EU AI Act: Fornituri vs. Deplijaturi — Min Huwa Responsabbli għal X'?

L-EU AI Act jaqsam l-obbligi bejn il-fornituri (li jibnu s-sistemi tal-AI) u d-deplijaturi (li jqiegħduhom fil-prattika). L-għarfien tar-rwol li tokkupa jiddetermina l-piż tal-konformità tiegħek — u jekk tistax tittrasferixxi r-responsabbiltà lil parti oħra.

L-Arkitettura b'Żewġ Atturi tal-EU AI Act

L-EU AI Act ma joħloqx obbligu universali wieħed għall-partijiet interessati kollha tal-AI. Jiddistingwi b'mod sistematiku bejn żewġ rwoli primarji fil-katina tal-valur tal-AI:

• Fornituri — entitajiet li jiżviluppaw, iħarrġu, jew isaqqfu s-sistemi tal-AI u jressquhom għas-suq
• Deplijaturi — entitajiet li joperaw sistemi tal-AI f'kuntest professjonali mingħajr ma bnewhom

Din id-distinzjoni mhijiex semantika. Tiddetermina liema obbligi japplikaw, min iżomm liema dokumentazione, min jirreġistra fid-database tal-AI tal-UE, min iwettaq il-valutazzjoni tal-konformità, u min huwa responsabbli meta jiġri xi ħaġa ħażina. L-irkupru tar-rwol tiegħek huwa l-ewwel pass f'kwalunkwe programm ta' konformità tal-EU AI Act.

Rwol terz — rappreżentant awtorizzat — japplika għall-fornituri stabbiliti barra mill-UE li jridu jinnominaw rappreżentant bbażat fl-UE biex iġorr l-obbligi regolatorji tagħhom fit-territorju tal-UE.

Definizzjoni tal-Fornitur (Art. 3(3))

Fornitur huwa kwalunkwe persuna naturali jew legali, awtorità pubblika, aġenzija, jew korp ieħor li:

1. Jiżviluppa sistema tal-AI jew iżżomm sistema tal-AI żviluppata, u
2. Jqiegħedha fuq is-suq jew fis-servizz taħt l-isem jew il-marka kummerċjali tiegħu stess — kemm bi ħlas kif ukoll b'xejn

L-indikaturi ewlenin tal-istatus tal-fornitur huma ir-responsabbiltà tal-iżvilupp u it-tqegħid fuq is-suq. Laboratorju tal-AI li jibni u jliċenzja mudell ta' skoring tal-kreditu huwa fornitur. Konsulenza li tfassal u tibni għodda ta' iskrining tar-reklutaġġ personalizzata għal klijent, imbagħad tgħaddiha, hija wkoll fornitur (sakemm tqiegħed is-sistema fuq is-suq taħt l-isem tagħha stess; jekk tkun mibnija taħt il-brand tal-klijent, il-klijent jista' jkun il-fornitur).

Id-definizzjoni tkopri:

• Startups tal-AI u bejjiegħa tas-softwer li jbiegħu prodotti tal-AI ppakkjati
• Impriżi li jibnu sistemi tal-AI għad-deplijament intern
• Istituzzjonijiet ta' riċerka li jippubblikaw sistemi tal-AI għal użu ġenerali
• Fornituri cloud li joffru AI-as-a-service taħt il-brand tagħhom stess

Il-fornituri jġorru l-ogħla piż tal-konformità taħt l-Att. Għas-sistemi ta' riskju għoli, dan jinkludi l-imwettiq tal-valutazzjonijiet tal-konformità, it-tħejjija tad-dokumentazione teknika, ir-reġistrazzjoni fid-database tal-AI tal-UE, l-affissjoni tal-marka CE, u ż-żamma ta' sistema ta' monitoraġġ wara s-suq.

Definizzjoni tad-Deplijatur (Art. 3(4))

Deplijatur huwa kwalunkwe persuna naturali jew legali, awtorità pubblika, aġenzija, jew korp ieħor li juża sistema tal-AI taħt l-awtorità tiegħu għal skop professjonali — barra fejn l-użu jkun f'attività personali mhux professjonali.

