EU:n tekoälyasetus: Tarjoajat vs. käyttäjät — Kuka vastaa mistä?

EU:n tekoälyasetus jakaa velvoitteet tarjoajien (jotka rakentavat tekoälyjärjestelmiä) ja käyttäjien (jotka ottavat ne käyttöön) välillä. Rooliesi ymmärtäminen määrittää vaatimustenmukaisuustaakkasi — ja onko mahdollista siirtää vastuuta toiselle osapuolelle.

EU:n tekoälyasetuksen kaksijakoinen rakenne

EU:n tekoälyasetus ei luo yhtä universaalia velvoitetta kaikille tekoälyn sidosryhmille. Se erottaa systemaattisesti kaksi ensisijaista roolia tekoälyn arvoketjussa:

• Tarjoajat — tahot, jotka kehittävät, kouluttavat tai hienosäätävät tekoälyjärjestelmiä ja tuovat ne markkinoille
• Käyttäjät — tahot, jotka operoivat tekoälyjärjestelmiä ammatillisessa yhteydessä rakentamatta niitä itse

Tämä ero ei ole semanttinen. Se määrittää, mitkä velvoitteet soveltuvat, kuka pitää minkä dokumentaation, kuka rekisteröityy EU:n tekoälytietokantaan, kuka suorittaa vaatimustenmukaisuuden arvioinnin ja kuka on vastuussa, kun jotain menee pieleen. Rooliesi oikein saaminen on ensimmäinen askel missä tahansa EU:n tekoälyasetuksen vaatimustenmukaisuusohjelmassa.

Kolmas rooli — valtuutettu edustaja — koskee EU:n ulkopuolelle sijoittautuneita tarjoajia, joiden on nimettävä EU-pohjainen edustaja kantamaan sääntelyvelvoitteensa EU:n alueella.

Tarjoajan määritteleminen (Art. 3(3))

Tarjoaja on mikä tahansa luonnollinen tai oikeushenkilö, viranomainen, virasto tai muu elin, joka:

1. Kehittää tekoälyjärjestelmän tai on sen kehittänyt, ja
2. Saattaa sen markkinoille tai ottaa sen käyttöön omalla nimellään tai tavaramerkillään — maksullisesti tai maksuttomasti

Tarjoajan aseman keskeisiä indikaattoreita ovat kehittämisvastuu ja markkinoille saattaminen. Tekoälylaboratorio, joka rakentaa ja lisensoi luottoluokitusmallin, on tarjoaja. Konsulttiyritys, joka suunnittelee ja rakentaa mukautetun rekrytointiseulontatyökalun asiakkaalle ja sitten luovuttaa sen, on myös tarjoaja (niin kauan kuin se saattaa järjestelmän markkinoille omalla nimellään; jos se on rakennettu asiakkaan brändin alle, asiakas voi olla tarjoaja).

Määritelmä kattaa:

• Tekoäly-startupeja ja ohjelmistotoimittajia, jotka myyvät pakettitekoälytuotteita
• Yrityksiä, jotka rakentavat tekoälyjärjestelmiä sisäiseen käyttöönottoon
• Tutkimuslaitoksia, jotka julkaisevat tekoälyjärjestelmiä yleiseen käyttöön
• Pilvipalveluita, jotka tarjoavat tekoälyä palveluna omalla brändillään

Tarjoajilla on asetuksen raskain vaatimustenmukaisuustaakka. Korkeariskisille järjestelmille tähän kuuluvat vaatimustenmukaisuuden arviointien suorittaminen, teknisen dokumentaation valmistelu, EU:n tekoälytietokantaan rekisteröityminen, CE-merkinnän kiinnittäminen ja markkinoille saattamisen jälkeisen valvontajärjestelmän ylläpitäminen.

Käyttäjän määritteleminen (Art. 3(4))

Käyttäjä on mikä tahansa luonnollinen tai oikeushenkilö, viranomainen, virasto tai muu elin, joka käyttää tekoälyjärjestelmää omalla vastuullaan ammatillisessa tarkoituksessa — paitsi henkilökohtaisessa ei-ammatillisessa toiminnassa.

