AIaaS – czym jest sztuczna inteligencja (AI) jako usługa? AI Act i inne prawne aspekty

Wraz z rosnącym zainteresowaniem sztuczną inteligencją (AI), dążeniem do automatyzacji, coraz więcej firm zastanawia się nad tym jak wejść w rynek sztucznej inteligencji nie mając własnej infrastruktury, zbiorów danych treningowych czy wykorzystując jedynie zewnętrzne modele AI. To doskonały moment na to, by odkryć biznesowy potencjał modelu AIaaS (AI as a service – sztuczna inteligencja jako usługa). Dlatego też z dzisiejszego artykułu dowiesz się czym jest AIaaS i jakie prawne aspekty powinny zainteresować dostawcę AIaaS na unijnym rynku.

Podsumowanie na start

Nie masz czasu na czytanie całego artykułu? Zajrzyj do podsumowania, by w skrócie dowiedzieć się z czym wiąże się wprowadzenie sztucznej inteligencji jako usługi!

1. AIaaS to model biznesowy, w którym dostawcy świadczą dostęp do zaawansowanych algorytmów i narzędzi sztucznej inteligencji w ramach usługi chmurowej.
2. Najważniejszym punktem na tworzącej się mapie regulacji prawnych dla AIaaS znajduje się AI Act, czyli unijne rozporządzenie mające na celu ustanowienie zharmonizowanych ram prawnych dla wszystkich państw członkowskich UE w zakresie wprowadzania do obrotu, oddawania do użytku oraz eksploatowania systemów AI. Jego ostateczny tekst został zatwierdzony przez Parlament Europejski w marcu 2024 r. i obecnie czekamy na publikację w Dzienniku Urzędowym UE. 
3. AI Act wprowadza szereg definicji przydatnych z punktu widzenia określenia podziału ról w łańcuchu dostarczania AI (w tym AIaaS). Zanim zabierzesz się za konstruowanie umów – sprawdź, czy jesteś dostawcą, importerem czy może dystrybutorem rozwiązania.
4. AIaaS to nie tylko biznesowe szanse, ale także ryzyka – w szczególności w obszarze ochrony praw autorskich, danych osobowych, cyberbezpieczeństwa czy też ryzyko stronniczości/uprzedzeń algorytmicznych generatywnej AI.
5. Tworząc umowę lub regulamin AIaaS zadbaj zwłaszcza o dobre zdefiniowanie ról, charakteru dostarczanej usługi AI, udzielenie odpowiedniej licencji, opisanie zasad dostępu klienta do danych treningowych (jeśli go przewidujesz) oraz warunki odpowiedzialności. Jeśli w ramach swojej usługi korzystasz z dużych zewnętrznych modeli jak ChatGPT – uwzględnij ich warunki licencyjne w swoich dokumentach.

Już teraz wiesz, że potrzebujesz pomocy specjalistów we wdrożeniu lub rozwoju swojego projektu AIaaS? Umów się z nami na bezpłatną, 15-minutową konsultację!

Odsłuchaj podcastu w tym temacie

Podstawowe informacje – technologia i rynek AIaaS

AIaaS, czyli sztuczna inteligencja jako usługa, to model biznesowy, w którym dostawcy świadczą dostęp do zaawansowanych algorytmów i narzędzi sztucznej inteligencji w ramach usługi chmurowej. 

Usługi AIaaS umożliwiają elastyczne skalowanie zasobów AI w zależności od bieżących potrzeb i wymagań klientów, co jest szczególnie przydatne w dynamicznym środowisku biznesowym. 

W ramach AIaaS, dostawcy zazwyczaj oferują klientom dostęp do zaawansowanych narzędzi programistycznych i interfejsów programistycznych (API), które umożliwiają integrację z istniejącymi systemami IT. AIaaS może być zatem wykorzystywane w różnych branżach, od e-commerce i marketingu, przez opiekę zdrowotną i finanse, po logistykę i przemysł. Pole do popisu jest naprawdę szerokie!

AI Act w skrócie – czym jest i co reguluje?

AI Act to unijne rozporządzenie mające na celu ustanowienie zharmonizowanych ram prawnych dla wszystkich państw członkowskich UE w zakresie wprowadzania do obrotu, oddawania do użytku oraz eksploatowania systemów AI. Jego ostateczny tekst został zatwierdzony przez Parlament Europejski w marcu 2024 r. i obecnie czekamy na publikację w Dzienniku Urzędowym UE. 

