Κανονισμός ΤΝ ΕΕ: Πάροχοι έναντι Αναπτυσσόντων — Ποιος Είναι Υπεύθυνος για τι;

Ο Κανονισμός ΤΝ ΕΕ χωρίζει τις υποχρεώσεις μεταξύ παρόχων (που κατασκευάζουν συστήματα ΤΝ) και αναπτυσσόντων (που τα θέτουν σε εφαρμογή). Η κατανόηση του ρόλου που κατέχετε καθορίζει το βάρος συμμόρφωσής σας — και εάν μπορείτε να μεταφέρετε ευθύνη σε άλλο μέρος.

Η Αρχιτεκτονική Δύο Φορέων του Κανονισμού ΤΝ ΕΕ

Ο Κανονισμός ΤΝ ΕΕ δεν δημιουργεί μια ενιαία καθολική υποχρέωση για όλους τους εμπλεκόμενους στην ΤΝ. Διακρίνει συστηματικά μεταξύ δύο κύριων ρόλων στην αλυσίδα αξίας ΤΝ:

• Πάροχοι — οντότητες που αναπτύσσουν, εκπαιδεύουν ή βελτιστοποιούν συστήματα ΤΝ και τα φέρνουν στην αγορά
• Αναπτύσσοντες — οντότητες που λειτουργούν συστήματα ΤΝ σε επαγγελματικό πλαίσιο χωρίς να τα έχουν κατασκευάσει

Αυτή η διάκριση δεν είναι σημασιολογική. Καθορίζει ποιες υποχρεώσεις ισχύουν, ποιος κατέχει ποια τεκμηρίωση, ποιος εγγράφεται στη βάση δεδομένων ΤΝ ΕΕ, ποιος διενεργεί αξιολόγηση συμμόρφωσης και ποιος ευθύνεται όταν κάτι πάει στραβά. Η σωστή κατανόηση του ρόλου σας είναι το πρώτο βήμα σε οποιοδήποτε πρόγραμμα συμμόρφωσης Κανονισμού ΤΝ.

Ένας τρίτος ρόλος — εξουσιοδοτημένος εκπρόσωπος — ισχύει για παρόχους εγκατεστημένους εκτός ΕΕ που πρέπει να ορίσουν εκπρόσωπο εντός ΕΕ για να φέρει ρυθμιστικές υποχρεώσεις τους στο έδαφος ΕΕ.

Ορισμός Παρόχου (Art. 3(3))

Ένας πάροχος είναι οποιοδήποτε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, φορέας ή άλλος οργανισμός που:

1. Αναπτύσσει σύστημα ΤΝ ή έχει αναπτυχθεί σύστημα ΤΝ, και
2. Το διαθέτει στην αγορά ή το θέτει σε υπηρεσία υπό το δικό του όνομα ή εμπορικό σήμα — είτε επί πληρωμή είτε δωρεάν

Οι κύριοι δείκτες καθεστώτος παρόχου είναι η ευθύνη ανάπτυξης και η διάθεση στην αγορά. Ένα εργαστήριο ΤΝ που κατασκευάζει και αδειοδοτεί μοντέλο πιστοληπτικής αξιολόγησης είναι πάροχος. Μια εταιρεία συμβούλων που σχεδιάζει και κατασκευάζει προσαρμοσμένο εργαλείο ελέγχου στρατολόγησης για πελάτη, στη συνέχεια το παραδίδει, είναι επίσης πάροχος (εφόσον διαθέτει το σύστημα στην αγορά υπό το δικό της όνομα· εάν κατασκευαστεί υπό το εμπορικό σήμα του πελάτη, ο πελάτης μπορεί να είναι ο πάροχος).

