Mit kell átadni az AI-rendszer alkalmazójának a 13. cikk alapján?
A 13. cikk kettős: egyrészt tervezési követelmény, hogy a rendszer működése kellően átlátható legyen a kimenet értelmezéséhez, másrészt tartalmi minimumlista a használati útmutatóra. Az útmutatónak tömörnek, teljesnek, helyesnek és világosnak kell lennie, és hat témakört kell lefednie a rendeltetéstől a pontossági mérőszámokon át a naplókezelésig.
A kötelező tartalom: a szolgáltató azonosító adatai és elérhetősége; a rendszer jellemzői, képességei és teljesítménykorlátai — ezen belül a rendeltetés, a mért pontossági szint és mérőszámok, a robusztusság és kiberbiztonság, minden ismert kockázati körülmény, a kimenet magyarázatát szolgáló műszaki képességek, a teljesítmény konkrét személyek vagy csoportok tekintetében, a bemeneti adatok specifikációi; az előre meghatározott változtatások; az emberi felügyeleti intézkedések; a szükséges erőforrások, a várható élettartam és a karbantartás; végül a naplók gyűjtését, tárolását és értelmezését lehetővé tevő mechanizmusok.
Beszerzési oldalon ez a legfontosabb dokumentum. Az alkalmazó valamennyi 26. cikkes kötelezettsége erre épül rá: az útmutató hiánya vagy hiányossága gyakorlatilag ellehetetleníti a saját megfelelését. A rendelet két helyen kifejezetten át is csatol: a 26. cikk (9) szerint az alkalmazó a 13. cikk szerinti információt köteles felhasználni a GDPR 35. cikkes adatvédelmi hatásvizsgálatához, a 27. cikk (1) d) szerint pedig ugyanezt az alapjogi hatásvizsgálat kockázatelemzéséhez.
Gyakorlati javaslat: szerződéskötéskor a 13. cikk (3) tételes lefedettségét érdemes átvételi feltételként kikötni. Ez lényegesen olcsóbb, mint utólag rekonstruálni a pontossági mérőszámokat egy külső szállító rendszeréről.
Összetettebb eset?
Ha a besorolás vagy a szerepkör nem egyértelmű, érdemes konkrét tényálláson végigmenni.
KapcsolatfelvételKapcsolódó kérdések
- Mit kérjünk a szállítótól magas kockázatú AI beszerzésekor?
- Mit tartalmaz az AI Act szerinti használati útmutató?
- Mi történik, ha a szállító nem ad használati útmutatót?
- Hogyan kapcsolódik a 13. cikk a DPIA-hoz?
- Milyen pontossági adatot kell közölnie a fejlesztőnek?
- Kötelező-e magyarul átadni a használati útmutatót?
- Milyen átvételi feltételt írjunk az AI-szerződésbe?
Tovább a tudásbázisban
- Milyen kötelezettségei vannak az alkalmazónak magas kockázatú AI-rendszernél?A 26. cikk tizenkét bekezdést tartalmaz, de nem mind kötelezettség és nem mind mindenkire szól. Egy vásárló magáncégre a mag: a használati útmutató szerinti használat, kompetens emberi felügyelet, a bemeneti adatok relevanciája, a működés monitorozása, a naplók legalább hat hónapos megőrzése, és a hatósággal való együttműködés.
- Mi a szolgáltató kötelezettségeinek teljes listája magas kockázatú AI-rendszernél?A 16. cikk tizenkét pontban sorolja fel őket, két rétegben. A termék-réteg a 8–15. cikk: kockázatkezelés, adatkormányzás, műszaki dokumentáció, naplózás, átláthatóság, emberi felügyelet, pontosság és kiberbiztonság. A szervezeti réteg a 17–21., 43. és 47–49. cikk: minőségirányítás, dokumentumőrzés tíz évig, megfelelőségértékelés, EU-megfelelőségi nyilatkozat, CE-jelölés és regisztráció.
- Mit jelent jogilag az emberi felügyelet az AI Act 14. cikke szerint?A 14. cikk nem azt követeli, hogy legyen ember a folyamatban, hanem hogy a rendszer tervezésileg tegye lehetővé a tényleges felügyeletet. A felügyelő személynek értenie kell a rendszer korlátait, tudatában kell lennie az automatizálási elfogultságnak, és valós joga kell legyen a kimenet felülbírálására, figyelmen kívül hagyására vagy a rendszer leállítására.
- Kire vonatkozik az alapjogi hatásvizsgálat (FRIA), és mi a viszonya a GDPR szerinti DPIA-hoz?Zárt, szűk alanyi kör: közjog által szabályozott szervek, közszolgáltatást nyújtó magánszervezetek, valamint a hitelképesség-értékelő és az élet- vagy egészségbiztosítási kockázatértékelő rendszerek alkalmazói. Egy átlagos magáncég HR-célú AI-használata nem esik ide — ott viszont a GDPR 35. cikk szerinti adatvédelmi hatásvizsgálat jellemzően kötelező.