EU AI Act: ספק או משתמש?
השאלה שרוב החברות שואלות על EU AI Act היא מה ממנו חל עלינו. התשובה מתחילה לא בטכנולוגיה אלא בתפקיד: אותה מערכת יוצרת חובות שונות לחברה שבנתה אותה ולחברה שמשתמשת בה.
בקצרה
ספק (provider) מפתח מערכת AI, או מזמין את פיתוחה, ומציב אותה בשוק תחת השם שלו. משתמש (deployer) מפעיל מערכת AI באחריותו במסגרת מקצועית. רוב החברות הן משתמשות בהרבה מערכות, וספקיות של מעטות. משתמש הופך לספק בשלושה מקרים: הוא שם את השם או הסימן המסחרי שלו על מערכת בסיכון גבוה, הוא מבצע שינוי מהותי שלאחריו המערכת נשארת בסיכון גבוה, או שהוא משנה את ייעוד המערכת כך שהיא הופכת למערכת בסיכון גבוה. למשתמשים במערכות בסיכון גבוה יש רשימת חובות משלהם: שימוש לפי ההוראות, פיקוח של אנשים כשירים, ניטור, שמירת יומנים, יידוע עובדים ואנשים מושפעים.
התפקידים
| תפקיד | מי זה | איפה מוגדר |
|---|
| ספק (provider) | מפתח מערכת AI או מודל לשימוש כללי, או מזמין את הפיתוח, ומציב אותם בשוק או בשירות תחת השם או הסימן המסחרי שלו | סעיף 3(3) |
| משתמש (deployer) | מפעיל מערכת AI באחריותו, למעט פעילות אישית שאינה מקצועית | סעיף 3(4) |
| יבואן | גוף באיחוד שמציב בשוק מערכת שנושאת שם של ספק מחוץ לאיחוד | סעיף 3(6) |
| מפיץ | מעמיד מערכת לרשות השוק באיחוד, ואינו ספק או יבואן | סעיף 3(7) |
ההגדרות נמצאות בסעיף 3. חברה אחת יכולה למלא תפקידים שונים במערכות שונות, ולרוב זה בדיוק המצב.
מתי משתמש הופך לספק
סעיף 25 מונה שלושה מצבים שבהם משתמש, יבואן, מפיץ או צד שלישי אחר נחשב לספק של מערכת בסיכון גבוה, ומקבל על עצמו את חובות הספק:
- הוא שם את השם או הסימן המסחרי שלו על מערכת AI בסיכון גבוה שכבר נמצאת בשוק.
- הוא מבצע שינוי מהותי במערכת בסיכון גבוה, כך שהיא נשארת בסיכון גבוה.
- הוא משנה את הייעוד של מערכת AI, כולל מערכת לשימוש כללי, כך שהיא הופכת למערכת בסיכון גבוה.
המקרה השלישי מפתיע חברות. מודל לשימוש כללי שמנסח טיוטות של מיילים אינו בסיכון גבוה. אותו מודל, כשהוא מחובר להחלטה על גיוס עובדים או על אשראי, עשוי להיות, והחברה שחיברה אותו עשויה להפוך לספק.
מה חייב לעשות משתמש במערכת בסיכון גבוה
חובות המשתמש מפורטות בסעיף 26. בפועל:
| חובה | מה זה אומר בתפעול |
|---|
| שימוש לפי הוראות הספק | לשמור את ההוראות ולהדריך לפיהן את מי שעובד עם המערכת |
| פיקוח של אנשים כשירים | אנשים שמוגדרים בשמם, עם הכשירות, ההכשרה והסמכות לפקח על המערכת ולעצור אותה |
| נתוני קלט רלוונטיים | כשנתוני הקלט בשליטתכם, לוודא שהם מתאימים לייעוד |
| ניטור | לעקוב אחרי פעולת המערכת. במקרה של סיכון או אירוע חמור, לדווח לספק ולרשות ולהשעות את השימוש. |
| שמירת יומנים | לשמור את היומנים שהמערכת מייצרת ושנמצאים בשליטתכם לפחות שישה חודשים, אלא אם דין אחר קובע אחרת |
| יידוע עובדים | לפני שימוש במערכת בסיכון גבוה במקום העבודה, ליידע את העובדים ואת נציגיהם |
| יידוע אנשים מושפעים | כשהמערכת מקבלת החלטות על אנשים או מסייעת בקבלתן, ליידע אותם |
| שיתוף פעולה עם הרשויות | למסור מידע ולאפשר גישה כשמבקשים |
חלק מהמשתמשים, בעיקר גופים ציבוריים וגופים פרטיים מסוימים שמספקים שירותים ציבוריים, חייבים גם לבצע הערכת השפעה על זכויות יסוד לפי סעיף 27.
