Integrarea modelelor de IA de uz general, precum GPT, Claude sau Gemini, în produse și servicii proprii este tot mai frecventă. Din perspectiva AI Act, compania care realizează integrarea nu este întotdeauna un simplu utilizator al modelului.

În funcție de modul în care dezvoltă și oferă sistemul rezultat, aceasta poate avea calitatea de furnizor din aval și poate răspunde pentru conformitatea sistemului final.

Cine este furnizorul din aval?

AI Act definește furnizorul din aval, la art. 3 pct. 68, drept furnizorul unui sistem de IA, inclusiv al unui sistem de IA de uz general, care integrează un model de IA. Modelul poate fi dezvoltat chiar de furnizor și integrat vertical sau poate proveni de la o altă entitate, în baza unei relații contractuale.

De exemplu, o companie poate integra un model GPT într-o platformă proprie de recrutare, într-o aplicație de analiză contractuală sau într-un chatbot medical și poate oferi sistemul rezultat sub propria marcă. Deși modelul de bază aparține unei alte entități, compania stabilește scopul și funcțiile produsului final, precum și modul în care acesta este oferit clienților. În această situație, compania poate avea calitatea de furnizor din aval.

În schimb, simpla utilizare internă a unui instrument precum ChatGPT nu determină automat această calitate. Este necesar ca entitatea să furnizeze un sistem de IA care integrează modelul.

Obligațiile se stabilesc în funcție de sistemul final

Furnizorul din aval nu are un regim complet separat. Acesta este furnizorul sistemului rezultat și trebuie să determine obligațiile aplicabile în funcție de scopul, funcționalitatea și clasificarea acestuia.

Analiza trebuie să stabilească dacă sistemul:

• implică o practică interzisă potrivit art. 5;
• este un sistem cu grad ridicat de risc potrivit art. 6 și anexelor I sau III;
• intră sub incidența obligațiilor de transparență prevăzute de art. 50.

De exemplu, un chatbot destinat interacțiunii cu publicul trebuie, în principiu, să informeze persoanele că interacționează cu un sistem de IA, conform art. 50 alin. (1). O platformă care utilizează IA pentru selectarea candidaților poate intra în categoria sistemelor cu grad ridicat de risc prevăzută în anexa III.

Dacă sistemul este clasificat drept high-risk, furnizorul din aval trebuie să respecte cerințele prevăzute la art. 8-15 privind managementul riscurilor, guvernanța datelor, documentația tehnică, logurile, transparența, supravegherea umană, acuratețea, robustețea și securitatea cibernetică. Art. 16 impune și obligații privind managementul calității, evaluarea conformității, înregistrarea sistemului, măsurile corective și demonstrarea conformității.

Potrivit calendarului prevăzut de art. 113 din versiunea consolidată, aceste cerințe se vor aplica de la 2 decembrie 2027 sistemelor high-risk din anexa III și de la 2 august 2028 sistemelor asociate produselor reglementate din anexa I.

Accesul la informațiile despre model

Furnizorul din aval nu poate evalua și documenta sistemul final fără informații suficiente despre modelul integrat. Art. 53 alin. (1) lit. (b) obligă furnizorul modelului de IA de uz general să îi ofere informațiile necesare pentru înțelegerea capabilităților și limitărilor modelului și pentru respectarea AI Act.

Potrivit anexei XII, informațiile trebuie să acopere, printre altele, versiunile relevante, arhitectura, formatele datelor de intrare și de ieșire, politicile de utilizare, mijloacele tehnice necesare integrării și proveniența datelor utilizate pentru antrenare, testare și validare.

Pentru sistemele high-risk, art. 25 alin. (4) impune și încheierea unui acord scris între furnizorul sistemului final și terții care furnizează modelele, componentele sau serviciile integrate. Acordul trebuie să stabilească informațiile, accesul tehnic și sprijinul necesar conformării.

În cazul în care furnizorul modelului de IA de uz general nu își respectă obligațiile, art. 89 alin. (2) permite furnizorului din aval să depună o plângere motivată la Oficiul pentru IA.

Integrarea unui model extern nu transferă, prin urmare, întreaga responsabilitate către creatorul modelului. Conformitatea trebuie analizată distinct pentru sistemul final, având în vedere scopul acestuia, modul de integrare și contextul concret în care este introdus pe piață sau pus în funcțiune.