EU AI Act: поставщик или пользователь?
Главный вопрос компаний про EU AI Act звучит так: что из него касается нас. Ответ начинается не с технологии, а с роли. Одна и та же система создаёт разные обязанности для компании, которая её построила, и для компании, которая ею пользуется.
Кратко
Поставщик (provider) разрабатывает AI-систему или заказывает её разработку и выводит её на рынок под своим именем. Пользователь (deployer) применяет AI-систему под своей ответственностью в профессиональной деятельности. Большинство компаний являются пользователями многих систем и поставщиками немногих. Пользователь становится поставщиком в трёх случаях: если ставит своё имя или торговую марку на систему высокого риска, вносит существенное изменение, после которого система остаётся высокорисковой, или меняет назначение системы так, что она становится высокорисковой. У пользователей систем высокого риска свой перечень обязанностей: применять систему по инструкции, обеспечивать надзор компетентных людей, вести мониторинг, хранить журналы, информировать работников и затронутых лиц.
Роли
| Роль | Кто это | Где определено |
|---|
| Поставщик (provider) | Разрабатывает AI-систему или модель общего назначения либо заказывает её разработку и выводит на рынок или вводит в эксплуатацию под своим именем или маркой | Статья 3(3) |
| Пользователь (deployer) | Применяет AI-систему под своей ответственностью, кроме случаев личного непрофессионального использования | Статья 3(4) |
| Импортёр | Компания в ЕС, которая выводит на рынок систему под именем поставщика из-за пределов ЕС | Статья 3(6) |
| Дистрибьютор | Делает систему доступной на рынке ЕС, не являясь ни поставщиком, ни импортёром | Статья 3(7) |
Определения даны в статье 3. Одна компания может выполнять разные роли для разных систем, и обычно так и происходит.
Когда пользователь становится поставщиком
Статья 25 перечисляет три ситуации, в которых пользователь, импортёр, дистрибьютор или иная третья сторона считается поставщиком системы высокого риска и принимает на себя его обязанности:
- Ставит своё имя или торговую марку на систему высокого риска, уже выведенную на рынок.
- Вносит существенное изменение в систему высокого риска, и после этого она остаётся высокорисковой.
- Меняет назначение AI-системы, в том числе системы общего назначения, так, что она становится высокорисковой.
Третий случай застаёт компании врасплох. Модель общего назначения, которая пишет черновики писем, не относится к высокому риску. Та же модель, встроенная в решение о найме или о кредите, может относиться, и компания, которая её встроила, может оказаться поставщиком.
Что обязан делать пользователь системы высокого риска
Обязанности пользователя перечислены в статье 26. На практике это означает следующее:
| Обязанность | Что это значит на деле |
|---|
| Применять по инструкции поставщика | Хранить инструкции и обучать по ним тех, кто работает с системой |
| Надзор компетентных людей | Назначить людей с нужной компетенцией, подготовкой и полномочиями, чтобы они следили за системой и при необходимости останавливали её |
| Подходящие входные данные | Если входные данные находятся под вашим контролем, обеспечить их соответствие назначению системы |
| Мониторинг | Следить за работой системы, при риске или серьёзном инциденте сообщить поставщику и органу и приостановить использование |
| Хранение журналов | Хранить журналы, которые генерирует система и которые находятся под вашим контролем, не меньше шести месяцев, если иное не требуется по другому праву |
| Информировать работников | До применения системы высокого риска на рабочем месте сообщить об этом работникам и их представителям |
| Информировать затронутых людей | Если система принимает решения о людях или помогает их принимать, сообщить им об этом |
| Сотрудничать с органами | Предоставлять по запросу информацию и доступ |
Часть пользователей, прежде всего государственные органы и некоторые частные поставщики общественных услуг, обязаны также провести оценку воздействия на основные права по статье 27.
Обязанности почти для всех
- AI-грамотность (статья 4): поставщики и пользователи должны принимать меры, чтобы сотрудники, работающие с AI-системами, достаточно в них разбирались.
- Прозрачность (статья 50): людям нужно сообщать, что они взаимодействуют с AI-системой, а часть сгенерированного контента нужно маркировать. Часть этих обязанностей лежит на поставщиках, часть на пользователях.
- Запрещённые практики: некоторые виды применения полностью запрещены, независимо от роли.
Закон вступает в силу поэтапно, и сроки по части обязанностей уже менялись. Прежде чем опираться на конкретную дату, проверьте действующую консолидированную редакцию.
Как определить свою роль на практике
- Составьте список AI-систем, которые вы разрабатываете, и тех, которыми пользуетесь, включая функции внутри купленного ПО.
- Для каждой системы запишите, под чьим именем она представлена на рынке и кто определил её назначение.
- Проверьте, не подпадает ли какое-либо применение под высокий риск. Если подпадает, проверьте три случая из статьи 25.
- Распределите обязанности по ролям и системам и назначьте каждой владельца.
Это упражнение одновременно первый шаг любой программы управления AI, по AI Act или по стандарту вроде ISO/IEC 42001.
Частые вопросы
Чем поставщик отличается от пользователя по EU AI Act?
Поставщик разрабатывает AI-систему или заказывает её разработку и выводит на рынок под своим именем. Пользователь применяет AI-систему под своей ответственностью в профессиональной деятельности. Их обязанности существенно различаются.
Может ли пользователь стать поставщиком?
Да. По статье 25 пользователь становится поставщиком системы высокого риска, если ставит на неё своё имя или марку, вносит существенное изменение, после которого она остаётся высокорисковой, или меняет назначение системы так, что она становится высокорисковой.
Что обязан делать пользователь системы высокого риска?
Применять её по инструкции, поручить надзор компетентным людям, обеспечивать подходящие входные данные, если они под его контролем, следить за работой системы, хранить её журналы не меньше шести месяцев, информировать работников и затронутых людей и сотрудничать с органами.
Применяется ли EU AI Act к компаниям за пределами ЕС?
Может применяться. Он касается поставщиков, которые выводят системы на рынок ЕС, и пользователей в ЕС, а также случаев, когда результат работы системы используется в ЕС, независимо от того, где находится компания.
AI-грамотность это юридическое требование?
Статья 4 обязывает поставщиков и пользователей принимать меры для AI-грамотности сотрудников, работающих с AI-системами. Это требование действует независимо от класса риска системы.
С чего начать
Составьте список AI-систем, которые вы разрабатываете, и тех, которыми пользуетесь, и отметьте, под чьим именем каждая из них представлена на рынке. Пришлите его, и я скажу, какая у вас роль по каждой системе и какие обязанности из неё следуют.
Написать мне
По теме: Таблица соответствия AI Act, NIST, ISO 42001, Управление AI