Týden v jedné větě

Minulý týden jsme probrali, kdo nad vámi vykonává dozor. Tento týden: co si mohou vyžádat, co nemohou a proč je odpovědí na žádost o informace většinou dokument, který jste už dávno měli mít.

Co nařízení skutečně říká

Žádost musí být odůvodněná a musí vám určité věci sdělit. Článek 21 ukládá poskytovatelům vysoce rizikových systémů AI povinnost odpovědět na odůvodněnou žádost — nikoli na jakýkoli neformální dotaz. U modelů AI pro obecné účely jde čl. 91 odst. 4 dál: žádost musí uvést svůj právní základ a účel, specifikovat, co se požaduje, stanovit lhůtu pro poskytnutí a uvést pokuty za poskytnutí nesprávných, neúplných nebo zavádějících informací. Čl. 91 odst. 2 také umožňuje Úřadu pro AI zahájit nejprve strukturovaný dialog.

To, co si mohou vyžádat, přichází ve třech úrovních, a nejsou stejně snadno dosažitelné.

  • Dokumentace a data — nejsnadnější. Čl. 74 odst. 12 přiznává orgánům dozoru nad trhem plný přístup k vaší dokumentaci a k souborům trénovacích, validačních a testovacích dat použitých k vývoji vysoce rizikového systému, a to v rozsahu nezbytně nutném. Nařízení výslovně předpokládá, že se to může dít prostřednictvím API nebo jiného dálkového přístupu.
  • Protokoly — vymezené kontrolou. Čl. 21 odst. 2 dává přístup k automaticky generovaným protokolům podle čl. 12 odst. 1, avšak pouze v rozsahu, v jakém jsou tyto protokoly pod vaší kontrolou.
  • Zdrojový kód — nejobtížnější. Čl. 74 odst. 13 vyžaduje odůvodněnou žádost a obě podmínky zároveň: přístup musí být nezbytný k posouzení shody a testování na základě dat a dokumentace, které jste již poskytli, musí být vyčerpáno nebo se ukázalo jako nedostatečné.

Existují skutečné ochrany, které se vyplatí znát podle čísel. Čl. 78 odst. 1 písm. a) jmenuje jako chráněné duševní vlastnictví, důvěrné obchodní informace a obchodní tajemství — včetně zdrojového kódu. Čl. 78 odst. 2 stanoví, že orgány si vyžádají pouze data, která jsou nezbytně nutná, musí je zajistit a musí je vymazat, jakmile již nejsou potřebná.

Jazykové pravidlo, se kterým nikdo nepočítá. Čl. 21 odst. 1 vyžaduje informace v jazyce, který orgán snadno rozumí, v jednom z úředních jazyků EU podle určení daného členského státu. Pokud vaše architektonická dokumentace existuje pouze v angličtině a váš dozorový orgán určil svůj vlastní jazyk, je to překladatelský projekt uvnitř termínu.

Jedna věc, kterou vám nařízení nedává. Žádná obecná pevná lhůta pro odpověď na žádosti o dokumentaci k vysoce rizikovým systémům není v nařízení zapsána. Čl. 91 odst. 4 vyžaduje, aby Komise stanovila lhůtu ve svých žádostech týkajících se modelů AI pro obecné účely; jinak časový rámec vyplývá ze samotné žádosti a z vnitrostátního procesního práva. Kdokoli uvádí standardní počet dní, jde za rámec textu.

Váš advokát ji může poslat. Vlastníte ji stále vy. Čl. 91 odst. 5 je přímý: řádně zplnomocnění advokáti mohou poskytovat informace za klienty a klienti přesto nesou plnou odpovědnost, pokud jsou neúplné, nesprávné nebo zavádějící.

Poznámka k rozsahu, protože většina komentářů ji zamlžuje. Článek 21 a čl. 74 odst. 12 až 13 jsou napsány pro vysoce rizikové systémy, takže pokud provozujete chatbota podle článku 50, tato povinnost dokumentace se na vás nevztahuje. Čl. 74 odst. 1 však uplatňuje nařízení (EU) 2019/1020 na všechny systémy AI v oblasti působnosti, takže obecné pravomoci dozoru nad trhem na vás stále dosáhnou.

