AI Act στην Κύπρο: πάροχος ή χρήστης, η διάκριση αλλάζει τις υποχρεώσεις

Στην Κύπρο εφαρμόζεται σταδιακά ο ευρωπαϊκός AI Act, ενώ η κυπριακή δημόσια διαβούλευση χαρακτηρίζει το εθνικό νομοσχέδιο «Υπό επεξεργασία». Για να προσδιορίσει τις υποχρεώσεις της, μια επιχείρηση εξετάζει χωριστά κάθε χρήση ΤΝ: αν παρέχει το σύστημα ή το χρησιμοποιεί υπό την ευθύνη της, ποιον σκοπό εξυπηρετεί και αν εμπίπτει σε απαγόρευση, σε κατηγορία υψηλού κινδύνου ή σε κανόνα διαφάνειας.

Ο χρόνος εφαρμογής αλλάζει την απάντηση. Το χρονοδιάγραμμα του AI Act ορίζει γενική εφαρμογή από τις 2 Αυγούστου 2026, με προγενέστερη εφαρμογή βασικών απαγορεύσεων και κανόνων γραμματισμού ΤΝ από τις 2 Φεβρουαρίου 2025· οι κανόνες για συστήματα υψηλού κινδύνου του Παραρτήματος III εφαρμόζονται από τις 2 Δεκεμβρίου 2027 και εκείνοι για συστήματα σε ορισμένα ρυθμιζόμενα προϊόντα από τις 2 Αυγούστου 2028. Οι απαιτήσεις διαφάνειας ισχύουν ήδη, ενώ η προετοιμασία για τις μεταγενέστερες απαιτήσεις υψηλού κινδύνου δεν πρέπει να παρουσιάζεται ως εκπλήρωση υποχρέωσης που έχει ήδη αρχίσει να εφαρμόζεται.

Πρώτα καταγράψτε τη χρήση, όχι μόνο το εργαλείο

Η χρήσιμη μονάδα ελέγχου είναι η συγκεκριμένη διαδικασία στην οποία συμμετέχει η ΤΝ. Καταγράψτε τον προβλεπόμενο σκοπό, το αποτέλεσμα που παράγει το σύστημα, ποιος το αξιοποιεί και αν το αποτέλεσμα επηρεάζει απόφαση για φυσικό πρόσωπο. Μια συνδρομή σε εργαλείο παραγωγής κειμένου μπορεί να καλύπτει τόσο εσωτερικά προσχέδια όσο και κείμενα που δημοσιεύονται για την ενημέρωση του κοινού· οι δύο χρήσεις δεν εγείρουν κατ’ ανάγκη τα ίδια ζητήματα διαφάνειας.

Σημειώστε επίσης αν το σύστημα συνομιλεί απευθείας με πελάτες, παράγει εικόνα ή ήχο, επεξεργάζεται προσωπικά δεδομένα ή συμμετέχει στην επιλογή προσωπικού. Πρόκειται για στοιχεία που οδηγούν σε διαφορετικό έλεγχο, όχι για αυτόματη κατάταξη κάθε εργαλείου ως υψηλού κινδύνου. Ο εσωτερικός κατάλογος βοηθά να εντοπιστούν οι χρήσεις και οι υπεύθυνοί τους· δεν ταυτίζεται με την καταχώριση συστήματος στην ευρωπαϊκή βάση που προβλέπεται για συγκεκριμένες περιπτώσεις.

Ποιος παρέχει το σύστημα και ποιος το εφαρμόζει;

Πάροχος είναι όποιος αναπτύσσει ένα σύστημα ΤΝ, ή αναθέτει την ανάπτυξή του, και το διαθέτει στην αγορά ή το θέτει σε λειτουργία με τη δική του επωνυμία. Φορέας εφαρμογής είναι όποιος το χρησιμοποιεί υπό την ευθύνη του για επαγγελματικό σκοπό. Ένας εργοδότης που αγοράζει σύστημα αξιολόγησης υποψηφίων και το χρησιμοποιεί για τον προβλεπόμενο σκοπό του είναι, κατά κανόνα, φορέας εφαρμογής. Μια επιχείρηση που αναπτύσσει δικό της σύστημα και το θέτει σε λειτουργία με την επωνυμία της μπορεί να έχει και τους δύο ρόλους.

