Akt EU o UI: Ponudniki vs. Izvajalci — Kdo je odgovoren za kaj?

Akt EU o UI razdeli obveznosti med ponudnike (ki gradijo sisteme UI) in izvajalce (ki jih dajo v prakso). Razumevanje, katero vlogo zasedate, določa vaše breme skladnosti — in ali lahko odgovornost prenesete na drugo stranko.

Arhitektura dveh akterjev Akta EU o UI

Akt EU o UI ne ustvari ene same univerzalne obveznosti za vse interesente UI. Sistematično razlikuje med dvema primarnima vlogama v vrednostni verigi UI:

• Ponudniki — subjekti, ki razvijajo, usposabljajo ali fino nastavljajo sisteme UI in jih dajejo na trg
• Izvajalci — subjekti, ki sisteme UI v poklicnem kontekstu upravljajo, ne da bi jih sami zgradili

To razlikovanje ni semantično. Določa, katere obveznosti se uporabljajo, kdo hrani katero dokumentacijo, kdo se registrira v bazi podatkov EU za UI, kdo izvaja ugotavljanje skladnosti in kdo je odgovoren, ko gre kaj narobe. Pravilno ugotoviti svojo vlogo je prvi korak v katerem koli programu skladnosti z Aktom EU o UI.

Tretja vloga — pooblaščeni zastopnik — velja za ponudnike, ustanovljene izven EU, ki morajo v EU imenovati zastopnika, ki nosi njihove regulativne obveznosti na ozemlju EU.

Definiranje ponudnika (čl. 3(3))

Ponudnik je katera koli naravna ali pravna oseba, javni organ, agencija ali drug organ, ki:

1. Razvije sistem UI ali da sistem UI razviti, in
2. Da ga na trg ali v uporabo pod lastnim imenom ali blagovno znamko — bodisi za plačilo ali brezplačno

Ključni kazalniki statusa ponudnika so odgovornost za razvoj in dajanje na trg. Laboratorij UI, ki gradi in licencira model kreditnega točkovanja, je ponudnik. Svetovalnica, ki za stranko oblikuje in gradi orodje za presejanje kadrov po meri, ter ga nato preda, je prav tako ponudnik (dokler ga da na trg pod lastnim imenom; če je zgrajeno pod blagovno znamko stranke, je stranka morda ponudnik).

Definicija zajema:

• Zagonska podjetja UI in prodajalce programske opreme, ki prodajajo paketne produkte UI
• Podjetja, ki gradijo sisteme UI za interno uvajanje
• Raziskovalne institucije, ki objavljajo sisteme UI za splošno uporabo
• Ponudnike storitev v oblaku, ki nudijo UI-kot-storitev pod lastno blagovno znamko

Ponudniki nosijo najtežje breme skladnosti po Aktu. Za visokotveganostne sisteme to vključuje izvajanje ugotavljanja skladnosti, pripravo tehnične dokumentacije, registracijo v bazi podatkov EU za UI, pritrjevanje oznake CE in vzdrževanje sistema nadzora po trženju.

Definiranje izvajalca (čl. 3(4))

Izvajalec je katera koli naravna ali pravna oseba, javni organ, agencija ali organ, ki za poklicni namen pod svojo pristojnostjo uporablja sistem UI — razen kadar se uporablja za osebno neprofesionalno dejavnost.

Izvajalci ne gradijo sistemov UI. Uporabljajo sisteme, ki so jih zgradili drugi — bodisi kupljeni pripravljeni, licencirani prek API ali vgrajeni v produkt SaaS. Velika večina evropskih organizacij, ki "uporabljajo UI", so izvajalci: podjetja, ki prek API-ja uporabljajo ChatGPT ali Claude, HR oddelki, ki uporabljajo z UI podprto sledenje kandidatom, bolnišnice, ki uporabljajo z UI podprto diagnostično orodje, banke, ki uporabljajo kreditne modele dobavitelja.

Ključne obveznosti izvajalcev (za visokotveganostne sisteme UI):

• Sistem uporabljati samo v skladu z navodili ponudnika (čl. 26(1))
• Dodeliti osebo s kompetentnostjo, pooblastili in viri za izvajanje človekovega nadzora (čl. 26(2))
• Zagotoviti, da so vhodni podatki relevantni in reprezentativni za predvideni namen (čl. 26(5))
• Nadzirati delovanje sistema za zaznavanje anomalij (čl. 26(5))
• Ohraniti dnevnike, ki jih sistem ustvari, za zahtevano obdobje (čl. 26(6))
• Obvestiti ponudnika in pristojni organ o vseh resnih incidentih (čl. 26(8))
• Tam kjer to zahteva GDPR, opraviti oceno vplivov na varstvo podatkov (čl. 26(9))

Izvajalci sistemov za prepoznavanje čustev in biometrično kategorizacijo morajo prav tako upoštevati obveznosti preglednosti čl. 50 ne glede na klasifikacijo tveganja.