Ο ορισμός καλύπτει:

• Νεοφυείς επιχειρήσεις ΤΝ και προμηθευτές λογισμικού που πωλούν συσκευασμένα προϊόντα ΤΝ
• Επιχειρήσεις που κατασκευάζουν συστήματα ΤΝ για εσωτερική ανάπτυξη
• Ερευνητικά ιδρύματα που δημοσιεύουν συστήματα ΤΝ για γενική χρήση
• Πάροχοι cloud που προσφέρουν ΤΝ-ως-υπηρεσία υπό το δικό τους εμπορικό σήμα

Οι πάροχοι φέρουν το βαρύτερο βάρος συμμόρφωσης βάσει της Πράξης. Για συστήματα υψηλού κινδύνου, αυτό περιλαμβάνει διεξαγωγή αξιολογήσεων συμμόρφωσης, προετοιμασία τεχνικής τεκμηρίωσης, εγγραφή στη βάση δεδομένων ΤΝ ΕΕ, τοποθέτηση CE marking και τήρηση συστήματος παρακολούθησης μετά τη διάθεση.

Ορισμός Αναπτύσσοντος (Art. 3(4))

Ένας αναπτύσσων είναι οποιοδήποτε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, φορέας ή άλλος οργανισμός που χρησιμοποιεί σύστημα ΤΝ υπό την αρμοδιότητά του για επαγγελματικό σκοπό — εκτός εάν η χρήση γίνεται σε προσωπικές μη επαγγελματικές δραστηριότητες.

Οι αναπτύσσοντες δεν κατασκευάζουν συστήματα ΤΝ. Χρησιμοποιούν συστήματα κατασκευασμένα από άλλους — είτε αγορασμένα έτοιμα, αδειοδοτημένα μέσω API ή ενσωματωμένα σε προϊόν SaaS. Η συντριπτική πλειονότητα ευρωπαϊκών οργανισμών που «χρησιμοποιούν ΤΝ» είναι αναπτύσσοντες: εταιρείες που χρησιμοποιούν ChatGPT ή Claude μέσω API, τμήματα HR που χρησιμοποιούν συστήματα παρακολούθησης αιτούντων με ΤΝ, νοσοκομεία που χρησιμοποιούν εργαλεία διάγνωσης βοηθούμενα από ΤΝ, τράπεζες που χρησιμοποιούν μοντέλα πίστωσης παρεχόμενα από προμηθευτές.

Βασικές υποχρεώσεις αναπτύσσοντος (για συστήματα ΤΝ υψηλού κινδύνου):

• Χρήση του συστήματος μόνο σύμφωνα με τις οδηγίες του παρόχου (Art. 26(1))
• Ορισμός φυσικού προσώπου με ικανότητα, αρμοδιότητα και πόρους για εκτέλεση ανθρώπινης εποπτείας (Art. 26(2))
• Διασφάλιση ότι τα δεδομένα εισόδου είναι σχετικά και αντιπροσωπευτικά για τον προβλεπόμενο σκοπό (Art. 26(5))
• Παρακολούθηση λειτουργίας συστήματος για ανίχνευση ανωμαλιών (Art. 26(5))
• Τήρηση αρχείων καταγραφής που παράγονται από το σύστημα για την απαιτούμενη περίοδο (Art. 26(6))
• Κοινοποίηση σοβαρών περιστατικών στον πάροχο και αρμόδια αρχή (Art. 26(8))
• Διενέργεια Εκτίμησης Αντικτύπου Προστασίας Δεδομένων εφόσον απαιτείται από ΓΚΠΔ (Art. 26(9))

Οι αναπτύσσοντες συστημάτων αναγνώρισης συναισθημάτων και βιομετρικής κατηγοριοποίησης πρέπει επίσης να συμμορφώνονται με υποχρεώσεις διαφάνειας Art. 50 ανεξάρτητα από ταξινόμηση κινδύνου.

