Відповідальність дистриб’ютора за системи ШІ високого ризику

До 15 млн євро або 3% світового річного обороту! Таким може бути адміністративний штраф за порушення дистриб’ютором своїх обов’язків за Актом про штучний інтелект (ШІ Акта). І це для компанії, яка не розробляла систему ШІ, не навчала модель і, цілком можливо, взагалі не мала впливу на її технічну архітектуру.

Однак позиція «ми лише продаємо» від регуляторних ризиків не рятує. ШІ Акт розподіляє обов’язки між різними учасниками ланцюга постачання ШІ та відводить окрему роль дистриб’юторам систем ШІ високого ризику. 

Перш ніж така система потрапить на ринок ЄС, дистриб’ютор має провести низку перевірок. Якщо є підстави вважати, що система не відповідає вимогам ШІ Акта, її подальше розповсюдження доведеться зупинити. А якщо проблеми виявляться вже після виходу системи на ринок, обов’язки дистриб’ютора не закінчаться на етапі продажу.

Є й інший, потенційно серйозніший сценарій: за певних обставин компанія, яка починала свою участь у ланцюгу постачання ШІ як дистриб’ютор, може юридично опинитися в ролі постачальника системи ШІ високого ризику, а разом із новим статусом отримати значно ширший перелік регуляторних обов’язків. Розміщення на системі власного найменування або торговельної марки, істотна модифікація системи або зміна її цільового призначення за певних умов можуть змінити не лише продукт, який компанія пропонує клієнтам, а й її власну роль за ШІ Актом.

Тож де проходять межі відповідальності дистриб’ютора? Що саме він повинен перевірити перед тим, як система ШІ високого ризику потрапить на ринок? Які ознаки невідповідності вже не можна ігнорувати та в який момент дистриб’ютор ризикує сам стати постачальником? 

Тож нижче розберімося детальніше, які обов’язки ШІ Акт покладає на дистриб’ютора та що потрібно зробити на практиці, аби їх належно виконати.

Хто такий дистриб’ютор за ШІ Актом?

Для початку варто визначити, хто саме є дистриб’ютором у розумінні ШІ Акта.

Відповідно до статті 3(7), це фізична або юридична особа в ланцюгу постачання, інша ніж постачальник або імпортер, яка надає систему ШІ на ринку ЄС.

ШІ Акт чітко відмежовує дистриб’ютора від постачальника та імпортера. Так, постачальник — це особа, яка розробляє систему ШІ або модель ШІ загального призначення чи замовляє їх розроблення. Постачальник вводить їх в обіг під власним найменуванням або торговельною маркою. Імпортер, своєю чергою, вводить в обіг систему ШІ, на якій зазначено найменування або торговельну марку особи, заснованої за межами ЄС.

Дистриб’ютор натомість не є ані постачальником, ані імпортером. Це інший учасник ланцюга постачання, який надає систему ШІ на ринку ЄС. Визначальним для статусу дистриб’ютора є місце компанії в ланцюгу постачання та функції, які вона фактично виконує, а не номінальна назва її ролі в договорі.

Правильно визначити цю роль важливо, адже для кожного учасника ланцюга постачання ШІ Акт встановлює окремі обов’язки. Для дистриб’ютора системи ШІ високого ризику вони передбачені насамперед статтею 24 ШІ Акта.

Від перевірки до реагування: що має робити дистриб’ютор

Стаття 24 ШІ Акта встановлює для дистриб’ютора доволі практичний алгоритм дій. Його обов’язки не обмежуються перевіркою документів перед наданням системи ШІ високого ризику на ринку. Дистриб’ютор також має реагувати на ознаки невідповідності, забезпечувати належні умови зберігання і транспортування системи та, за потреби, взаємодіяти з компетентними органами.

Спершу перевіряємо…

Так, перш ніж надати систему ШІ високого ризику на ринку, дистриб’ютор має провести низку перевірок. Насамперед він повинен переконатися, що система має необхідне маркування CE. Далі дистриб’ютор перевіряє, чи супроводжується система копією декларації ЄС про відповідність, передбаченої статтею 47 ШІ Акта, та інструкціями з використання.

Окремо стаття 24(1) ШІ Акта вимагає перевірити виконання певних обов’язків іншими учасниками ланцюга постачання. 

Постачальник та імпортер: на що звертати увагу?

Щодо постачальника дистриб’ютор перевіряє виконання вимог статті 16(b) та (c) ШІ Акта. Зокрема, постачальник повинен зазначити на системі, а якщо це неможливо, то на її пакуванні або в супровідній документації, своє найменування, зареєстроване комерційне найменування або торговельну марку та контактну адресу. Крім того, постачальник повинен мати систему управління якістю відповідно до статті 17 ШІ Акта.

Якщо у ланцюгу постачання бере участь імпортер, дистриб’ютор також має перевірити виконання ним вимог статті 23(3).

Зокрема, імпортер повинен зазначити своє найменування, зареєстроване комерційне найменування або торговельну марку та контактну адресу на системі ШІ високого ризику. Якщо зазначити цю інформацію безпосередньо на системі неможливо, то її розміщують на пакуванні або в супровідній документації.

Є сумніви — не розповсюджуй!

Утім, формальної перевірки маркування та документів недостатньо. Якщо на підставі інформації, якою володіє дистриб’ютор, він вважає або має підстави вважати, що система ШІ високого ризику не відповідає встановленим вимогам, то не повинен надавати її на ринок, доки систему не буде приведено у відповідність. 

