Udbyder og idriftsætter

Udbyder og idriftsætter er to faste roller i EU's AI-forordning. Udbyderen (provider) får et AI-system udviklet eller udvikler det selv og sætter det på markedet. Idriftsætteren (deployer) anvender systemet i sin virksomhed, har ansvaret for brugen og skal følge producentens anvisninger, sikre menneskeligt tilsyn og oplyse, når beslutninger eller indhold kommer fra AI.

Udbydernes og idriftsætternes pligter

Udbyderen bærer de tungeste pligter: dokumentation, risikovurdering, information om begrænsninger og markedsføring, tekniske sikkerhedsforanstaltninger og ofte løbende overvågning. Idriftsætteren skal bruge systemet efter leverandørens anvisninger, gennemføre lokal risikostyring og sørge for menneskeligt tilsyn. Du skal også sikre, at brugere får rimelige oplysninger om, at de taler med eller får svar fra en AI.

Reglerne betyder ikke, at udbyderen altid er den samme som producenten. Hvis du ændrer et system væsentligt, bygger din egen chatbot oven på en model eller sætter dit eget navn på softwaren, kan du blive udbyder. Grænsen for, hvad der regnes som en væsentlig ændring, afventer fortsat præcis vejledning fra EU's AI-udvalg, og Digitaliseringsstyrelsens fortolkning følger denne proces, se Digitaliseringsstyrelsen.

Hvornår skifter I fra idriftsætter til udbyder

De fleste små og mellemstore virksomheder fungerer som idriftsættere: I køber eller abonnerer på et AI-værktøj og bruger det i jeres arbejde. I begynder at ligne en udbyder, når I tager en underliggende model og bygger funktionalitet på den, ændrer den væsentligt, pakker den ind i jeres brand og tilbyder den til andre. Et tilbageslag i praksis: I lancerer en intern chatbot med eget navn, andre afdelinger begynder at bruge den, og pludselig står I med krav om dokumentation og risikovurdering, som I ikke havde planlagt for.

Det er lidt som at sætte sit navn på en brugt varevogn og begynde at tilbyde kurerkørsel for andre, fordi så følger ansvaret med navnet.

Eksempel: den databeskyttelsesansvarlige i en klinik

En kliniks databeskyttelsesansvarlige sidder mandag morgen og åbner en besked om en ny chatbot, som receptionen gerne vil bruge til at svare på patientforespørgsler. Chatbotten er købt som tjeneste, men receptionen har bedt eksternt om at tilpasse svarene med klinikkens egen tekst og logo. Tilpasningen tager to dage, og der følger en ny brugervejledning. Nu melder spørgsmålet sig: er klinikken stadig idriftsætter, eller er den blevet udbyder, fordi den har ændret på indhold og branding? Der opstår modstand: receptionen vil starte straks, patienter ringer, ledelsen vil ikke have forsinkelser. I praksis krævede situationen en kort pause, en opdateret risikovurdering og en klar opgavefordeling om, hvem der overvåger chatbotten. Arbejdet tog samlet tre arbejdsdage og involverede både IT, reception og den databeskyttelsesansvarlige.

Eksemplet viser, at rollen kan ændre sig i det øjeblik, I begynder at tilpasse, genbrande eller tilbyde systemet videre. Det koster tid og nogle gange ekstern rådgivning at få dokumentationen på plads.

Udbyder og idriftsætter er ikke det samme som "bare en leverandør"

Udbyder skal ikke forveksles med almindelige tjenesteleverandører. En leverandør, der blot hoster software uden at ændre den, er typisk ikke udbyder. "Idriftsætter" er ikke bare en bruger: ordet indebærer pligter om at følge anvisninger og sikre menneskeligt tilsyn, det vil sige menneskeligt tilsyn i praksis. En chatbot er et godt eksempel: ejer du chatten og sælger dens funktionalitet videre, er du udbyder; bruger du den internt efter leverandørens regler, er du idriftsætter.

Hvad du skal være opmærksom på

Kort sagt, kend dit niveau af tilpasning og branding. Hvis I ændrer kode, træner modellen på jeres data, pakker systemet ind i jeres navn eller sælger adgang videre, så skal I forberede dokumentation, risikovurdering og information til brugerne. Sørg for aftaler med leverandører, der beskriver ansvar for overvågning og rapportering af fejl. Endelig: hold øje med vejledninger fra myndigheder, for fortolkningen af "væsentlig ændring" kan få stor betydning for jeres ansvar og omkostninger.

Vil I arbejde videre med udbyder og idriftsætter på jeres egne opgaver, er det dét, en AI-workshop går ud på.