Umowa wdrożeniowa na algorytm AI

Jaki model aplikacji projektuje dostawca?

Na wstępie należy zaznaczyć, że umowy wdrożeniowe mają charakter kontraktów nienazwanych co oznacza, że nie opracowano w stosunku do nich wyczerpującej regulacji kodeksowej. Treść umowy jest kształtowana na mocy porozumienia stron (umowa na wdrożenie AI w firmie systemów sztucznej inteligencji przez zewnętrznych dostawców usług AI przy przetwarzaniu danych osobowych i dostawców systemów sztucznej inteligencji), zgodnie z zasadą swobody umów wyrażonej w art. 3531 k.c.. Co do zasady treść kontraktu może być dowolna tak długo, jak nie narusza:

przepisów prawa;
zasad współżycia społecznego;
społeczno-gospodarczego przeznaczenia prawa.

Obecnie szczególnie dużą popularnością cieszą się usługi określane zbiorczo jako cloud computing, czyli usługi chmurowe. Polegają one na udostępnieniu zamawiającemu aplikacji, którą jednak kontroluje i nadzoruje dostawca. Typowym rozwiązaniem w tym zakresie będzie SaaS, czyli Software as a Service, w którym dostęp do aplikacji następuje bezpośrednio przez przeglądarkę internetową albo pobraną i zainstalowaną wtyczkę. Do tego rodzaju umów usługowych stosuje się odpowiednio przepisy umowy zlecenie (umowie wdrożeniowej usług podwykonawców dostarczających w zakresie dostarczania algorytmów ai w przypadku podpisywania umowy wdrożeniowej na świadczenie usług ai wykorzystywanie danych w umowach wdrożeniowych lub jesli chodzi o umowy wdrożeniowe wprowadzanie ai przez zleceniodawcę firmie outsourcingowej na właściwe sporządzenie umów dotyczących punktu bezpieczeństwa danych powierzonych i prawidłowego wykonania zlecenia w przypadku wdrożenia oprogramowania i szczegółowo określać zakres usług).

Nic nie stoi na przeszkodzie, aby zamawiający zadecydował, że potrzebuje oprogramowania on-premise, zaprojektowanego według indywidualnych preferencji. W przypadku systemów sztucznej inteligencji może to jednak stworzyć problemy w zakresie kontynuacji nadzoru przez dostawcę nad oprogramowaniem, ciągłości monitorowania ryzyka czy dalszego rozwoju i „szkolenia” algorytmu. Z tego względu SaaS często będzie rozwiązaniem bardziej praktycznym. Do jego zalet zalicza się także:

możliwość łatwej skalowalności do potrzeb biznesu;
możliwość reagowania przez dostawcę na bieżąco na wszelkiego rodzaju nieprawidłowości;
niższe koszty usługi, niż w przypadku oprogramowania on-premise.

Jak określić przedmiot umowy wdrożeniowej AI?

Zaimplementowanie rozwiązań sztucznej inteligencji w przedsiębiorstwie wymaga bardzo starannego opracowania dokumentacji technicznej do umowy, ponieważ to ona będzie tak naprawdę określała przedmiot kontraktu. W treści samej umowy można ograniczyć się przykładowo do:

wskazania technik, jakie mają zostać wykorzystane przy tworzeniu AI (np. uczenie maszynowe, podejścia statystyczne);
wymienienie funkcjonalności, jakie ma posiadać system poprzez ich opisanie.

To właśnie z załączników będzie jednak wynikał podział poszczególnych etapów prac, zakres treningowych baz danych czy sposób zapisu kolejnych wersji kodu źródłowego lub changelogów.

Przy określaniu przedmiotu umowy istotą rolę odgrywają dwa pojęcia. Jednym z nich jest Proof of Concept (PoC). Drugi to Machine Learning Operations (MLOps).

Proof of Concept to uproszczona wersja aplikacji, której zadaniem jest wizualizacja algorytmu. Nie musi ona posiadać pełnej funkcjonalności, ale powinna wystarczyć, aby zamawiający mógł potwierdzić, że prace podążają w odpowiednim kierunku i ewentualnie zgłosić zastrzeżenia lub poprawki.

