Hogyan kell besorolni több AI-rendszer láncolatát és a beszállítói AI-t?
A besorolás rendszerenként és rendeltetésenként történik, nem megoldásonként. Ha viszont a komponensek együtt olyan funkciót adnak ki, amely a III. melléklet alá esik, az integrátor a 25. cikk (1) c) alapján az integrált rendszer szolgáltatójává válhat. A beszállítói oldalt a 25. cikk (4) szerinti írásbeli megállapodással kell rendezni.
Módszertan láncolatra, négy lépésben: térképezzük fel a láncot komponensenként (modell, rendszer, integrációs réteg, alkalmazói konfiguráció); rendeljünk mindegyikhez szerepkört; a besorolást a kifelé megjelenő, végfelhasználói rendeltetéshez kössük, mert a III. melléklet funkciót ír le, nem technológiát; végül vizsgáljuk, hogy maga az összeszerelés nem jelentős módosítás vagy rendeltetésváltoztatás-e. Egy önmagában nem magas kockázatú beszédfelismerő és egy nem magas kockázatú összefoglaló, ha együtt jelöltértékelést állítanak elő, a láncolat szintjén a III. melléklet 4(a) alá esik.
A 25. cikk (4) szerint a magas kockázatú rendszerbe komponenst szállító harmadik fél írásbeli megállapodásban köteles meghatározni azt az információt, képességet és technikai hozzáférést, amely a szolgáltatónak a megfeleléshez kell. A kötelezettség nem terjed ki az ingyenes és nyílt forráskódú licenc alatt közzétett komponensekre — az általános célú AI-modellek kivételével.
Szerződésbe kötelezően beemelendő: a rendeltetés és annak korlátai; a 25. cikk (2) szerinti magas kockázatúvá válás kizárása kikötés megléte vagy hiánya; hozzáférés az adatkormányzási és tesztelési evidenciákhoz; modellváltoztatás- és verzióértesítés; incidensértesítés a 73. cikk határidőinek teljesítéséhez; auditjog; és az alvállalkozói lánc átláthatósága.
Összetettebb eset?
Ha a besorolás vagy a szerepkör nem egyértelmű, érdemes konkrét tényálláson végigmenni.
KapcsolatfelvételKapcsolódó kérdések
- Ki felel, ha több AI-eszközt kapcsolunk össze?
- Mit kell szerződésben rendezni az AI-beszállítóval?
- Magas kockázatú lesz-e a rendszer az integrációtól?
- Felel-e a nyílt forráskódú komponens szállítója?
- Hogyan soroljuk be a több modellből álló megoldást?
- Milyen auditjogot kérjünk az AI-szállítótól?
- Ki a szolgáltató egy integrált AI-megoldásnál?
Tovább a tudásbázisban
- Mit örököl a cég, ha az AI Act szerint szolgáltatóvá válik?A teljes 16. cikkes kötelezettségcsomagot, nem részlegesen: kockázatkezelés, adatkormányzás, műszaki dokumentáció, naplózás, alkalmazói tájékoztatás, emberi felügyelet tervezése, pontosság és kiberbiztonság, minőségirányítási rendszer, megfelelőségértékelés, EU-megfelelőségi nyilatkozat, CE-jelölés, regisztráció, forgalomba hozatal utáni nyomon követés és incidensbejelentés. Az eredeti szolgáltató ilyenkor megszűnik az adott rendszer szolgáltatója lenni.
- Mikor válik egy AI-t használó cégből szolgáltató az AI Act szerint?A 25. cikk (1) bekezdése három esetben telepíti át a szolgáltatói státuszt: ha a cég saját nevét vagy védjegyét helyezi el egy már forgalomban lévő magas kockázatú rendszeren, ha lényegesen módosítja azt, vagy ha a rendeltetés megváltoztatásával tesz magas kockázatúvá egy addig nem annak minősülő rendszert. Szerződéses kikötés ezen nem változtat.
- Magas kockázatúvá teszi-e a ChatGPT vagy a Copilot vállalati használata a cégünket?Önmagában nem. Ha a munkatársak az általános asszisztenst szövegírásra, összefoglalásra vagy kódolásra használják, a rendszer nem lesz magas kockázatú. A felhasználás módja viszont átbillentheti: ha a HR-osztály önéletrajz-rangsoroló folyamatba építi, a rendeltetés a III. melléklet 4. pontja alá kerül, és a cég szolgáltatóvá is átminősülhet.
- Hogyan soroljuk be az AI-rendszerünket lépésről lépésre úgy, hogy a hatóság előtt is védhető legyen?Hét lépéses, dokumentált döntési fa vezet védhető eredményre: hatály, AI-rendszer-e, szerepkör, tiltott-e, I. melléklet, III. melléklet, végül a 6. cikk (3) szűrő és az 50. cikk átfedése. A védhetőséget nem a következtetés adja, hanem hogy minden csomóponthoz van datált, aláírt indokolás és verziókövetés. A hatóság a folyamatot kéri, nem a végeredményt.