Obligatiile furnizorului: ghid practic pentru echipele SaaS

Obligatiile furnizorului din EU AI Act conteaza cand o companie SaaS dezvolta, comercializeaza, modifica substantial sau introduce pe piata UE un sistem AI sau model GPAI sub numele ori controlul sau. Nu conteaza doar cine a scris codul modelului. Conteaza si cine defineste scopul, vinde functionalitatea, controleaza experienta clientului sau schimba un sistem al altcuiva.

Primul pas este analiza rolurilor pe workflow. Compania poate fi deployer pentru un tool intern, provider pentru o functie client, provider de model GPAI pentru un API sau nou provider conform Article 25 daca rebranduieste, modifica substantial sau schimba intended purpose.

Ce traseu de obligatii se aplica

Pentru sisteme high-risk, Article 16 include conformitate cu cerinte, quality management system, documentatie tehnica, logs, conformity assessment, EU declaration of conformity, CE marking, inregistrare, corrective actions, cooperare cu autoritati si accessibility unde se aplica.

Article 25 poate muta responsabilitatea pe lantul valoric. Un deployer, importer, distributor sau tert poate deveni provider prin nume propriu, modificare substantiala sau schimbarea scopului.

Pentru modele GPAI, Article 53 include documentatie tehnica, informatii pentru downstream providers, politica de copyright, rezumat public al training content si cooperare cu autoritatile.

Ce documentezi intai

Pastreaza AI asset, intended purpose, rol, risk track, obligatii activate si evidence. Include owner, reviewer, locatie documentatie, risk-management file, teste, data governance, vendor documents, conformity status, release ticket, monitoring, incident process, customer documentation si reassessment triggers.

Integrare in product gates

Pune provider checks in discovery, architecture review, vendor review si release readiness. Product stie cand escaladeaza, legal primeste fapte devreme, engineering stie ce logs si teste conteaza, compliance stie unde este evidence.

Greseli comune

Nu presupune ca providerul este mereu vendorul modelului. Evita inventare fara camp de rol, documentatie tehnica la final, pierderea downstream information si lipsa triggerelor pentru substantial modifications.

FAQ

Care este scopul practic?

Sa arate ca organizatia care dezvolta, vinde, modifica sau introduce pe piata un sistem AI ori model GPAI poate demonstra design, documentatie, evaluare, monitoring si suport.

Cand se aplica SaaS?

Cand echipa dezvolta, comanda dezvoltarea, vinde sub nume propriu, modifica substantial, schimba scopul sau furnizeaza un model GPAI.

Ce documentezi intai?

Rol si clasificare: AI asset, scop, context client, furnizori, risk track, concluzie, obligatii, owner de evidence si reassessment.