Dlaczego to rozróżnienie jest ważniejsze niż branża czy wielkość firmy

AI Act nie dzieli obowiązków według wielkości firmy ani branży, tylko według roli, jaką firma pełni wobec konkretnego systemu AI. Rozporządzenie zna kilka takich ról, ale dla zdecydowanej większości polskich MŚP liczą się dwie: dostawca (provider) i stosujący (deployer). Ta sama firma może być stosującym wobec jednego narzędzia i dostawcą wobec innego, więc pytanie “kim jestem” trzeba zadawać osobno dla każdego systemu AI, którego firma używa, nie raz na całą działalność.

Krótkie wprowadzenie do tych pojęć znajdziesz też w artykule Czym jest AI Act i kogo dotyczy. Tu rozwijamy temat na tyle, żeby dało się go zastosować do konkretnej sytuacji.

Definicja dostawcy

Dostawca to podmiot, który rozwija system AI (albo zleca jego rozwój) i wprowadza go na rynek lub oddaje do użytku pod własną nazwą lub znakiem towarowym, niezależnie od tego, czy robi to odpłatnie. Kluczowe jest słowo “pod własną marką”. Nie chodzi o to, kto napisał kod, tylko kto firmuje produkt swoim nazwiskiem wobec klientów.

Typowi dostawcy w polskich realiach:

  • firma, która buduje własnego chatbota od podstaw i sprzedaje go innym firmom jako gotowy produkt,
  • startup, który trenuje własny model do oceny zdjęć produktowych i oferuje go jako usługę SaaS,
  • agencja, która bierze cudzy model językowy (np. przez API), dostraja go pod klienta i wypuszcza jako “własne” narzędzie pod swoją marką.

Definicja stosującego

Stosujący to podmiot, który używa systemu AI w ramach własnej działalności zawodowej, nie wprowadzając go samodzielnie na rynek. To rola, w której znajduje się większość firm w Polsce.

Typowi stosujący:

  • sklep internetowy z widgetem chatbota od zewnętrznego dostawcy (Tidio, Smartsupp, LiveChat),
  • biuro rachunkowe korzystające z ChatGPT albo Copilota do wsparcia pracy,
  • agencja marketingowa generująca grafiki reklamowe w Midjourney albo DALL-E na potrzeby kampanii klienta.

Jeśli korzystasz z modelu OpenAI, Anthropic czy Google przez API i nie sprzedajesz dostępu do tego modelu dalej pod swoją marką, jesteś stosującym wobec tego modelu, nawet jeśli technicznie budujesz na nim własną aplikację. Więcej o tym rozróżnieniu w kontekście modeli ogólnego przeznaczenia znajdziesz w artykule GPAI, co to znaczy dla firm.

Kiedy stosujący staje się dostawcą

To najczęściej pomijana pułapka. AI Act przewiduje, że stosujący zaczyna być traktowany jak dostawca, jeśli:

  1. umieszcza swoją nazwę lub znak towarowy na systemie AI opracowanym przez kogoś innego,
  2. wprowadza istotną modyfikację systemu AI wysokiego ryzyka, która zmienia jego przeznaczenie albo sposób działania w stopniu naruszającym pierwotną ocenę zgodności,
  3. zmienia przeznaczenie systemu ogólnego (niewysokiego ryzyka) w taki sposób, że zaczyna on spełniać kryteria systemu wysokiego ryzyka.

W praktyce dotyczy to np. agencji, która bierze gotowy silnik rozpoznawania obrazu, trenuje go dodatkowo na własnych danych i sprzedaje jako “system scoringu kandydatów [Nazwa Agencji]” klientom z branży HR. W tym momencie agencja przestaje być zwykłym stosującym i przejmuje obowiązki dostawcy, łącznie z dokumentacją techniczną i oceną zgodności, jeśli system trafia w kategorię wysokiego ryzyka (zobacz Systemy wysokiego ryzyka).

Najczęstszy błąd graniczny: firma zakłada, że skoro “tylko” dostosowała cudzy system pod swoje potrzeby, a nie napisała go od zera, to nadal jest stosującym. AI Act patrzy na skutek modyfikacji, nie na to, ile pracy włożono w kod.

Tabela porównawcza obowiązków

Obowiązek Dostawca Stosujący
Dokumentacja techniczna systemu Tak, pełna Nie, korzysta z dokumentacji dostawcy
Ocena zgodności (systemy wysokiego ryzyka) Tak Nie, ale musi zweryfikować, że dostawca ją przeprowadził
Rejestracja w unijnej bazie systemów wysokiego ryzyka Tak Nie
Informowanie użytkowników o kontakcie z AI (art. 50) Częściowo, zależnie od typu treści Tak, w większości praktycznych scenariuszy
Nadzór człowieka nad działaniem systemu Projektuje mechanizm nadzoru Wdraża i egzekwuje nadzór na co dzień
Zgłaszanie poważnych incydentów Tak, do organu nadzoru Tak, informuje dostawcę i, w pewnych przypadkach, organ nadzoru
Kompetencje AI zespołu (art. 4) Tak, dla własnego personelu Tak, dla własnego personelu

Ostatni wiersz tabeli jest ważny: obowiązek kompetencji AI z art. 4 nie zależy od roli. Dotyczy każdej firmy, niezależnie od tego, czy jest dostawcą czy stosującym. Więcej w artykule Art. 4, kompetencje AI.

Dlaczego to rozróżnienie decyduje o kosztach wdrożenia

Firmy, które błędnie zakładają rolę dostawcy tam, gdzie wystarczyłby zakres stosującego, wdrażają dokumentację techniczną i procedury oceny zgodności, których w ogóle nie potrzebują. Odwrotny błąd, czyli założenie roli stosującego tam, gdzie faktycznie doszło do istotnej modyfikacji cudzego systemu, jest poważniejszy: oznacza realną lukę w obowiązkach, które akurat obejmują dokumentację i ocenę zgodności. Rozpoznanie własnej roli na starcie jest więc pierwszym krokiem każdego rozsądnego wdrożenia, przed samym doborem konkretnych działań.

Najczęściej zadawane pytania

Czy korzystanie z ChatGPT robi z mojej firmy dostawcę?

Nie. Korzystanie z gotowego narzędzia AI, nawet intensywne i codzienne, czyni Cię stosującym wobec tego narzędzia. Dostawcą byłbyś tylko, gdybyś sam wprowadzał ten model (albo zbudowany na nim produkt) na rynek pod własną marką.

Czy jedna firma może być jednocześnie dostawcą i stosującym?

Tak, i to bardzo częsta sytuacja. Firma, która sprzedaje własnego chatbota klientom (dostawca tego chatbota) i jednocześnie używa cudzego narzędzia do generowania grafik reklamowych (stosujący wobec tego narzędzia), pełni obie role naraz, wobec różnych systemów.

Co jeśli nie wiem, czy moja modyfikacja cudzego systemu jest “istotna”?

Kryterium ustawowe patrzy na to, czy zmiana wpływa na zgodność systemu z pierwotną oceną albo zmienia jego przeznaczenie. W praktycznych, granicznych przypadkach warto skonsultować się z prawnikiem specjalizującym się w prawie nowych technologii, zamiast zgadywać.

Czy sama zmiana logo na widgetcie chatbota robi ze mnie dostawcę?

Kosmetyczne dostosowanie wyglądu (kolory, logo) bez ingerencji w sposób działania systemu zwykle nie wystarcza, żeby przenieść rolę dostawcy. Ryzyko pojawia się przy zmianach funkcjonalnych, nie wizualnych. To jednak ocena zależna od konkretnego przypadku, nie automatyczna reguła.