Käyttäjät eivät rakenna tekoälyjärjestelmiä. He käyttävät muiden rakentamia järjestelmiä — hankittuna valmiina, lisensoituna API:n kautta tai integroituna SaaS-tuotteeseen. Valtaosa eurooppalaisista organisaatioista, jotka "käyttävät tekoälyä", ovat käyttäjiä: yritykset, jotka käyttävät ChatGPT:tä tai Claudea API:n kautta, henkilöstöosastot, jotka käyttävät tekoälypohjaista hakijaseurantaa, sairaalat, jotka käyttävät tekoälyavusteisia diagnostiikkatyökaluja, pankit, jotka käyttävät toimittajan tarjoamia luottomalleja.

Käyttäjän keskeiset velvoitteet (korkeariskisille tekoälyjärjestelmille):

• Käyttää järjestelmää vain tarjoajan antamien ohjeiden mukaisesti (Art. 26(1))
• Nimetä ihminen, jolla on pätevyys, toimivalta ja resurssit ihmisten valvonnan suorittamiseen (Art. 26(2))
• Varmistaa, että syöttötiedot ovat asiaankuuluvia ja edustavia tarkoitettuun käyttötarkoitukseen (Art. 26(5))
• Valvoa järjestelmän toimintaa poikkeavuuksien havaitsemiseksi (Art. 26(5))
• Säilyttää järjestelmän tuottamat lokit vaadittavaksi ajaksi (Art. 26(6))
• Ilmoittaa tarjoajalle ja toimivaltaiselle viranomaiselle vakavista tapahtumista (Art. 26(8))
• Suorittaa tietosuojavaikutusten arviointi GDPR:n edellyttämissä tapauksissa (Art. 26(9))

Tunnehavaitsemis- ja biometrisiin luokittelujärjestelmiin soveltavien käyttäjien on myös noudatettava Art. 50:n avoimuusvelvoitteita riippumatta riskiLuokittelusta.

Tarjoaja-käyttäjäraja käytännössä

Tarjoajan ja käyttäjän välinen raja on teoriassa selkeä mutta käytännössä hämärtynyt. Kolme skenaariota havainnollistavat yleisiä harmaita alueita:

Skenaario 1: Valmis SaaS ilman mukauttamista

Yritys tilaa toimittajan tekoälypohjaiseen henkilöstöseulontaan käytettävän alustan ilman muokkausta. Toimittaja on tarjoaja. Yritys on käyttäjä. Toimittaja on velkaa yritykselle käyttöohjeet, vaatimustenmukaisuusdokumentaatio ja lokikirjauskyky. Yritys on velkaa työntekijöilleen avoimuuden ja ihmisten valvonnan.

Skenaario 2: API-integraatio merkittävällä kehottesuunnittelulla

Yritys integroi GPAI-mallin API:n kautta, lisää mukautetun järjestelmäkehotteen, rakentaa käyttöliittymän ja julkaisee sovelluksen asiakkaille. Taustalla olevan GPAI-mallin osalta alkuperäinen kehittäjä on tarjoaja. Päälle rakennetun sovelluksen osalta yritys on tarjoaja — se on kehittänyt tekoälyjärjestelmän ja saattanut sen markkinoille omalla brändillään. Molemmat tarjoaja- ja GPAI-velvoitteet soveltuvat eri kerroksissa.

Skenaario 3: Mukautettu sisäinen rakentaminen

Pankki rakentaa oman luottokelpoisuuden arviointimallinsa, kouluttaa sen omistamallaan datalla ja ottaa sen käyttöön sisäisesti lainapäätöksiin. Pankki on samanaikaisesti tarjoaja (se rakensi ja otti käyttöön järjestelmän) ja käyttäjä (se operoi järjestelmää omiin tarkoituksiinsa). Kaikki asetuksen mukaiset tarjoajan velvoitteet soveltuvat — mukaan lukien vaatimustenmukaisuuden arviointi tälle liitteen III korkeariskiselle käyttötapaukselle — samoin kuin kaikki käyttäjän velvoitteet.