Id-deplijaturi ma jibndux sistemi tal-AI. Jużaw sistemi mibnijin minn oħrajn — kemm mixtrija mill-isploff, liċenzjati permezz ta' API, jew inkorporati f'prodott SaaS. Il-biċċa l-kbira tal-organizzazzjonijiet Ewropej li "jużaw l-AI" huma deplijaturi: kumpaniji li jużaw ChatGPT jew Claude permezz ta' API, dipartimenti tal-HR li jużaw sistemi tal-iskrining tal-applikanti mmexija mill-AI, sptarijiet li jużaw għodod ta' dijanjostika assistiti mill-AI, banek li jużaw mudelli ta' kreditu pprovduti mill-bejjiegħ.

Obbligi ewlenin tad-deplijatur (għas-sistemi tal-AI ta' riskju għoli):

• Juża s-sistema biss skont l-istruzzjonijiet ipprovduti mill-fornitur (Art. 26(1))
• Jassenja persuna naturali bi kompetenza, awtorità, u riżorsi biex twettaq sorveljanza umana (Art. 26(2))
• Tiżgura li d-data tal-input hija rilevanti u rappreżentattiva għall-iskop maħsub (Art. 26(5))
• Timmonitorja l-operatività tas-sistema biex taqbad anomaliji (Art. 26(5))
• Iżżomm ir-reġistri prodotti mis-sistema għall-perjodu meħtieġ (Art. 26(6))
• Tinnotifika lill-fornitur u lill-awtorità kompetenti ta' kwalunkwe inċident serius (Art. 26(8))
• Twettaq Valutazzjoni tal-Impatt fuq il-Protezzjoni tad-Data fejn meħtieġ mill-GDPR (Art. 26(9))

Id-deplijaturi ta' sistemi ta' rikonoxximent tal-emozzjonijiet u ta' kategorizzazzjoni bijometrika jridu wkoll jikkonformaw mal-obbligi ta' trasparenza tal-Art. 50 irrispettivament mill-klassifikazzjoni tar-riskju.

Il-Konfini Fornitur-Deplijatur fil-Prattika

Il-konfini bejn fornitur u deplijatur huwa semplici fit-teorija iżda mċajpar fil-prattika. Tliet xenarji jillustraw l-oqsma grigi komuni:

Xenarju 1: SaaS lest bla personalizzazjoni

Kumpanija tissottoskriva għal pjattaforma ta' iskrining tal-HR tal-AI tal-bejjiegħ mingħajr modifika. Il-bejjiegħ huwa l-fornitur. Il-kumpanija hija d-deplijatur. Il-bejjiegħ jissell lill-kumpanija istruzzjonijiet tal-użu, dokumentazjoni tal-konformità, u kapaċità ta' reġistrar. Il-kumpanija jissell lill-impjegati tagħha trasparenza u sorveljanza umana.

Xenarju 2: Integrazzjonij API b'inġinerija sinifikanti tal-prompt

Kumpanija tintegra mudell GPAI permezz ta' API, iżżid prompt tas-sistema personalizzat, tibni interfaċċja tal-utent, u tirrilaxxa l-applikazjoni lill-klijenti. Għall-mudell GPAI sottostanti, l-iżviluppatur oriġinali huwa l-fornitur. Għall-applikazjoni mibnija fuqha, il-kumpanija hija l-fornitur — żviluppat sistema tal-AI u qiegħditha fuq is-suq taħt il-brand tagħha stess. Japplikaw l-obbligi tal-fornitur u GPAI f'livelli differenti.

Xenarju 3: Bini intern personalizzat

Bank jibni l-mudell tal-valutazzjoni tal-kapaċità ta' kreditu tiegħu stess, iħarrġu fuq data proprjetarja, u jdeplijah internament għad-deċiżjonijiet tas-self. Il-bank huwa simultanjament il-fornitur (bena u deplija s-sistema) u d-deplijatur (jopera s-sistema għall-finijiet tiegħu stess). L-obbligi tal-fornitur kollha taħt l-Att japplikaw — inkluż il-valutazzjoni tal-konformità għal dan il-użu-każ ta' riskju għoli tal-Anness III — kif ukoll l-obbligi tad-deplijatur kollha.

