EU MI-törvény: Szolgáltatók vs. alkalmazók — Ki miért felelős?

Az EU MI-törvény a kötelezettségeket megosztja a szolgáltatók (akik MI-rendszereket fejlesztenek) és az alkalmazók (akik azokat a gyakorlatban alkalmazzák) között. Annak megértése, melyik szerepet tölti be, határozza meg megfelelési terhét — és azt, hogy átháríthatja-e a felelősséget egy másik félre.

Az EU MI-törvény kétszereplős architektúrája

Az EU MI-törvény nem hoz létre egyetlen univerzális kötelezettséget minden MI-érdekelt fél számára. Szisztematikusan különbséget tesz az MI értékláncának két elsődleges szerepe között:

• Szolgáltatók — szervezetek, amelyek MI-rendszereket fejlesztenek, betanítanak vagy finomhangolnak, és piacra hozzák azokat
• Alkalmazók — szervezetek, amelyek szakmai összefüggésben üzemeltetnek MI-rendszereket anélkül, hogy azokat építenék

Ez a megkülönböztetés nem szemantikai. Meghatározza, mely kötelezettségek alkalmazandók, ki tart melyik dokumentumot, ki regisztrál az EU MI-adatbázisban, ki végzi a megfelelőségértékelést, és ki felelős, ha valami rosszul sül el. A szerepkör helyes meghatározása bármely EU MI-törvény megfelelési program első lépése.

Harmadik szerepkör — meghatalmazott képviselő — az EU-n kívül letelepedett, az EU területén szabályozási kötelezettségeiket hordozó EU-beli képviselőt kijelölni köteles szolgáltatókra vonatkozik.

A szolgáltató meghatározása (Art. 3(3))

A szolgáltató bármely természetes vagy jogi személy, közhatóság, ügynökség vagy más szerv, amely:

1. MI-rendszert fejleszt vagy fejlesztet, és
2. Saját neve vagy márkája alatt — fizetés ellenében vagy ingyenesen — piacra helyezi vagy szolgáltatásba állítja

A szolgáltatói státusz kulcsmutatói a fejlesztési felelősség és a piacra helyezés. Egy hitelminősítő modellt fejlesztő és licencbe adó MI-labor szolgáltató. Egy ügyfél számára egyedi toborzói szűrő eszközt tervező és fejlesztő, majd azt átadó tanácsadó szintén szolgáltató (amíg a rendszert saját neve alatt helyezi piacra; ha az ügyfél márkája alatt épül, az ügyfél lehet a szolgáltató).

A meghatározás lefedi:

• MI-termékeket értékesítő MI-startupok és szoftverszállítók
• Belső üzembe helyezéshez MI-rendszereket fejlesztő vállalatok
• Általános használatra MI-rendszereket közzétevő kutatóintézetek
• Saját márkájuk alatt MI-t-mint-szolgáltatást kínáló felhőszolgáltatók

A szolgáltatókra a törvény értelmében a legsúlyosabb megfelelési teher hárul. Magas kockázatú rendszereknél ez magában foglalja a megfelelőségértékelések elvégzését, műszaki dokumentáció elkészítését, regisztrációt az EU MI-adatbázisban, CE-jelölés elhelyezését és forgalomba hozatal utáni figyelési rendszer fenntartását.

Az alkalmazó meghatározása (Art. 3(4))

Az alkalmazó bármely természetes vagy jogi személy, közhatóság, ügynökség vagy más szerv, amely saját hatáskörében, szakmai célból használ MI-rendszert — kivéve a személyes, nem szakmai tevékenységben való használatot.

Az alkalmazók nem fejlenek MI-rendszereket. Mások által fejlesztett rendszereket használnak — legyen az bármiről szárni, API-n keresztül licencbe venni, vagy SaaS termékbe ágyazva elérni. Az MI-t "használó" európai szervezetek túlnyomó többsége alkalmazó: ChatGPT-t vagy Claude-ot API-n keresztül használó vállalatok, MI-alapú pályázókövetőt használó HR-osztályok, MI-asszisztált diagnosztikai eszközöket alkalmazó kórházak, szállítói hitelmodelleket használó bankok.

Alkalmazók főbb kötelezettségei (magas kockázatú MI-rendszerek esetén):

• A rendszert kizárólag a szolgáltató utasításainak megfelelően szabad használni (Art. 26(1))
• Kompetenciával, hatáskörrel és erőforrásokkal rendelkező természetes személyt kell kijelölni emberi felügyelet elvégzésére (Art. 26(2))
• Biztosítani kell, hogy a bemeneti adatok relevánsak és reprezentatívak legyenek a rendeltetési célhoz (Art. 26(5))
• Figyelni kell a rendszer működését a rendellenességek észlelése érdekében (Art. 26(5))
• A rendszer által előállított naplókat a szükséges ideig meg kell őrizni (Art. 26(6))
• A szolgáltatót és az illetékes hatóságot bármely súlyos incidensről értesíteni kell (Art. 26(8))
• Ahol a GDPR megköveteli, Adatvédelmi hatásvizsgálatot (DPIA) kell végezni (Art. 26(9))

Az érzelemfelismerő és biometrikus kategorizálási rendszerek alkalmazóinak az Art. 50 átláthatósági kötelezettségeknek is meg kell felelniük, kockázati besorolástól függetlenül.

