W 2025 roku OpenAI zaktualizowało swój wewnętrzny Preparedness Framework i opublikowało nowy Frontier Governance Framework — dwa dokumenty, które po raz pierwszy explicite mapują praktyki bezpieczeństwa firmy na wymogi unijnego AI Act. To więcej niż gest regulacyjny: oznacza, że największy gracz rynku modeli językowych oficjalnie uznaje europejskie prawo za punkt odniesienia dla globalnych standardów, a nie tylko za lokalną uciążliwość do obejścia.
Co to jest GPAI Code of Practice i dlaczego go stworzono?
GPAI Code of Practice (Kodeks Postępowania dla Modeli Ogólnego Przeznaczenia) to dokument regulacyjny opracowany w ramach wielostronnego procesu konsultacyjnego pod nadzorem Unii Europejskiej, który wyznacza wspólny poziom przejrzystości, bezpieczeństwa i odpowiedzialności dla dostawców zaawansowanych modeli AI sprzedawanych lub wdrażanych na terenie UE.
Kodeks powstał jako bezpośrednia odpowiedź na wejście w życie unijnego AI Act — pierwszego na świecie kompleksowego prawa regulującego sztuczną inteligencję. Obejmuje modele tzw. ogólnego przeznaczenia, czyli systemy takie jak GPT-4o czy Claude, które nie służą jednej wąskiej funkcji, lecz mogą być wykorzystywane w setkach różnych zastosowań jednocześnie.
Równolegle z GPAI Code funkcjonuje Code of Practice on Transparency of AI-Generated Content — osobny kodeks poświęcony wyłącznie kwestii oznaczania treści tworzonych przez AI. Oba dokumenty wyłoniły się z wielomiesięcznych konsultacji z udziałem firm technologicznych, organizacji pozarządowych i organów regulacyjnych, a OpenAI jako jeden z pierwszych dużych graczy formalnie je poparto.
Jak OpenAI wdraża wymogi bezpieczeństwa GPAI?
OpenAI opiera swoje podejście do wymogów GPAI Code na dwóch wewnętrznych ramach zarządzania ryzykiem, które razem tworzą spójny system oceny i mitygacji zagrożeń ze strony zaawansowanych modeli.
Pierwsze z nich, Preparedness Framework, istnieje od 2023 roku i zostało zaktualizowane w 2025 roku. Określa ono, w jaki sposób firma identyfikuje, ocenia i zarządza poważnymi ryzykami wynikającymi z działania zaawansowanych systemów AI — od zagrożeń cybernetycznych po potencjalne nadużycia w obszarze broni biologicznej czy chemicznej.
Drugie — Frontier Governance Framework — to nowszy dokument, który wyjaśnia, jak praktyki bezpieczeństwa i ochrony firmy przekładają się na konkretne wymagania prawne, w tym właśnie GPAI Code. Razem oba dokumenty regulują: ocenę ryzyka, wdrażanie zabezpieczeń, raportowanie o modelach, postawę bezpieczeństwa, reakcję na incydenty oraz mechanizmy angażowania zewnętrznych ekspertów.
Do istniejących praktyk, które OpenAI wskazuje jako dowód zgodności z kodeksem, należą: testy przedwdrożeniowe przeprowadzane przed każdą dużą premierą modelu, publiczne system cards (karty systemowe) dokumentujące możliwości i ograniczenia modeli, a także zewnętrzne testy penetracyjne realizowane przez Red Teaming Network — sieć niezależnych ekspertów zapraszanych do atakowania modeli przed ich publicznym udostępnieniem.
Redakcja IWD Partner: Ciekawe jest to, że OpenAI nie prezentuje GPAI Code jako nowego obciążenia — lecz jako lustro, w którym odbija się to, co firma i tak już robi. To klasyczna strategia regulacyjna: wyprzedzić legislatora własną dokumentacją i pokazać, że zewnętrzne ramy są de facto opisem status quo. Pytanie otwarte brzmi: czy europejscy regulatorzy zaakceptują tę narrację w trakcie faktycznych audytów, czy też okaże się, że między dokumentem a praktyką zieje przepaść, którą dopiero trzeba będzie zasypać?
Jak działa znakowanie treści AI zgodne z Kodeksem Przejrzystości?
Zobowiązania OpenAI wynikające z Code of Practice on Transparency of AI-Generated Content opierają się na dwóch komplementarnych mechanizmach, które mają się wzajemnie uzupełniać w sytuacjach, gdy jeden z nich zawodzi.
Pierwszym jest system Content Credentials zbudowany na standardzie C2PA (Coalition for Content Provenance and Authenticity). Działa on jak cyfrowy certyfikat dołączony bezpośrednio do pliku — zawiera metadane mówiące o tym, kto stworzył dany obraz, audio lub wideo, kiedy i jakimi narzędziami. Standard C2PA jest rozwijany przez koalicję firm technologicznych i medialnych od 2021 roku.
Drugi mechanizm to SynthID — system wodznakowania opracowany przez Google DeepMind i udostępniany przez OpenAI jako warstwa rezerwowa. Watermark jest osadzony bezpośrednio w treści na poziomie niewidocznym dla ludzkiego oka lub ucha, co sprawia, że pozostaje rozpoznawalny nawet po usunięciu metadanych C2PA podczas przesyłania pliku między platformami.