Zdroje: akt o umělé inteligenci, článek 21, 74, 78, 91, 12 a příloha IV, prostřednictvím AI Act Service Desk Evropské komise.

Co to znamená pro vaši firmu

Dokumentace je odpovědí. Příloha IV je v praxi seznamem otázek: zamýšlený účel a verze, architektura systému, konstrukční volby a to, co systém optimalizuje, provenience a označování dat, lidský dohled, validace a testování s datovanými a podepsanými testovacími protokoly, opatření v oblasti kybernetické bezpečnosti, známá omezení a plán monitorování po uvedení na trh. Pokud to existuje a je aktuální, je žádost o informace exportem. Pokud ne, žádost se stává termínem, do kterého to napíšete.

Protokoly, které nemáte pod kontrolou, jsou smluvní problém, nikoli technický. Čl. 21 odst. 2 omezuje tuto povinnost na protokoly pod vaší kontrolou — což nenápadně znamená, že pokud váš model běží na infrastruktuře někoho jiného, vaše schopnost odpovědět závisí na klauzuli, kterou někdo vyjednal. Vyplatí se to zkontrolovat, než na tom bude záležet.

Čl. 78 odst. 2 je váš, abyste se jej dovolávali. Nezbytně nutné, zajištěné, vymazané, jakmile již nejsou potřebná. To není licence k obstrukcím — špatně vedený odpor je horší než odpovědět. Ale proporcionální odpověď, která cituje limity, je silnější pozice než mlčení nebo vydání všeho.

Jeden bod ve váš prospěch: čl. 11 odst. 1 umožňuje malým a středním podnikům a začínajícím podnikům poskytnout dokumentaci podle přílohy IV ve zjednodušené podobě a oznámené subjekty ji musí přijmout.

Úkol na tento týden

Udělejte si nácvik nasucho. Vyberte svůj nejvíce exponovaný systém AI, dejte jedné jmenovitě určené osobě tři pracovní dny a požádejte o jediný balík odpovědi obsahující:

  1. Co systém dělá, které verze jsou v provozu a kde běží
  1. Popis architektury a konstrukční volby, které za ním stojí
  1. Zdroje dat, provenienci a postupy označování
  1. Výsledky validace a testů, datované a přiřaditelné
  1. Opatření lidského dohledu a známá omezení
  1. Protokoly za definované období a potvrzení, kdo je kontroluje

Pak se podívejte, co chybí, co je zastaralé a co věděl jen jeden člověk. Tento seznam mezer je skutečným výstupem a je levnější jej najít nyní než pod termínem někoho jiného.

Převedl jsem nadpisy z přílohy IV do jednostránkové šablony — The Information Request Response Pack — s ustanoveními o důvěrnosti, na která můžete poukázat, a třemi úrovněmi přístupu vysvětlenými jednoduše. Odkazováno v komentářích u dnešního příspěvku. Zdarma, bez registrace.

Další čtení

  • Článek 21 — spolupráce, včetně jazykového pravidla
  • Článek 74 — dozor nad trhem, zdrojový kód v odst. 13

Jedna otázka, na kterou bych rád znal vaši odpověď: kdyby vám v pondělí přišla na stůl odůvodněná žádost, s kterým z těch šesti bodů byste měli největší problém? Hádám, že s datovanými výsledky testů, ale raději bych to věděl, než hádal. Odpovězte nebo to napište do komentářů. Čtu každý z nich.

Příští úterý

Příloha IV v praxi: co znamená „podrobný popis architektury systému“, když je poctivou odpovědí diagram, který nikdo neaktualizoval od pilotu.

Matúš Paško — navrhuji podnikové systémy AI, které musí běžet v produkci za skutečných omezení v oblasti souladu a spolehlivosti. Pokud nácvik nasucho odhalí více mezer, než jste očekávali, odkaz na můj kalendář je v mém profilu a krátký hovor obvykle stačí k tomu, abych vám řekl, jestli jde o odpoledne uklízení, nebo o skutečný projekt.

#EUAIAct #AIGovernance #AICompliance #AnnexIV #EnterpriseAI