Якщо така система також становить ризик у розумінні статті 79(1) ШІ Акта, тобто створює ризик для здоров’я чи безпеки людей або їхніх основоположних прав, дистриб’ютор повинен повідомити про це постачальника або, у відповідному випадку, імпортера.

Зберігання і транспортування мають значення

Поки система ШІ високого ризику перебуває під відповідальністю дистриб’ютора, він повинен забезпечити, щоб умови її зберігання та транспортування, де це застосовно, не ставили під загрозу її відповідність установленим вимогам.

Система вже на ринку? Обов’язки залишаються!

Обов’язки дистриб’ютора не закінчуються і після надання системи на ринку.

Якщо згодом він вважає або має підстави вважати, що система не відповідає встановленим вимогам, дистриб’ютор повинен вжити необхідних коригувальних заходів: привести систему у відповідність, вилучити її з ринку або відкликати. Він також може забезпечити вжиття таких заходів постачальником, імпортером чи іншим відповідним оператором. 

Водночас якщо система становить ризик у розумінні статті 79(1) ШІ Акта, дистриб’ютор повинен негайно повідомити про це постачальника або імпортера та компетентні органи, зазначивши, зокрема, інформацію про невідповідність і вжиті заходи.

Зрештою, дистриб’ютор має бути готовим підтвердити виконання своїх обов’язків перед компетентними органами. На їхній обґрунтований запит він повинен надати необхідну інформацію та документацію, а також співпрацювати з ними щодо систем ШІ високого ризику, які він надав на ринку, зокрема для зменшення або пом’якшення ризиків.

Від дистриб’ютора до постачальника: усього кілька кроків

Окремий ризик для дистриб’ютора виникає тоді, коли його роль виходить за межі звичайного розповсюдження системи. Стаття 25 ШІ Акта передбачає випадки, коли дистриб’ютор системи ШІ високого ризику вважатиметься її постачальником і, відповідно, повинен буде виконувати обов’язки постачальника за статтею 16 ШІ Акта.

Це відбувається, якщо дистриб’ютор:

• зазначає своє найменування або торговельну марку на системі ШІ високого ризику, яка вже введена в обіг або експлуатацію, без шкоди для договірних домовленостей, за якими обов’язки розподілено іншим чином;
• здійснює істотну модифікацію системи ШІ високого ризику, яка вже введена в обіг або експлуатацію, за умови, що після такої модифікації система залишається системою ШІ високого ризику відповідно до статті 6 ШІ Акта;
• змінює цільове призначення системи ШІ, зокрема системи, що базується на моделі ШІ загального призначення, яка вже введена в обіг або експлуатацію. Тут ідеться про систему, яка раніше не була класифікована як система ШІ високого ризику, але внаслідок зміни цільового призначення стала такою відповідно до статті 6 ШІ Акта.

Наслідок такої зміни ролі суттєвий: дистриб’ютор уже вважається постачальником відповідної системи ШІ високого ризику для цілей ШІ Акта. Відповідно, на нього поширюються обов’язки постачальника, передбачені статтею 16 ШІ Акта.

Водночас первинний постачальник, який ввів відповідну систему в обіг або експлуатацію, більше не вважається постачальником цієї конкретної системи для цілей ШІ Акта. Він повинен тісно співпрацювати з новим постачальником, надати йому необхідну інформацію, розумно очікуваний технічний доступ та іншу допомогу, необхідну для виконання вимог ШІ Акта. Зокрема, така співпраця має забезпечити виконання вимог щодо оцінки відповідності систем ШІ високого ризику.

Однак є виняток. Якщо первинний постачальник чітко визначив, що його система ШІ не повинна бути змінена таким чином, щоб стати системою ШІ високого ризику, обов’язок передавати відповідну документацію на нього не поширюється.

Як не перетворити дистрибуцію на регуляторний ризик?

Як бачимо, роль дистриб’ютора за ШІ Актом далеко не пасивна. Недостатньо просто отримати систему від постачальника та передати її далі. Дистриб’ютор має виконувати власні обов’язки, а за певних обставин може навіть набути статусу постачальника. Тож, щоб зменшити регуляторні ризики, дистриб’ютору варто:

• чітко визначити свою роль у ланцюгу постачання та контролювати, чи не виходять його фактичні дії за її межі;
• запровадити процедуру перевірки систем ШІ високого ризику перед їх наданням на ринку;
• врегулювати взаємодію з постачальником та імпортером, зокрема обмін необхідною інформацією і порядок реагування на виявлені проблеми;
• контролювати брендування та зміни системи, оскільки за умов статті 25 ШІ Акта такі дії можуть призвести до набуття статусу постачальника та значно ширшого кола обов’язків.

Ціна невідповідності

Ігнорувати ці вимоги може бути дорого. Як уже згадувалося вище, порушення обов’язків дистриб’ютора, передбачених статтею 24 ШІ Акта, може тягнути адміністративний штраф до 15 млн євро. Якщо порушником є підприємство, максимальний розмір штрафу може сягати 3% його загального світового річного обороту за попередній фінансовий рік, якщо ця сума є вищою.

Наостанок про головне

Дистриб’ютор не розробляє систему ШІ та не визначає її первинне призначення, проте ШІ Акт відводить йому власну роль у забезпеченні того, щоб система ШІ високого ризику відповідала встановленим вимогам на шляху до ринку та після виходу на нього. Для дистриб’ютора надзвичайно важливо розуміти межі своєї ролі, виконувати передбачені ШІ Актом перевірки та вчасно реагувати на невідповідності. А ще важливіше не пропустити момент, коли власні дії можуть перетворити дистриб’ютора на постачальника з набагато ширшим колом обов’язків.