AI Act dla produktów SaaS

Większość zespołów SaaS dodała w ostatnich trzech latach funkcje AI: copilota, streszczarkę, bota wsparcia, model oceniający. Pytaniem o AI Act w SaaS rzadko jest "czy to nas dotyczy" - jeśli Twoi użytkownicy są w UE, to prawie na pewno tak, niezależnie od miejsca rejestracji. Prawdziwe pytania brzmią: które funkcje niosą obowiązki, czyje to obowiązki i które z nich są już egzekwowalne.

Na poziomie funkcji, nie firmy

Rozporządzenie reguluje systemy AI, a nie firmy. Typowy produkt SaaS to kilka systemów w różnych kategoriach:

Najpierw inwentarz: wypisz swoje funkcje AI, kogo każda dotyka i czy przedmiotem jakiejkolwiek oceny jest osoba fizyczna. Większość produktów SaaS ląduje na całej linii w ryzyku ograniczonym lub minimalnym - to pozycja, której da się bronić, którą pisze się w jeden dzień i o którą dział zakupów korporacji prędzej czy później zapyta.

"Przecież tylko wywołujemy OpenAI/Anthropic" - co to naprawdę znaczy

Wywoływanie modelu przez API zostawia artykuł 53 (obowiązki GPAI) przy dostawcy modelu, a nie przy Tobie - łącznie ze streszczeniem danych treningowych i polityką praw autorskich, którymi wszyscy się martwią. Lekki fine-tuning we własnej dziedzinie zwyczajowo też zostawia Cię poniżej modelu. Czego korzystanie z API nie robi, to zdjęcie Twoich własnych obowiązków na poziomie systemu: Twój chatbot nadal informuje (art. 50(1)), Twój produkt nadal jest klasyfikowany po tym, co on robi swoim użytkownikom, a istotne dotrenowanie albo nowa dziedzina zadań mogą jednak uczynić Cię dostawcą GPAI. Próg, szczegółowo.

Co do ról: wypuszczanie funkcji AI pod własną marką czyni Cię dostawcą tych funkcji, choć model pod spodem należy do kogoś innego. Twoi klienci są zwykle podmiotami stosującymi - co znaczy, że Twoja dokumentacja jest ich wsadem do zgodności, a "pozycja pod AI Act dostępna na życzenie" po cichu staje się filtrem w zakupach. Dostawca vs podmiot stosujący.

Obowiązuje teraz kontra grudzień 2027

Od 2 sierpnia 2026: artykuł 50 (Twój bot widoczny dla użytkownika mówi, że jest botem, przy pierwszym kontakcie, a nie w polityce prywatności), artykuł 4 (zaprotokołowana sesja o kompetencjach w zakresie AI dla pracowników dotykających tych systemów), artykuł 5 (żadnego wnioskowania o emocjach wobec pracowników ani użytkowników w kontekstach zakazanych). Odroczone do 2 grudnia 2027: ciężki zestaw z rozdziału III, i tylko jeśli coś, co wypuszczasz, jest naprawdę wysokiego ryzyka - a zanim to założysz, sprawdź wyłączenie z artykułu 6(3).

SaaS z USA i Wielkiej Brytanii sprzedający do UE: artykuł 2 sięga dostawców niezależnie od siedziby, gdy wynik jest wykorzystywany w UE. Delaware nie pomaga. To, czego rozporządzenie oczekuje od typowego SaaS B2B, jest mniejsze, niż się obawiasz - ale produktem jest "sprawdziliśmy, oto nasza pozycja, z datą", a to jej brak blokuje transakcje z korporacjami.

Wersja na 90 minut

• Zrób inwentarz funkcji AI i tego, kogo każda dotyka
• Zrób darmowy check dla każdej funkcji, która dotyka ludzi - po dwie minuty na każdą
• Dodaj jednozdaniową informację o AI do powitania bota (w tym tygodniu - to obowiązujące prawo)
• Przeprowadź i zaprotokołuj jedną sesję o kompetencjach w zakresie AI
• Napisz jednostronicową pozycję, opatrz ją datą i podaj przy następnej ankiecie zakupowej, która o to zapyta

Kiedy dział prawny potencjalnego klienta chce więcej niż jednej strony, wersją, której da się bronić, jest pełny raport luk (po angielsku): rola, kategoria, obowiązki, terminy i lista napraw, odniesione do Twojego faktycznego produktu - €59, raz.

Najczęściej zadawane pytania

Czy AI Act dotyczy mojego produktu SaaS?

Jeśli Twoi użytkownicy są w UE, to niemal na pewno tak, niezależnie od tego, gdzie jesteś zarejestrowany. Artykuł 2 obejmuje dostawców bez względu na siedzibę, gdy wynik jest wykorzystywany w UE. Prawdziwe pytania brzmią: które funkcje niosą obowiązki, czyje one są i które już obowiązują.

Czy cały mój produkt SaaS klasyfikuje się naraz?

Nie. Rozporządzenie reguluje systemy AI, a nie firmy, więc klasyfikacja odbywa się na poziomie funkcji. Typowy produkt SaaS to kilka systemów w różnych kategoriach: chatbot obsługi w ograniczonym ryzyku, wewnętrzne copiloty w minimalnym, a wszystko, co ocenia dostęp konkretnych osób do pracy, kredytu czy usług podstawowych, w wysokim.

Czy wywoływanie API OpenAI lub Anthropic zdejmuje ze mnie obowiązki?

Zostawia obowiązki GPAI z artykułu 53 po stronie dostawcy modelu, w tym podsumowanie danych treningowych i politykę praw autorskich, a lekkie dostrojenie w Twojej domenie zwykle utrzymuje Cię niżej w łańcuchu. Nie zdejmuje to jednak Twoich własnych obowiązków na poziomie systemu: Twój chatbot nadal informuje na podstawie artykułu 50, a Twój produkt nadal klasyfikuje się według tego, co robi użytkownikom.

Czy jestem dostawcą, jeśli model jest cudzy?

Tak, w odniesieniu do własnych funkcji. Wypuszczanie funkcji AI pod własną marką czyni Cię dostawcą tych funkcji, nawet jeśli model bazowy należy do kogoś innego. Twoi klienci są zwykle podmiotami stosującymi, więc Twoja dokumentacja staje się materiałem wejściowym ich zgodności.

Czy AI Act dotyczy firm spoza UE?

Często tak. Artykuł 2 obejmuje dostawców niezależnie od miejsca siedziby oraz dostawców i podmioty stosujące z państw trzecich, gdy wynik wytworzony przez system AI jest wykorzystywany w Unii. Firma z USA lub Wielkiej Brytanii z użytkownikami w UE zwykle jest objęta, choć bycie objętym to nie to samo co bycie systemem wysokiego ryzyka.