EU AI-wet: Deployer vs Aanbieder — Wie draagt welke verplichting

Wat is een Aanbieder? (Artikel 3(3))

Een aanbieder ontwikkelt een AI-systeem of een algemeen AI-model — of laat het ontwikkelen — en plaatst het op de markt of in gebruik onder zijn eigen naam of handelsmerk, tegen betaling of gratis.

• Ontwikkelt of bestelt het AI-systeem of het GPAI-model
• Plaatst het op de EU-markt of in gebruik onder zijn eigen naam of handelsmerk
• Draagt de bulk van de verplichtingen voor hoogrisicosystemen: risicobeheer (artikel 9), gegevensbeheer (artikel 10), technische documentatie (artikel 11 / bijlage IV), record-keeping (artikel 12), transparantie naar deployers (artikel 13), ontwerp van menselijke toezicht (artikel 14) en conformiteitsbeoordeling
• Geldt ongeacht of het systeem commercieel wordt geleverd of gratis

Wat is een Deployer? (Artikel 3(4))

Een deployer gebruikt een AI-systeem onder zijn eigen autoriteit — behalve wanneer het systeem wordt gebruikt in het kader van een persoonlijke, niet-professionele activiteit.

• Gebruikt het systeem in een professionele context, onder zijn eigen autoriteit (voorheen 'gebruiker' genoemd in eerdere ontwerpen)
• Moet het systeem gebruiken in overeenstemming met de instructies voor gebruik van de aanbieder
• Draagt deployer-specifieke taken: toewijzen van bevoegde menselijke toezicht, bewaken van de werking, bewaren van automatisch gegenereerde logbestanden die het controleert en informeren van getroffen personen waar nodig
• Bepaalde deployers moeten ook een Fundamentele Rechten Impact Assessment (artikel 27) uitvoeren voordat ze het systeem voor het eerst gebruiken

Hoe u kunt bepalen welke rol u heeft

Werk door de onderscheidingscriteria heen in plaats van aan te nemen. De test is wie het systeem op de markt heeft gebracht onder zijn naam versus wie het systeem in gebruik heeft:

• Hebt u het systeem gebouwd of gemerkt? Als het op de markt komt onder uw naam of handelsmerk, bent u de aanbieder — zelfs als een derde partij de code voor u heeft geschreven.
• Bent u alleen het systeem van iemand anders aan het gebruiken? Als u een systeem in gebruik heeft dat op de markt is gebracht door een ander bedrijf, onder hun naam, bent u de deployer.
• U kunt beide rollen tegelijk hebben. Een onderneming die een in-house agent bouwt (aanbieder) en tegelijkertijd een agentplatform van een leverancier gebruikt (deployer), heeft beide rollen voor verschillende systemen.
• Verplichtingen van de aanbieder zijn zwaarder; verplichtingen van de deployer zijn operationeel — toezicht, bewaking, logbestanden die u controleert en transparantie naar de getroffen personen.

Importeurs, distributeurs en productfabrikanten zijn afzonderlijke operatorrollen met hun eigen verplichtingen — zie de scopesection voor de volledige lijst.

Wanneer een Deployer een Aanbieder wordt (Artikel 25)

Artikel 25 beschrijft de situaties waarin een deployer, distributeur, importeur of andere derde partij de volledige verplichtingen van een aanbieder voor een hoogrisico AI-systeem dat al op de markt is, op zich neemt:

• Rebranding — u plaatst uw eigen naam of handelsmerk op een hoogrisicosysteem dat al op de markt is, tenzij een contract de verplichtingen anders verdeelt
• Substantiële modificatie — u maakt een substantiële modificatie aan een hoogrisicosysteem op een manier die het hoogrisico blijft
• Verandering van de beoogde doelstelling — u wijzigt de beoogde doelstelling van een systeem (inclusief een algemeen AI-systeem) dat niet als hoogrisico was geclassificeerd, zodat het nu hoogrisico wordt
• Wanneer een van deze triggers optreedt, moet de oorspronkelijke aanbieder samenwerken en erft u de verplichtingen van de aanbieder — conformiteitsbeoordeling, technische documentatie, record-keeping en de rest

Dit is de valkuil voor teams die een ingekochte AI-systeem fijn afstemmen, herschalen of whitelabelen: de papierwerkzaamheden die u dacht dat de leverancier bezat, kunnen naar u toe verschuiven.