Kluczowymi założeniami i elementami AI Actu są: 

1. transparentność systemów AI – narzędzia i usługi oparte na sztucznej inteligencji będą musiały spełniać konkretne wymagania dotyczące transparentności, a ich twórcy zostaną zobowiązani do ujawnienia narzędzi będą musieli ujawnić treści i dane wykorzystywane do trenowania systemów AI;
2. oznaczenie treści generowanych przez AI – przepisy AI Act nakładają obowiązek oznaczania treści generowanych przez sztuczną inteligencję;
3. klasyfikacja ryzyka dla systemów AI – przepisy wprowadzają klasyfikację ryzyka dla narzędzi sztucznej inteligencji, co oznacza podział na kategorie w zależności od poziomu ryzyka; narzędzia o wysokim ryzyku będą musiały być zarejestrowane w unijnej bazie danych i oznaczone jako systemy AI wysokiego ryzyka;
4. ochrona tożsamości i wizerunku – AI Act poświęca uwagę ochronie tożsamości i wizerunku, zabraniając narzędziom AI, które mogą być używane do punktacji społecznej, rozpoznawania twarzy i emocji, oraz wykorzystującym dane takie jak płeć, rasa czy pochodzenie etniczne;
5. zakaz systemów AI o niedopuszczalnym ryzyku – AI Act wskazuje listę zakazanych systemów AI, których nie wolno wprowadzać do obrotu czy wykorzystywać w UE;
6. kontrola systemów AI wysokiego ryzyka – systemy AI wysokiego ryzyka będą podlegać kontroli zarówno przed wprowadzeniem na rynek, jak i w trakcie ich działania. 

Przepisy AI Act obejmą:

1. dostawców wprowadzających do obrotu lub oddających do użytku systemy AI lub wprowadzających do obrotu modele AI ogólnego przeznaczenia w UE, niezależnie od tego, czy dostawcy ci mają siedzibę lub znajdują się w UE czy w państwie trzecim – czyli także takie firmy jak Microsoft, AWS czy IBM; 
2. podmiotów stosujących systemy AI, które to podmioty mają siedzibę lub znajdują się w UE;
3. dostawców systemów AI i podmiotów stosujących systemy AI, którzy mają siedzibę lub znajdują się w państwie trzecim, w przypadku gdy wyniki działania systemu AI są wykorzystywane w UE;
4. importerów i dystrybutorów systemów AI;
5. producentów, którzy wraz ze swoim produktem wprowadzają do obrotu lub oddają do użytku system AI opatrzony ich nazwą handlową lub znakiem towarowym;
6. upoważnionych przedstawicieli dostawców niemających siedziby w UE;
7. osoby, na które AI ma wpływ i które znajdują się w UE, czyli nas wszystkich tu zgromadzonych (a nie tylko wykorzystanie AI w biznesie).

Wdrożenie AIaaS – definicje dostawcy i użytkownika narzędzi AI w świetle AI Actu

Aby zrozumieć przepisy AI Act, a w konsekwencji wynikające z niego obowiązki warto w pierwszej kolejności dowiedzieć się, kto będzie kim w ramach łańcucha dostawy projektu AI.

Dostawca oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, które opracowują system AI lub model AI ogólnego przeznaczenia lub zlecają ich opracowanie i które wprowadzają go do obrotu lub oddają system AI do użytku pod własną nazwą handlową lub własnym znakiem towarowym – odpłatnie lub nieodpłatnie. Dotyczy to także modelu AI as a service. 

Podmiot stosujący AI oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, które korzystają z systemu AI i sprawują nad nim kontrolę, z wyjątkiem sytuacji, gdy system AI jest wykorzystywany w ramach osobistej działalności pozazawodowej – wtedy AI Act w ogóle nie znajdzie do niego zastosowania.

Importer oznacza osobę fizyczną lub prawną znajdującą się lub mającą siedzibę w UE, która wprowadza do obrotu system AI opatrzony nazwą handlową lub znakiem towarowym osoby fizycznej lub prawnej mającej siedzibę w państwie trzecim. Ponownie – jako dostawca AIaaS możesz być nie tylko dostawcą (jeśli oprogramowanie jako usługa jest Twoje), ale też importerem. 

Dystrybutor oznacza osobę fizyczną lub prawną w łańcuchu dostaw, inną niż dostawca lub importer, która udostępnia system AI na rynku unijnym. Niespodzianka – dostawca AIaaS też może zostać dystrybutorem!

AIaaS zapewnia korzyści – ale jakie są ryzyka?

