Trešo Personu MI Sistēmu un LLM Izmantošana: Izmantotāja Pienākumi saskaņā ar ES MI Aktu

90% organizāciju, kas izmanto MI, ir izmantotāji, kas integrē trešo personu modeļus — OpenAI, Anthropic, Azure AI vai MI SaaS rīkus. Izprotiet savus pienākumus: kas nodrošinātājam jums jāsniedz, kas jums jādara un kad kļūstat par nodrošinātāju pats.

Trešo Personu MI Realitāte: Lielākā Daļa Organizāciju ir Izmantotāji

Lielākā daļa Eiropas organizāciju, kas izmanto MI, nav ne OpenAI, ne Mistral, ne pētniecības laboratorija. Viņi integrē esošos modeļus — caur API, SaaS platformu, Azure AI komponentu vai biznesa rīka spraudni. Salesforce Einstein, Copilot for Microsoft 365, MI tērzēšanas robots, kas balstīts uz lielu valodas modeli, kredītu vērtēšanas risinājums, kas nopirkts no speciālista pārdevēja: visos šajos gadījumos jūs esat izmantotājs kāda cita veidotas MI sistēmas.

Šo pozīciju ieņem lielākā daļa organizāciju, ko ietekmē ES MI Akts. Tas nes precīzus pienākumus — atšķirīgus no nodrošinātāja, taču ne nenozīmīgus. Tas arī var attīstīties: ja jūs modificējat sistēmu vai to tālākpārdodat, jūsu juridiskais statuss mainās.

Jūsu pozīcijas izpratne MI vērtību ķēdē ir pirmais solis jebkurā atbilstības centienā.

Jūsu Pienākumi kā Izmantotājam

Izmantotāja pienākumi atšķiras atkarībā no izmantotās MI sistēmas riska līmeņa.

Augsta Riska MI Sistēmām (III pielikums)

Ja jūs izvietojat trešās puses MI sistēmu, kas kvalificējas kā augsta riska (kredītspējas novērtēšana, biometriskā identifikācija, darbā pieņemšanas atlase, kritiskās infrastruktūras pārvaldība u.c.), jūsu pienākumi saskaņā ar Art. 26 ir:

1. Sekojiet lietošanas instrukcijām Izmantojiet sistēmu tikai tās paredzētajam mērķim un saskaņā ar instrukcijām, ko nodrošinātājam ir jāsniedz. Augsta riska MI sistēmas izmantošana ārpus validētā tvēruma ir atbilstības kļūme, pat ja esat tikai izmantotājs.

2. Norīkojiet cilvēku uzraudzību Norīkojiet fizisko personu ar kompetenci, autoritāti un resursiem jēgpilnai cilvēku uzraudzībai pār MI sistēmas izvadēm. Šai personai jāspēj saprast, ko sistēma dara, atklāt anomālijas un pārtraukt vai apturēt sistēmu, kad nepieciešams.

3. Nodrošiniet ievades datu kvalitāti Nodrošiniet, ka dati, ko barojat sistēmā, ir atbilstoši, pietiekami reprezentatīvi un piemēroti paredzētajam mērķim jūsu konkrētajā izvietošanas kontekstā. Sistēma, kas validēta uz vienas populācijas, var darboties atšķirīgi uz jūsējo — tas ir jūsu pārvaldāmais risks.

4. Uzraugiet darbību un atklājiet anomālijas Aktīvi uzraugiet sistēmas darbību anomālijām, negaidītām izvadēm vai darbības pasliktināšanai. Tas nav nodrošinātāja atbildība izvietošanā — tā ir jūsēja.

5. Saglabājiet žurnālus Aktivizējiet un saglabājiet sistēmas radītos automatizētos žurnālus Akta (un jebkuru nozares noteikumu, kas var piemēroties) prasītajam periodam. Neatspējojiet reģistrēšanu atmiņas taupīšanas nolūkos.

