EL AI seadus: pakkujad vs. kasutuselevõtjad — kes vastutab mille eest?

EL AI seadus jaotab kohustused pakkujate (kes ehitavad AI-süsteeme) ja kasutuselevõtjate vahel (kes neid praktikasse rakendavad). Teie rolli mõistmine määrab teie vastavuskoormuse — ja selle, kas saate vastutuse teisele osapoolele üle anda.

EL AI seaduse kaheosaline arhitektuur

EL AI seadus ei loo kõigile AI-sidusrühmadele ühte universaalset kohustust. See eristab süstemaatiliselt kaht peamist rolli AI väärtusahelas:

• Pakkujad — üksused, kes arendavad, treenivad või täiustamavad AI-süsteeme ja toovad need turule
• Kasutuselevõtjad — üksused, kes käitavad AI-süsteeme professionaalses kontekstis ilma neid ehitamata

See eristus ei ole semantiline. See määrab, millised kohustused kehtivad, kes hoiab millist dokumentatsiooni, kes registreerub EL AI andmebaasis, kes viib läbi vastavushindamise ja kes vastutab, kui midagi läheb valesti. Oma rolli õige mõistmine on esimene samm mis tahes EL AI seaduse vastavusprogrammis.

Kolmas roll — volitatud esindaja — kohaldub EL-i väliselt asutatud pakkujatele, kes peavad määrama EL-i põhise esindaja oma regulatiivsete kohustuste kandmiseks EL territooriumil.

Pakkuja defineerimine (Art. 3(3))

Pakkuja on mis tahes füüsiline või juriidiline isik, avalik asutus, amet või muu organ, kes:

1. Arendab AI-süsteemi või laseb selle arendada, ja
2. Laseb selle turule või võtab kasutusele oma nime või kaubamärgi all — olenemata sellest, kas tasu eest või tasuta

Pakkuja staatuse põhinäitajad on arendusvastutus ja turule laskmine. AI labor, kes ehitab ja litsentsib krediidihindamise mudelit, on pakkuja. Konsultatsioonifirma, kes kujundab ja ehitab kliendile kohandatud värbamise sõelumise tööriista, seejärel annab selle üle, on samuti pakkuja (kuni see laseb süsteemi turule oma nime all; kui see on ehitatud kliendi kaubamärgi all, võib klient olla pakkuja).

Definitsioon hõlmab:

• AI idufirmasid ja tarkvaramüüjaid, kes müüvad pakendatud AI-tooteid
• Ettevõtteid, kes ehitavad AI-süsteeme sisekasutuseks
• Teadusasutusi, kes avaldavad AI-süsteeme üldiseks kasutamiseks
• Pilve pakkujaid, kes pakuvad AI-teenust oma kaubamärgi all

Pakkujad kannavad seaduse alusel raskeima vastavuskoormuse. Kõrge riskiga süsteemide puhul hõlmab see vastavushindamise läbiviimist, tehnilise dokumentatsiooni koostamist, EL AI andmebaasis registreerumist, CE-märgise kandmist ja järelturu seiresüsteemi hoidmist.

Kasutuselevõtja defineerimine (Art. 3(4))

Kasutuselevõtja on mis tahes füüsiline või juriidiline isik, avalik asutus, amet või muu organ, kes kasutab AI-süsteemi oma volituste alusel professionaalsel eesmärgil — välja arvatud kasutamine isiklikus mitteprofessionaalses tegevuses.

Kasutuselevõtjad ei ehita AI-süsteeme. Nad kasutavad teiste ehitatud süsteeme — olenemata sellest, kas need on ostetud valmiskujul, litsentsitud API kaudu või integreeritud SaaS-tootesse. Valdav enamik Euroopa organisatsioonidest, kes "kasutavad AI-d", on kasutuselevõtjad: ettevõtted, kes kasutavad ChatGPT-d või Claude'i API kaudu, personaliosakondade, kes kasutavad AI-toega kandidaatide jälgimist, haiglad, kes kasutavad AI-assisteeritud diagnostikatööriistu, pangad, kes kasutavad tarnijatelt saadud krediidimudeleid.

Kasutuselevõtja põhikohustused (kõrge riskiga AI-süsteemide puhul):

• Kasutada süsteemi ainult vastavalt pakkuja esitatud juhistele (Art. 26(1))
• Määrata inimjärelevalve teostamiseks pädev, volitustega ja ressurssidega inimene (Art. 26(2))
• Tagada, et sisendandmed on kavandatud eesmärgiga asjakohased ja esinduslikud (Art. 26(5))
• Jälgida süsteemi käitamist kõrvalekallete tuvastamiseks (Art. 26(5))
• Säilitada süsteemi poolt toodetud logid nõutava perioodi jooksul (Art. 26(6))
• Teatada pakkujale ja pädevale asutusele mis tahes tõsisest intsidendist (Art. 26(8))
• Viia läbi andmekaitsega seotud mõjuhindamine, kus GDPR seda nõuab (Art. 26(9))

Emotsioonide tuvastamise ja biomeetrilise kategoriseerimise süsteemide kasutuselevõtjad peavad riskiklassifikatsioonist sõltumata täitma ka Art. 50 läbipaistvuskohustusi.