Milloin käyttäjistä tulee tarjoajia (Art. 25)

Art. 25 määrittelee selkeät käynnistimet, joiden avulla käyttäjä saa tarjoajan aseman ja perii kaikki tarjoajan velvoitteet:

1. Merkittävä muutos — käyttäjä tekee merkittävän muutoksen korkeariskiseen tekoälyjärjestelmään alkuperäisen tarjoajan tarkoittaman ulkopuolelle
2. Korkeariskisen luokittelun käynnistävä tarkoituksen muutos — käyttäjä käyttää muuta kuin korkeariskistä järjestelmää tavalla, joka täyttää liitteen III korkeariskiset kriteerit
3. Omaniminen markkinoille saattaminen — käyttäjä saattaa tekoälyjärjestelmän markkinoille tai ottaa sen käyttöön omalla nimellään tai tavaramerkillään
4. GPAI-mallin muutos — käyttäjä, joka tekee merkittävän muutoksen GPAI-malliin tavalla, joka muuttaa sen yleiskäyttöistä käyttötapausta

Kun Art. 25 käynnistyy, alkuperäisen tarjoajan velvoitteet siirtyvät uudelle tarjoajalle. Alkuperäinen tarjoaja vapautuu velvoitteista muutetun tai uudelleenkäyttötarkoitetun järjestelmän osalta. Tämä on tärkeä vastuunjakomekanismi: organisaatioiden, jotka vain mukauttavat järjestelmää, on ymmärrettävä, missä mukauttaminen loppuu ja merkittävä muutos alkaa.

Velvoitevertailutaulukko

Roolisi määrittäminen

Kolme kysymystä määrittää roolisi EU:n tekoälyasetuksessa:

1. Kehititkö tekoälyjärjestelmän vai oletko sen kehittänyt oman johtosi alaisena? Jos kyllä — ja saatoit sen markkinoille tai käyttöön — olet tarjoaja.

2. Käytätkö jonkun muun rakentamaa tekoälyjärjestelmää ammatillisessa tarkoituksessa? Jos kyllä, olet käyttäjä.

3. Oletko merkittävästi muuttanut, uudelleenkäyttötarkoittanut tai uudelleenbrändännyt tekoälyjärjestelmän? Jos kyllä, saatat olla tullut tarjoajaksi kyseiselle muutetulle järjestelmälle Art. 25:n mukaisesti.

Organisaatioille, jotka ovat molempia — sisäinen rakentaminen sisäiseen käyttöön — kaikki velvoitteet kumuloituvat. Integroiduille toiminnoille ei ole vähennystä.

Vastuun sopimusoikeudellinen jako

Asetus sallii tarjoajien ja käyttäjien sopia tiettyjen velvoitteiden sopimusoikeudellisesta jaosta. Art. 25(1) sallii tämän nimenomaisesti tietyille velvoitteille. Kaksi rajoitusta kuitenkin soveltuu:

• Sääntelyvastuuta ei voida sopia pois. Jos käyttäjä operoi korkeariskistä järjestelmää, se pysyy vastuullisena käyttäjän velvoitteista riippumatta sopimuksesta. Sopimukset voivat luoda sisäisiä regressioita mutta eivät voi siirtää sääntelyvastuuta toiselle osapuolelle.
• Tietovirta on säilytettävä. Minkä tahansa jaon on varmistettava, että käyttäjällä on velvoitteidensa täyttämiseen tarvittavat tiedot — käyttöohjeet, lokikirjauksen pääsy, tapahtumaraportoinnin kanavat. Sopimukset, jotka katkaisevat tämän tietovirran, ovat ongelmallisia vaatimustenmukaisuuden kannalta, ei vain kaupallisesti.

Hankintaryhmien tulisi käyttää tekoälyn toimittajasopimuksia varmistaakseen, että tarjoajat toimittavat sen, mitä käyttäjät tarvitsevat: ohjeet, vaatimustenmukaisuusdokumentaatio, tapahtumailmoituskanavat, päivityssitoumukset ja tietojen hallintaehdot mahdollisille hienosäätöä varten jaetulle datalle.