AIaaS to świetny model do rozpoczęcia korzystania z technologii AI bądź wdrażania jej w swoich usługach. Musisz jednak pamięta, że rozwiązania AI to nie tylko wygodne chatboty w obsłudze klienta, możliwość tworzenia wirtualnych asystentów, do której nie jest wymagana żadna wcześniejsza wiedza – AI (zwłaszcza ta generatywna) może generować też ryzyka. 

Jakie?

1. Odpowiedzialność za zautomatyzowane decyzje oparte na algorytmach – rozwiązania AIaaS często opierają się na zaawansowanych algorytmach sztucznej inteligencji i uczenia maszynowego, co może prowadzić do sytuacji, w których decyzje podejmowane przez te algorytmy stają się przedmiotem odpowiedzialności prawnej, zwłaszcza jeśli spowodują szkodę czy poskutkują dyskryminacją (np. ze względu na bias lub halucynacje). Wtedy powstaje pytanie – kto odpowiada za to? Zawsze dostawca, platforma czy może programista?
2. Ochrona danych osobowych – podobnie jak w przypadku standardowych usług chmurowych (SaaS), AIaaS musi spełniać wymogi dotyczące ochrony danych osobowych, ale dodatkowo może występować ryzyko niepożądanego wykorzystania danych w celu treningu modeli AI. Należy więc opracowywać, trenować i wdrażać modele uczenia maszynowego pamiętając o tym, że analiza danych to nie tylko przetwarzanie języka naturalnego, ale także danych osobowych.
3. Dyskryminacja i uprzedzenia algorytmiczne – generatywna AI nadal jest bardzo podatna na wprowadzenie lub wzmacnianie uprzedzeń, co może prowadzić do dyskryminacji w podejmowanych decyzjach. W efekcie może poskutkować sporem prawnym lub kryzysem wizerunkowym (np. gdy okaże się, że wykorzystywane przez Ciebie oprogramowanie do automatyzacji procesu rekrutacyjnego preferuje osoby o określonej płci czy wieku.
4. Prawa autorskie i własność intelektualna – wykorzystanie modeli AI, szczególnie tych opartych na uczeniu maszynowym, może rodzić pytania dotyczące praw autorskich i własności intelektualnej, zwłaszcza że obecne przepisy wciąż pozostawiają pole do swobodnej interpretacji tego jakie dane można pozyskiwać do trenowania modeli AI czy też jak traktować treści wytworzone przez algorytmy AI, a następnie zmodyfikowane przez człowieka. 
5. Cyberbezpieczeństwo – usługi AIaaS mogą być podatne na ataki cybernetyczne, które mogą prowadzić do kradzieży danych, włączenia nieautoryzowanych zmian w modelach AI lub manipulacji wynikami analiz.
6. Przejrzystość i interpretowalność – algorytmy uczenia maszynowego często są opisywane jako „czarne skrzynki”, co oznacza, że procesy decyzyjne mogą być trudne do zrozumienia dla ludzi. Brak przejrzystości i interpretowalności może utrudniać wyjaśnienie lub obronę decyzji podejmowanych przez AI. Warto myśleć o tym już dziś, bo transparentność jest jednym z filarów AI Act.
7. Zakres i granice odpowiedzialności – określenie zakresu odpowiedzialności prawnej za usługi AIaaS może być problematyczne, szczególnie gdy wiele różnych firm i technologii jest zaangażowanych w proces świadczenia usługi – wtedy tym bardziej warto znać i dobrze zdefiniować swoją rolę w łańcuchu dostawy modelu (w tym dużych modeli zewnętrznych jak ChatGPT).
8. Zgodność z przepisami branżowymi – istniejące przepisy branżowe (np. regulacje dotyczące rynku finansowego, wytyczne KNF) mogą mieć zastosowanie do usług AIaaS w zależności od branży klienta, co może wymagać dodatkowej uwagi i dostosowań prawnych. Bez wątpienia przyda się tu wcześniejsza wiedza z zakresu obszarów takich jak chmura czy outsourcing usług finansowych. 
9. Regulacje dotyczące sztucznej inteligencji – choć AIaaS umożliwiają wiele, wprowadzenie nowych przepisów regulujących sztuczną inteligencję, takich jak AI Act w Unii Europejskiej, może wymagać dostosowania praktyk i procedur stosowanych w usługach AIaaS do podwyższonych wymogów w zakresie zarządzania ryzykiem, wiarygodności i przejrzystości korzystania z AI. 

Zastanawiasz się jak wdrożyć AI w swojej aplikacji? W tym artykule znajdziesz odpowiedzi na dodatkowe pytania: Jak wdrożyć AI w swojej aplikacji zgodnie z prawem? Poradnik od prawnika

Co powinien zawierać regulamin lub umowa na dostarczanie usługi sztucznej inteligencji? 

