Постачальник і розгортач: хто відповідає?

Що таке Постачальник і розгортач: хто відповідає??

Регламент ЄС про штучний інтелект (AI Act) розподіляє обов'язки між постачальником, який створює систему ШІ, і розгортачем, який бере її в роботу, а купівля продукту, що відповідає вимогам, не перекладає обов'язків розгортача на вендора. Ви розмежуєте ці дві ролі, визначите, які обов'язки лежать на вас, і оціните документацію вендорів про дотримання вимог ще під час закупівлі, щоб прогалини виявилися до підписання договору, а не під час аудиту.

Що ви дізнаєтесь у Постачальник і розгортач: хто відповідає?

• Розрізняйте ролі постачальника й розгортача за Регламентом ЄС про ШІ
• Визначайте конкретні обов'язки, що належать кожній ролі
• Усвідомлюйте, чому відповідність вендора не знімає обов'язків розгортача
• Розпізнавайте продукти ШІ з хибною класифікацією під час перевірки закупівлі
• Робіть незалежну оцінку ризику частиною належної перевірки під час закупівель

Постачальник і розгортач: хто відповідає? — Кроки навчання

1. Постачальник і розгортач

   Регламент ЄС про штучний інтелект (AI Act) покладає на компанії різні обов'язки залежно від їхньої ролі в ланцюгу створення та використання ШІ: Постачальник системи ШІ — компанія, яка розробляє систему ШІ (або замовляє її розробку) і вводить її в обіг чи в експлуатацію під власним найменуванням. Відповідає за оцінку відповідності, маркування CE і технічну документацію. Розгортач — компанія, яка використовує систему ШІ під власним контролем. Відповідає за людський нагляд, моніторинг, ведення журналів, інформування осіб, яких це стосується, і повідомлення про інциденти. Державні органи, організації, що надають публічні послуги, і розгортачі, які застосовують ШІ для кредитного чи страхового скорингу, мають також провести оцінку впливу на основоположні права (FRIA, стаття 27). BrightPath Consulting — розгортач. Коли компанія купує інструмент ШІ у вендора, відповідність вендора не звільняє BrightPath від власних юридичних обов'язків за Регламентом.

2. Лист від ІТ-директорки

   Надходить лист від Рейчел Кім, ІТ-директорки BrightPath. Три вендори подали пропозиції, і Аліса має оцінити, як кожен із них дотримується вимог, перш ніж у компанії ухвалять рішення про закупівлю.

3. Вендор 1: TalentMatch AI

   Аліса відкриває документацію вендора про відповідність за посиланням TalentMatch AI у листі Рейчел. Свої обов'язки постачальника цей вендор виконав добре: оцінку відповідності проведено, маркування CE отримано, технічна документація є, цільове призначення чітко визначено. Систему віднесено до високоризикових систем ШІ за сферою 4 додатка III (трудові відносини).

4. Обов'язки розгортача для ШІ високого ризику

   Навіть якщо вендор TalentMatch AI повністю відповідає вимогам, BrightPath як розгортач має власні обов'язкові вимоги за Регламентом. Вони не залежать від того, чи дотримується вимог вендор. Аліса відкриває контрольний перелік обов'язків розгортача за посиланням у листі Рейчел.

5. Перевірка знань: відповідальність розгортача

6. Вендор 2: QuickReply Bot

   Наступний вендор — QuickReply Bot, чатбот для підтримки клієнтів. Аліса відкриває його документацію за посиланням у листі Рейчел. Це система ШІ обмеженого ризику. Її головна вимога — прозорість: постачальник має створити бота так, щоб клієнти знали, що спілкуються зі ШІ, а не з людиною, і бота так і створено. Завдання BrightPath як розгортача простіше: залишити це повідомлення видимим у власному віджеті чату.

7. Вендор 3: InsightIQ

   Останній вендор — InsightIQ, платформа на основі ШІ для аналізу ефективності працівників. Аліса відкриває сторінку продукту за посиланням у листі Рейчел. Дещо в заявах цього вендора має насторожити.

8. Проблема хибної класифікації

   InsightIQ обробляє дані про ефективність працівників і на їх основі радить, кого підвищити та як сформувати команди. Це ухвалення рішень у сфері зайнятості з використанням ШІ, а за додатком III Регламенту ЄС про штучний інтелект (AI Act) таке належить до високого ризику. Або вендор навмисно неправильно класифікував продукт, щоб уникнути витрат на дотримання вимог, або він справді не розуміє Регламенту. У будь-якому разі BrightPath не може покладатися на класифікацію, яку вендор дав своєму продукту сам. Тож розгортач має перевірити класифікацію ризику самостійно ще до розгортання: він зобов'язаний використовувати систему відповідно до інструкцій постачальника (стаття 26(1)), а розгортач, який розміщує на високоризиковій системі ШІ власне найменування або змінює її цільове призначення, бере на себе обов'язки постачальника (стаття 25).

9. Перевірка знань: вендор із хибною класифікацією

10. Надішліть рекомендації щодо закупівлі

    Аліса відповідає Рейчел рекомендаціями щодо кожного вендора: які інструменти BrightPath може розгорнути за умови виконання обов'язків розгортача і який слід відхилити одразу.