：

第53(1a-b)條：透明度和文件

簡而言之：開源GPAI模型提供者如果公開共享模型架構資訊並使用符合自由和開源條件的許可，則豁免透明度義務，而開源GPAISR模型提供者則不豁免，可以遵循操作守則透明度章節的指導。微調或修改的開源GPAISR模型提供者僅在修改所需的訓練計算量超過原始模型訓練計算量的三分之一時才受這些義務約束，在這種情況下，他們的責任僅限於記錄其具體修改。

開源GPAI模型的提供者可免除透明度義務，因此遵守透明度章節的措施或填寫表格並非強制。開源GPAISR模型的提供者不豁免，可以遵守操作守則的透明度章節，其中概述了記錄和共享模型開發、能力和限制等基本資訊的三個措施。這些措施包括公開披露請求文件的聯絡資訊；應要求向AI辦公室、市場監督機構和下游使用者提供相關文件；以及保持文件最新、安全，並保留在歐盟市場投放模型後10年。

為了簡化合規流程，透明度章節包含了一份模型文件表格，用於收集有關模型屬性、分發方式、許可、用途、訓練過程、訓練資料、計算資源和能耗的所有必要資訊。這使得提供者更容易編制所需文件，並確保監管機構和下游人工智慧系統提供者都能獲取理解模型能力和履行自身監管義務所需的資訊。

如果我微調現有的GPAI或GPAISR模型，我需要做什麼？ 如上所述，您僅在您的修改導致模型的通用性、能力或系統風險發生顯著變化時，才會被視為提供者。如果您透過此計算符合提供者資格，透明度章節明確指出您的文件和透明度承諾應按比例僅限於所進行的修改或微調，承認您可能無法訪問或控制基礎模型的開發過程。

第53(1c)條：版權

簡而言之：版權章節提供了指導，包括五項措施，其中包含要求和鼓勵行動，說明開源GPAI或GPAISR模型的提供者如何制定政策以遵守歐盟版權及相關權利法律。

GPAI和GPAISR模型的提供者不能免除制定政策以遵守歐盟版權及相關權利法律的義務。CoP的版權章節概述了提供者為履行其義務可以實施的5項措施。在表5中，我們提煉了該章節中每項措施下提到的要求和鼓勵行動。

措施	要求	鼓勵行動
措施1.1 要求提供者建立並維護一份包含所有5項措施的版權政策檔案。	建立、維護並實施一份全面的版權政策檔案，並分配組織職責。	公開披露版權政策摘要。
措施1.2 提供關於在網路爬取時僅複製和提取合法可訪問、受版權保護內容的指導。	在網路爬取時尊重保護措施（付費牆、訂閱模式）。 根據歐盟提供的持續更新的侵犯版權網站列表，將這些網站排除在爬取活動之外。
措施1.3 強制識別和遵守權利保留，包括遵循robots.txt協議和其他機器可讀標準。	遵循robots.txt協議和其他根據《版權指令》第4(3)條表達權利人選擇退出偏好的機器可讀權利保留。	參與利益相關者討論，以制定機器可讀的權利保留標準。 向權利人提供關於網路爬取實踐的透明度。 對於搜尋引擎提供商：避免懲罰表達權利保留的網站。
措施1.4 要求實施技術保障措施以防止侵犯版權的輸出，並在可接受使用政策或模型文件中禁止此類使用。	實施技術保障措施以防止侵犯版權的模型輸出。 在可接受使用政策或模型文件（例如，開源GPAI模型的模型卡）中包含禁止侵犯版權的使用。
措施1.5 透過指定權利人聯絡點和實施版權相關問題的投訴機制來建立溝通要求。	指定權利人聯絡點。 建立投訴機制。

表5：CoP版權章節中的措施、要求和鼓勵行動（來源：歐盟委員會，通用人工智慧模型操作守則版權章節）

第53(1d)條：訓練資料文件

簡而言之：GPAI和GPAISR模型的提供者必須使用人工智慧辦公室的模板，提供一份公開的訓練資料摘要，包括通用模型資訊、使用的資料集和資料處理方面。摘要必須以簡單的敘述形式編寫，並在模型投放歐盟市場時釋出在官方網站和分發渠道上。

人工智慧辦公室釋出了一份模板，供GPAI和GPAISR提供者公開提供足夠詳細的訓練資料摘要，以履行第53(1d)條規定的義務。該摘要必須在提供者將模型投放歐盟市場時，在其官方網站和所有分發渠道（例如，開放儲存庫）上公開。

此摘要的目的是提高GPAI模型訓練所有階段（從預訓練到後訓練，包括模型對齊和微調）所使用資料的透明度，包括受歐盟版權及相關權利法律保護的文字和資料，同時保護商業秘密和商業機密資訊。

該模板包含3個部分——通用模型資訊、主要使用的資料集和相關資料處理方面——並附有清晰簡潔的說明，以便提供者以簡單統一的方式報告所需資訊。作為參考，請檢視SmolLM3的公開訓練資料摘要。

