GPAI sta per intelligenza artificiale per uso generale: un modello progettato per gestire molti compiti diversi, come scrivere, riassumere, programmare o classificare, invece di un singolo lavoro specifico. Poiché lo stesso modello può essere riutilizzato in molti prodotti e flussi di lavoro a valle, i regolatori lo trattano in modo diverso da un sistema a uso singolo. Ai sensi dell'EU AI Act, alcuni fornitori di GPAI hanno ulteriori obblighi in materia di trasparenza, documentazione e, in casi più rigorosi, sicurezza e test.
Per la sicurezza informatica, il GPAI è importante perché può diventare sia uno strumento sia una superficie di attacco. I difensori lo usano per il triage, l'analisi e l'automazione, ma gli aggressori possono abusarne per phishing, social engineering o generazione rapida di contenuti. Le organizzazioni che implementano GPAI dovrebbero controllare l'accesso, esaminare le garanzie del fornitore, monitorare gli output e testare la fuga di dati e il prompt injection. In pratica, la governance del GPAI è in parte conformità e in parte igiene della sicurezza: sapere dove viene usato il modello, chi lo gestisce e a quali dati sensibili può accedere.