Biorąc pod uwagę założenia AI Actu i opisane wcześniej ryzyka dobra umowa lub regulamin AIaaS zabezpieczające interes Twojej firmy powinny zawierać takie elementy jak: 

1. Definicje i zakres usługi AI – precyzyjne zdefiniowanie terminów związanych z usługą AIaaS oraz określenie zakresu zastosowania technologii sztucznej inteligencji w ramach świadczonych usług zabezpieczy obie strony i ułatwi egzekwowanie umowy.
2. Charakterystyka i adaptowalność algorytmów – opis rodzaju algorytmów i modeli sztucznej inteligencji używanych w usłudze AIaaS, w tym ich zdolność do adaptacji i personalizacji w celu spełnienia indywidualnych potrzeb klienta. Im bliżej „pełnego AIaaS-u”, tym adaptowalność może (choć nie musi) być niższa. 
3. Dostępność do danych szkoleniowych – jeżeli klient ma mieć dostęp do danych treningowych  – określ zasady tego dostępu i korzystania z nich.
4. Prawa własności intelektualnej i licencja – przydatna będzie regulacja praw własności intelektualnej nad stworzonymi przez usługę AIaaS modelami, w tym praw do dostępu, używania i modyfikowania tych modeli przez klienta oraz określenie licencji, jakiej jako dostawca/importer lub dystrybutor udzielisz swojemu klientowi. 
5. Odpowiedzialność za decyzje oparte na algorytmach lub treści generowane przez AI – umowa lub regulamin powinny jasno wskazywać, gdzie zaczyna i gdzie kończy się Twoja odpowiedzialność za decyzje podejmowane przez model lub np. jakiego rodzaju filtry utrudniające wygenerowanie treści naruszających prawa autorskie czy inne możesz zapewnić swojemu klientowi. 
6. Bezpieczeństwo i zgodność z przepisami – wskaż, jakiego rodzaju zabezpieczenia stosujesz, pokaż, że jesteś świadomy/a otoczenia prawego i Twoje AI-owe oprogramowanie jest profesjonalne i bezpieczne dla klientów i ich użytkowników. 
7. Wsparcie techniczne i szkolenia – jeżeli zdecydujesz się na dodatkowe wsparcie techniczne czy przeszkolenie użytkowników – wskaż najważniejsze warunki już w umowie/regulaminie. Dzięki AIaaS możesz także zautomatyzować techniczne wsparcie!
8. Zarządzanie ograniczeniami technicznymi i etycznymi – zapewnienie klientowi informacji na temat ograniczeń technicznych i etycznych związanych z wykorzystaniem technologii sztucznej inteligencji oraz określenie procedur zarządzania tymi ograniczeniami będzie mieć coraz większe znaczenie w świetle AI Actu.
9. Kontrola jakości usługi – określenie procedur monitorowania i oceny jakości świadczonych usług AIaaS oraz zapewnienie klientowi możliwości zgłaszania uwag i sugestii w celu poprawy jakości usługi na pewno zwiększą zaufanie do Twojego AIaaS-u, a Tobie mogą umożliwić dodatkowo np. prowadzenie własnych badań nad AI!
10. Odpowiedzialność i/lub gwarancje – określenie zakresu odpowiedzialności obu stron za ewentualne naruszenia umowy oraz ewentualne gwarancje z Twojej strony dotyczące jakości, wydajności i zgodności usługi AIaaS. Ich określenie umożliwia firmom korzystanie z AI na szerszą skalę, a Tobie daje większy rynkowy potencjał. 

Podsumowanie

AIaaS to coraz popularniejszy model biznesowy, który umożliwia firmom dostęp do zaawansowanej sztucznej inteligencji bez potrzeby inwestowania w własną infrastrukturę ani zatrudniania specjalistów. Rozważając skorzystanie lub udostępnienie własnego modelu AIaaS weź pod uwagę nie tylko entuzjastyczne przyjęcie technologii przez rynek, ale także tworzące się otoczenie prawne oraz ryzyka – w tym te związane z cyberbezpieczeństwem. Pamiętaj także, że jak w każdym innym obszarze – dobry regulamin lub umowa to polisa dla obu stron!

Zastanawiasz się nad uruchomieniem lub skorzystaniem z AIaaS? Chcesz dowiedzieć się więcej? Umów się na bezpłatną 15-min konsultację!

Zdjęcie dodane przez Tara Winstead