Ισχύει και εκτός ΕΕ;

Το «δεν είμαστε ευρωπαϊκή εταιρεία, άρα αυτό δεν μας αφορά» είναι η πιο συχνή και η πιο δαπανηρή παρανάγνωση του Κανονισμού της ΕΕ για την τεχνητή νοημοσύνη (ΤΝ). Το άρθρο 2 φτάνει τους παρόχους και τους φορείς εφαρμογής ανεξάρτητα από τον τόπο εγκατάστασής τους. Η σύσταση της εταιρείας δεν είναι το κριτήριο. Σημασία έχει πού διατίθεται το σύστημά σας στην αγορά, πού βρίσκεται ο φορέας εφαρμογής σας και - η γενική ρήτρα που σχεδόν όλοι προσπερνούν - πού χρησιμοποιείται το αποτέλεσμα.

Το άρθρο 2(1)(γ) εφαρμόζει τον κανονισμό σε παρόχους και φορείς εφαρμογής σε τρίτες χώρες «όταν το αποτέλεσμα που παράγεται από το σύστημα ΤΝ χρησιμοποιείται στην Ένωση». Μια εταιρεία του Σαν Φρανσίσκο χωρίς οντότητα στην ΕΕ, χωρίς διακομιστές στην ΕΕ και χωρίς προσωπικό στην ΕΕ εμπίπτει στο πεδίο εφαρμογής από τη στιγμή που ένας πελάτης στο Δουβλίνο χρησιμοποιεί ό,τι παράγει το μοντέλο της.

Οι επτά τρόποι με τους οποίους εμπίπτετε

Οι περιπτώσεις που όντως εμφανίζονται

Αμερικανική SaaS με πελάτες στην ΕΕ. Εμπίπτει. Είστε ο πάροχος των λειτουργιών ΤΝ που βγάζετε, και η χρήση από τους πελάτες σας τοποθετεί το αποτέλεσμα εντός της Ένωσης. Η σύσταση στο Ντέλαγουερ δεν παίζει ρόλο. Ειδικά για SaaS.

Βρετανική εταιρεία μετά το Brexit. Το Ηνωμένο Βασίλειο είναι τρίτη χώρα για αυτούς τους σκοπούς, οπότε η ανάλυση είναι ταυτόσημη με την αμερικανική - χρήστες στην ΕΕ σημαίνει εντός πεδίου εφαρμογής. Το Ηνωμένο Βασίλειο δεν διαθέτει αντίστοιχο δικό του νομοθέτημα, πράγμα που σημαίνει ότι οι βρετανικές εταιρείες παίρνουν τις υποχρεώσεις του κανονισμού χωρίς εγχώριο καθεστώς με το οποίο να τις ευθυγραμμίσουν.

Εταιρεία της ΕΕ που πουλά μόνο εκτός ΕΕ. Εξακολουθεί να εμπίπτει ως φορέας εφαρμογής βάσει του 2(1)(β) για τα συστήματα που χρησιμοποιεί η ίδια, επειδή αυτό το σκέλος κρίνεται από τον τόπο εγκατάστασής σας, όχι από τον τόπο των πελατών σας. Τα εσωτερικά σας εργαλεία ΤΝ πιάνονται ακόμη κι αν κανένας πελάτης δεν είναι Ευρωπαίος.

Εταιρεία εκτός ΕΕ με προσωπικό στην ΕΕ. Η χρήση ΤΝ πάνω σε αυτούς τους εργαζομένους είναι δραστηριότητα φορέα εφαρμογής που θίγει πρόσωπα εντός της Ένωσης. Τα εργαλεία HR είναι η συνήθης αφορμή - και είναι επίσης η περιοχή του παραρτήματος III με τις βαρύτερες υποχρεώσεις. Λεπτομέρειες για HR.

Επεξεργασία δεδομένων προσωπικού χαρακτήρα από την ΕΕ, αλλά το αποτέλεσμα χρησιμοποιείται αλλού. Εδώ ο Κανονισμός για την ΤΝ και ο ΓΚΠΔ χωρίζουν δρόμους. Ο ΓΚΠΔ ακολουθεί τα δεδομένα προσωπικού χαρακτήρα. Ο Κανονισμός για την ΤΝ ακολουθεί το σύστημα, την αγορά και το αποτέλεσμα. Μπορείτε να βρίσκεστε καθαρά εντός του πεδίου του ΓΚΠΔ και εκτός του Κανονισμού για την ΤΝ, ή το αντίστροφο. Η αντιστοίχιση, για τις ομάδες προστασίας δεδομένων.