Z kolei MLOps to zbiór praktyk, narzędzi i zasobów, które zostaną wykorzystane do stworzenia oraz optymalizacji oprogramowania. Łączy on elementy uczenia maszynowego, inżynierii danych oraz programowaniem. Niekiedy MLOps stawia się w opozycji do takich metodyk programowania, jak Agile czy Waterfall. Dołączenie do umowy PoC oraz MLOps pozwala na kompleksowe opisanie przedmiotu umowy.

Tworzenie algorytmów sztucznej inteligencji a dane osobowe

W kwestii stosowania narzędzi AI istotną rolę odgrywa prywatność użytkownika, ale także osób, których danymi dysponuje klient składający zamówienie. Stworzenie sztucznej inteligencji, która ma w jakikolwiek sposób przetwarzać informacje klasyfikowane jako dane osobowe w rozumieniu rozporządzenia RODO wymaga dostarczenia odpowiednich danych treningowych w odpowiedni sposób, jeżeli model aplikacji ma rozwijać się wraz z biegiem czasu.

AI Act w art. 10 ust. 5 dopuszcza możliwość przetwarzania danych „wrażliwych” pod warunkiem, że jest to niezbędne do celów zapewnienia monitorowania, korygowania i wykrywania tendencyjności systemów sztucznej inteligencji wysokiego ryzyka, a dostawca systemu zagwarantuje odpowiedni stopień bezpieczeństwa takich danych w tym środków technicznych ograniczających ponowne wykorzystanie danych oraz najnowocześniejszych środków służących bezpieczeństwu i ochronie prywatności, w tym pseudonimizacja lub szyfrowanie. Do „wrażliwych” danych osobowych zalicza się informacje ujawniające:

pochodzenie rasowe lub etniczne;
poglądy polityczne;
przekonania religijne lub światopoglądowe;
przynależność do związków zawodowych;
dane genetyczne lub biometryczne pozwalające na jednoznaczne zidentyfikowanie osoby fizycznej;
dane dotyczące zdrowia, seksualności lub orientacji seksualnej danej osoby.

Jako przykładowe branże, które będą wymagały zastosowania specjalnego rodzaju zabezpieczeń można wymienić np. sektor medyczny, bankowy lub finansowy.

Warto podkreślić, że przepisy RODO mają pierwszeństwo przed AI Act to oznacza m.in. konieczność dochowania zasady minimalizacji przetwarzania danych osobowych.

Skąd pochodzą dane wykorzystywane w ramach treningu AI?

Projektowanie aplikacji AI powinno uwzględniać także zakres danych treningowych, które są używane do szkolenia oprogramowania. Mogą to być przede wszystkim:

dane dostawcy oprogramowania, czyli bazowe informacje, które dostarcza software house zapewniając funkcjonalność oprogramowania;
informacje dostarczone przez klienta (np. dane biznesowe firmy);
dane dostarczone przez użytkowników aplikacji.

Z reguły treningowa baza danych bazuje na informacjach z pierwszych dwóch punktów. Jeżeli ma wykorzystywać również dane użytkowników, należy ich wyraźnie o tym poinformować, a także stworzyć możliwość odmowy przekazania personalnych informacji. Każdy użytkownik powinien jednak zdawać sobie sprawę z tego, że nieudostępnienie informacji może wiązać się z ograniczoną funkcjonalnością aplikacji na gwarantowanym poziomie usług czy przeprowadzenie analizy przedwdrożeniowej i innymi wdrożenia oprogramowania jeśli chodzi o krajobraz narzędzi wykorzystujących ai i odpowiedzialność dostawcy rozwiązania ai za wdrożenie algorytmów ai i sztuczna inteligencja.

Jak uregulować prawa własności intelektualnej do algorytmu AI?