Meja ponudnik-izvajalec v praksi

Meja med ponudnikom in izvajalcem je v teoriji enostavna, toda v praksi nejasna. Trije scenariji prikazujejo pogosta siva območja:

Scenarij 1: Pripravljeni SaaS brez prilagajanja

Podjetje se naroči na z UI podprto platformo za presejanje kadrov prodajalca brez sprememb. Prodajalec je ponudnik. Podjetje je izvajalec. Prodajalec dolguje podjetju navodila za uporabo, dokumentacijo ugotavljanja skladnosti in zmogljivost beleženja. Podjetje dolguje zaposlenim preglednost in človeški nadzor.

Scenarij 2: Integracija API-ja z znatnim inženiringom pozivov

Podjetje integrira model GPAI prek API-ja, doda sistemski poziv po meri, zgradi uporabniški vmesnik in stranki objavi aplikacijo. Za temeljni model GPAI je izvirni razvijalec ponudnik. Za aplikacijo, zgrajeno na vrhu, je podjetje ponudnik — razvilo je sistem UI in ga dalo na trg pod lastno blagovno znamko. Na različnih nivojih se hkrati izvajajo obveznosti ponudnika in GPAI.

Scenarij 3: Gradnja po meri za interno uporabo

Banka gradi lasten model za ocenjevanje kreditne sposobnosti, ga usposablja na lastnih podatkih in interno uvajalci za odločitve o posojilih. Banka je hkrati ponudnik (zgradila in uvajala je sistem) in izvajalec (sistem upravlja za lastne namene). Vse obveznosti ponudnika po Aktu se nanašajo — vključno z ugotavljanjem skladnosti za ta Annex III visokotveganostni primer uporabe — kot tudi vse obveznosti izvajalca.

Ko izvajalci postanejo ponudniki (čl. 25)

Čl. 25 vzpostavi jasne sprožilce, s katerimi izvajalec prevzame status ponudnika in podeduje vse obveznosti ponudnika:

1. Bistvena modifikacija — izvajalec naredi bistveno spremembo visokotveganostnega sistema UI, ki presega to, kar je prvotni ponudnik nameraval
2. Sprememba namena, ki sproži klasifikacijo visokotveganostnosti — izvajalec sistem, ki ni visokotveganostni, uporablja na način, ki izpolnjuje merila visokotveganostnih po Annex III
3. Dajanje na trg pod lastnim imenom — izvajalec da sistem UI na trg ali ga v uporabo pod lastnim imenom ali blagovno znamko
4. Modifikacija modela GPAI — izvajalec, ki naredi večjo spremembo modela GPAI na način, ki spremeni njegov primer splošne namenske uporabe

Ko je sprožen čl. 25, se obveznosti prvotnega ponudnika prenesejo na novega ponudnika. Prvotni ponudnik je razbremenjen obveznosti za modificiran ali preusmerjen sistem. To je pomemben mehanizem dodelitve odgovornosti: organizacije, ki zgolj prilagajajo sistem, morajo razumeti, kje se prilagajanje konča in bistvena modifikacija začne.

Primerjalna tabela obveznosti

Kako ugotoviti svojo vlogo

Tri vprašanja vzpostavijo vašo vlogo po Aktu EU o UI:

1. Ali ste razvili sistem UI ali ga dali razviti po vaši usmeritvi? Če da — in ste ga dali na trg ali v uporabo — ste ponudnik.

2. Ali za poklicni namen uporabljate sistem UI, ki ga je zgradil nekdo drug? Če da, ste izvajalec.

3. Ali ste bistveno modificirali, preusmerili ali preimenovali sistem UI? Če da, ste morda za ta modificiran sistem po čl. 25 postali ponudnik.

Za organizacije, ki so hkrati obe — interna gradnja za interno uporabo — se vse obveznosti seštejejo. Za integrirane operacije ni zmanjšanja.

Pogodbena dodelitev odgovornosti

Akt ponudnikom in izvajalcem dovoljuje pogodbeno dodelitev posebnih obveznosti. Čl. 25(1) to za določene obveznosti izrecno dovoljuje. Toda veljata dve omejitvi:

• Regulativne odgovornosti ni mogoče pogodbeno prenesti. Če izvajalec upravlja visokotveganostni sistem, ostane odgovoren za obveznosti izvajalca ne glede na to, kaj pravi pogodba. Pogodbe vzpostavijo interno regresno terjatev, toda ne morejo prestaviti regulativne odgovornosti na drugo stranko.
• Tok informacij mora biti ohranjen. Vsaka dodelitev mora zagotoviti, da ima izvajalec informacije, potrebne za izpolnitev svojih obveznosti — navodila za uporabo, dostop do beleženja, kanali za poročanje o incidentih. Pogodbe, ki ta informacijski tok prekinejo, so problematične za skladnost, ne le komercialno.

Nabavne ekipe bi morale pogodbe z dobavitelji UI za UI uporabiti za zagotovitev, da ponudniki zagotovijo, kar izvajalci potrebujejo: navodila, dokumentacijo ugotavljanja skladnosti, kanale za obvestila o incidentih, zaveze posodobitev in pogoje upravljanja podatkov za kakršne koli podatke, ki se delijo za fino nastavljanje.