Οι πάροχοι συστημάτων υψηλού κινδύνου εκτός ΕΕ χρειάζονται κάποιον εντός της Ένωσης

Βάσει του άρθρου 22, ο πάροχος που είναι εγκατεστημένος σε τρίτη χώρα οφείλει να ορίσει, με γραπτή εντολή, εξουσιοδοτημένο αντιπρόσωπο εγκατεστημένο εντός της Ένωσης προτού καταστήσει διαθέσιμο ένα σύστημα ΤΝ υψηλού κινδύνου στην αγορά της Ένωσης. Ο αντιπρόσωπος τηρεί την τεκμηρίωση, συνεργάζεται με τις αρχές και μπορεί να καταγγείλει την εντολή αν ο πάροχος ενεργεί αντίθετα προς τις υποχρεώσεις του.

Υπάρχει παράλληλη απαίτηση για τους παρόχους μοντέλων ΤΝ γενικού σκοπού από τρίτες χώρες βάσει του άρθρου 54.

Αυτή είναι η υποχρέωση που οι περισσότερες ομάδες εκτός ΕΕ ανακαλύπτουν τελευταία, επειδή είναι διοικητική και όχι τεχνική - και είναι προϋπόθεση πρόσβασης στην αγορά, όχι μια κατάθεση που την προλαβαίνετε εκ των υστέρων. Ισχύει μόνο αν κάτι από όσα βγάζετε είναι πραγματικά υψηλού κινδύνου, κάτι που αξίζει να διαπιστωθεί προτού ψάξετε για αντιπρόσωπο.

Τι βρίσκεται πραγματικά εκτός πεδίου εφαρμογής

Η εξαίρεση του ανοικτού κώδικα είναι εκείνη που επικαλούνται πιο συχνά καταχρηστικά. Η κυκλοφορία ενός μοντέλου με επιτρεπτική άδεια δεν το απαλλάσσει αν τίθεται σε λειτουργία ως σύστημα υψηλού κινδύνου, αν ενεργοποιεί απαγορευμένη πρακτική, ή αν ισχύουν τα καθήκοντα διαφάνειας του άρθρου 50.

Το να εμπίπτετε δεν είναι το ίδιο με το να βαρύνεστε

Αυτό είναι το σημείο που χάνεται. Το πεδίο εφαρμογής και το επίπεδο κινδύνου είναι ξεχωριστά ερωτήματα, και σχεδόν κάθε εταιρεία εκτός ΕΕ που πανικοβάλλεται με το πρώτο ανακαλύπτει ότι το δεύτερο είναι ελαφρύ.

Οι περισσότερες εταιρείες SaaS εκτός ΕΕ που εμπίπτουν καταλήγουν πάροχοι συστημάτων περιορισμένου ή ελάχιστου κινδύνου. Τι σημαίνει αυτό στην πράξη: γνωστοποίηση βάσει του άρθρου 50 αν το προϊόν σας συνομιλεί με χρήστες, γραμματισμός στην ΤΝ βάσει του άρθρου 4 για το προσωπικό, και έλεγχος βάσει του άρθρου 5. Το κεφάλαιο III - αξιολόγηση συμμόρφωσης, σήμανση CE, καταχώριση στη βάση δεδομένων της ΕΕ - ισχύει μόνο αν κάτι από όσα βγάζετε είναι πραγματικά υψηλού κινδύνου κατά το παράρτημα III.

Το παραδοτέο που πραγματικά μετράει για μια εταιρεία εκτός ΕΕ είναι μια γραπτή θέση με ημερομηνία: ποια από τα συστήματά σας εμπίπτουν, βάσει ποιου σκέλους του άρθρου 2, σε ποιο επίπεδο κινδύνου, και τι απορρέει από αυτό. Αυτό ζητούν οι ευρωπαϊκές εταιρικές προμήθειες, και συνήθως είναι δουλειά μιας ημέρας και όχι πρόγραμμα συμμόρφωσης.

Το εδαφικό πεδίο εφαρμογής κρίνεται από το άρθρο 2 με βάση τα πραγματικά περιστατικά της ανάπτυξής σας, όχι από το πού βρίσκονται οι διακομιστές σας. Η φιλοξενία στις ΗΠΑ δεν σας βγάζει από το πεδίο εφαρμογής, και η φιλοξενία στην ΕΕ δεν σας βάζει σε αυτό. Ο δωρεάν έλεγχος διατρέχει τα σκέλη του άρθρου 2 πριν κοιτάξει το επίπεδο κινδύνου, επειδή αν λαθέψετε το πεδίο εφαρμογής, λαθεύουν όλα όσα ακολουθούν.