Το Όριο Παρόχου-Αναπτύσσοντος στην Πράξη

Το όριο μεταξύ παρόχου και αναπτύσσοντος είναι ξεκάθαρο θεωρητικά αλλά θολό στην πράξη. Τρία σενάρια απεικονίζουν τις συνήθεις γκρίζες ζώνες:

Σενάριο 1: SaaS έτοιμο χωρίς προσαρμογή

Μια εταιρεία εγγράφεται σε πλατφόρμα HR ελέγχου βάσει ΤΝ προμηθευτή χωρίς τροποποίηση. Ο προμηθευτής είναι ο πάροχος. Η εταιρεία είναι ο αναπτύσσων. Ο προμηθευτής οφείλει στην εταιρεία οδηγίες χρήσης, τεκμηρίωση συμμόρφωσης και δυνατότητα καταγραφής. Η εταιρεία οφείλει στους υπαλλήλους της διαφάνεια και ανθρώπινη εποπτεία.

Σενάριο 2: Ενσωμάτωση API με σημαντική τεχνική βελτιστοποίηση

Μια εταιρεία ενσωματώνει μοντέλο GPAI μέσω API, προσθέτει προσαρμοσμένη προτροπή συστήματος, δημιουργεί διεπαφή χρήστη και κυκλοφορεί την εφαρμογή σε πελάτες. Για το υποκείμενο μοντέλο GPAI, ο αρχικός προγραμματιστής είναι ο πάροχος. Για την εφαρμογή που κατασκευάστηκε πάνω στο API, η εταιρεία είναι ο πάροχος — ανέπτυξε σύστημα ΤΝ και το διέθεσε στην αγορά υπό το δικό της εμπορικό σήμα. Και παρόχου και GPAI υποχρεώσεις ισχύουν σε διαφορετικά επίπεδα.

Σενάριο 3: Προσαρμοσμένη εσωτερική κατασκευή

Μια τράπεζα κατασκευάζει το δικό της μοντέλο αξιολόγησης πιστοληπτικής ικανότητας, το εκπαιδεύει σε ιδιόκτητα δεδομένα και το αναπτύσσει εσωτερικά για αποφάσεις δανεισμού. Η τράπεζα είναι ταυτόχρονα πάροχος (κατασκεύασε και ανέπτυξε το σύστημα) και αναπτύσσων (λειτουργεί το σύστημα για τους δικούς της σκοπούς). Ισχύουν όλες οι υποχρεώσεις παρόχου βάσει της Πράξης — συμπεριλαμβανομένης αξιολόγησης συμμόρφωσης για αυτή τη χρήση Παραρτήματος III υψηλού κινδύνου — καθώς και όλες οι υποχρεώσεις αναπτύσσοντος.

Πότε Αναπτύσσοντες Γίνονται Πάροχοι (Art. 25)

Το Art. 25 θεσπίζει σαφή εναύσματα με τα οποία ένας αναπτύσσων αναλαμβάνει καθεστώς παρόχου και κληρονομεί όλες τις υποχρεώσεις παρόχου:

1. Ουσιαστική τροποποίηση — ο αναπτύσσων κάνει ουσιαστική τροποποίηση σε σύστημα ΤΝ υψηλού κινδύνου πέρα από αυτό που σκόπευε ο αρχικός πάροχος
2. Αλλαγή σκοπού που ενεργοποιεί ταξινόμηση υψηλού κινδύνου — ο αναπτύσσων χρησιμοποιεί μη υψηλού κινδύνου σύστημα με τρόπο που πληροί κριτήρια υψηλού κινδύνου Παραρτήματος III
3. Διάθεση υπό ίδιο όνομα — ο αναπτύσσων διαθέτει το σύστημα ΤΝ στην αγορά ή το θέτει σε υπηρεσία υπό το δικό του όνομα ή εμπορικό σήμα
4. Τροποποίηση μοντέλου GPAI — ένας αναπτύσσων που κάνει σημαντικές αλλαγές σε μοντέλο GPAI με τρόπο που αλλάζει τη γενική χρήση του

Όταν ενεργοποιείται το Art. 25, οι υποχρεώσεις αρχικού παρόχου μεταφέρονται στον νέο πάροχο. Ο αρχικός πάροχος απαλλάσσεται από υποχρεώσεις για το τροποποιημένο ή επαναπρογραμματισμένο σύστημα. Αυτός είναι σημαντικός μηχανισμός κατανομής ευθύνης: οργανισμοί που απλώς προσαρμόζουν ένα σύστημα πρέπει να κατανοούν πού τελειώνει η προσαρμογή και αρχίζει η ουσιαστική τροποποίηση.

