Czy Twoje SaaS "wysokie ryzyko" jest pod EU AI Act? Annex III, czytaj spokojnie
Jeśli sprzedajesz oprogramowanie HR, edtech, exertech lub credit- przyległe oprogramowanie z AI w nim, ktoś - konsultant, marketing konkurenta, zmartwiony nabywca - prawdopodobnie powiedział, że jesteś "wysokiego ryzyka AI" i góra zobowiązań nadchodzi. Czasami to prawda. Częściej roszczenie składa się bez czytania Annex III, który jest zamknięty wykaz przypadków szczególnego zastosowaniaNie werdykt w sprawie całego przemysłu. Uzyskanie właściwej klasyfikacji ma dwa razy znaczenie: raz dla prawa, raz dla kwestionariusza, gdzie kupiec prosi o podanie go.
Co Annex III faktycznie wymienia (obszary istotne dla SaaS)
Annex III przyłącza status wysokiego ryzyka do systemów AI przeznaczone do wykorzystania do szczególnych celów w obrębie ośmiu obszarów. Te, które dotykają komercyjnych dostawców oprogramowania najczęściej:
| Obszar | Wyszczególnione przypadki użycia (parafrazowane) | Typowy sprzedawca dotknięty |
|---|---|---|
| Edukacja (Annex III, 3) | Określanie dostępu lub dopuszczenia do edukacji; ocena efektów uczenia się; ocena odpowiedniego poziomu wykształcenia; monitorowanie i wykrywanie zakazanych zachowań podczas testów. | Edtech robi punktację, egzaminy, wysokie stawki. |
| Zatrudnienie (Annex III, 4) | Rekrutacja i selekcja (umieszczanie ogłoszeń, filtrowanie wniosków, ocena kandydatów); decyzje w sprawie promocji, zakończenia, przydziału zadań w oparciu o zachowanie lub cechy; monitorowanie i ocena wyników. | Technologia HR przeprowadzająca audyt / ranking kandydatów, ocena wydajności. |
| Usługi zasadnicze (Annex III, 5) | Ocena wiarygodności kredytowej i ocena jakości kredytowej osób fizycznych; ocena ryzyka i wycena ubezpieczenia na życie i ubezpieczenia zdrowotne dla osób fizycznych; między innymi. | Punktacja kredytów Fintech; ryzyko życia / zdrowia osób związane z ubezpieczeniem. |
Uwaga co to jest nie tam: AI, który podsumowuje dokumenty dla rekruterów, projekty opisy zadań, odpowiedzi na pytania pracowników HR, zaleca naukę treści lub automatyzuje ubezpieczenia roszczenie papierowe nie znajduje się na liście. Pytanie zawsze brzmi, czy system jest przeznaczony do jednego z wymienionych celów.
Sprzedawcy samochodów zapominają: Article 6(3)
Nawet w obrębie obszaru wymienionego, system jest nie uznane za wysokie ryzyko, jeżeli nie stanowi ono istotnego ryzyka dla zdrowia, bezpieczeństwa lub praw podstawowych - w tym w przypadku gdy jest ono przeznaczone do wykonania wąskie zadania proceduralne, do poprawa wyników uprzednio zakończonej działalności człowieka, wykrywanie wzorców podejmowania decyzji bez zastępowania lub wpływania na ocenę u ludzi, lub wykonywanie zadania przygotowawcze do oceny. Dostawca, który na tym polega, musi udokumentować tę ocenę (a obowiązki rejestracyjne nadal obowiązują). Szczera lektura: narzędzie, które ranking kandydatów do ostatecznej decyzji rekrutatora ludzkiego jest całkowicie w Annex III, 4; narzędzie, które transkrypcja wywiadów wykonuje zadanie przygotowawcze / proceduralne.
Daty po Digital Omnibus
- Zobowiązania dotyczące wysokiego ryzyka (Annex III) zostały przełożone na 2 December 2027 2 sierpnia 2028).
- W Article 50 obowiązki przejrzystości są oddzielne i NIE zostały odroczone - mają zastosowanie od 2 August 2026 chatbots, voice agents and synthetic- content features bez względu na poziom ryzyka. Bycie poza Annex III nie zwalnia cię od tych. (Patrz: Article 50, który jest winien co.)
Dlaczego kupujący pyta przed regulatorem robi
SIG 2026 i AI- CAIQ kwestionariusze, i RFP przedsiębiorstwa, teraz poprosić sprzedawców o podanie ich klasyfikacji ryzyka EU AI Act. Odpowiedzi "wysokiego ryzyka", gdy nie jesteś loguje się na zobowiązania nie jesteś winien i alarmy zamówień; odpowiedzi "nie dotyczy", gdy jesteś wyraźnie w Annex III, 4 mówi recenzentowi, że nie przeczytałeś rozporządzenia. Oba koszta. Odpowiedź klasyfikacyjna polega na tym, aby najpierw uzyskać prawo, ponieważ każda inna odpowiedź AI w kwestionariuszu odpada.
Jak odpowiedzieć na pytanie o klasyfikację
- Nazwa przypadku zastosowania, a nie branży - "nasz system wykonuje X", mapowane (lub nie) do określonego wpisu Annex III.
- Jeśli w obszarze umieszczonym na liście, ale w oparciu o Article 6(3), powiedzieć, która kończyna (proceduralne / przygotowawcze / wzorcowe wykrywanie) i zauważyć, że ocena jest udokumentowana.
- Podaj daty, które cię wiążą. - Cła Annex III od 2 grudnia 2027 w stosownych przypadkach; przejrzystość Article 50 od 2 sierpnia 2026 w obu kierunkach.
- Opisz obecne środki i plan działania - w przypadku systemów wysokiego ryzyka kupujący akceptują "budowę do wymagań 2027 roku, oto plan" o wiele lepszy niż cisza.
- Regulation (EU) 2024/1689, Dziennik Urzędowy - Annex III; Art. 6(2)- 6 (3); Art. 50; Art. 113 (ELI: data.europa.eu / eli / reg / 2024 / 1689 / oj)
- Regulation (EU) 2026/1744 (Digital Omnibus na AI) 8 lipca 2026, Dz.U. 24 lipca 2026, moc 27 lipca 2026 - Art. 113 zmienione: daty wysokiego ryzyka przeniesione do 2 grudnia 2027 (Annex III, Art. 6(2)) / 2 sierpnia 2028 (Annex I, Art. 6(1)); Art. 50 niezmieniony - ELI: data.europa.eu / eli / reg / 2026 / 1744 / oj
- Wspólne oceny - SIG 2026 (domena AI); Cloud Security Alliance - AI- CAIQ