OpenAI調整安全實踐以符合歐盟AI法案的GPAI規範

隨着歐盟《人工智能法案》的實施逐漸逼近，OpenAI公佈了其如何將安全、安保和透明度工作與該法案的通用人工智能（GPAI）規範對齊。該公司參與了歐盟GPAI行為準則和AI生成內容透明度行為準則的制定，並對其表示認可。這兩項準則均源自多方利益相關者參與的過程。

GPAI準則為在歐盟銷售或部署的通用模型設定了透明度、安全性和安保方面的共同標準。OpenAI指出，其現有的一系列實踐已經表明公司基本達到了這些標準，包括模型發佈前的測試、隨主要發佈公開的系統卡片、以及通過其所謂的“紅隊網絡”進行的外部對抗性測試。此外，公司還維護着一份公開的“模型規範”文檔，闡述其如何塑造模型行為。

在這些工作之下，OpenAI設有兩個內部框架。其中，預備框架自2023年起實行，並在2025年進行了更新，明確了公司如何識別、評估和管理高級系統可能帶來的嚴重風險。另一個獨立的“前沿治理框架”在此基礎上進一步説明公司的安全和安保實踐如何映射到包括GPAI規範在內的法律要求上。OpenAI表示，這兩個文件共同規範了風險評估、安全措施、模型報告、安全態勢、事件響應以及外部專家的參與流程。

OpenAI還提到了其在前沿模型論壇中的參與，以及與美國AI標準與創新中心和英國AI安全研究所的合作，還有對更廣泛的第三方評估標準的貢獻。其目標是推動整個行業共享安全研究和更清晰的測試基準，而非僅限於公司內部。

隨着模態的增加，溯源問題變得更具挑戰。透明度準則的承諾聚焦於如何幫助人們識別內容是否由AI生成或修改。OpenAI採用兩種相互配合的機制：基於C2PA標準的內容憑證將上下文直接附加到文件中，而SynthID水印則在元數據被剝離時提供後備信號。覆蓋面正在從圖像擴展到音頻輸出，OpenAI表示隨着標準和工具的成熟，將進一步把溯源措施擴展到包括文本在內的更多模態。公司還在為開發者構建信號和指導，以幫助他們在基於其模型進行開發時履行自身的透明度義務。然而，這一切並不能完全解決溯源問題。元數據可能丟失，標籤在平台間傳輸時並不總能保留。沒有任何單一信號（無論是加密還是水印）能獨立捕獲所有情況。OpenAI的回應是採用分層方法，並持續與更廣泛的標準社區合作，而非聲稱某種機制能夠完全彌補缺口。

網絡安全成為適應性治理的試驗場。能夠幫助防禦者發現並修補漏洞的能力，同樣可能被攻擊者用於搶先發現漏洞。OpenAI相信其“可信訪問網絡”計劃是答案。該計劃旨在向經過審查的防禦者提供更高級的網絡能力，同時限制濫用的風險。該計劃現已設立歐洲部署分支。OpenAI表示於2026年5月初啓動了歐盟網絡行動計劃，與歐盟及各國網絡機構、私營部門合作伙伴和基礎設施運營商合作，為他們提供更先進的網絡模型。該計劃宣稱旨在增強歐洲大陸的網絡韌性。然而，關於“最先進”能力能否在這些機構內轉化為可衡量的防禦性收益，目前仍是OpenAI自身的説法，原始來源並未提供該計劃成果的獨立驗證。

OpenAI將此工作定位為與歐盟委員會關於網絡安全和人工智能的行動計劃保持一致。該行動計劃呼籲協調處理AI的風險，同時利用AI加強防禦能力，包括專門針對網絡安全目的的的安全訪問安排。OpenAI表示，隨着歐盟AI法案實施的推進，將繼續調整其合規方式，並期待繼續從監管機構和參與規則制定的更廣泛社區中學習。公司認為，規則需要足夠的靈活性以適應技術的發展，使企業和組織能夠持續受益。

GPAI準則和透明度準則仍相對較新，OpenAI的合規文檔也並非最終定稿，而是動態調整中的文件。在受監管的歐洲市場中基於OpenAI模型進行開發的團隊，應將當前的系統卡片和前沿治理框架視為自身盡職調查的起點，而非替代品。