A szolgáltató-alkalmazó határ a gyakorlatban

A szolgáltató és az alkalmazó közötti határ elméletben egyértelmű, de a gyakorlatban elmosódott. Három forgatókönyv illusztrálja a leggyakoribb szürke területeket:

1. forgatókönyv: Dobozos SaaS testreszabás nélkül

Egy vállalat feliratkozik egy szállító MI-alapú HR-szűrő platformjára módosítás nélkül. A szállító a szolgáltató. A vállalat az alkalmazó. A szállító köteles a vállalatnak használati utasítást, megfelelőségi dokumentációt és naplózási lehetőséget biztosítani. A vállalat köteles munkavállalóinak átláthatóságot és emberi felügyeletet biztosítani.

2. forgatókönyv: API-integráció jelentős prompt-tervezéssel

Egy vállalat API-n keresztül integrál egy GPAI-modellt, egyedi rendszerpromptot ad hozzá, felhasználói felületet épít, és az alkalmazást ügyfeleknek bocsátja ki. A mögöttes GPAI-modell esetén az eredeti fejlesztő a szolgáltató. A tetejére épített alkalmazás esetén a vállalat a szolgáltató — MI-rendszert fejlesztett és saját márkája alatt piacra helyezte. A különböző szinteken egyszerre vonatkoznak a szolgáltatói és a GPAI-kötelezettségek.

3. forgatókönyv: Egyedi belső fejlesztés

Egy bank saját hitelképesség-értékelő modellt épít, saját adatokon tanítja be, és belsőleg telepíti hiteldöntésekhez. A bank egyszerre a szolgáltató (fejlesztette és telepítette a rendszert) és az alkalmazó (saját céljaira üzemelteti a rendszert). A törvény alapján minden szolgáltatói kötelezettség alkalmazandó — köztük a megfelelőségértékelés erre a III. melléklet szerinti magas kockázatú felhasználási esetre — csakúgy, mint minden alkalmazói kötelezettség.

Amikor az alkalmazók szolgáltatókká válnak (Art. 25)

Az Art. 25 egyértelmű kiváltókat állapít meg, amelyek révén az alkalmazó szolgáltatói státuszba kerül és átvesz minden szolgáltatói kötelezettséget:

1. Lényeges módosítás — az alkalmazó lényeges módosítást végez az eredeti szolgáltató által szándékolton túlmenően a magas kockázatú MI-rendszeren
2. Magas kockázatú besorolást kiváltó célmódosítás — az alkalmazó nem magas kockázatú rendszert olyan módon használ, hogy az megfelel a III. melléklet magas kockázatú kritériumainak
3. Saját névvel való piacra helyezés — az alkalmazó saját neve vagy márkája alatt helyezi piacra vagy állítja szolgáltatásba az MI-rendszert
4. GPAI-modell módosítása — az alkalmazó lényeges módosítást végez egy GPAI-modellen, amely megváltoztatja annak általános célú felhasználási esetét

Az Art. 25 kiváltásakor az eredeti szolgáltató kötelezettségei az új szolgáltatóra szállnak. Az eredeti szolgáltató mentesül a módosított vagy átcélzott rendszer kötelezettségei alól. Ez fontos felelősség-elosztási mechanizmus: a rendszert csak testreszabó szervezeteknek meg kell érteniük, hol ér véget a testreszabás és hol kezdődik a lényeges módosítás.

Kötelezettségek összehasonlító táblázata

Szerepkörének meghatározása

Három kérdés határozza meg az EU MI-törvény szerinti szerepkörét:

1. Ön fejlesztette az MI-rendszert, vagy az Ön utasítása alapján fejlesztették? Ha igen — és piacra helyezte vagy szolgáltatásba állította —, Ön a szolgáltató.

2. Valaki más által fejlesztett MI-rendszert használ szakmai célra? Ha igen, Ön az alkalmazó.

3. Lényegesen módosított, átcélzott vagy átmárkázott egy MI-rendszert? Ha igen, az Art. 25 alapján az adott módosított rendszer esetén Ön esetleg szolgáltatóvá vált.

Mindkét szerepet betöltő szervezetek esetén — belső fejlesztés belső használatra — minden kötelezettség összeadódik. Az integrált üzemeltetés nem csökkenti a terheket.

Felelősség szerződéses elosztása

A törvény lehetővé teszi, hogy a szolgáltatók és alkalmazók szerződésileg osszák el egyes kötelezettségeket. Az Art. 25(1) ezt kifejezetten megengedi bizonyos kötelezettségek esetén. Két korlát azonban alkalmazandó:

• A szabályozási felelősség szerződéssel nem ruházható át. Ha az alkalmazó magas kockázatú rendszert üzemeltet, az alkalmazói kötelezettségekért felelős, függetlenül a szerződéstől. A szerződések belső igényérvényesítési alapot biztosíthatnak, de nem ruházhatják át a szabályozási elszámoltathatóságot a másik félre.
• Az információáramlást fenn kell tartani. Minden elosztásnak biztosítania kell, hogy az alkalmazónak rendelkezésére álljon a kötelezettségek teljesítéséhez szükséges információ — használati utasítás, naplózási hozzáférés, incidensbejelentési csatornák. Az ezen információáramlást megszakító szerződések nem csupán kereskedelmileg, hanem a megfelelés szempontjából is problematikusak.

A beszerzési csapatoknak MI-szállítói szerződéseket kell alkalmazniuk annak biztosítására, hogy a szolgáltatók megadják az alkalmazóknak, amire szükségük van: utasításokat, megfelelőségi dokumentációt, incidensbejelentési csatornákat, frissítési vállalásokat és a finomhangoláshoz megosztott adatok adatirányítási feltételeit.