ES MI Akts: Nodrošinātāji pret Izmantotājiem — Kas par Ko Ir Atbildīgs?

ES MI Akts sadala pienākumus starp nodrošinātājiem (kas veido MI sistēmas) un izmantotājiem (kas tos praksē izmanto). Izpratne par to, kādu lomu jūs ieņemat, nosaka jūsu atbilstības slogu — un vai varat pārnest atbildību uz citu pusi.

ES MI Akta Divu Dalībnieku Arhitektūra

ES MI Akts nerada vienu vispārējo pienākumu visiem MI ieinteresētajiem. Tas sistemātiski nošķir divas galvenās lomas MI vērtību ķēdē:

• Nodrošinātāji — vienības, kas izstrādā, apmāca vai pielāgo MI sistēmas un laiž tās tirgū
• Izmantotāji — vienības, kas ekspluatē MI sistēmas profesionālā kontekstā, nebūdamas tās veidojušas

Šī atšķirība nav semantiska. Tā nosaka, kuri pienākumi piemērojami, kuram ir kāda dokumentācija, kurš reģistrējas ES MI datubāzē, kurš veic atbilstības novērtēšanu un kurš ir atbildīgs, kad kaut kas noiet greizi. Savas lomas pareiza noteikšana ir pirmais solis jebkurā ES MI Akta atbilstības programmā.

Trešā loma — pilnvarotais pārstāvis — attiecas uz nodrošinātājiem, kas dibināti ārpus ES un kam jānorīko ES bāzēts pārstāvis, lai pārnēsātu viņu regulatīvos pienākumus ES teritorijā.

Nodrošinātāja Definīcija (Art. 3(3))

Nodrošinātājs ir jebkura fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kas:

1. Izstrādā MI sistēmu vai liek to izstrādāt, un
2. Laiž to tirgū vai nodod ekspluatācijā ar savu nosaukumu vai preču zīmi — vai nu par atlīdzību, vai bez maksas

Nodrošinātāja statusa galvenie indikatori ir izstrādes atbildība un laišana tirgū. MI laboratorija, kas veido un licencē kredītu vērtēšanas modeli, ir nodrošinātājs. Konsultāciju uzņēmums, kas projektē un veido pielāgotu kandidātu atlases rīku klientam un pēc tam to nodod, arī ir nodrošinātājs (kamēr sistēma tiek laista tirgū ar tā nosaukumu; ja tā veidota klienta zīmola vārdā, klients var būt nodrošinātājs).

Definīcija aptver:

• MI jaunuzņēmumus un programmatūras pārdevējus, kas pārdod iepakotus MI produktus
• Uzņēmumus, kas veido MI sistēmas iekšējai izvietošanai
• Pētniecības iestādes, kas publicē MI sistēmas vispārējai lietošanai
• Mākoņa nodrošinātājus, kas piedāvā MI kā pakalpojumu savā zīmolā

Nodrošinātāji nes vissmagāko atbilstības slogu saskaņā ar Aktu. Augsta riska sistēmām tas ietver atbilstības novērtēšanu, tehniskās dokumentācijas sagatavošanu, reģistrāciju ES MI datubāzē, CE marķēšanu un pēctirgus uzraudzības sistēmas uzturēšanu.

Izmantotāja Definīcija (Art. 3(4))

Izmantotājs ir jebkura fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kas izmanto MI sistēmu savā autoritātē profesionālam mērķim — izņemot gadījumus, kad izmantošana ir personiskā neprofesionālā darbībā.

Izmantotāji neveidō MI sistēmas. Tie izmanto citu veidotas sistēmas — vai tās nopirktas gatavā formā, licencētas caur API vai iekļautas SaaS produktā. Lielākā daļa Eiropas organizāciju, kas "izmanto MI", ir izmantotāji: uzņēmumi, kas izmanto ChatGPT vai Claude caur API, personāla nodaļas, kas izmanto MI kandidātu izsekošanu, slimnīcas, kas izmanto MI palīdzētu diagnostiku, bankas, kas izmanto pārdevēja piegādātus kredītu modeļus.

Galvenie izmantotāja pienākumi (augsta riska MI sistēmām):

• Izmantot sistēmu tikai saskaņā ar nodrošinātāja sniegtajām instrukcijām (Art. 26(1))
• Norīkot cilvēku ar kompetenci, autoritāti un resursiem cilvēku uzraudzībai (Art. 26(2))
• Nodrošināt, ka ievades dati ir atbilstoši un reprezentatīvi paredzētajam mērķim (Art. 26(5))
• Uzraudzīt sistēmas darbību, lai atklātu anomālijas (Art. 26(5))
• Saglabāt sistēmas radītos žurnālus nepieciešamo periodu (Art. 26(6))
• Paziņot nodrošinātājam un kompetentajai iestādei par nopietniem incidentiem (Art. 26(8))
• Veikt Datu aizsardzības ietekmes novērtēšanu, kur to prasa VDAR (Art. 26(9))

Emociju atpazīšanas un biometriskās kategorizācijas sistēmu izmantotājiem arī jāatbilst Art. 50 pārredzamības pienākumiem neatkarīgi no riska klasifikācijas.

Nodrošinātāja-Izmantotāja Robeža Praksē

Robeža starp nodrošinātāju un izmantotāju ir teorētiski vienkārša, bet praksē neskaidra. Trīs scenāriji ilustrē biežākās pelēkās zonas:

1. scenārijs: Gatavs SaaS bez pielāgošanas

Uzņēmums abonē pārdevēja MI personāla atlases platformu bez modifikācijām. Pārdevējs ir nodrošinātājs. Uzņēmums ir izmantotājs. Pārdevējs ir parādā uzņēmumam lietošanas instrukcijas, atbilstības dokumentāciju un reģistrēšanas spējas. Uzņēmums ir parādā darbiniekiem pārredzamību un cilvēku uzraudzību.

