AI Act stał się pytaniem zakupowym

Przez dwa lata AI Act wydawał się sprawą twórców modeli. To się zmieniło, bo funkcje, które opisuje, trafiły do programów, z których firmy i tak już korzystają: sortowanie CV w systemie kadrowym, scoring leadów w CRM-ie, asystent odpowiadający klientom w czacie, narzędzie podpowiadające treść oceny pracownika.

To, co kupującym najczęściej umyka, to fakt, że rozporządzenie nie wiąże wyłącznie dostawcy, który system zbudował. Wiąże też podmiot stosujący — organizację, która używa systemu we własnym imieniu. Czyli was.

Jak zbudowane są przepisy

Rozporządzenie porządkuje systemy AI według ryzyka, a nie technologii. Kilka zastosowań jest zakazanych wprost. Zdefiniowany zbiór to systemy wysokiego ryzyka i tam skupia się większość obowiązków — a lista obejmuje rzeczy spotykane w całkiem zwyczajnych narzędziach: rekrutację i selekcję kandydatów, decyzje o awansie lub zwolnieniu, przydzielanie zadań i monitorowanie pracy oraz dostęp do usług takich jak kredyt. Osobna warstwa to obowiązki przejrzystości: człowiek ma wiedzieć, że rozmawia z systemem AI, a część treści generowanych maszynowo musi być odpowiednio oznaczona.

Jeśli wasze zastosowanie produktu mieści się w kategorii wysokiego ryzyka, gros pracy zgodnościowej leży po stronie dostawcy — ale wy macie własne obowiązki: używać systemu zgodnie z instrukcją, zapewnić kompetentny nadzór człowieka, przechowywać rejestry zdarzeń i poinformować pracowników, zanim system wejdzie do użycia.

Trzy pytania do dostawcy z funkcjami AI

1. Które z tych funkcji uznajecie za objęte rozporządzeniem i w jakiej kategorii? Dostawca, który odrobił pracę, odpowie słownikiem samego rozporządzenia. Ten, który nie odrobił, odpowie zapewnieniem.
2. Jaki model za tym stoi i gdzie odbywa się przetwarzanie? To pytanie tyleż o AI, co o ochronę danych: przycisk „streść ten wątek”, który wysyła dane klienta do API w kraju trzecim, jest przekazaniem danych, które musicie umieć opisać.
3. Czy funkcję da się wyłączyć osobno dla przestrzeni, zespołu i użytkownika? Jeśli w jednym waszym zastosowaniu jest to system wysokiego ryzyka, a w drugim rzecz zupełnie niewinna, selektywne wyłączanie jest tym, co ratuje to drugie.

Gdzie zaczynają się wasze obowiązki

• Nadzór człowieka musi być realny: konkretna osoba z uprawnieniem i wiedzą, żeby podważyć decyzję systemu, a nie pieczątka w procesie.
• Pracowników i ich przedstawicieli trzeba poinformować, zanim system AI zacznie podejmować lub wspierać decyzje ich dotyczące.
• Osoby obsługujące system potrzebują wiedzy o tym, co on robi i gdzie się myli — rozporządzenie mówi o tym wprost.
• Prowadźcie dokumentację. Jeśli decyzja dotycząca człowieka była wsparta systemem AI, możecie musieć wyjaśnić jak, wiele miesięcy później.

Co zapisać w umowie

• Zobowiązanie do przekazania dokumentacji technicznej i instrukcji użycia, których potrzebuje podmiot stosujący.
• Powiadomienie o istotnej zmianie systemu — podmiana modelu potrafi zmienić zachowanie, nie zmieniając ani jednego ekranu.
• Dostęp do rejestrów zdarzeń i czas ich przechowywania, żebyście mogli wywiązać się z własnych obowiązków.
• Prawo do wyłączenia funkcji AI bez utraty reszty produktu.

O datach

Przepisy wchodzą etapami, a harmonogram jest przedmiotem żywej dyskusji politycznej, łącznie z propozycjami przesunięcia niektórych elementów. Każdą konkretną datę — również z tego tekstu — traktujcie jako coś do potwierdzenia w aktualnym brzmieniu przepisów. Nie budzi za to wątpliwości kierunek: funkcje AI w oprogramowaniu dla firm są dziś pytaniem zakupowym z papierowym śladem, tak jak dekadę temu stało się nim RODO.

Najwcześniej odczuwają to kadry i marketing. Jeśli oceniacie narzędzia w tych kategoriach — a Personio i GetResponse są wśród nich — zadajcie te trzy pytania w okresie próbnym, a nie przy przedłużaniu umowy.