podstawyKim jesteś w AI Act: dostawca czy podmiot stosujący
AI Act nie nakłada obowiązków „na wszystkich, którzy używają AI”. Nakłada je na role. Zanim ustalisz, co masz zrobić, musisz ustalić, kim jesteś wobec konkretnego systemu. Ta sama organizacja bywa jednocześnie podmiotem stosującym jednego narzędzia i dostawcą drugiego, bo rola jest przypisana do systemu, nie do firmy.
Dostawca
Ten, kto system zbudował albo zlecił jego zbudowanie i wypuścił go pod swoją nazwą. Nieodpłatnie też się liczy, a „oddanie do użytku” obejmuje również użytek własny w organizacji.
- oba człony definicji muszą wystąpić łącznie: rozwinięcie systemu oraz wprowadzenie go do obrotu lub oddanie do użytku pod własną nazwą
- dostawcą może być spółka, organ publiczny albo uczelnia
- obowiązki dostawcy systemu wysokiego ryzyka zbiera art. 16
Podmiot stosujący
Ten, kto korzysta z gotowego systemu w działalności zawodowej i sprawuje nad nim kontrolę: decyduje, do czego go użyje, na jakich danych i wobec kogo.
- rola typowa dla kancelarii, urzędu, szpitala, banku i działu kadr
- użycie prywatne, poza działalnością zawodową, jest wyłączone wprost w definicji
- obowiązki podmiotu stosującego system wysokiego ryzyka zbiera art. 26
„»dostawca« oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, które rozwijają system AI lub model AI ogólnego przeznaczenia lub zlecają rozwój systemu AI lub modelu AI ogólnego przeznaczenia oraz które, odpłatnie lub nieodpłatnie, pod własną nazwą lub własnym znakiem towarowym wprowadzają do obrotu lub oddają do użytku system AI” (art. 3 pkt 3)
„»podmiot stosujący« oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, które wykorzystują system AI, nad którym sprawują kontrolę, z wyjątkiem sytuacji, gdy system AI jest wykorzystywany w ramach osobistej działalności pozazawodowej” (art. 3 pkt 4)
Pozostałe role
- Importer: podmiot z Unii wprowadzający do obrotu system opatrzony nazwą lub znakiem towarowym podmiotu z państwa trzeciego (art. 3 pkt 6).
- Dystrybutor: podmiot w łańcuchu dostaw, inny niż dostawca lub importer, udostępniający system na rynku Unii (art. 3 pkt 7).
- Upoważniony przedstawiciel: podmiot z Unii z pisemnym pełnomocnictwem dostawcy (art. 3 pkt 5); dostawca spoza Unii musi go ustanowić przed udostępnieniem systemu wysokiego ryzyka (art. 22 ust. 1).
- Operator: to nie osobna rola, tylko pojęcie zbiorcze obejmujące dostawcę, producenta produktu, podmiot stosujący, upoważnionego przedstawiciela, importera i dystrybutora (art. 3 pkt 8). Rozporządzenie używa go tam, gdzie adresatem ma być każdy uczestnik łańcucha, na przykład w przepisach o karach.
Uwaga terminologiczna: rozporządzenie nie definiuje „osoby, której dotyczy system”. W katalogu definicji z art. 3 takiego pojęcia nie ma. Osoba, wobec której system jest używany, nie ma w rozporządzeniu obowiązków, tylko uprawnienia: skargę do organu nadzoru rynku (art. 85) i prawo do wyjaśnienia decyzji (art. 86).
Test: sześć pytań, które rozstrzygają
Odpowiadaj osobno dla każdego systemu, z którego korzystasz.
Czy sam zbudowałeś ten system albo zamówiłeś jego zbudowanie i wypuszczasz go pod swoją nazwą lub znakiem towarowym?
Czy korzystasz z cudzego, gotowego systemu w pracy i to ty decydujesz, do czego go użyjesz?
Czy sprowadzasz do Unii system opatrzony nazwą podmiotu z państwa trzeciego, albo tylko odsprzedajesz cudzy system?
Czy system jest systemem wysokiego ryzyka w rozumieniu art. 6, albo czy stanie się nim wskutek tego, co z nim robisz?
To pytanie rozstrzyga, czy w ogóle wchodzi w grę art. 25. Uwaga na częsty błąd: przeczącej odpowiedzi w pierwszej części nie wystarczy, bo art. 25 ust. 1 lit. c dotyczy właśnie systemu, który wysokiego ryzyka nie jest, w tym systemu ogólnego przeznaczenia, i staje się nim przez zmianę przeznaczenia.
Czy umieszczasz w systemie swoją nazwę lub znak towarowy, dokonujesz w nim istotnej zmiany albo zmieniasz jego przeznaczenie tak, że staje się systemem wysokiego ryzyka?