Algorytm AI jako taki jest programem komputerowym co oznacza, że stanowi utwór podlegający ochronie prawnoautorskiej w rozumieniu ustawy o prawie autorskim i prawach pokrewnych. Aby więc zamawiający mógł korzystać z aplikacji zgodnie z prawem, należy na niego transferować prawa autorskie majątkowe w drodze przeniesienia praw lub umowy licencji.

Przeniesienie praw autorskich powinno zostać stwierdzone pismem pod rygorem nieważności i ma charakter bezpowrotny. Oznacza to, że korzystający może po zapłaceniu wynagrodzenia korzystać z utworu w dowolny sposób, a jeżeli wynika to z umowy, także adaptować go do swoich potrzeb.

Licencja jest nieco bardziej skomplikowana, ponieważ powinna dokładnie określać warunki korzystania z utworu i ma charakter czasowy. Oznacza to, że upływie okresu obowiązywania licencji wszelkie prawa autorskie do programu powracają do licencjodawcy. Wynagrodzenie jest zwykle opłacane periodycznie. W umowie licencji powinny znaleźć się następujące elementy:

dokładne określenie utworu, jego wersji i funkcjonalności;
wskazanie momentu przejścia praw autorskich na licencjobiorcę;
enumeratywne i precyzyjne wyliczenie pól eksploatacji, czyli dopuszczalnych sposobów korzystania z utworu;
określenie wynagrodzenia oraz sposobu i terminów jego płatności.

Formą zabezpieczenia interesów zamawiającego może być zobowiązanie się wykonawcy do niewykorzystywania tych samych algorytmów sztucznej inteligencji lub ich fragmentów przy pracach na rzecz innych klientów. Zakaz może objąć także korzystanie z tych samych baz danych treningowych, co oczywiście wpływa na koszt usługi, ponieważ wymaga każdorazowego przygotowywania modelu szkoleniowego od nowa.

W umowie warto wskazać co stanie się z danymi stanowiącymi tajemnicę przedsiębiorstwa po zakończeniu współpracy. Najprostszym rozwiązaniem będzie ich zniszczenie, co może jednak sprawić, że model utraci część funkcjonalności.

Prawa autorskie do zasobów treningowych

Aby zapobiec sytuacji, w której efekt prac algorytmów sztucznej inteligencji doprowadzi do naruszenia praw autorskich przysługujących twórcy, w umowie warto zadbać o odpowiednie zabezpieczenie. Dobrym rozwiązaniem może być zobowiązanie się wykonawcy do korzystania wyłącznie z danych znajdujących się w domenie publicznej albo pozyskanie odpowiednich licencji lub praw autorskich na wykorzystanie utworów objętych ochroną.

Zapewnienie zgodności aplikacji z wymaganiami prawnymi

Rozporządzenie AI Act wprowadza rozbudowane wymogi co do systemów sztucznej inteligencji wysokiego ryzyka. Projektując takie rozwiązania dostawca powinien zadbać o przeprowadzenie audytu compliance i zamieszczeniu w umowie odpowiednich elementów. Należy zwrócić szczególna uwagę na:

wprowadzenie systemu zarządzania ryzykiem, który będzie można utrzymać i nadzorować przez cały cykl życia systemu;
opracowanie dobrych praktyk, według których będą zarządzane dane treningowe, walidacyjne i testowe;
sporządzenie kompleksowej dokumentacji technicznej;
zaprojektowanie systemu rejestrowania zdarzeń;
dbałość o transparentność i przejrzystość systemu;
wprowadzenie mechanizmów pozwalających na zachowanie kontroli nad systemem przez człowieka;
dokładność danych, solidność systemu oraz zabezpieczenia przed cybernetycznymi zagrożeniami;
opracowanie systemu zarządzania jakością.

Niezależnie od compliance w zakresie AI należy pamiętać, że niektóre branże wymagają spełnienia dodatkowych wymagań sektorowych. Tak będzie między innymi w stosunku do oprogramowania działającego w sektorze AML, obszarze finansów i bankowości czy medycyny. Dlatego już na etapie tworzenia wstępnych założeń projektowych warto rozważyć skorzystanie z usług kancelarii prawnej, która pomoże zweryfikować, czy tworzony system odpowiada prawu.