Η διάκριση μπορεί να αλλάξει όταν αλλάζει το ίδιο το σύστημα ή ο σκοπός του. Το άρθρο 25 του AI Act προβλέπει ότι φορέας εφαρμογής ή άλλος τρίτος αναλαμβάνει υποχρεώσεις παρόχου αν βάλει την επωνυμία του σε σύστημα υψηλού κινδύνου, το τροποποιήσει ουσιωδώς διατηρώντας τον υψηλό κίνδυνο ή αλλάξει τον προβλεπόμενο σκοπό άλλου συστήματος έτσι ώστε αυτό να καταστεί υψηλού κινδύνου. Η απλή καθημερινή χρήση ή μια προσαρμογή σύμφωνα με τις οδηγίες του παρόχου δεν σημαίνει αυτομάτως ουσιώδη τροποποίηση. Γι’ αυτό έχει σημασία να είναι σαφές ποιος καθορίζει τον σκοπό, ποιος αλλάζει τη λειτουργία και με ποια επωνυμία τίθεται το σύστημα σε λειτουργία.

Η σειρά ελέγχου του κινδύνου

1. Εξετάστε αν η προβλεπόμενη πρακτική απαγορεύεται. Μια απαγορευμένη χρήση δεν γίνεται επιτρεπτή επειδή προστίθεται ανθρώπινη έγκριση ή περισσότερη τεκμηρίωση.
2. Ελέγξτε αν το σύστημα συνδέεται με την ασφάλεια ορισμένου ρυθμιζόμενου προϊόντος ή με χρήση του Παραρτήματος III. Στο τελευταίο περιλαμβάνονται, υπό τις προϋποθέσεις του κανονισμού, συστήματα για πρόσληψη και επιλογή προσωπικού, ορισμένες εκπαιδευτικές αξιολογήσεις και η αξιολόγηση πιστοληπτικής ικανότητας φυσικών προσώπων.
3. Αν μια χρήση του Παραρτήματος III ενδέχεται να εμπίπτει στην περιορισμένη εξαίρεση για συστήματα που δεν επηρεάζουν ουσιωδώς το αποτέλεσμα απόφασης, ο πάροχος τεκμηριώνει την εκτίμησή του. Σύστημα που δημιουργεί προφίλ φυσικών προσώπων θεωρείται πάντως υψηλού κινδύνου.
4. Ανεξάρτητα από την κατάταξη υψηλού κινδύνου, ελέγξτε τις απαιτήσεις διαφάνειας για άμεση αλληλεπίδραση με ανθρώπους και για ορισμένο τεχνητά παραγόμενο ή αλλοιωμένο περιεχόμενο.

Υποθετικά, αν μια επιχείρηση χρησιμοποιεί ΤΝ για να κατατάσσει αιτήσεις εργασίας πριν αποφασίσει ποιους θα καλέσει σε συνέντευξη, πρέπει να εξετάσει τη συγκεκριμένη λειτουργία επιλογής προσωπικού και την επιρροή της στην απόφαση. Το γεγονός ότι το σύστημα πωλείται ως «βοηθός παραγωγικότητας» δεν καθορίζει την κατάταξη αυτής της χρήσης. Στον εσωτερικό φάκελο αξίζει να αποτυπώνεται η αιτιολόγηση, ώστε μια αλλαγή σκοπού ή λειτουργίας να οδηγεί σε νέα εξέταση.

Τι τεκμηριώνει κάθε ρόλος;

Για ένα σύστημα υψηλού κινδύνου, ο πάροχος οργανώνει την τεχνική τεκμηρίωση, τη διαχείριση κινδύνων, τη διακυβέρνηση δεδομένων, τις δυνατότητες καταγραφής και τον σχεδιασμό ανθρώπινης εποπτείας. Στις υποχρεώσεις του περιλαμβάνονται επίσης σύστημα διαχείρισης ποιότητας, οδηγίες χρήσης, αξιολόγηση συμμόρφωσης και, όπου απαιτείται, καταχώριση και σήμανση CE. Πρόκειται για στοιχεία σχετικά με τον σχεδιασμό και τη διάθεση του συστήματος, τα οποία πρέπει να είναι έτοιμα όταν αρχίσουν να εφαρμόζονται οι αντίστοιχες διατάξεις.

