Чи діє він поза межами ЄС?

"Ми не європейська компанія, отже нас це не стосується" - найпоширеніше і найдорожче хибне прочитання Акта про ШІ. Стаття 2 охоплює постачальників і суб'єктів впровадження незалежно від того, де вони засновані. Місце реєстрації не є критерієм. Значення має те, де ваша система виводиться на ринок, де перебуває суб'єкт впровадження і - той універсальний пункт, який майже всі пропускають - де використовується результат.

Стаття 2(1)(c) поширює регламент на постачальників і суб'єктів впровадження з третіх країн, "коли результат, вироблений системою ШІ, використовується в Союзі". Компанія із Сан-Франциско без юридичної особи в ЄС, без серверів у ЄС і без персоналу в ЄС підпадає під дію в ту мить, коли клієнт у Дубліні користується тим, що виробляє її модель.

Сім способів опинитися в межах дії

Випадки, які трапляються насправді

Американський SaaS із клієнтами в ЄС. Підпадає. Ви постачальник функцій ШІ, які випускаєте, а використання вашими клієнтами розміщує результат у Союзі. Реєстрація в Делавері не має значення. Деталі для SaaS.

Британська компанія після брекситу. Велика Британія тут є третьою країною, тож аналіз ідентичний американському: користувачі в ЄС означають підпадання. Власного відповідника цього закону Велика Британія не має, тож британські компанії отримують обов'язки без національного режиму, з яким їх можна було б узгодити.

Компанія з ЄС, що продає лише за межі ЄС. Усе одно підпадає як суб'єкт впровадження за 2(1)(b) щодо систем, якими користується сама, бо цей пункт залежить від місця заснування, а не від того, де клієнти. Ваші внутрішні інструменти ШІ охоплені, навіть якщо жоден клієнт не європеєць.

Компанія з-поза ЄС із персоналом у ЄС. Використання ШІ щодо цих працівників - це діяльність суб'єкта впровадження, що впливає на осіб у Союзі. Зазвичай це запускають HR-інструменти - а це водночас сфера з додатка III з найважчими обов'язками. Деталі щодо HR.

Обробляєте персональні дані з ЄС, але результат використовується деінде. Тут Акт про ШІ і GDPR розходяться. GDPR іде за персональними даними. Акт про ШІ іде за системою, ринком і результатом. Ви можете бути цілком у сфері дії GDPR і поза Актом про ШІ - або навпаки. Зіставлення для команд приватності.

Постачальникам систем високого ризику з-поза ЄС потрібен хтось у Союзі

Згідно зі статтею 22 постачальник, заснований у третій країні, має на підставі письмового мандата призначити уповноваженого представника, заснованого в Союзі, перш ніж надати систему ШІ високого ризику на ринку Союзу. Представник зберігає документацію, співпрацює з органами і може припинити мандат, якщо постачальник діє всупереч своїм обов'язкам.

Паралельна вимога для постачальників моделей ШІ загального призначення з третіх країн міститься у статті 54.

Це обов'язок, який команди з-поза ЄС виявляють останнім, бо він адміністративний, а не технічний - і він є передумовою доступу до ринку, а не формальністю, яку надолужують потім. Він діє лише тоді, коли те, що ви випускаєте, справді високого ризику, і це варто з'ясувати до пошуку представника.

Що справді поза сферою дії

Виняток для відкритого коду - той, на який посилаються найчастіше без підстав. Випуск моделі за ліберальною ліцензією не звільняє її, якщо її вводять в експлуатацію як систему високого ризику, якщо вона реалізує заборонену практику або якщо застосовуються обов'язки прозорості зі статті 50.

Підпадати - не те саме, що бути обтяженим

Саме це губиться. Сфера дії і категорія - два окремі питання, і майже кожна компанія з-поза ЄС, яка панікує через перше, виявляє, що друге необтяжливе.

Більшість охоплених SaaS-компаній з-поза ЄС виявляються постачальниками систем обмеженого або мінімального ризику. На практиці це означає: стаття 50, якщо ваш продукт розмовляє з користувачами, стаття 4 - обізнаність персоналу, і перевірка за статтею 5. Розділ III - оцінка відповідності, маркування CE, реєстрація в базі ЄС - застосовується лише тоді, коли те, що ви випускаєте, справді високого ризику за додатком III.