חובות שחלות כמעט על כולם
- אוריינות AI (סעיף 4): ספקים ומשתמשים נדרשים לנקוט אמצעים כדי שהעובדים שעוסקים במערכות AI יבינו אותן במידה מספקת.
- שקיפות (סעיף 50): צריך ליידע אנשים כשהם מתקשרים עם מערכת AI, וחלק מהתוכן שנוצר צריך להיות מסומן. חלק מהחובות האלה חלות על ספקים, וחלק על משתמשים.
- פרקטיקות אסורות: שימושים מסוימים אסורים לחלוטין, בלי קשר לתפקיד.
החוק נכנס לתוקף בשלבים, והמועדים של חלק מהחובות כבר שונו. לפני שאתם מסתמכים על תאריך, בדקו את הנוסח המשולב התקף.
איך קובעים את התפקיד שלכם בפועל
- רשמו את מערכות ה-AI שאתם בונים ואת אלה שאתם משתמשים בהן, כולל יכולות בתוך תוכנה שאתם רוכשים.
- לכל אחת רשמו על שם מי היא משווקת בשוק, ומי קבע את הייעוד שלה.
- בדקו אם שימוש כלשהו נכנס לתחום הסיכון הגבוה. אם כן, בדקו את שלושת המקרים שבסעיף 25.
- חלקו את החובות לפי תפקיד ולפי מערכת, ותנו לכל חובה בעלים.
התרגיל הזה הוא גם הצעד הראשון בכל תוכנית ממשל AI, לפי AI Act או לפי תקן כמו ISO/IEC 42001.
שאלות נפוצות
מה ההבדל בין ספק למשתמש לפי EU AI Act?
ספק מפתח מערכת AI, או מזמין את פיתוחה, ומציב אותה בשוק תחת השם שלו. משתמש מפעיל מערכת AI באחריותו במסגרת מקצועית. החובות של כל אחד מהם שונות מהותית.
משתמש יכול להפוך לספק?
כן. לפי סעיף 25, משתמש הופך לספק של מערכת בסיכון גבוה אם הוא שם עליה את השם או הסימן המסחרי שלו, מבצע בה שינוי מהותי שלאחריו היא נשארת בסיכון גבוה, או משנה את ייעוד המערכת כך שהיא הופכת למערכת בסיכון גבוה.
מה חייב לעשות משתמש במערכת AI בסיכון גבוה?
להשתמש בה לפי ההוראות, להטיל את הפיקוח על אנשים כשירים, לדאוג לנתוני קלט מתאימים כשהם בשליטתו, לנטר את המערכת, לשמור את היומנים שלה לפחות שישה חודשים, ליידע עובדים ואנשים מושפעים, ולשתף פעולה עם הרשויות.
EU AI Act חל על חברות מחוץ לאיחוד?
הוא יכול לחול. הוא נוגע לספקים שמציבים מערכות בשוק האירופי, למשתמשים באיחוד, וגם למקרים שבהם התוצר של המערכת משמש באיחוד, בלי קשר למקום שבו החברה נמצאת.
אוריינות AI היא דרישה משפטית?
סעיף 4 מחייב ספקים ומשתמשים לנקוט אמצעים לאוריינות AI של העובדים שעוסקים במערכות AI. זה חל בלי קשר לרמת הסיכון של המערכת.