Čl. 25 · Povinnosti v celém hodnotovém řetězci AI

nosné pasáže citujeme u příslušných bodů výkladu.

Související ustanovení: čl. 16 (povinnosti poskytovatele, které přecházejí), čl. 6

(klasifikace vysoce rizikového systému), čl. 3 body 3, 4, 6, 7 (role), čl. 3 bod 23 (podstatná změna), příloha I oddíl A (harmonizované předpisy pro produkty), čl. 64 (úřad pro AI a vzorové smluvní podmínky)

I. Funkce ustanovení a obecné pravidlo přechodu (odst. 1)

1 Článek 25 je pantem celého oddílu 3. Řeší otázku, kdy se z osoby, která podle své původní role nese jen užší povinnosti (distributor, dovozce, zavádějící subjekt) nebo žádné povinnosti podle nařízení (jiná třetí strana), stává poskytovatel se všemi povinnostmi podle čl. 16. Východiskem je, že role v hodnotovém řetězci nejsou neměnné; váží se na jednání, nikoli na formální označení ve smlouvě. Tím čl. 25 navazuje na funkční pojetí rolí zavedené v čl. 3 a v čl. 2.

2 Obecné pravidlo formuluje odstavec 1: „Jakýkoli distributor, dovozce, zavádějící subjekt nebo jiná třetí strana se pro účely tohoto nařízení považují za poskytovatele vysoce rizikového systému AI a vztahují se na ně povinnosti poskytovatele podle článku 16, pokud nastane kterákoli z následujících okolností:”. Následek přechodu je tedy jednoznačný: plný katalog povinností poskytovatele podle čl. 16 (a skrze něj čl. 17 až 21). Přechod nastává „pro účely tohoto nařízení”, tj. bez ohledu na to, jak si strany rozdělily role smluvně. Tuto konstrukci odůvodňuje bod 84 odůvodnění. Za určitých zvláštních podmínek se má každý distributor, dovozce, zavádějící subjekt nebo jiná třetí strana považovat za poskytovatele a převzít všechny příslušné povinnosti. Jde o tři situace: připojení vlastního jména, názvu nebo ochranné známky; podstatnou změnu systému, který zůstává vysoce rizikový; a změnu zamýšleného účelu, kterou se systém, včetně obecného systému AI, stane vysoce rizikovým. Týž bod zároveň potvrzuje výhradu smluvních ujednání stanovujících jiné rozdělení povinností.

II. Tři skutkové podstaty přechodu (odst. 1 písm. a až c)

3 První skutkovou podstatou (písm. a) je označení systému vlastním jménem: subjekt „uvedli své jméno, název nebo ochrannou známku na vysoce rizikovém systému AI, který již byl uveden na trh nebo do provozu, aniž jsou dotčena smluvní ujednání, která stanoví, že povinnosti jsou rozděleny jiným způsobem”. Kdo systém přeznačí pod svou značku, vystupuje navenek jako jeho poskytovatel a přebírá jeho povinnosti. Výhrada smluvních ujednání zde umožňuje odchylné rozdělení povinností mezi strany, nemění však postavení navenek.

4 Druhou skutkovou podstatou (písm. b) je podstatná změna systému, který zůstává vysoce rizikový: subjekt „provádějí podstatnou změnu vysoce rizikového systému AI, který je již uveden na trh nebo je již uveden do provozu, a to tak, že zůstává vysoce rizikovým systémem AI v souladu s článkem 6”. Pojem podstatné změny vymezuje čl. 3 bod 23 jako změnu, kterou poskytovatel nepředvídal a která ovlivňuje soulad s požadavky nebo mění zamýšlený účel. Kdo takovou změnu provede, stává se poskytovatelem změněného systému.

5 Třetí skutkovou podstatou (písm. c) je změna zamýšleného účelu, jíž se dosud nerizikový systém stane vysoce rizikovým: subjekt „mění zamýšlený účel systému AI, včetně obecného systému AI, který nebyl klasifikován jako vysoce rizikový a je již uveden na trh nebo do provozu takovým způsobem, že se dotčený systém AI stane vysoce rizikovým systémem AI v souladu s článkem 6”. Toto písmeno je z hlediska praxe nejcitlivější, protože dopadá i na obecné systémy AI: kdo takový systém nasadí k účelu, který jej učiní vysoce rizikovým podle čl. 6, přebírá povinnosti poskytovatele.

