AI Act w umowach z dostawcami oprogramowania
Większość firm nie tworzy systemów AI, tylko je kupuje. To w umowie z dostawcą rozstrzyga się, kto odpowiada za zgodność z AI Act i co się stanie, gdy system zawiedzie.
W skrócie
- Najpierw trzeba ustalić rolę spółki: dostawca, podmiot stosujący, importer albo dystrybutor.
- Umowa powinna zapewnić dostęp do dokumentacji potrzebnej do wykonania własnych obowiązków.
- Warto uregulować dane: na czym model był trenowany i co dzieje się z danymi klienta.
Jaką rolę pełni Państwa firma
Rozporządzenie rozróżnia między innymi dostawców, którzy wprowadzają system AI do obrotu pod własną nazwą, i podmioty stosujące, które używają systemu w swojej działalności. Większość firm kupujących oprogramowanie będzie podmiotem stosującym. Ta rola może się jednak zmienić, jeśli firma istotnie zmodyfikuje system albo oferuje go dalej pod własną marką.
Klasyfikacja systemu
Zakres obowiązków zależy od kategorii ryzyka. Systemy wykorzystywane na przykład w rekrutacji, ocenie zdolności kredytowej czy dostępie do usług podstawowych mogą należeć do kategorii wysokiego ryzyka. Dla wielu narzędzi biurowych obowiązki ograniczają się do przejrzystości wobec użytkowników.
Rozporządzenie stosuje się etapami. Zakazy określonych praktyk i obowiązek zapewnienia kompetencji w zakresie AI obowiązują od 2 lutego 2025 roku. Harmonogram obowiązków dotyczących systemów wysokiego ryzyka warto sprawdzać na bieżąco, bo był przedmiotem prac legislacyjnych na poziomie Unii.
Co zapisać w umowie
- Oświadczenie dostawcy o klasyfikacji systemu i obowiązek informowania o jej zmianie.
- Dostęp do dokumentacji i instrukcji potrzebnych do wykonania obowiązków podmiotu stosującego.
- Zasady nadzoru człowieka i rejestrowania zdarzeń, jeśli system tego wymaga.
- Informację o pochodzeniu danych treningowych i zakaz trenowania modelu na danych klienta bez jego zgody.
- Odpowiedzialność i jej limity za naruszenia przepisów wynikające z wad systemu.
Dane osobowe
AI Act nie zastępuje RODO. Jeśli system przetwarza dane osobowe, nadal potrzebne są podstawa przetwarzania, umowa powierzenia, a często także ocena skutków dla ochrony danych.
Podstawa prawna
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 w sprawie sztucznej inteligencji
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny na dzień publikacji. Treść demonstracyjna.