Czy jesteś producentem produktu, w którym system wysokiego ryzyka jest elementem bezpieczeństwa, a produkt idzie na rynek pod twoją nazwą?
Kiedy podmiot stosujący staje się dostawcą
To przepis, który w praktyce bywa zaskoczeniem. Dotyczy wyłącznie systemów wysokiego ryzyka i ma trzy postacie.
„Do celów niniejszego rozporządzenia za dostawcę systemu AI wysokiego ryzyka uznaje się i obejmuje obowiązkami dostawcy ustanowionymi w art. 16 każdego dystrybutora, importera, podmiot stosujący lub inną stronę trzecią, jeżeli zachodzi którakolwiek z następujących okoliczności: a) umieszczają oni swoją nazwę lub znak towarowy w systemie AI wysokiego ryzyka, który został już wprowadzony do obrotu lub oddany do użytku (…); b) (…) dokonują oni istotnej zmiany w taki sposób, że pozostaje on systemem AI wysokiego ryzyka zgodnie z art. 6; c) zmieniają oni przeznaczenie systemu AI, w tym systemu AI ogólnego przeznaczenia, który nie został zaklasyfikowany jako system AI wysokiego ryzyka (…), w taki sposób, że dany system AI staje się systemem AI wysokiego ryzyka zgodnie z art. 6” (art. 25 ust. 1)
Litera a zawiera zastrzeżenie „bez uszczerbku dla ustaleń umownych przewidujących, że podział obowiązków następuje w inny sposób”, więc umowa ma tu znaczenie. Litera c jest najważniejsza dla organizacji nietechnologicznych: model ogólnego przeznaczenia skierowany do przesiewania kandydatów albo do oceny pracowników może przenieść rolę dostawcy na tego, kto o tym zdecydował. Rozporządzenie (UE) 2026/1744 nie zmieniło art. 25 ust. 1; zmieniło ust. 2 i 4, rozbudowując obowiązek współpracy pierwotnego dostawcy.
Kiedy to zacznie działać: art. 25 należy do rozdziału III sekcja 3, którego stosowanie odroczono do 2 grudnia 2027 r. (systemy z załącznika III) i 2 sierpnia 2028 r. (systemy z załącznika I). Dziś ma więc znaczenie planistyczne, przy zawieraniu umów i projektowaniu wdrożeń, a nie egzekucyjne.
Trzy sytuacje z praktyki
Poniższe przykłady są ilustracją konstrukcji prawnej, a nie kwalifikacją konkretnych wdrożeń; nie pochodzą z wytycznych Komisji ani z rozstrzygnięć organów.
Kancelaria z komercyjnym narzędziem AI. Kancelaria kupuje dostęp do narzędzia i używa go do własnej pracy: jest podmiotem stosującym. Art. 25 ust. 1 lit. a i b dotyczą systemów, które już są systemami wysokiego ryzyka, ale lit. c działa także wtedy, gdy narzędzie nim nie było, a kancelaria skieruje je do zastosowania z załącznika III, na przykład do rekrutacji albo oceny pracowników. Niezależnie od klasyfikacji obowiązują zasady etyki zawodowej i tajemnica zawodowa.
Urząd wdrażający system od firmy zewnętrznej. Urząd jest podmiotem stosującym, dostawcą pozostaje firma. Jeżeli system trafi do zastosowania z załącznika III, po stronie urzędu dojdą obowiązki z art. 26, a przy części zastosowań także ocena skutków dla praw podstawowych z art. 27, która obciąża podmioty prawa publicznego, podmioty prywatne świadczące usługi publiczne oraz podmioty stosujące systemy z załącznika III pkt 5 lit. b i c, czyli między innymi banki przy ocenie zdolności kredytowej i ubezpieczycieli w ubezpieczeniach na życie i zdrowotnych.
Firma, która dokleja własną nazwę albo dostraja model. Umieszczenie własnej nazwy na systemie wysokiego ryzyka, istotna zmiana albo skierowanie modelu ogólnego przeznaczenia do zastosowania wysokiego ryzyka przenoszą rolę dostawcy na tę firmę, z pełnym zestawem obowiązków z art. 16. To najczęstsza droga, którą organizacja nietechnologiczna staje się dostawcą, nie wiedząc o tym.
Źródła: rozporządzenie (UE) 2024/1689, polska wersja urzędowa (EUR-Lex), art. 3, 16, 22, 25, 26, 85 i 86; rozporządzenie (UE) 2026/1744 (EUR-Lex), art. 1 pkt 4 i 12. Treść ma charakter ogólny i nie zastępuje oceny konkretnego wdrożenia.