6 Ověřil jsem, že čl. 6 rozlišuje dvě cesty klasifikace (odst. 1 pro systémy vázané na produkty podle přílohy I a odst. 2 pro samostatné systémy podle přílohy III) a že odst. 3 umožňuje výjimku, kdy se systém spadající do přílohy III přesto za vysoce rizikový nepovažuje, nepředstavuje-li významné riziko. Tato výjimka však neplatí, provádí-li systém profilování fyzických osob. Odkaz čl. 25 odst. 1 na „soulad s článkem 6” je proto třeba číst s vědomím této struktury: přechod role nastává jen tehdy, je-li systém po změně skutečně vysoce rizikový podle některé z cest čl. 6.

III. Postavení původního poskytovatele (odst. 2)

7 Odstavec 2 řeší osud původního poskytovatele. Nastanou-li okolnosti podle odstavce 1, „poskytovatel, který původně uvedl systém AI na trh nebo do provozu, není pro účely tohoto nařízení již nadále považován za poskytovatele tohoto konkrétního systému AI”. Postavení poskytovatele tedy přechází, nikoli zdvojuje: nový poskytovatel nastupuje na místo původního. To je významné, protože brání souběhu dvou poskytovatelů téhož systému s nejasně rozdělenou odpovědností.

8 Přechod však není úplným zpřetrháním vazeb. Původní poskytovatel podle odstavce 2 „úzce spolupracuje s novými poskytovateli a zpřístupní nezbytné informace a poskytne přiměřeně očekávaný technický přístup a další pomoc” nezbytné k plnění povinností, zejména pokud jde o posouzení shody. Tato součinnost má však mez: neuplatní se, pokud původní poskytovatel jasně stanovil, že jeho systém nemá být změněn na vysoce rizikový. Mám za to, že jde o významné praktické ustanovení: poskytovatel, který se výslovně ohradil proti přeměně svého systému na vysoce rizikový, není povinen předávat dokumentaci tomu, kdo systém přesto na vysoce rizikový změnil. Tuto mez výslovně nese bod 86 odůvodnění: bývalý poskytovatel má úzce spolupracovat, zpřístupnit nezbytné informace a poskytnout rozumně očekávaný technický přístup a další pomoc jen tehdy, pokud změnu systému na vysoce rizikový výslovně nevyloučil. Výhrada v čl. 25 odst. 2 tak má oporu i v důvodové úvaze nařízení.

IV. Výrobce produktu a smluvní součinnost třetích stran (odst. 3 až 5)

9 Odstavec 3 zavádí zvláštní pravidlo pro systémy, které jsou bezpečnostními komponentami produktů podle přílohy I oddílu A. Za poskytovatele se v nich považuje výrobce produktu, na nějž se vztahují povinnosti podle čl. 16, je-li systém uveden na trh spolu s produktem pod jménem výrobce (písm. a) nebo do provozu pod jménem výrobce poté, co byl produkt uveden na trh (písm. b). Nařízení tu navazuje na logiku produktové bezpečnosti: za produkt jako celek, včetně jeho AI komponenty, odpovídá jeho výrobce. Shodně bod 87 odůvodnění. Není- li vysoce rizikový systém AI, který je bezpečnostní komponentou produktu spadajícího pod harmonizační předpisy nového legislativního rámce, uveden na trh nebo do provozu nezávisle na tom produktu, plní povinnosti poskytovatele výrobce produktu.

10 Odstavec 4 řeší součinnost mezi poskytovatelem a třetími stranami dodávajícími komponenty. Poskytovatel a taková třetí strana „upřesní prostřednictvím písemné dohody nezbytné informace, schopnosti, technický přístup a jinou pomoc na základě obecně uznávaného stavu techniky”, aby poskytovatel mohl plnit své povinnosti. Zdůrazňuji dva rysy. Zaprvé, forma je písemná dohoda, což vytváří vynutitelný nástroj rozdělení součinnosti uvnitř řetězce. Zadruhé, odstavec se „nevztahuje na třetí strany, které na základě svobodné a otevřené licence zpřístupňují veřejnosti jiné nástroje, služby, procesy nebo komponenty, než jsou obecné modely AI”. Otevřený kód je tu tedy zvýhodněn, avšak s výslovnou výjimkou obecných modelů AI, u nichž se úleva neuplatní. Obě pravidla mají oporu v odůvodnění. Bod 88 odůvodnění to vysvětluje takto. Strany dodávající do systému AI nástroje, služby, komponenty nebo procesy mají poskytovateli na základě písemné dohody poskytnout nezbytné informace, schopnosti, technický přístup a další pomoc podle obecně uznávaného stavu techniky. Cílem je, aby poskytovatel mohl plnit povinnosti nařízení. Jejich práva duševního vlastnictví ani obchodní tajemství tím ohrožena být nemají. Bod 89 odůvodnění pak potvrzuje úlevu pro otevřený kód. Třetí strany, které veřejnosti zpřístupňují nástroje, služby, procesy nebo součásti AI na základě svobodné a otevřené licence, nemají být povinny dodržovat požadavky vůči hodnotovému řetězci. Neplatí to pro obecné modely AI.