2. scenārijs: API integrācija ar ievērojamu uzvednes inženieriju

Uzņēmums integrē GPAI modeli caur API, pievieno pielāgotu sistēmas uzvedni, izveido lietotāja saskarni un izlaiž lietotni klientiem. Pamatā esošajam GPAI modelim sākotnējais izstrādātājs ir nodrošinātājs. Virsū veidotajai lietotnei uzņēmums ir nodrošinātājs — tas ir izstrādājis MI sistēmu un laidis to tirgū ar savu zīmolu. Nodrošinātāja un GPAI pienākumi piemērojami dažādos slāņos.

3. scenārijs: Pielāgota iekšēja izveide

Banka veido savu kredītspējas novērtēšanas modeli, apmāca to uz patentētiem datiem un izmanto to iekšēji aizdevumu lēmumiem. Banka ir vienlaicīgi gan nodrošinātājs (tā izveidoja un izvietoja sistēmu), gan izmantotājs (tā ekspluatē sistēmu saviem mērķiem). Visi nodrošinātāja pienākumi saskaņā ar Aktu piemērojami — tostarp atbilstības novērtēšana šim III pielikuma augsta riska lietošanas gadījumam — kā arī visi izmantotāja pienākumi.

Kad Izmantotāji Kļūst par Nodrošinātājiem (Art. 25)

Art. 25 nosaka skaidrus aktivizatorus, ar kuriem izmantotājs uzņemas nodrošinātāja statusu un mantina visus nodrošinātāja pienākumus:

1. Būtiska modifikācija — izmantotājs veic būtisku modifikāciju augsta riska MI sistēmā ārpus sākotnējā nodrošinātāja paredzētā
2. Mērķa maiņa, kas izraisa augsta riska klasifikāciju — izmantotājs izmanto augsta riska neklasificētu sistēmu tādā veidā, kas atbilst III pielikuma augsta riska kritērijiem
3. Laišana tirgū ar savu nosaukumu — izmantotājs laiž MI sistēmu tirgū vai nodod to ekspluatācijā ar savu nosaukumu vai preču zīmi
4. GPAI modeļa modifikācija — izmantotājs, kas veic nozīmīgas izmaiņas GPAI modelī tādā veidā, kas maina tā vispārīgā mērķa lietošanas gadījumu

Kad Art. 25 tiek aktivizēts, sākotnējā nodrošinātāja pienākumi pāriet jaunajam nodrošinātājam. Sākotnējais nodrošinātājs tiek atbrīvots no pienākumiem attiecībā uz modificēto vai pārmērķēto sistēmu. Tas ir svarīgs atbildības sadales mehānisms: organizācijām, kas tikai pielāgo sistēmu, jāsaprot, kur pielāgošana beidzas un sākas būtiska modifikācija.

Pienākumu Salīdzinājuma Tabula

Kā Noteikt Savu Lomu

Trīs jautājumi nosaka jūsu lomu saskaņā ar ES MI Aktu:

1. Vai jūs izstrādājāt MI sistēmu vai likāt to izstrādāt jūsu vadībā? Ja jā — un jūs laidāt to tirgū vai ekspluatācijā — jūs esat nodrošinātājs.

2. Vai jūs izmantojat MI sistēmu, ko veidojis kāds cits, profesionālam mērķim? Ja jā, jūs esat izmantotājs.

3. Vai jūs esat būtiski modificējuši, pārmērķējuši vai pārzīmolojuši MI sistēmu? Ja jā, jūs, iespējams, esat kļuvuši par šīs modificētās sistēmas nodrošinātāju saskaņā ar Art. 25.

Organizācijām, kas ir abas — iekšēja izveide iekšējai lietošanai — visi pienākumi summējas. Nav samazinājuma integrētajām darbībām.

Pienākumu Līgumiskā Sadale

Akts ļauj nodrošinātājiem un izmantotājiem līgumiskā ceļā sadalīt konkrētus pienākumus. Art. 25(1) skaidri to pieļauj noteiktiem pienākumiem. Tomēr piemērojami divi ierobežojumi:

• Regulatīvo atbildību nevar nodot ar līgumu. Ja izmantotājs ekspluatē augsta riska sistēmu, tas paliek atbildīgs par izmantotāja pienākumiem neatkarīgi no tā, ko nosaka līgums. Līgumi var izveidot iekšējo regresa tiesību, taču nevar pārnest regulatīvo atbildību uz otru pusi.
• Informācijas plūsmai jāsaglabājas. Jebkurā sadalījumā jānodrošina, ka izmantotājam ir informācija, kas nepieciešama savu pienākumu izpildei — lietošanas instrukcijas, reģistrēšanas piekļuve, incidentu ziņošanas kanāli. Līgumi, kas pārtrauc šo informācijas plūsmu, ir problemātiski ne tikai komerciāli, bet arī atbilstības ziņā.

Iepirkumu komandām jāizmanto MI pārdevēju līgumi, lai nodrošinātu, ka nodrošinātāji sniedz to, kas izmantotājiem nepieciešams: instrukcijas, atbilstības dokumentāciju, incidentu paziņošanas kanālus, atjauninājumu saistības un datu pārvaldības nosacījumus jebkuriem datiem, kas koplietoti smalkas pielāgošanas nolūkos.