Те, що справді має значення для компанії з-поза ЄС, - це датована письмова позиція: які з ваших систем підпадають, за яким пунктом статті 2, у якій категорії і що з цього випливає. Саме про це питає європейська корпоративна закупівля, і це зазвичай робота на один день, а не програма відповідності.

Територіальну сферу дії визначає стаття 2 за фактами вашого впровадження, а не за тим, де стоять сервери. Хостинг у США вас зі сфери дії не виводить, а хостинг у ЄС сам собою до неї не вводить. Безкоштовна перевірка проходить через пункти статті 2, перш ніж дивитися на категорію, бо помилка у сфері дії псує все подальше.

Поширені запитання

Чи стосується Акт про ШІ американських компаній?

Так, у більшості випадків, де є користувачі з ЄС. Стаття 2(1)(a) охоплює постачальників, які виводять системи ШІ на ринок Союзу, незалежно від того, засновані вони в Союзі чи в третій країні, а стаття 2(1)(c) охоплює постачальників і суб'єктів впровадження в третіх країнах, коли результат, вироблений системою ШІ, використовується в Союзі. Реєстрація в Делавері для цього аналізу значення не має.

Чи стосується Акт про ШІ британських компаній після брекситу?

Так. Велика Британія є третьою країною для цих цілей, тож аналіз ідентичний американському: якщо ви виводите систему ШІ на ринок Союзу або результат вашої системи використовується в Союзі, ви підпадаєте. Власного відповідного закону Велика Британія не має, тож британські компанії отримують обов'язки без національного режиму для узгодження.

Що означає "результат використовується в Союзі"?

Це універсальний пункт у статті 2(1)(c). Якщо особа чи організація в ЄС використовує те, що виробляє ваша система ШІ - оцінку, класифікацію, згенерований контент, рекомендацію - ви підпадаєте навіть без юридичної особи, персоналу чи інфраструктури в ЄС.

Чи тримає мене хостинг поза ЄС поза сферою дії?

Ні. Територіальну сферу дії за статтею 2 визначає те, де систему виводять на ринок, де заснований суб'єкт впровадження і де використовується результат. Розташування серверів не є жодним із цих тестів. Так само хостинг у ЄС сам собою вас до сфери дії не вводить.

Чи потрібен компаніям з-поза ЄС представник у ЄС?

Лише постачальникам систем ШІ високого ризику. Стаття 22 вимагає, щоб постачальник, заснований у третій країні, на підставі письмового мандата призначив уповноваженого представника, заснованого в Союзі, перш ніж надати систему високого ризику на ринку Союзу. Стаття 54 встановлює паралельну вимогу для постачальників моделей ШІ загального призначення з третіх країн.

Чи звільнений відкритий ШІ від Акта про ШІ?

Лише частково. Стаття 2(12) виключає вільні та відкриті системи ШІ, але не тоді, коли їх виводять на ринок або вводять в експлуатацію як системи високого ризику, і не тоді, коли застосовуються заборонені практики зі статті 5 чи обов'язки прозорості зі статті 50. Випуск за ліберальною ліцензією сам собою винятку не створює.

Чи виключені дослідження та розробки?

Так, у межах. Стаття 2(6) виключає системи, розроблені та введені в експлуатацію виключно з метою наукових досліджень і розробок, а стаття 2(8) виключає дослідницьку, випробувальну та розробницьку діяльність до виходу на ринок - але це закінчується на випробуваннях у реальних умовах і цілком, щойно систему виводять на ринок.

Чи підпадає моя компанія з ЄС, якщо всі клієнти поза ЄС?

Щодо систем, якими ви користуєтеся самі, так. Стаття 2(1)(b) охоплює суб'єктів впровадження, заснованих або розташованих у Союзі, незалежно від того, де їхні клієнти, тож ваші внутрішні інструменти ШІ підпадають, навіть якщо жоден клієнт не європеєць.