6. Ziņojiet par nopietniem incidentiem Ja uzzināt par nopietnu incidentu vai darbības traucējumu — tādu, kas izraisīja vai varētu izraisīt nāvi, nopietnu kaitējumu, pamattiesību pārkāpumus vai nozīmīgu īpašuma bojājumu — paziņojiet nodrošinātājam bez nepamatotas kavēšanās. Dažos gadījumos (īpaši kur izvietošana ietver publiski vērstus pakalpojumus vai darbības, kas piegulst tiesībaizsardzībai) var būt nepieciešama arī tieša ziņošana valstu tirgus uzraudzības iestādei.

7. Pamattiesību ietekmes novērtēšana (publiskās iestādes) Ja esat publiskā iestāde vai privāta vienība, kas izvieto MI sistēmas jomās, kas var ietekmēt pamattiesības (veselības aprūpe, sociālie pakalpojumi, izglītība, tiesībaizsardzība), pirms izvietošanas jāveic Pamattiesību ietekmes novērtēšana (Art. 27).

Tikai Pārredzamības MI Sistēmām (Art. 50)

Ja jūs izvietojat tērzēšanas robotu, MI ģenerēta satura sistēmu vai emociju atpazīšanas rīku, kas nav augsta riska, taču ietilpst Art. 50 pārredzamības pienākumos, jums jāveic:

• Informēt lietotājus, ka viņi mijiedarbojas ar MI sistēmu (Art. 50(1))
• Nodrošināt, ka MI ģenerētais saturs ir tehniski marķēts (Art. 50(4)), kur piemērojams
• Informēt pakļautās personas, kad tiek izmantota emociju atpazīšana vai biometriskā kategorizācija (Art. 50(2)–(3))

Šie pienākumi piemērojami pat izmantojot trešās puses API vai SaaS rīku. Nodrošinātājs ir atbildīgs par techniskās spējas iebūvēšanu; jūs esat atbildīgi par tās aktivizēšanu un atklāšanas nodrošināšanu lietotājiem.

Minimāla Riska MI Sistēmām

Nav konkrētu juridisko pienākumu saskaņā ar MI Aktu. Piemērojami brīvprātīgie rīcības kodeksi. Labā pārvaldības prakse joprojām iesaka pamata dokumentēšanu lietošanā esošajām MI sistēmām un periodisku to darbības pārskatīšanu.

Ko Pieprasīt no Sava Trešās Puses MI Nodrošinātāja

Jūsu spēja izpildīt izmantotāja pienākumus tieši ir atkarīga no tā, ko nodrošinātājs jums sniedz. ES MI Akts prasa augsta riska MI sistēmu nodrošinātājiem sniegt konkrētu informāciju — un GPAI modeļu nodrošinātājiem ir paralēli dokumentācijas pienākumi. Izmantojiet šo kontrolsarakstu, sagādājot trešo personu MI:

Jebkurai MI Sistēmai

• Sistēmas apraksts: Ko sistēma dara, kādus ievades datus tā ņem, kādas izvades tā ražo un kādus lēmumus tā var ietekmēt?
• Paredzētais mērķis: Tieši kuriem lietošanas gadījumiem sistēma ir projektēta, validēta un apstiprināta?
• Zināmie ierobežojumi: Kādos apstākļos sistēma darbojas vāji? Kādas populācijas, valodas vai datu veidi ir ārpus tās validētā tvēruma?
• Lietošanas instrukcijas: Pilns instrukciju kopums, ko nodrošinātājam jāsniedz saskaņā ar Art. 13 augsta riska sistēmām