11 Odstavec 4 dále počítá s tím, že úřad pro AI může vypracovat a doporučit dobrovolné vzorové smluvní podmínky pro tyto vztahy. Odstavec 5 konečně stanoví, že odstavci 2 a 3 není dotčena potřeba chránit práva duševního vlastnictví, důvěrné obchodní informace a obchodní tajemství. Součinnost uvnitř řetězce má tedy hranici v ochraně duševního vlastnictví. Předání informací novému poskytovateli nesmí být zneužito k obejití této ochrany. K dobrovolným vzorovým smluvním podmínkám se váže bod 90 odůvodnění. Upozorňuji na terminologický rozdíl: čl. 25 odst. 4 svěřuje jejich vypracování a doporučení úřadu pro AI, kdežto bod 90 odůvodnění hovoří o Komisi. Rozpor je zdánlivý, neboť úřad pro AI je zřízen v rámci Komise. Přednost má znění článku, odůvodnění je jen vodítkem.

Příklady

Případy jsou konstruované, ne rozhodnuté věci.

1. Přeznačení (odst. 1 písm. a). Integrátor koupí systém, přelepí logo a prodává ho pod svou značkou. Stává se poskytovatelem se všemi povinnostmi kapitoly III, i když v systému nic nezměnil.

2. Změna účelu (odst. 1 písm. c). Firma vezme obecný systém pro analýzu textu a nasadí ho na třídění žádostí o práci. Tím se systém stává vysoce rizikovým podle přílohy III bodu 4 a firma poskytovatelem. Původní poskytovatel se povinností zbavuje.

3. Bezpečnostní komponenta v produktu (odst. 3). Výrobce stroje do něj zabuduje systém AI, který se samostatně na trh nedostane. Povinnosti poskytovatele plní výrobce stroje, ne dodavatel komponenty. Bod 87 odůvodnění to potvrzuje.

4. Dodavatel komponenty (odst. 4). Dodavatel modelu má poskytovateli na základě písemné dohody dát informace, schopnosti a technický přístup nutný ke splnění nařízení. Odmítnutí s odkazem na obchodní tajemství neobstojí; bod 88 odůvodnění počítá s tím, že se obojí dá skloubit.

Co z toho plyne v praxi

Roli si ověřujte po každé změně. Přeznačení, podstatná změna a změna účelu jsou tři spouštěče, po kterých se z vás stává poskytovatel. Žádný z nich nevyžaduje, abyste do kódu sáhli.

Součinnost si smluvte předem. Odstavec 4 předpokládá písemnou dohodu. Kdo si ji nesjedná při nákupu komponenty, vyjednává o ní později z pozice, kdy už termín běží.

Otevřený kód má úlevu, ale úzkou. Nedopadá na obecné modely AI a nezbavuje povinností toho, kdo z otevřené komponenty postaví vysoce rizikový systém.

Z judikatury

Zatím žádná.

Otevřené otázky

1. Kdy je změna „podstatná”. Definice v čl. 3 bodu 23 se opírá o to, co poskytovatel předvídal v posouzení shody. U průběžně doučovaných modelů je hranice sporná.

2. Rozsah povinné součinnosti podle odst. 4. „Obecně uznávaný stav techniky” je otevřený pojem. Kde končí povinná pomoc a začíná vynucené předání know-how, není jasné.

3. Postavení otevřených komponent. Bod 89 odůvodnění zbavuje povinností toho, kdo komponentu zveřejnil pod svobodnou licencí. Neřeší ale, co když se komponenta stane jádrem vysoce rizikového systému a její chování je nedokumentované.