Zasięg obu rozwiązań jest rozszerzany — z obrazów na treści audio, a docelowo OpenAI planuje objąć nimi również tekst, gdy standardy i narzędzia w tym obszarze dojrzeją. Firma buduje też specjalne sygnały i dokumentację skierowaną do deweloperów, którzy budują własne produkty na bazie jej modeli i sami muszą spełniać wymogi przejrzystości.
Granice skuteczności znakowania
Żaden z tych systemów nie rozwiązuje problemu proweniencji treści w sposób całkowity. Metadane giną podczas konwersji formatów, uploadu na media społecznościowe lub zwykłego zrzutu ekranu. Watermark może przetrwać więcej operacji niż metadane, ale i on nie jest odporny na wszystkie formy manipulacji.
OpenAI otwarcie przyznaje, że odpowiedzią nie jest jedno doskonałe narzędzie, lecz podejście warstwowe — kombinacja C2PA, SynthID i dalszej pracy nad standardami branżowymi w ramach szerszej społeczności technicznej. Firma angażuje się m.in. w prace standaryzacyjne w C2PA oraz w inicjatywy oceny modeli prowadzone przez podmioty trzecie.
Dlaczego współpraca instytucjonalna OpenAI ma znaczenie?
Poza dokumentami wewnętrznymi OpenAI wskazuje na swój udział w szeregu platform wielostronnych jako dowód zaangażowania w tworzenie wspólnych standardów bezpieczeństwa dla całej branży, a nie tylko dla własnych produktów.
Firma jest członkiem Frontier Model Forum — konsorcjum założonego w 2023 roku przez OpenAI, Google, Microsoft i Anthropic — które finansuje badania nad bezpieczeństwem zaawansowanych modeli. OpenAI współpracuje również z US Center for AI Standards and Innovation (CAISI) działającym przy NIST oraz z UK AI Security Institute, który w 2024 roku jako pierwsza instytucja rządowa na świecie przeprowadził niezależne testy bezpieczeństwa modeli komercyjnych.
Celem deklarowanym przez OpenAI jest wypracowanie wspólnych benchmarków testowych i metod oceny ryzyka, które będą stosowane nie tylko wewnątrz jednej firmy, lecz staną się standardem porównywalnym z tym, jak ISO lub IEEE normalizują inne dziedziny inżynierii. Według wstępnych danych z 2025 roku, prace nad ujednoliconymi metodami ewaluacji modeli ogólnego przeznaczenia są prowadzone przez co najmniej kilkanaście instytucji badawczych i regulacyjnych równolegle.
Dlaczego zgodność z GPAI Code ma znaczenie?
Unijny AI Act wszedł w życie w sierpniu 2024 roku i jest pierwszym prawem na świecie, które nakłada wiążące obowiązki na dostawców modeli ogólnego przeznaczenia — zarówno tych z siedzibą w UE, jak i tych spoza Europy, jeśli ich modele są dostępne dla europejskich użytkowników. OpenAI ma setki milionów użytkowników na całym świecie, w tym znaczącą część w państwach członkowskich UE.
Kary za naruszenie AI Act mogą sięgać 3% globalnych rocznych przychodów firmy lub 15 milionów euro — zależnie od tego, która kwota jest wyższa. Dla firmy o przychodach OpenAI szacowanych w 2024 roku na ponad 3,4 miliarda dolarów (według danych cytowanych przez The Information) oznacza to potencjalnie ponad 100 milionów euro kary za jedno poważne naruszenie.
Poza aspektem finansowym zgodność z GPAI Code tworzy precedens dla regulacji w innych jurysdykcjach — Kanadzie, Japonii, Korei Południowej i Brazylii, które w 2024 i 2025 roku ogłosiły własne inicjatywy legislacyjne dotyczące AI. Firma, która udowodni europejskim regulatorom, że jej systemy zarządzania ryzykiem działają, uzyskuje przewagę negocjacyjną w każdej kolejnej rozmowie z organami nadzoru na świecie.
Powiązane pojęcia z AI i uczenia maszynowego
- GPAI Code of Practice — kodeks postępowania UE wyznaczający standardy przejrzystości i bezpieczeństwa dla dostawców modeli AI ogólnego przeznaczenia sprzedawanych lub wdrażanych na rynku europejskim.
- C2PA (Coalition for Content Provenance and Authenticity) — otwarty standard techniczny pozwalający dołączać do plików cyfrowych weryfikowalne metadane o ich pochodzeniu i historii edycji.
- Red Teaming — metodologia testowania systemów AI polegająca na celowym atakowanie modelu przez niezależnych ekspertów w celu wykrycia niepożądanych zachowań przed wdrożeniem.
- Watermarking (znakowanie wodne) — technika osadzania niewidocznych lub niesłyszalnych sygnałów w treściach cyfrowych, umożliwiająca identyfikację ich sztucznego pochodzenia nawet po usunięciu metadanych.
- Preparedness Framework — wewnętrzny dokument OpenAI z 2023 roku (aktualizacja 2025) definiujący metodologię identyfikacji i zarządzania ryzykiem wynikającym z zaawansowanych systemów AI przed ich publicznym udostępnieniem.
Na podstawie materiałów źródłowych.