Īpaši Augsta Riska Sistēmām

• Atbilstības deklarācija vai atbilstības novērtēšanas rezultātu kopsavilkums
• Riska pārvaldības dokumentācija — kādi riski tika identificēti un kā tie tika mazināti?
• Aizspriedumu un taisnīguma testēšanas rezultāti — kādas aizsargātās pazīmes tika testētas, kādi rādītāji tika izmantoti un kādi rezultāti tika konstatēti?
• Darbības rādītāji — precizitāte, viltus pozitīvu/negatīvu rādītāji un disagregēta darbība pēc attiecīgajām demogrāfiskajām grupām
• Reģistrēšanas spēja — apstiprinājums, ka sistēma ģenerē Art. 12 nepieciešamos žurnālus un instrukcijas to piekļūšanai un saglabāšanai
• Incidentu paziņošanas process — ar ko sazināties, kādā termiņā un kādā kanālā, kad notiek nopietns incidents
• Atjaunināšanas politika — kā nodrošinātājs jūs informē par materiāliem atjauninājumiem un kāda pārvalidācija nepieciešama pēc atjauninājumiem?

GPAI Modeļiem (API un pamata modeļa piekļuve)

• Modeļa karte vai techniskais kopsavilkums — spējas, ierobežojumi, apmācības datu kopsavilkums, novērtēšanas rezultāti
• Autortiesību atbilstības paziņojums — kā nodrošinātājs risina autortiesību likumu apmācības datiem un izvadēm?
• Pieļaujamās izmantošanas politika — kādi lietošanas gadījumi nodrošinātājam ir aizliegti un kas notiek, ja tos pārkāpjat?
• Datu apstrādes noteikumi — kā nodrošinātājs apstrādā jūsu ievades datus? Vai tie tiek izmantoti turpmākai apmācībai?

Kad Kļūstat par Nodrošinātāju

ES MI Akta Art. 25 ir būtisks trešo personu MI lietotājiem: tas nosaka, kad izmantotājs pārtop par nodrošinātāju un uzņemas visus nodrošinātāja pienākumus.

Jūs kļūstat par nodrošinātāju, kad:

1. Būtiski Modificējat Augsta Riska MI Sistēmu

Ja jūs paņemat augsta riska MI sistēmu un veicat būtiskas izmaiņas, kas pārsniedz nodrošinātāja paredzēto — mainot modeli, pārapmācot uz saviem datiem, mainot galveno loģiku — jūs tagad esat jauna vai būtiski modificētas sistēmas nodrošinātājs. Visi nodrošinātāja pienākumi piemērojami: atbilstības novērtēšana, techniskā dokumentācija, CE marķēšana, ES datubāzes reģistrācija.

Galvenais jautājums: Vai jūsu pielāgošana ir "izmantošana paredzētajos parametros" vai "jaunas spējas attīstīšana"? Modeļa smalkas pielāgošanas saviem domēna datiem var vai var nebūt būtiska modifikācija atkarībā no izmaiņu pakāpes un tā, vai tā ietekmē riska profilu.

2. Mainiet Paredzēto Mērķi uz Augstu Risku

Ja jūs paņemat sistēmu, kas nav klasificēta kā augsta riska, un to izvietojat augsta riska lietošanas gadījumam — izmantojot vispārēju teksta klasifikatoru nodarbinātības lēmumiem, piemēram — jūs esat mainījuši paredzēto mērķi tādā veidā, kas izraisa augsta riska klasifikāciju. Jūs kļūstat par augsta riska MI sistēmas nodrošinātāju un jāatbilst visiem nodrošinātāja pienākumiem šai izvietošanai.

3. Laižat Sistēmu Tirgū ar Savu Nosaukumu

Ja jūs pērkat vai licencējat MI sistēmu un to tālākpārdodat vai piedāvājat citiem kā savu produktu (balta marķēšana), jūs laižat to tirgū ar savu nosaukumu un kļūstat par nodrošinātāju. Tas ir izplatīti SaaS sektorā: trešās puses modeļa integrēšana savā produktā padara jūs par šī produkta nodrošinātāju.

4. Veicat Nozīmīgas Izmaiņas GPAI Modelī

Ja jūs paņemat GPAI modeli un veicat nozīmīgas modifikācijas tā spējās vai lietošanas gadījumā — ārpus smalkas pielāgošanas nodrošinātāja paredzētajos parametros — jūs varat kļūt par jauna GPAI modeļa nodrošinātāju ar saviem V nodaļas pienākumiem.

