MVU — ES Mākslīgā intelekta akta atbilstības rokasgrāmata

ES Mākslīgā intelekta akta atbilstība maziem un vidējiem uzņēmumiem. MVU specifiskās normas, piekļuve testēšanas vidēm, samazinātas nodevas un praktisks norādījums MI izmantotājiem un izstrādātājiem.

ES Mākslīgā intelekta akts un MVU — pozitīvā ziņa

ES Mākslīgā intelekta akts (Regula (ES) 2024/1689) attiecas uz visām organizācijām, kas laiž tirgū vai izmanto MI sistēmas ES tirgū, neatkarīgi no lieluma. Tomēr regulatīvā realitāte lielākajai daļai mazo un vidējo uzņēmumu ir ievērojami mazāk apgrūtinoša, nekā liecina virsraksti, viena pamatotāja iemesla dēļ: lielākā daļa MVU izmanto MI, nevis to veido.

MVU, kas abonē MI uzlabotu CRM, izvieto tērzētbotu no SaaS piegādātāja vai izmanto mākoņdatošanas pieprasījumu prognozēšanas programmatūru, ES Mākslīgā intelekta akta terminoloģijā ir izmantotājs — nevis nodrošinātājs. Izmantotāja pienākumi ir sistemātiski vieglāki nekā nodrošinātāja pienākumi. Nodrošinātāji uzņemas galveno slogu attiecībā uz atbilstības novērtēšanu, tehnisko dokumentāciju, CE marķēšanu un reģistrāciju. Izmantotājiem ir mērķtiecīgāks pienākumu kopums, kas koncentrējas uz pareizu lietošanu, cilvēka uzraudzību un incidentu ziņošanu.

Papildus izmantotāja/nodrošinātāja nošķīrumam ES Mākslīgā intelekta aktā ietverts atsevišķs MVU specifisko normu kopums, kas nodrošina strukturālu atbalstu: prioritāra piekļuve regulatīvajām testēšanas vidēm, samazinātas atbilstības novērtēšanas nodevas un īpašs kontaktpunkts nacionālā līmenī. Šīs normas atspoguļo likumdevēja skaidro nolūku novērst, ka MI akts kļūst par nesamērīgu šķērsli mazākiem tirgus dalībniekiem.

Šī rokasgrāmata izskaidro, ko ES Mākslīgā intelekta akts praksē nozīmē MVU — neatkarīgi no tā, vai izmantojat trešo pušu MI rīkus, izvietojat MI ar klientiem saskarē, vai pats veidojat un komercializē MI produktu.

MVU specifiskās normas regulā

ES Mākslīgā intelekta akts ietver četras normas, kas īpaši attiecas uz MVU (uzņēmumiem, kas atbilst Komisijas Ieteikuma 2003/361/EK sliekšņiem: mazāk nekā 250 darbinieku un gada apgrozījums, kas nepārsniedz 50 miljonus EUR, vai bilances kopsumma, kas nepārsniedz 43 miljonus EUR) un jaunuzņēmumiem.

55. pants — Prioritāra piekļuve regulatīvajām testēšanas vidēm

55. pants nosaka, ka regulatīvās MI testēšanas vides — uzraugāmas vides MI izstrādei un testēšanai pirms laišanas tirgū — būs prioritāri pieejamas MVU un jaunuzņēmumiem. Piekļuve ir bez maksas vai par samazinātu nodevu, un dalīborganizācijas saņem tiešus norādījumus no kompetentās iestādes. Testēšanas vides piekļuve ļauj veikt pirmstirgus risku identificēšanu un regulatīvo dialogu aizsargātā vidē, bez nesaskaņotas laišanas tirgū sekām. MVU, kas veido MI sistēmas, būtu jāuzskata par dalību testēšanas vidē gan kā atbilstības instrumentu, gan kā mehānismu tiešai mijiedarbībai ar uzraudzības iestādi pirms produkta laišanas tirgū.

96. pants — Samazinātas nodevas atbilstības novērtēšanai

Ja augsta riska MI sistēmai nepieciešama trešās puses atbilstības novērtēšana, ko veic paziņotā iestāde (attiecas uz sistēmām, kas uzskaitītas Annex III 1., 6. un 7. punktā, un medicīnisko ierīču MI saskaņā ar 6. panta 1. punktu), 96. pants uzliek dalībvalstīm pienākumu noteikt samazinātas nodevas maziem uzņēmumiem. Mikrouzņēmumi — ar mazāk nekā 10 darbiniekiem un gada apgrozījumu vai bilances kopsummu, kas nepārsniedz 2 miljonus EUR — ir tiesīgi uz vēl lielākiem samazinājumiem. Precīzi nodevu tarifi tiek noteikti dalībvalstu līmenī un atšķiras pēc jurisdikcijas; attiecīgā nacionālā MI iestāde vai Enterprise Europe Network var sniegt pašreizējos skaitļus.

