UE Akt AI: Wdrożyciel vs Dostawca — Kto ponosi jakie obowiązki

Co to jest Dostawca? (Artykuł 3(3))

Dostawca rozwija system AI lub ogólny model AI — lub zleca jego rozwój — i umieszcza go na rynku lub wdraża pod swoją nazwą lub znakiem towarowym, niezależnie od tego, czy jest to za opłatą, czy bezpłatnie.

• Tworzy lub zleca system AI lub model GPAI
• Umieszcza go na rynku UE lub wdraża pod swoją nazwą lub znakiem towarowym
• Ponosi główny ciężar obowiązków związanych z wysokim ryzykiem: zarządzanie ryzykiem (Artykuł 9), zarządzanie danymi (Artykuł 10), dokumentacja techniczna (Artykuł 11 / Załącznik IV), prowadzenie rejestrów (Artykuł 12), przejrzystość wobec wdrożycieli (Artykuł 13), projektowanie nadzoru ludzkiego (Artykuł 14) oraz ocena zgodności
• Stosuje się niezależnie od tego, czy system jest dostarczany komercyjnie, czy bezpłatnie

Co to jest Wdrożyciel? (Artykuł 3(4))

Wdrożyciel używa systemu AI pod swoją własną władzą — z wyjątkiem sytuacji, w której system jest używany w ramach osobistej, niezawodowej działalności.

• Używa systemu w profesjonalnym kontekście, pod swoją własną władzą (wcześniej nazywany „użytykiem” w wcześniejszych wersjach)
• Musisz używać systemu zgodnie z instrukcjami dostawcy
• Ponosi obowiązki specyficzne dla wdrożyciela: przydzielanie kompetentnego nadzoru ludzkiego, monitorowanie działania, przechowywanie automatycznie generowanych logów, którymi się zarządza, oraz informowanie osób dotkniętych, gdy jest to wymagane
• Pewni wdrożyciele muszą również przeprowadzić ocenę wpływu na podstawowe prawa (Artykuł 27) przed pierwszym użyciem

Jak określić, jaką rolę się pełni

Przeanalizuj różnicę, zamiast przyjmować ją za pewnik. Testem jest to, kto umieścił system na rynku pod swoją nazwą versus kto go operuje:

• Czy zbudowałeś lub oznaczyłeś system? Jeśli trafia na rynek pod twoją nazwą lub znakiem towarowym, jesteś dostawcą — nawet jeśli inna firma napisała kod dla ciebie.
• Czy tylko uruchamiasz system innej firmy? Jeśli operujesz systemem umieszczonym na rynku przez inną firmę, pod ich nazwą, jesteś wdrożycielem.
• Możesz być oboma jednocześnie. Przedsiębiorstwo, które buduje wewnętrznego agenta (dostawca), a jednocześnie używa platformy agenta dostawcy (wdrożyciel), pełni obie role dla różnych systemów.
• Obowiązki dostawcy są cięższe; obowiązki wdrożyciela są operacyjne — nadzór, monitorowanie, logowanie, które się kontroluje, oraz przejrzystość wobec osób dotkniętych.

Importenci, dystrybutorzy i producenci produktów są odrębnymi rolami operatorów z własnymi obowiązkami — zobacz stronę zakresu dla pełnej listy.

Kiedy wdrożyciel staje się dostawcą (Artykuł 25)

Artykuł 25 określa sytuacje, w których wdrożyciel, dystrybutor, importer lub inna strona trzecia przyjmuje pełne obowiązki dostawcy dla systemu AI o wysokim ryzyku już na rynku:

• Przebudowanie — umieszcza się własną nazwę lub znak towarowy na systemie o wysokim ryzyku już umieszczonym na rynku, chyba że umowa alokuje obowiązki inaczej
• Istotna modyfikacja — wprowadza się istotną modyfikację do systemu o wysokim ryzyku w taki sposób, że pozostaje on systemem o wysokim ryzyku
• Zmiana przeznaczenia — modyfikuje się przeznaczenie systemu (w tym ogólnego systemu AI), który nie był klasyfikowany jako system o wysokim ryzyku, tak aby stał się systemem o wysokim ryzyku
• Gdy którykolwiek z tych wyzwań, oryginalny dostawca musi współpracować, a ty dziedziczysz obowiązki dostawcy — ocenę zgodności, dokumentację techniczną, prowadzenie rejestrów i resztę

To jest pułapka dla zespołów, które dostosowują, zmieniają zakres lub białą etykietę kupionego systemu AI: dokumentacja, której sądzili, że należy do dostawcy, może przenieść się na ciebie.