Līgumiskie Aizsardzības Pasākumi Izmantotājiem

Tā kā jūsu atbilstība ir atkarīga no tā, ko nodrošinātājs jums sniedz, jūsu līgumi ar trešo personu MI pārdevējiem ir būtisks atbilstības rīks. Galvenās iekļaujamās klauzulas:

Informācijas Tiesības

• Tiesības saņemt un regulāri atjauninātu lietošanas instrukciju versiju
• Tiesības piekļūt atbilstības deklarācijai un atbilstības novērtēšanas kopsavilkumam
• Tiesības saņemt aizspriedumu testēšanas rezultātus un darbības rādītājus
• Tiesības saņemt materiālu modeļa atjauninājumu dokumentāciju pirms izvietošanas

Incidentu Pārvaldība

• Nodrošinātāja pienākums jūs paziņot par jebkuriem nopietniem incidentiem vai ievainojamībām, par ko viņi uzzina, noteiktā termiņā
• Skaidrs kanāls un process jums incidentu ziņošanai nodrošinātājam
• Nodrošinātāja apņemšanās sadarboties ar jūsu incidentu izmeklēšanām un regulatīvajiem pieprasījumiem

Audita Tiesības

• Tiesības veikt auditu vai saņemt audita ziņojumus par nodrošinātāja atbilstību MI Akta pienākumiem
• Tiesības pieprasīt atjauninātu dokumentāciju, kad notiek nozīmīgas izmaiņas

Atjaunināšanas Pienākumi

• Nodrošinātājam jāpaziņo pirms materiālu atjauninājumu izvietošanas MI sistēmā
• Nodrošinātājam jāinformē, vai atjauninājums veido būtisku modifikāciju, kas prasa pārvalidāciju
• Dokumentācijas nepārtrauktība — atjaunināta techniskā dokumentācija jāsniedz ar katru materiālo atjauninājumu

Atbildības Sadale

• Skaidrība par to, kura puse ir atbildīga par kuriem pienākumiem saskaņā ar Art. 25
• Zaudējumu atlīdzināšana par zaudējumiem, kas rodas no nodrošinātāja neatbilstības piegādātāja pienākumiem
• Atbildības ierobežojuma noteikumi, kas neapdraud jūsu spēju izpildīt regulatīvos pienākumus

Pārdevēja MI Tirgus: Kas Jāvēro

MI rīku un pakalpojumu tirgus strauji attīstās, un pārdevēju ES MI Akta atbilstības pozīcija ievērojami atšķiras:

• Galvenie mākoņu un MI nodrošinātāji (Microsoft, Google, AWS, OpenAI, Anthropic) ir ievērojami ieguldījuši MI pārvaldībā un GPAI atbilstības dokumentācijā. Viņu lietošanas noteikumi un modeļu kartes sniedz vairāk informācijas nekā lielākā daļa citu pārdevēju.
• Speciālistu vertikālie MI pārdevēji (personāla vadības tehnoloģijas, juridiskās tehnoloģijas, finanšu tehnoloģijas, veselības tehnoloģijas) atrodas dažādās ES MI Akta gatavības pakāpēs. Daudzi ir MVU, kas vēl nav pilnībā kartējuši savus pienākumus.
• MI, kas iekļauts SaaS rīkos (MI funkcijas CRM, ERP, produktivitātes rīkos) var netikt tirgots kā "MI produkti" — taču ja tie pieņem vai ietekmē svarīgus lēmumus par personām, ES MI Akta pienākumi piemērojami.

Iepirkumu komandām jāpievieno MI Akta atbilstības skrīnings pārdevēja rūpīgajai pārbaudei — prasot pārdevējiem apliecināt savu atbilstības statusu, sniegt augsta riska sistēmu atbilstības dokumentāciju un apņemties turpināt informācijas koplietošanu, mainoties regulatīvajai videi.