85. pants — Vienotais kontaktpunkts

85. pants uzliek nacionālajām MI uzraudzības iestādēm pienākumu izveidot īpašu vienoto kontaktpunktu MVU. Tas nozīmē, ka MVU, kas meklē norādījumus par MI akta pienākumiem, nav jāpārvietojas vairākos regulatīvajos departamentos vai jākoordinē darbības starp fragmentētām iestādēm. Vienotais kontaktpunkts sniedz informāciju, novirza pieprasījumus uz atbilstošo funkciju un atvieglo testēšanas vides pieteikumus. Šī norma ievērojami samazina regulatīvo pienākumu izpratnes administratīvās izmaksas.

9. panta 5. punkts — Proporcionāla riska pārvaldība

9. panta 5. punkts nosaka, ka augsta riska MI sistēmu nodrošinātājiem nepieciešamā riska pārvaldības sistēma var tikt īstenota proporcionāli, ņemot vērā organizācijas lielumu un struktūru. MVU, kas darbojas kā augsta riska sistēmas nodrošinātājs, tas nozīmē, ka, lai gan ir jāizpilda visi riska pārvaldības sistēmas materiālie prasījumi, dokumentācijas formātu, procesu sarežģītību un pārvaldības struktūru var pielāgot organizācijas reālajai kapacitātei — ar nosacījumu, ka tas neapdraud regulējuma aizsardzības mērķus.

Vai esat nodrošinātājs vai izmantotājs? — Lēmumu pieņemšanas sistēma MVU

Vissvarīgākā sākotnējā noteikšana jebkuram MVU, kas strādā ar ES Mākslīgā intelekta aktu, ir tas, vai tas darbojas kā nodrošinātājs vai izmantotājs attiecībā uz katru MI sistēmu, ko tas izmanto vai piedāvā.

Nodrošinātājs (3. panta 3. punkts): Organizācija, kas izstrādā MI sistēmu vai liek to izstrādāt, un laiž to tirgū vai nodod ekspluatācijā ar savu nosaukumu vai zīmolu — neatkarīgi no tā, vai tas ir par atlīdzību vai bez maksas. Tas ietver MVU, kas:

• Izveido programmatūras produktu, kurā ietverts MI (tostarp MI modeļi, kam piekļūst, izmantojot API), un pārdod vai licencē šo produktu klientiem;
• Iekšēji izstrādā MI modeli vai lietojumprogrammu un izvieto to kā pakalpojumu galalietotājiem ārpus organizācijas;
• Būtiski modificē trešās puses MI sistēmu tā, ka mainās tās paredzētais mērķis.

Izmantotājs (3. panta 4. punkts): Organizācija, kas savā pašas pilnvarā izmanto MI sistēmu profesionālam nolūkam. Tas aptver MVU, kas:

• Abonē SaaS produktus ar iegultām MI funkcijām (MI uzlabota CRM, ERP, grāmatvedības programmatūra);
• Izmanto trešās puses tērzētbotu vai sarunu MI savā tīmekļa vietnē;
• Piekļūst mākoņdatošanas MI API (dabiskās valodas apstrādei, attēlu klasifikācijai, ieteikumu dzinējiem) vienīgi iekšējo darbplūsmu automatizēšanai vai savu pakalpojumu uzlabošanai, nepiedāvājot MI iespēju kā produkta funkciju trešajām personām;
• Iepērk HR programmatūru, krājumu prognozēšanu vai klientu analītikas rīkus no ārējiem piegādātājiem.

Kritiskais robežgadījums: MVU, kas integrē ārēju MI API savā ar klientiem saskarē esošajā produktā un reklamē šo iespēju kā sava produkta funkciju, ir nodrošinātājs attiecībā uz šo MI funkcionalitāti — nevis tikai pamatā esošā API izmantotājs. Juridiskā persona, kas nosaka paredzēto mērķi, kontrolē lietotāja pieredzi un laiž produktu tirgū, uzņemas nodrošinātāja pienākumus saskaņā ar 16. pantu, neatkarīgi no tā, kur MI modelis radies.

