Wyobraźmy sobie typową sytuację: firma zamawia u zewnętrznego podmiotu rozwój systemu AI, następnie oznacza go własną nazwą lub znakiem towarowym i oferuje klientom jako własny produkt na przykład chatbota, narzędzie do scoringu kredytowego czy system wspierający rekrutację. Z perspektywy biznesowej może to być standardowy model współpracy lub white-label. Z perspektywy AI Act może to jednak oznaczać, że przedsiębiorca sam staje się „dostawcą” systemu AI w rozumieniu rozporządzenia nawet jeśli nie stworzył technologii własnymi siłami. To istotne rozróżnienie, ponieważ status dostawcy wiąże się z określonymi obowiązkami regulacyjnymi, a w przypadku systemów wysokiego ryzyka z rozbudowanymi wymaganiami dotyczącymi m.in. zarządzania ryzykiem, dokumentacji i oceny zgodności.
AI Act wszedł w życie 1 sierpnia 2024 r., a poszczególne obowiązki są stosowane etapami. W odniesieniu do systemów wysokiego ryzyka kluczowe terminy przypadają na 2027 i 2028 r. Dla biznesu nie jest to jednak wyłącznie kwestia przyszłego compliance. Już dziś warto przeanalizować, czy sposób oferowania rozwiązania AI pod własną marką nie powoduje powstania dodatkowych obowiązków regulacyjnych.
Kto jest dostawcą systemu AI?
Zgodnie z art. 3 pkt 3 AI Act dostawca oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, które rozwijają system AI lub model AI ogólnego przeznaczenia lub zlecają rozwój systemu AI lub modelu AI ogólnego przeznaczenia oraz które – odpłatnie lub nieodpłatnie – pod własną nazwą lub własnym znakiem towarowym wprowadzają do obrotu lub oddają do użytku system AI.
Oznacza to, że dla oceny statusu dostawcy nie zawsze decydują kwestie techniczne. Przedsiębiorca nie musi samodzielnie tworzyć kodu, trenować modelu ani rozwijać architektury systemu. Jeżeli zleca rozwój systemu i następnie wprowadza go do obrotu lub oddaje do użytku pod własną marką, może zostać uznany za dostawcę w rozumieniu AI Act.
Niezależnie od ogólnej definicji dostawcy z art. 3 pkt 3 AI Act, art. 25 przewiduje szczególną regulację dotyczącą odpowiedzialności podmiotów w łańcuchu wartości w odniesieniu do systemów AI wysokiego ryzyka. W określonych sytuacjach podmiot, który umieszcza na takim systemie własną nazwę lub znak towarowy, może zostać uznany za jego dostawcę. Dlatego przed oznaczeniem rozwiązania własną marką warto najpierw ustalić jego klasyfikację oraz rolę przedsiębiorcy na gruncie AI Act.
Umowa z dostawcą technologii nie rozwiązuje problemu
Przedsiębiorcy powinni zwrócić uwagę na jeszcze jedną kwestię. Umowne ustalenie, że za zgodność systemu z AI Act odpowiada jego pierwotny twórca, nie przesądza o kwalifikacji przedsiębiorcy wobec organów nadzoru. Strony mogą oczywiście podzielić między siebie koszty, obowiązki i odpowiedzialność kontraktową. Umowa może również zobowiązywać dostawcę technologii do przekazywania dokumentacji, wyników testów czy informacji niezbędnych do przeprowadzenia oceny zgodności. Nie zmienia to jednak faktu, że przedsiębiorca powinien samodzielnie ustalić, jaką rolę pełni na gruncie AI Act. Dlatego przed rozpoczęciem sprzedaży rozwiązania AI pod własną marką warto zweryfikować nie tylko umowę, ale również faktyczny model dystrybucji i wykorzystania systemu.
Co warto zrobić już teraz?
Przedsiębiorstwa wykorzystujące rozwiązania AI w modelu white-label powinny w szczególności:
- ustalić swoją rolę na gruncie AI Act – w szczególności sprawdzić, czy występują jako dostawca, podmiot wdrażający, dystrybutor lub importer;
- zweryfikować klasyfikację systemu, ze szczególnym uwzględnieniem tego, czy może on zostać uznany za system wysokiego ryzyka;
- przejrzeć umowy z dostawcami technologii pod kątem dostępu do dokumentacji technicznej, wyników testów, informacji o ryzyku oraz współpracy przy realizacji obowiązków regulacyjnych;
- ustalić zasady korzystania z własnej marki i znaków towarowych przy oferowaniu rozwiązań AI;
- włączyć działy prawne i compliance w decyzje dotyczące komercjalizacji i brandingu rozwiązań AI, a nie dopiero weryfikować je po wprowadzeniu produktu na rynek.
Za naruszenie obowiązków wynikających z AI Act mogą zostać nałożone administracyjne kary pieniężne. Ich wysokość zależy od rodzaju naruszenia. W przypadku części naruszeń obowiązków operatorów maksymalna kara może wynieść do 15 mln euro lub w przypadku przedsiębiorstwa do 3% całkowitego rocznego światowego obrotu z poprzedniego roku, w zależności od tego, która wartość jest wyższa.
