Kim jesteś w AI Act, dostawcą czy podmiotem stosującym

AI Act nie nakłada obowiązków „na wszystkich, którzy używają AI”. Nakłada je na role. Zanim ustalisz, co masz zrobić, musisz ustalić, kim jesteś wobec konkretnego systemu. Ta sama organizacja bywa jednocześnie podmiotem stosującym jednego narzędzia i dostawcą drugiego, bo rola jest przypisana do systemu, nie do firmy.

„»dostawca« oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, które rozwijają system AI lub model AI ogólnego przeznaczenia lub zlecają rozwój systemu AI lub modelu AI ogólnego przeznaczenia oraz które, odpłatnie lub nieodpłatnie, pod własną nazwą lub własnym znakiem towarowym wprowadzają do obrotu lub oddają do użytku system AI” (art. 3 pkt 3)

„»podmiot stosujący« oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, które wykorzystują system AI, nad którym sprawują kontrolę, z wyjątkiem sytuacji, gdy system AI jest wykorzystywany w ramach osobistej działalności pozazawodowej” (art. 3 pkt 4)

Pozostałe role

• Importer to podmiot z Unii wprowadzający do obrotu system opatrzony nazwą lub znakiem towarowym podmiotu z państwa trzeciego (art. 3 pkt 6).
• Dystrybutor to podmiot w łańcuchu dostaw, inny niż dostawca lub importer, udostępniający system na rynku Unii (art. 3 pkt 7).
• Upoważniony przedstawiciel to podmiot z Unii z pisemnym pełnomocnictwem dostawcy (art. 3 pkt 5). Dostawca spoza Unii musi go ustanowić przed udostępnieniem systemu wysokiego ryzyka (art. 22 ust. 1).
• Operator to nie osobna rola, tylko pojęcie zbiorcze obejmujące dostawcę, producenta produktu, podmiot stosujący, upoważnionego przedstawiciela, importera i dystrybutora (art. 3 pkt 8). Rozporządzenie używa go tam, gdzie adresatem ma być każdy uczestnik łańcucha, na przykład w przepisach o karach.

W katalogu definicji z art. 3 rozporządzenia nie ma pojęcia „osoby, której dotyczy system”. Osoba, wobec której system jest używany, nie ma w rozporządzeniu obowiązków, tylko uprawnienia w postaci skargi do organu nadzoru rynku (art. 85) i prawa do wyjaśnienia decyzji (art. 86).

Test pozwalający ustalić rolę

Odpowiadaj osobno dla każdego systemu, z którego korzystasz.

Uznanie podmiotu stosującego za dostawcę

Art. 25 ust. 1 dotyczy wyłącznie systemów wysokiego ryzyka i ma trzy postacie.

„Do celów niniejszego rozporządzenia za dostawcę systemu AI wysokiego ryzyka uznaje się i obejmuje obowiązkami dostawcy ustanowionymi w art. 16 każdego dystrybutora, importera, podmiot stosujący lub inną stronę trzecią, jeżeli zachodzi którakolwiek z następujących okoliczności: a) umieszczają oni swoją nazwę lub znak towarowy w systemie AI wysokiego ryzyka, który został już wprowadzony do obrotu lub oddany do użytku (…); b) (…) dokonują oni istotnej zmiany w taki sposób, że pozostaje on systemem AI wysokiego ryzyka zgodnie z art. 6; c) zmieniają oni przeznaczenie systemu AI, w tym systemu AI ogólnego przeznaczenia, który nie został zaklasyfikowany jako system AI wysokiego ryzyka (…), w taki sposób, że dany system AI staje się systemem AI wysokiego ryzyka zgodnie z art. 6” (art. 25 ust. 1)

Litera a zawiera zastrzeżenie „bez uszczerbku dla ustaleń umownych przewidujących, że podział obowiązków następuje w inny sposób”, więc umowa ma tu znaczenie. Litera c jest najważniejsza dla organizacji nietechnologicznych, bo model ogólnego przeznaczenia skierowany do przesiewania kandydatów albo do oceny pracowników może przenieść rolę dostawcy na tego, kto o tym zdecydował. Rozporządzenie (UE) 2026/1744 nie zmieniło art. 25 ust. 1, ale zmieniło ust. 2 i 4, rozbudowując obowiązek współpracy pierwotnego dostawcy.

Art. 25 należy do rozdziału III sekcja 3, którego stosowanie odroczono do 2 grudnia 2027 r. (systemy z załącznika III) i 2 sierpnia 2028 r. (systemy z załącznika I). Dziś ma więc znaczenie planistyczne, przy zawieraniu umów i projektowaniu wdrożeń, a nie egzekucyjne.

Przykładowe sytuacje z praktyki

Poniższe przykłady są ilustracją konstrukcji prawnej, a nie kwalifikacją konkretnych wdrożeń. Nie pochodzą z wytycznych Komisji ani z rozstrzygnięć organów.

Kancelaria z komercyjnym narzędziem AI. Kancelaria kupuje dostęp do narzędzia i używa go do własnej pracy, więc jest podmiotem stosującym. Art. 25 ust. 1 lit. a i b dotyczą systemów, które już są systemami wysokiego ryzyka, ale lit. c działa także wtedy, gdy narzędzie nim nie było, a kancelaria skieruje je do zastosowania z załącznika III, na przykład do rekrutacji albo oceny pracowników. Niezależnie od klasyfikacji obowiązują zasady etyki zawodowej i tajemnica zawodowa.

Urząd wdrażający system od firmy zewnętrznej. Urząd jest podmiotem stosującym, dostawcą pozostaje firma. Jeżeli system trafi do zastosowania z załącznika III, po stronie urzędu dojdą obowiązki z art. 26, a przy części zastosowań także ocena skutków dla praw podstawowych z art. 27, która obciąża podmioty prawa publicznego, podmioty prywatne świadczące usługi publiczne oraz podmioty stosujące systemy z załącznika III pkt 5 lit. b i c, czyli między innymi banki przy ocenie zdolności kredytowej i ubezpieczycieli w ubezpieczeniach na życie i zdrowotnych.

Firma, która umieszcza własną nazwę albo dostraja model. Umieszczenie własnej nazwy na systemie wysokiego ryzyka, istotna zmiana albo skierowanie modelu ogólnego przeznaczenia do zastosowania wysokiego ryzyka przenoszą rolę dostawcy na tę firmę, z pełnym zestawem obowiązków z art. 16. To najczęstszy sposób, w jaki organizacja nietechnologiczna staje się dostawcą, nie wiedząc o tym.

Źródła: rozporządzenie (UE) 2024/1689, polska wersja urzędowa (EUR-Lex), art. 3, 16, 22, 25, 26, 85 i 86; rozporządzenie (UE) 2026/1744 (EUR-Lex), art. 1 pkt 4 i 12. Treść ma charakter ogólny i nie zastępuje oceny konkretnego wdrożenia.