Pakkuja-kasutuselevõtja piir praktikas

Pakkuja ja kasutuselevõtja vaheline piir on teoreetiliselt selge, kuid praktikas hägune. Kolm stsenaariumi illustreerivad tavalisi halli alasid:

Stsenaarium 1: Valmis-SaaS ilma kohandamiseta

Ettevõte liitub tarnijapõhise AI-toega personalijuhtimisplatvormiga ilma muudatusteta. Tarnija on pakkuja. Ettevõte on kasutuselevõtja. Tarnija võlgneb ettevõttele kasutusjuhised, vastavusdokumentatsiooni ja logimissuutlikkuse. Ettevõte võlgneb oma töötajatele läbipaistvuse ja inimjärelevalve.

Stsenaarium 2: API integreerimine märkimisväärse päringu inseneerimisega

Ettevõte integreerib GPAI mudeli API kaudu, lisab kohandatud süsteemipäringu, ehitab kasutajaliidese ja avaldab rakenduse klientidele. Alusmudeli jaoks on algne arendaja pakkuja. Peale ehitatud rakenduse jaoks on ettevõte pakkuja — see on arendanud AI-süsteemi ja lasknud selle turule oma kaubamärgi all. Pakkuja ja GPAI kohustused mõlemad kohalduvad erinevatel kihtidel.

Stsenaarium 3: Kohandatud sisekasutuse ehitus

Pank ehitab oma krediidivõimelisuse hindamise mudeli, treenib seda oma andmete põhjal ja võtab selle laenuotsuste jaoks siseselt kasutusele. Pank on samaaegselt pakkuja (see ehitas ja võttis süsteemi kasutusele) ja kasutuselevõtja (see käitab süsteemi oma eesmärkidel). Kõik seaduse alusel pakkuja kohustused kehtivad — sealhulgas selle III lisa kõrge riskiga kasutusjuhtumi vastavushindamine — samuti kõik kasutuselevõtja kohustused.

Millal kasutuselevõtjatest saavad pakkujad (Art. 25)

Art. 25 kehtestab selged päästikud, mille alusel kasutuselevõtja võtab üle pakkuja staatuse ja pärib kõik pakkuja kohustused:

1. Oluline muudatus — kasutuselevõtja teeb kõrge riskiga AI-süsteemile olulise muudatuse, mis ületab algse pakkuja kavandatu
2. Eesmärgi muutus, mis käivitab kõrge riskiga klassifikatsiooni — kasutuselevõtja kasutab mitte-kõrge-riskiga süsteemi viisil, mis vastab III lisa kõrge riskiga kriteeriumitele
3. Omanimelisele turule laskmine — kasutuselevõtja laseb AI-süsteemi turule või võtab kasutusele oma nime või kaubamärgi all
4. GPAI mudeli suuremahuline muutmine — kasutuselevõtja, kes teeb GPAI mudelile olulisi muudatusi, mis muudab selle üldotstarbelise kasutusjuhtumi

Kui Art. 25 käivitub, kanduvad algse pakkuja kohustused üle uuele pakkujale. Algne pakkuja vabastatakse muudetud või ümber kasutatud süsteemi kohustutest. See on oluline vastutuse jaotamise mehhanism: organisatsioonid, kes süsteeme ainult kohandavad, peavad mõistma, kus kohandamine lõpeb ja oluline muudatus algab.

Kohustuste võrdlustabel

Kuidas oma rolli määrata

Kolm küsimust loovad teie rolli EL AI seaduse alusel:

1. Kas arendasite AI-süsteemi või lasite selle arendada oma juhendamisel? Kui jah — ja lasite selle turule või kasutusele — olete pakkuja.

2. Kas kasutate kellegi teise poolt ehitatud AI-süsteemi professionaalsel eesmärgil? Kui jah, olete kasutuselevõtja.

3. Kas olete AI-süsteemi oluliselt muutnud, ümber kasutanud või ümber kaubamärgistanud? Kui jah, võite olla muudetud süsteemi pakkuja Art. 25 alusel.

Organisatsioonide jaoks, kes on mõlemad — sisekasutuse ehitus sisekasutuseks — kõik kohustused on kumulatiivsed. Integreeritud tegevuse jaoks pole vähendamist.

Vastutuse lepinguline jaotamine

Seadus lubab pakkujatel ja kasutuselevõtjatel lepinguliselt jaotada konkreetseid kohustusi. Art. 25(1) lubab seda selgesõnaliselt teatud kohustuste puhul. Kuid kaks piirangut kehtivad:

• Regulatiivset vastutust ei saa lepinguliselt üle anda. Kui kasutuselevõtja käitab kõrge riskiga süsteemi, jääb see vastutavaks kasutuselevõtja kohustuste eest olenemata lepingust. Lepingud saavad kehtestada sisemise regressiõiguse, kuid ei saa kanda regulatiivset vastutust teisele poolele.
• Teabevoog peab olema säilinud. Iga jaotus peab tagama, et kasutuselevõtjal on teave oma kohustuste täitmiseks — kasutusjuhised, logimise juurdepääs, intsidentide teatamise kanalid. Lepingud, mis lõikavad selle teabevoo ära, on vastavuse, mitte ainult äriliselt problemaatilised.

Hangete meeskonnad peaksid kasutama AI tarnijate lepinguid tagamaks, et pakkujad esitavad seda, mida kasutuselevõtjad vajavad: juhised, vastavusdokumentatsioon, intsidentide teatamise kanalid, uuendamise kohustused ja andmehalduse tingimused täiustamiseks jagatud andmete puhul.