Ο φορέας εφαρμογής χρειάζεται διαφορετικά στοιχεία: τις οδηγίες του παρόχου, τον σκοπό για τον οποίο χρησιμοποιεί το σύστημα, τους ανθρώπους στους οποίους αναθέτει εποπτεία και τον τρόπο με τον οποίο παρακολουθεί τη λειτουργία του. Όπου ελέγχει τα δεδομένα εισόδου, οφείλει να εξετάζει αν είναι κατάλληλα και επαρκώς αντιπροσωπευτικά για τον προβλεπόμενο σκοπό. Για χρήση υψηλού κινδύνου στον χώρο εργασίας προβλέπεται ενημέρωση των επηρεαζόμενων εργαζομένων και των εκπροσώπων τους, ενώ τα αρχεία καταγραφής που βρίσκονται υπό τον έλεγχό του τηρούνται σύμφωνα με τους εφαρμοστέους κανόνες.

Η ευρωπαϊκή βάση δεν επιβάλλει γενική καταχώριση κάθε χρήσης ΤΝ από μια ιδιωτική επιχείρηση. Η καταχώριση αφορά, μεταξύ άλλων, παρόχους ορισμένων συστημάτων του Παραρτήματος III και φορείς εφαρμογής που είναι δημόσιες αρχές ή ενεργούν για λογαριασμό τους. Ένας εσωτερικός κατάλογος συστημάτων παραμένει χρήσιμος για την επιχείρηση, αλλά έχει διαφορετικό σκοπό από αυτή τη νομική διαδικασία.

Διαφάνεια τώρα, κυπριακές αρχές υπό διαμόρφωση

Για σύστημα που αλληλεπιδρά απευθείας με ανθρώπους, ο πάροχος πρέπει να προβλέπει την ενημέρωσή τους ότι συνομιλούν με ΤΝ, με τις εξαιρέσεις του κανονισμού. Ο φορέας εφαρμογής που δημοσιοποιεί περιεχόμενο τύπου deepfake πρέπει να γνωστοποιεί την τεχνητή δημιουργία ή αλλοίωσή του. Υπάρχει και ειδικός κανόνας για κείμενο που δημοσιεύεται με σκοπό την ενημέρωση του κοινού σε θέματα δημόσιου ενδιαφέροντος, με εξαίρεση όταν έχει προηγηθεί ανθρώπινη αναθεώρηση ή συντακτικός έλεγχος και υπάρχει συντακτική ευθύνη για τη δημοσίευση.

Το κυπριακό νομοσχέδιο προτείνει τον Επίτροπο Επικοινωνιών ως κοινοποιούσα αρχή, αρχή εποπτείας της αγοράς και ενιαίο σημείο επαφής. Προβλέπει ειδικές αρμοδιότητες για τον Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα σε ορισμένες χρήσεις και για την Κεντρική Τράπεζα της Κύπρου σε συγκεκριμένες χρηματοοικονομικές περιπτώσεις. Προτείνει επίσης εθνικές διαδικασίες ελέγχου, κυρώσεις και ρυθμιστικό δοκιμαστήριο. Αυτή η κατανομή παραμένει μέρος νομοσχεδίου υπό επεξεργασία· οι επιχειρήσεις μπορούν να σημειώσουν τον πιθανό τομέα εποπτείας τους χωρίς να αντιμετωπίζουν την προτεινόμενη διαδικασία ως οριστική.

Διαβάστε επίσης:

• Zoom ή Google Meet: το εργαλείο που ήδη πληρώνεις αλλάζει τον νικητή
• Elevate Greece: ένα κενό υποχρεωτικό πεδίο σταματά την αξιολόγηση
• Η Κύπρος βάζει €13,5 εκατ. στην ESA — ανοίγουν τέσσερα προγράμματα