Акт про ШІ для SaaS-продуктів

Більшість SaaS-команд за останні три роки додала функції ШІ: копайлот, конспектувальник, бот підтримки, скорингову модель. Питання про Акт про ШІ для SaaS рідко звучить як "чи він застосовується" - якщо ваші користувачі в ЄС, він майже напевно застосовується, хоч би де ви були зареєстровані. Справжні питання: які функції несуть обов'язки, чиї це обов'язки і які з них діють уже зараз.

На рівні функції, а не компанії

Регламент регулює системи ШІ, а не компанії. Типовий SaaS-продукт - це кілька систем у різних категоріях:

Спершу інвентаризація: перелічіть свої функції ШІ, кого кожна стосується і чи є предметом будь-якого оцінювання фізична особа. Більшість SaaS-продуктів опиняється в обмеженому або мінімальному ризику повністю - позиція, яку можна захистити, готується за день, і корпоративні закупівлі рано чи пізно про неї спитають.

"Ми ж просто викликаємо OpenAI чи Anthropic" - що це насправді означає

Виклик моделі через API залишає статтю 53 (обов'язки GPAI) постачальнику моделі, а не вам, включно з резюме навчальних даних і політикою щодо авторського права, про які всі хвилюються. Легке донавчання у вашій домені зазвичай теж залишає вас нижче за течією. Чого використання API не робить, так це не знімає ваших власних обов'язків на рівні системи: ваш чат-бот усе одно інформує (ст. 50(1)), ваш продукт усе одно класифікується за тим, що він робить своїм користувачам, а істотне перенавчання чи нова предметна область можуть усе-таки зробити вас постачальником GPAI. Поріг у деталях.

Щодо ролі: випуск функцій ШІ під власним брендом робить вас постачальником цих функцій, навіть якщо модель під ними чужа. Ваші клієнти зазвичай є суб'єктами впровадження, а отже ваша документація стає їхнім вхідним матеріалом для відповідності, і "позиція щодо Акта про ШІ надається на запит" тихо перетворюється на закупівельний фільтр. Постачальник проти суб'єкта впровадження.

Діє зараз проти грудня 2027

Від 2 серпня 2026: стаття 50 (ваш бот, видимий користувачеві, каже, що він бот, при першому контакті, а не в політиці конфіденційності), стаття 4 (запротокольоване навчання з обізнаності щодо ШІ для персоналу, який працює із системами), стаття 5 (жодного висновування емоцій щодо працівників чи користувачів у заборонених контекстах). Відтерміновано до 2 грудня 2027: важкий набір із розділу III, і лише якщо щось із того, що ви випускаєте, справді високого ризику - і перевірте виняток зі статті 6(3), перш ніж це припускати.

Американський і британський SaaS, що продає до ЄС: стаття 2 охоплює постачальників незалежно від місця заснування, коли результат використовується в ЄС. Делавер не допомагає. Те, чого регламент вимагає від типового B2B SaaS, менше, ніж страшать, - але результатом є "ми подивилися, ось наша позиція, з датою", і саме її відсутність гальмує корпоративні угоди.

Версія на 90 хвилин

• Інвентаризуйте свої функції ШІ і те, кого кожна стосується
• Пройдіть безкоштовну перевірку для кожної функції, що торкається людей - по дві хвилини на кожну
• Додайте однорядкове розкриття про ШІ у привітання свого бота (цього тижня - це чинне право)
• Проведіть і запротоколюйте одне навчання з обізнаності щодо ШІ
• Напишіть односторінкову позицію, поставте дату і подайте її до наступної закупівельної анкети, яка про це спитає

Коли юридичній команді потенційного клієнта треба більше за сторінку, повний звіт про прогалини (англійською) є версією, яку можна захистити: роль, категорія, обов'язки, терміни і список виправлень із прив'язкою до вашого реального продукту - €59, одноразово.

Поширені запитання

Чи стосується Акт про ШІ мого SaaS-продукту?

Якщо ваші користувачі в ЄС, майже напевно так, хоч би де ви були зареєстровані. Стаття 2 охоплює постачальників незалежно від місця заснування, коли результат використовується в ЄС. Справжні питання: які функції несуть обов'язки, чиї це обов'язки і які з них діють уже зараз.

Чи класифікується весь мій SaaS-продукт одразу?

Ні. Регламент регулює системи ШІ, а не компанії, тож класифікація відбувається на рівні функції. Типовий SaaS-продукт - це кілька систем у різних категоріях: чат-бот підтримки в обмеженому ризику, внутрішні копайлоти в мінімальному, а все, що оцінює доступ конкретних людей до роботи, кредиту чи основних послуг, - у високому.

Чи знімає з мене обов'язки виклик API OpenAI або Anthropic?

Він залишає обов'язки GPAI зі статті 53 постачальнику моделі, включно з резюме навчальних даних і політикою щодо авторського права, а легке донавчання у вашій домені зазвичай теж залишає вас нижче за течією. Ваших власних обов'язків на рівні системи він не знімає: ваш чат-бот усе одно інформує за статтею 50, а ваш продукт усе одно класифікується за тим, що він робить своїм користувачам.

Чи я постачальник, якщо модель чужа?

Так, щодо власних функцій. Випуск функцій ШІ під власним брендом робить вас постачальником цих функцій, навіть якщо базова модель належить комусь іншому. Ваші клієнти зазвичай є суб'єктами впровадження, а отже ваша документація стає вхідним матеріалом їхньої відповідності.

Чи стосується Акт про ШІ компаній поза межами ЄС?

Часто так. Стаття 2 охоплює постачальників незалежно від місця їх заснування, а також постачальників і суб'єктів впровадження в третіх країнах, коли результат, вироблений системою ШІ, використовується в Союзі. Компанія зі США чи Великої Британії з користувачами в ЄС зазвичай підпадає - хоча підпадати не те саме, що бути системою високого ризику.