Meta d-Deplijaturi Jisiru Fornituri (Art. 25)

L-Art. 25 jistabbilixxi triggers ċari li bihom deplijatur jassumi l-istatus tal-fornitur u jiret l-obbligi tal-fornitur kollha:

1. Modifika sostanzjali — id-deplijatur jagħmel modifika sostanzjali lil sistema tal-AI ta' riskju għoli lil hinn minn dak maħsub mill-fornitur oriġinali
2. Bidla fl-iskop li tissettja l-klassifikazzjoni ta' riskju għoli — id-deplijatur juża sistema mhux ta' riskju għoli b'mod li jissodisfa l-kriterji ta' riskju għoli tal-Anness III
3. Tqegħid taħt l-isem stess — id-deplijatur iqiegħed is-sistema tal-AI fuq is-suq jew fis-servizz taħt l-isem jew il-marka kummerċjali tiegħu stess
4. Modifika tal-mudell GPAI — deplijatur li jagħmel bidliet ewlenin lil mudell GPAI b'mod li jaltera l-użu-każ ġenerali tiegħu

Meta jiġi attivat l-Art. 25, l-obbligi tal-fornitur oriġinali jittrasfervixxu lill-fornitur il-ġdid. Il-fornitur oriġinali jitħeles mill-obbligi għas-sistema modifikata jew maħduma mill-ġdid. Dan huwa mekkaniżmu importanti ta' allokazzjoni tar-responsabbiltà: organizzazzjonijiet li sempliċement jipersonalizzaw sistema jridu jifhmu fejn tintemm il-personalizzazjoni u tibda l-modifika sostanzjali.

Tabella ta' Paragun tal-Obbligi

Kif Tiddetermina r-Rwol Tiegħek

Tliet mistoqsijiet jistabbilixxu r-rwol tiegħek taħt l-EU AI Act:

1. Int żviluppajt is-sistema tal-AI, jew żviluppajtha taħt id-direzzjoni tiegħek? Jekk iva — u qiegħedtha fuq is-suq jew fis-servizz — int fornitur.

2. Qed tuża sistema tal-AI mibnija minn ħaddieħor għal skop professjonali? Jekk iva, int deplijatur.

3. Biddilt b'mod sostanzjali, rimedjajt, jew rebbrandajt sistema tal-AI? Jekk iva, jista' jkun li sirt fornitur għal dik is-sistema modifikata taħt l-Art. 25.

Għall-organizzazzjonijiet li huma t-tnejn — bini intern għal użu intern — l-obbligi kollha jiżdiedu. L-ebda tnaqqis ma hemm għall-operazzjonijiet integrati.

Allokazjoni Kuntrattwali tar-Responsabbiltajiet

L-Att jippermetti lill-fornituri u d-deplijaturi jallokaw b'mod kuntrattwali obbligi speċifiċi. L-Art. 25(1) jippermetti b'mod esplicit dan għal ċerti obbligi. Madankollu, japplikaw żewġ limiti:

• Ir-responsabbiltà regolatorja ma tistax tiġi kkuntrattwata. Jekk id-deplijatur jopera sistema ta' riskju għoli, huwa responsabbli mill-obbligi tad-deplijatur irrispettivament minn dak li jgħid il-kuntratt. Il-kuntratti jistgħu jistabbilixxu rikors intern iżda ma jistgħux jtrasfervixxu r-responsabbiltà regolatorja lill-parti l-oħra.
• Il-fluss tal-informazjoni irid jinżamm. Kwalunkwe allokazjoni trid tiżgura li d-deplijatur ikollhom l-informazjoni meħtieġa biex jissodisfaw l-obbligi tagħhom — istruzzjonijiet tal-użu, aċċess għar-reġistrar, kanali ta' rappurtar tal-inċidenti. Il-kuntratti li jaqtgħu dan il-fluss ta' informazjoni huma problematiċi għall-konformità, mhux biss kummerċjalment.

It-timijiet tal-akkwist għandhom jużaw il-kuntratti tal-bejjiegħ tal-AI biex jiżguraw li l-fornituri jipprovdu dak li d-deplijaturi jeħtieġu: istruzzjonijiet, dokumentazjoni tal-konformità, kanali ta' notifikazzoni tal-inċidenti, impenji tal-aġġornament, u termini tal-governanza tad-data għal kwalunkwe data kondiviża għal fine-tuning.