Galvenie izmantotāja pienākumi MVU, kas izmanto trešo pušu MI

Lielākajai daļai MVU — tiem, kas izvieto trešo pušu MI rīkus, nevis veido savus — saskaņā ar 26. pantu un saistītajām normām piemērojami šādi pienākumi.

Izmantot MI sistēmas atbilstoši nodrošinātāja norādījumiem

Izmantotājiem augsta riska MI sistēmas jāizmanto tikai saskaņā ar nodrošinātāja lietošanas norādījumiem, kas sniegti saskaņā ar 13. pantu. MI sistēmas izmantošana mērķiem, kas pārsniedz tās dokumentēto paredzēto mērķi, vai konfigurācijās, ko nodrošinātājs nav validējis, nodod daļu atbilstības atbildības izmantotājam un var atcelт sistēmas atbilstības novērtējumu.

Noteikt atbildīgo cilvēka uzraudzību

26. panta 1. punkts prasa, lai izmantotāji uzticētu atbildību par MI uzraudzību kvalificētai personai organizācijā. Lielākajā daļā MVU tā būs konkrēta persona (ne obligāti speciālists MI atbilstības jautājumos), kas izprot sistēmas funkciju, tās zināmos ierobežojumus un apstākļus, kuros nepieciešama cilvēka iejaukšanās. Šis uzdevums būtu jādokumentē.

Saglabāt darbības žurnālus

Ja augsta riska MI sistēmas automātiski ģenerē žurnālus (12. pants), izmantotājiem šie žurnāli jāglabā likumā noteiktajā periodā — parasti seši mēneši saskaņā ar MI aktu, ja vien nozares specifiskais tiesību akts nepieprasa ilgāku glabāšanu. Izmantotājiem jāpārbauda, vai viņu piegādātāja līgums piešķir piekļuvi žurnāliem un apstiprina to formātu un pilnīgumu.

Ziņot nodrošinātājam par nopietniem incidentiem

26. panta 5. punkts prasa, lai izmantotāji paziņotu nodrošinātājam par jebkuriem nopietniem incidentiem vai darbības traucējumiem, kas atklāti lietošanas laikā. Ja izvietojošā organizācija ir publiska iestāde, paziņošanas pienākumi attiecas arī uz nacionālo MI uzraudzības iestādi. MVU izmantotājiem privātajā sektorā primārais kanāls ir tieša paziņošana nodrošinātājam, kam savukārt ir pienākums paziņot iestādei saskaņā ar 73. pantu.

Veikt pamattiesību ietekmes novērtējumu, kur piemērojams

27. pants prasa, lai publiskas iestādes, kas izvieto augsta riska MI, pirms izvietošanas pabeigtu pamattiesību ietekmes novērtējumu. Privātā sektora MVU, kas izvieto augsta riska MI — jo īpaši HR, kredītu novērtēšanas vai ar klientiem saskarē esošo lēmumu kontekstos — ir stingri ieteicams pabeigt līdzvērtīgu novērtējumu, jo tas demonstrē rūpīgu rīcību un būtiski samazina izpildes risku.

Pārskatīt piegādātāja līgumus

MVU izmantotājiem ir jānodrošina, ka viņu līgumi ar MI piegādātājiem ietver: atbilstības dokumentāciju un lietošanas norādījumus; apstiprinājumu par ES datubāzes reģistrāciju, kur nepieciešams; žurnalizēšanas iespēju un piekļuves tiesību specifikāciju; piegādātāja apņemšanos par incidentu paziņošanu un novēršanu; un informāciju par atjauninājumu vai modifikāciju pienākumiem, kas var ietekmēt sistēmas atbilstības statusu.

Ja veidojat MI — MVU nodrošinātāja pienākumi un atbalsts

MVU, kas izstrādā un komercializē MI sistēmas, ir nodrošinātāji un uzņemas pilnus nodrošinātāja pienākumus saskaņā ar III nodaļu par jebkuru augsta riska sistēmu. Šo pienākumu apjoms ir ievērojams: kvalitātes pārvaldības sistēma (17. pants), tehniskā dokumentācija saskaņā ar Annex IV, datu pārvaldība saskaņā ar 10. pantu, žurnalizēšana saskaņā ar 12. pantu, pārredzamības prasības saskaņā ar 13. pantu, cilvēka uzraudzības dizains saskaņā ar 14. pantu, un precizitātes un noturības standarti saskaņā ar 15. pantu. Annex III sistēmām, kurām nepieciešams paziņotās iestādes novērtējums, atbilstības maršruts seko 43. pantam.