解釋性說明提供以下澄清，以幫助您填寫模板

• 摘要應全面而非技術細節，並以簡單的敘述形式編寫，確保相關方和公眾都能理解。
• 為了保護商業秘密，根據資料來源適用不同的披露級別——對於許可資料需要有限的詳細資訊，對於私有資料集只需一般性描述，而公開資料集需要完全披露。
• 如果不同模型或不同模型版本的訓練資料相同，您可以使用相同的摘要，但需明確指明其涵蓋的模型和版本。如果模型擁有不同的訓練資料且無法共享單一摘要，則每個摘要只需記錄用於修改原始模型的特定額外訓練資料（例如，微調資料集），同時引用並連結到原始模型的摘要。
• 如果您以使您符合GPAI模型提供者資格的方式微調或修改GPAI模型（如上所述），您只需記錄用於修改的額外訓練資料並引用原始模型的摘要。
• 如果您在額外的訓練資料上進一步訓練已經上市的GPAI模型，您必須每六個月更新一次摘要，或者如果額外資料需要對摘要內容進行重大更新，則更早更新，以兩者先到者為準。
• 如果您在2025年8月2日之前投放了GPAI模型，那麼您將有直到2027年8月2日的時間來遵守這些模型的此項義務。

第55條：GPAISR模型的安全與保障

簡而言之：操作守則的安全和保障章節概述了開源GPAISR模型提供者為遵守第55條規定的義務可以遵循的10項承諾。這些要求是根據比例原則設計的，與系統風險和提供者能力成比例，併為中小企業 (SMEs) 和中小型企業 (SMCs)（包括初創公司）提供了簡化的合規途徑。

儘管目前沒有開源GPAISR模型，但開源GPAISR模型的提供者將受第55(1a-d)條規定的額外安全和保障義務的約束。如果您符合此類模型提供者的資格，CoP的安全和保障章節概述了您可以遵循的10項承諾，以在整個模型生命週期中管理系統風險並遵守這些義務。這些義務包括但不限於：

• 風險管理框架：您必須建立文件化的流程，用於在GPAISR模型開發生命週期中識別和評估系統風險，在開發里程碑或計算閾值等觸發點進行評估，並建立監控系統以獲取社群反饋和事件報告。
• 風險評估：您必須遵循結構化的方法來識別潛在危害（例如，有害內容生成、安全漏洞、社會影響），然後制定詳細的危害場景，並使用既定的安全基準進行評估。
• 安全緩解措施：您必須實施保護措施，其中可能包括訓練資料過濾、輸入/輸出監控、微調以拒絕請求、為使用者提供安全工具以及使用分階段訪問控制（例如，API限制、經過驗證的使用者）。
• 安全措施：您必須針對外部攻擊者和內部威脅定義安全目標，然後實施技術保障措施，如安全分發方法、訪問控制和未經授權修改的監控。
• 文件：您必須維護涵蓋架構、能力、訓練方法和用例的技術報告，包括風險評估、緩解措施和外部評估，並在風險評估發生實質性變化時在5個工作日內進行更新和監管通知。您必須將此文件保留至少5年，從文件或嚴重事件發生之日起，以較晚者為準。
• 組織結構：您必須建立明確的風險管理角色，為安全職能分配充足資源，並促進健康的風險文化。

這些承諾圍繞兩個比例原則設計：

1. 合規措施應與模型造成的實際系統性風險相稱，確保較低風險場景不會觸發不必要的繁重流程。
2. 要求應考慮提供商的規模和能力，併為中小型企業（SMEs）和中等市值企業（SMCs）（包括初創企業）明確提及簡化的合規途徑。例如，CoP的簽署方，如果他們是中小企業或中等市值企業，可以豁免向AI辦公室定期報告的承諾，根據第56(5)條，但保留自願遵守的選項。

開發者可以利用許多開源工具來遵守其中的許多措施。例如，在風險評估和模型評估方面，像 LM Evaluation Harness、lighteval 和 Inspect 這樣的開源框架可以實現標準化的 LLM 評估，而像 Weights & Biases 這樣的平臺則提供了用於模型持續監控的實驗跟蹤工具。對於安全緩解措施，開發者可以利用資料整理工具或紅隊框架，而 NIST AI 風險管理框架則提供了負責任的模型開發和部署的最佳實踐。對於文件要求，開發者可以繼續使用已經熟悉的模型卡和資料集卡。

後續步驟和行動號召

🚨 鑑於 GPAI 模型提供商的義務將於 2025 年 8 月 2 日開始生效，我們迫切需要提高社群對這些義務的準備程度。透過向他人宣傳這些義務並分享本指南，您可以幫助社群做好準備！

🛠️ 加入對話！ 我們正在構建關於合規工具和最佳實踐的後續資源，但我們需要您的意見才能使其真正有用。無論您對本指南有任何疑問、想要分享工具和工作流程，還是想幫助找出仍然缺少的內容，請隨時聯絡我們！讓我們共同努力，讓社群為遵守《人工智慧法案》做好準備。

---

本指南由 Hugging Face、Mozilla 基金會和 Linux 基金會的研究人員 Cailean Osborne、Maximilian Gahntz、Lucie-Aimée Kaffee、Bruna Trevelin、Brigitte Toussignant 和 Yacine Jernite 合作編寫。我們還要感謝 Steve Winslow 提供的有益審閱和建議。所表達的觀點為個人作者的觀點，不一定反映其各自組織的立場。請引用為：

@techreport{osborne2025euaiact,
  title={What Open-Source Developers Need to Know about the EU AI Act's Rules for GPAI models},
  author={Osborne, Cailean and Gahntz, Maximilian and Kaffee, Lucie-Aim{\'e}e and Trevelin, Bruna and Toussignant, Brigitte and Jernite, Yacine},
  institution={Hugging Face, Mozilla Foundation, and Linux Foundation},
  year={2025},
  url={https://huggingface.co/spaces/hfmlsoc/eu-ai-act-os-guide-gpai},
  type={Guide}
}