Czego dowiesz się z tego artykułu?
- Kiedy firma z USA może podlegać AI Act mimo braku siedziby w Unii Europejskiej?
- Kiedy amerykańska spółka może zostać uznana za providera?
- Jakie ryzyka mogą powstać przy korzystaniu z technologii innych podmiotów?
- Dlaczego niewłaściwe uregulowanie odpowiedzialności może utrudnić sprzedaż produktu klientom w UE?
Czy AI Act może dotyczyć firmy z USA?
AI Act jest regulacją Unii Europejskiej, jednak jego zakres nie ogranicza się wyłącznie do przedsiębiorstw mających siedzibę w UE. Firma z USA może zostać objęta jego przepisami, jeżeli oferuje system AI na rynku europejskim, wprowadza do obrotu produkt wykorzystujący sztuczną inteligencję albo gdy wynik działania systemu jest wykorzystywany w Unii Europejskiej.
Dla amerykańskich przedsiębiorstw istotne jest zatem nie tylko miejsce rejestracji spółki. Znaczenie ma również sposób oferowania produktu, jego przeznaczenie, grupa odbiorców oraz rola, jaką firma pełni w procesie dostarczania technologii.
Zakres AI Act wykracza poza Unię Europejską
Zgodnie z art. 2 AI Act regulacja może obejmować dostawców z państw trzecich, którzy wprowadzają systemy AI lub modele AI ogólnego przeznaczenia na rynek unijny. Może znaleźć zastosowanie również wtedy, gdy dostawca albo podmiot korzystający z systemu znajduje się poza UE, ale wynik działania AI jest wykorzystywany na jej terytorium.
W konsekwencji firma amerykańska nie może wykluczyć zastosowania AI Act wyłącznie na tej podstawie, że produkt został opracowany i jest utrzymywany w Stanach Zjednoczonych. Jeżeli rozwiązanie trafia do europejskich klientów lub wspiera procesy realizowane w UE, potrzebna może być odrębna analiza prawna. Warto pamiętać, że to nie jedyny aspekt prawny przy ekspansji – sprawdź również, co zrobić, gdy firma z USA zatrudnia programistę w Polsce.
Dotyczy to nie tylko firm, których głównym produktem jest system sztucznej inteligencji. AI może stanowić jedną z funkcji platformy SaaS, systemu analitycznego, narzędzia cyberbezpieczeństwa, oprogramowania finansowego lub rozwiązania wykorzystywanego w produkcji.
Czy firma jest dostawcą, czy podmiotem stosującym AI?
Jednym z pierwszych kroków powinna być prawidłowa kwalifikacja roli firmy na gruncie AI Act. Art. 3 rozporządzenia rozróżnia m.in.:
Dostawcą (provider) jest podmiot, który opracowuje system AI lub model AI ogólnego przeznaczenia albo zleca jego opracowanie, a następnie wprowadza go na rynek lub oddaje do użytku pod własną nazwą albo marką.
Podmiotem stosującym (deployer) jest organizacja, która wykorzystuje system AI w ramach swojej działalności zawodowej.
Importerem (importer) jest podmiot mający siedzibę w Unii Europejskiej, który wprowadza na rynek unijny system AI oznaczony nazwą lub znakiem towarowym podmiotu z państwa trzeciego.
Dystrybutor (distributor) udostępnia system AI na rynku UE, ale nie jest jego dostawcą ani importerem.
Ustalenie właściwej roli ma praktyczne znaczenie, ponieważ od niej zależy zakres obowiązków przedsiębiorstwa, odpowiedzialność za dokumentację oraz sposób rozdzielenia ryzyka w umowach z dostawcami i klientami.
Sytuacja może być bardziej złożona, gdy przedsiębiorstwo modyfikuje cudzy system, integruje go ze swoim produktem albo udostępnia klientom pod własną marką. W takim przypadku samo określenie firmy jako użytkownika technologii może być niewystarczające.
Nie każdy system podlega takim samym wymaganiom
AI Act opiera się na podejściu zależnym od poziomu ryzyka. Zakres obowiązków będzie więc zależał od funkcji systemu, jego przeznaczenia i wpływu na użytkowników.
Zakres obowiązków zależy przede wszystkim od tego, jaką funkcję pełni system i jakie skutki wywołuje jego użycie. Inaczej należy ocenić rozwiązanie, które jedynie wspiera użytkownika, a inaczej system, którego wynik wpływa na decyzję o istotnym znaczeniu dla klienta, pracownika lub innej osoby.
Dlatego sama informacja, że produkt „wykorzystuje sztuczną inteligencję”, nie wystarcza do określenia obowiązków. Konieczna jest analiza konkretnej funkcji produktu i sposobu jego oferowania na rynku UE.
AI Act wpływa także na umowy
Wpływ AI Act może być widoczny już na etapie negocjowania umowy z europejskim klientem lub dostawcą technologii. Kontrakt powinien jasno określać role stron, zakres przekazywanej dokumentacji oraz odpowiedzialność za zgodność systemu z wymaganiami unijnymi.
W umowach z europejskimi klientami coraz częściej pojawiają się wymagania dotyczące statusu systemu AI, dokumentacji, bezpieczeństwa i odpowiedzialności za zgodność z prawem. Jeżeli firma z USA nie ma zapewnionego dostępu do potrzebnych informacji od swojego dostawcy technologii, może mieć trudność z wykazaniem, że oferowany produkt spełnia wymagania AI Act.
Jednocześnie zbyt szerokie zapewnienie pełnej zgodności z AI Act może przenieść na amerykańskiego dostawcę odpowiedzialność także za sposób wykorzystania systemu przez klienta albo za elementy technologii pozostające poza jego kontrolą.
Z tego względu analiza produktu powinna być powiązana z analizą umów. Dopiero oba te elementy pozwalają ustalić, które obowiązki rzeczywiście dotyczą firmy i jak powinny zostać rozdzielone pomiędzy uczestników procesu technologicznego.
Dlaczego warto przeprowadzić analizę wcześniej?
AI Act jest wdrażany etapowo, ale już dziś wpływa na przygotowanie produktów i negocjacje z klientami w UE. Europejski kontrahent może oczekiwać informacji o statusie systemu, roli dostawcy i sposobie spełnienia wymogów regulacyjnych jeszcze przed podpisaniem umowy.
Wczesna analiza pozwala ustalić, czy produkt podlega AI Act oraz czy dokumentacja i umowy odpowiadają rzeczywistemu modelowi działania firmy z USA. Dzięki temu ryzyka można uwzględnić przed rozpoczęciem sprzedaży, zamiast ujawniać je dopiero podczas audytu, negocjacji kontraktu lub ekspansji na kolejne rynki UE. KBiW wspiera amerykańskie przedsiębiorstwa w ocenie, czy ich produkty podlegają AI Act, oraz w dostosowaniu umów do wymagań rynku unijnego.