Πίνακας Σύγκρισης Υποχρεώσεων

Πώς να Καθορίσετε τον Ρόλο σας

Τρεις ερωτήσεις καθορίζουν τον ρόλο σας βάσει Κανονισμού ΤΝ ΕΕ:

1. Αναπτύξατε το σύστημα ΤΝ ή έχετε αναπτυχθεί υπό την κατεύθυνσή σας; Εάν ναι — και το διαθέσατε στην αγορά ή σε υπηρεσία — είστε πάροχος.

2. Χρησιμοποιείτε σύστημα ΤΝ κατασκευασμένο από κάποιον άλλον για επαγγελματικό σκοπό; Εάν ναι, είστε αναπτύσσων.

3. Ουσιαστικά τροποποιήσατε, επαναπρογραμματίσατε ή επανεμπορεύτηκε ένα σύστημα ΤΝ; Εάν ναι, ενδέχεται να έχετε γίνει πάροχος για αυτό το τροποποιημένο σύστημα βάσει Art. 25.

Για οργανισμούς που είναι και τα δύο — εσωτερική κατασκευή για εσωτερική χρήση — όλες οι υποχρεώσεις συσσωρεύονται. Δεν υπάρχει μείωση για ολοκληρωμένες λειτουργίες.

Συμβατική Κατανομή Ευθύνης

Η Πράξη επιτρέπει σε παρόχους και αναπτύσσοντες να κατανέμουν συμβατικά συγκεκριμένες υποχρεώσεις. Το Art. 25(1) το επιτρέπει ρητά για ορισμένες υποχρεώσεις. Ωστόσο, ισχύουν δύο όρια:

• Η ρυθμιστική ευθύνη δεν μπορεί να μεταβιβαστεί συμβατικά. Εάν ο αναπτύσσων λειτουργεί σύστημα υψηλού κινδύνου, παραμένει υπεύθυνος για υποχρεώσεις αναπτύσσοντος ανεξάρτητα από τι λέει η σύμβαση. Συμβάσεις μπορούν να θεσπίζουν εσωτερική αναγωγή αλλά δεν μπορούν να μεταφέρουν ρυθμιστική λογοδοσία στο άλλο μέρος.
• Η ροή πληροφοριών πρέπει να διατηρείται. Οποιαδήποτε κατανομή πρέπει να διασφαλίζει ότι ο αναπτύσσων έχει τις πληροφορίες που απαιτούνται για εκπλήρωση των υποχρεώσεών του — οδηγίες χρήσης, πρόσβαση σε καταγραφή, κανάλια αναφοράς περιστατικών. Συμβάσεις που διακόπτουν αυτή τη ροή πληροφοριών είναι προβληματικές για συμμόρφωση, όχι μόνο εμπορικά.

Ομάδες προμηθειών πρέπει να χρησιμοποιούν συμβάσεις προμηθευτών ΤΝ για να διασφαλίζουν ότι οι πάροχοι παρέχουν αυτό που χρειάζονται οι αναπτύσσοντες: οδηγίες, τεκμηρίωση συμμόρφωσης, κανάλια κοινοποίησης περιστατικών, δεσμεύσεις ενημέρωσης και όρους διακυβέρνησης δεδομένων για τυχόν δεδομένα που κοινοποιούνται για βελτιστοποίηση.