AI Act dla produktów SaaS

Większość zespołów SaaS dodała w ostatnich trzech latach funkcje AI: copilota, streszczarkę, bota wsparcia, model oceniający. Pytaniem o AI Act w SaaS rzadko jest "czy to nas dotyczy" - jeśli Twoi użytkownicy są w UE, to prawie na pewno tak, niezależnie od miejsca rejestracji. Prawdziwe pytania brzmią: które funkcje niosą obowiązki, czyje to obowiązki i które z nich są już egzekwowalne.

Na poziomie funkcji, nie firmy

Rozporządzenie reguluje systemy AI, a nie firmy. Typowy produkt SaaS to kilka systemów w różnych kategoriach:

Najpierw inwentarz: wypisz swoje funkcje AI, kogo każda dotyka i czy przedmiotem jakiejkolwiek oceny jest osoba fizyczna. Większość produktów SaaS ląduje na całej linii w ryzyku ograniczonym lub minimalnym - to pozycja, której da się bronić, którą pisze się w jeden dzień i o którą dział zakupów korporacji prędzej czy później zapyta.

"Przecież tylko wywołujemy OpenAI/Anthropic" - co to naprawdę znaczy

Wywoływanie modelu przez API zostawia artykuł 53 (obowiązki GPAI) przy dostawcy modelu, a nie przy Tobie - łącznie ze streszczeniem danych treningowych i polityką praw autorskich, którymi wszyscy się martwią. Lekki fine-tuning we własnej dziedzinie zwyczajowo też zostawia Cię poniżej modelu. Czego korzystanie z API nie robi, to zdjęcie Twoich własnych obowiązków na poziomie systemu: Twój chatbot nadal informuje (art. 50(1)), Twój produkt nadal jest klasyfikowany po tym, co on robi swoim użytkownikom, a istotne dotrenowanie albo nowa dziedzina zadań mogą jednak uczynić Cię dostawcą GPAI. Próg, szczegółowo.

Co do ról: wypuszczanie funkcji AI pod własną marką czyni Cię dostawcą tych funkcji, choć model pod spodem należy do kogoś innego. Twoi klienci są zwykle podmiotami stosującymi - co znaczy, że Twoja dokumentacja jest ich wsadem do zgodności, a "pozycja pod AI Act dostępna na życzenie" po cichu staje się filtrem w zakupach. Dostawca vs podmiot stosujący.

Obowiązuje teraz kontra grudzień 2027

Od 2 sierpnia 2026: artykuł 50 (Twój bot widoczny dla użytkownika mówi, że jest botem, przy pierwszym kontakcie, a nie w polityce prywatności), artykuł 4 (zaprotokołowana sesja o kompetencjach w zakresie AI dla pracowników dotykających tych systemów), artykuł 5 (żadnego wnioskowania o emocjach wobec pracowników ani użytkowników w kontekstach zakazanych). Odroczone do 2 grudnia 2027: ciężki zestaw z rozdziału III, i tylko jeśli coś, co wypuszczasz, jest naprawdę wysokiego ryzyka - a zanim to założysz, sprawdź wyłączenie z artykułu 6(3).

SaaS z USA i Wielkiej Brytanii sprzedający do UE: artykuł 2 sięga dostawców niezależnie od siedziby, gdy wynik jest wykorzystywany w UE. Delaware nie pomaga. To, czego rozporządzenie oczekuje od typowego SaaS B2B, jest mniejsze, niż się obawiasz - ale produktem jest "sprawdziliśmy, oto nasza pozycja, z datą", a to jej brak blokuje transakcje z korporacjami.

Wersja na 90 minut

• Zrób inwentarz funkcji AI i tego, kogo każda dotyka
• Zrób darmowy check dla każdej funkcji, która dotyka ludzi - po dwie minuty na każdą
• Dodaj jednozdaniową informację o AI do powitania bota (w tym tygodniu - to obowiązujące prawo)
• Przeprowadź i zaprotokołuj jedną sesję o kompetencjach w zakresie AI
• Napisz jednostronicową pozycję, opatrz ją datą i podaj przy następnej ankiecie zakupowej, która o to zapyta

Kiedy dział prawny potencjalnego klienta chce więcej niż jednej strony, wersją, której da się bronić, jest pełny raport luk (po angielsku): rola, kategoria, obowiązki, terminy i lista napraw, odniesione do Twojego faktycznego produktu - €59, raz.