Praktiskais sākumpunkts MVU nodrošinātājam ir riska klasifikācijas noteikšana:

• Vai MI sistēmu aptver 5. pants (aizliegtās prakses)? Ja tā, izstrāde ir jāpārtrauc vai būtiski jāpārstrukturē pirms jebkādas tirgus darbības.
• Vai sistēma kvalificējas kā augsta riska saskaņā ar 6. panta 1. punktu (regulēta produkta drošuma komponents) vai Annex III (uzskaitītās piemērošanas jomas, tostarp biometriskā identifikācija, kritiskā infrastruktūra, izglītība, nodarbinātība, būtiski pakalpojumi, tiesībaizsardzība, migrācija, tieslietas)?
• Vai sistēma kvalificējas tikai kā vispārējas nozīmes MI modelis, ko regulē 51.–56. pants, bez augsta riska klasifikācijas?
• Vai sistēmai piemērojami tikai 50. panta pārredzamības pienākumi (emociju atpazīšana, dziļviltojums, tērzētboti)?

MVU, kuru sistēmas neietilpst augsta riska un aizliegto kategorijās, atbilstība ir ievērojami vieglāka: 50. panta pārredzamības atklājumi, GDPR saskaņotība un nozares specifiskie pienākumi saskaņā ar piemērojamajiem valsts vai ES tiesību aktiem.

MVU, kas izstrādā augsta riska MI, 55. panta regulatīvā testēšanas vide ir vissvarīgākais pieejamais instruments. Dalība testēšanas vidē ļauj veikt pirmstirgus testēšanu regulatīvā uzraudzībā, nodrošina dokumentētu labo ticību apliecinošu atbilstības pierādījumu un var identificēt koriģējošas darbības pirms tās kļūst par izpildes jautājumiem. Pieteikumi tiek iesniegti nacionālajam vienotajam kontaktpunktam (85. pants).

Praktiskie soļi MVU atbilstībai

1. solis — Inventarizēt visas lietojamās vai izstrādājamās MI sistēmas. Uzskaitiet katru MI rīku, SaaS produktu, mākoņdatošanas API un iekšēji izstrādāto modeli. Atzīmējiet piegādātāju, funkciju un to, vai MVU attiecībā uz katru darbojas kā nodrošinātājs vai izmantotājs.

2. solis — Klasificēt katru sistēmu pēc riska kategorijas. Katrai sistēmai piemērojiet 5. panta / 6. panta / Annex III / 50. panta sistēmu. Ja klasifikācija ir neskaidra, izmantojiet 85. panta vienoto kontaktpunktu norādījumu saņemšanai.

3. solis — Izmantotāja lomām: auditēt piegādātāja līgumus. Pārbaudiet, vai katrs MI piegādātājs ir sniedzis 13. panta prasīto dokumentāciju un vai līgums attiecas uz žurnalizēšanu, incidentu paziņošanu un atjauninājumu pienākumiem. Atzīmējiet nepilnības pārrunāšanai.

4. solis — Nodrošinātāja lomām: uzsākt atbilstības ceļu. Nosakiet, vai jūsu augsta riska MI sistēmai nepieciešams pašnovērtējums (43. panta 2. punkts) vai trešās puses paziņotās iestādes novērtējums (43. panta 1. punkts). Pieteikties testēšanas vides piekļuvei saskaņā ar 55. pantu, ja sistēma tiek izstrādāta. Savlaicīgi iesaistiet paziņoto iestādi, lai izprastu termiņus un nodevu ietekmi, atzīmējot jūsu tiesības uz MVU nodevu samazinājumiem saskaņā ar 96. pantu.

5. solis — Ieviest 26. panta izmantotāja pienākumus visām augsta riska sistēmām. Norīkojiet uzraudzības personas, dokumentējiet viņu atbildības, pārbaudiet žurnālu glabāšanas procedūras un apstipriniet incidentu paziņošanas kanālus.

6. solis — Izveidot MI akta pārskatīšanas ciklu. ES Mākslīgā intelekta akts ir dzīvs regulējums. Norīkojiet atbildīgo personu, kas uzrauga ES MI biroja norādījumus, nacionālo iestāžu atjauninājumus un izmaiņas Annex III klasifikācijās. Plānojiet ikgadējo iekšējo sistēmu inventāra un atbilstības statusa pārskatīšanu.