Dodatkowo dostawca oprogramowania powinien zadbać o dochowanie procedur zgłoszeniowych. Jeżeli okaże się, że system wysokiego ryzyka nie spełnia wymagań określonych rozporządzeniem, konieczne będzie też podjęcie działań naprawczych.

Warto pamiętać, że definicja systemu AI wysokiego ryzyka z biegiem czasu może zostać poszerzona. Oprogramowanie, które pierwotnie wymykało się spod rozporządzenia AI Act może znaleźć się w jego zasięgu, co będzie wymagało możliwie szybkiego uzupełnienia odpowiednich procedur i dokumentacji.

Jak określić minimalne wymagania korzystania z systemów sztucznej inteligencji?

Określając zasady wdrożenia systemu AI strony powinny określić, jaki wymagania musi spełnić system zamawiającego, aby wdrożone rozwiązania działały sprawnie, płynnie oraz mogły się rozwijać (tak jak w przypadku algorytmów uczenia maszynowego). Dlatego warto uzupełnić dokumentację techniczną o wskazanie np. minimalnej mocy obliczeniowej komputerów firmowych, wymagań co do sterowników lub oprogramowania, które jest niezbędne i powinno być aktualne w całym cyklu życia systemu AI.

Stosowanie wyjaśnialnych modeli AI

Zalecanym rozwiązaniem, które pozwoli na szybszą identyfikację i usunięcie błędów ora rozpoznanie granic AI jest wdrażanie tzw. modeli „wyjaśnialnych” (ang. Explainable AI, XAI). Polegają one na tym, że wraz z każdym wynikiem maszyna dostarcza wyjaśnienia zrozumiałego dla człowieka, które pozwoli ustalić, dlaczego dany problem został rozwiązany w taki, a nie inny sposób.

Stosując rozwiązania XAI strony umowy mogą łatwiej ustalić, kto ponosi odpowiedzialność za dany błąd – czy leży on po stronie dostawcy, czy jest wynikiem niewłaściwego wprowadzenia danych przez użytkownika. Modele wyjaśnialne dają też możliwość monitorowania sprawności systemu sztucznej inteligencji.

Czy dostawca oprogramowania może zwolnić się z odpowiedzialności za rezultat pracy AI?

Jeżeli dostawca systemu sztucznej inteligencji spełnił wszystkie warunki, które przesądzają o zgodności oprogramowania z prawem, nie oznacza to jeszcze, że jest całkowicie wolny od odpowiedzialności. Warto w umowie wyraźnie wskazać przesłanki, które wyłączają możliwość wystąpienia z roszczeniami odszkodowawczymi. Może być to np.

wygenerowanie output data, czyli informacji zwrotnych dostarczonych użytkownikowi;
siła wyższa (np. awaria systemów zamawiającego) lub atak cybernetyczny;
wykorzystanie AI niezgodnie z dokumentacją techniczną.

Umowa może przewidywać również kwotowe ograniczenie odpowiedzialności za jedno lub wszystkie naruszenia.

Określenie właściwego porządku prawnego przy podpisywaniu umowy.

Podpisując umowę o wdrożenie rozwiązań AI należy zwrócić uwagę na cały szereg kwestii – prawa autorskie, dane osobowe, możliwości techniczne. Należy pamiętać jednak, że istotne znaczenie mają także kwestie procesowe, jak np. prawo właściwe dla umowy. W wielu przypadkach rozwiązania z zakresu sztucznej inteligencji będą dostarczane przez firmę zagraniczną. Należy więc dokładnie ustalić, porządek prawny którego kraju stosuje się w razie sporu.

Sporządzenie umowy wdrożeniowej na system AI wymaga uwzględnienia bardzo wielu parametrów technicznych oraz wzięcia pod uwagę zmienności środowiska cyfrowego, które rozwija się z biegiem czasu. Powierzenie skonstruowania kontraktu prawnikom doświadczonym w branży nowych technologii daje gwarancję, że umowa będzie wolna od niepotrzebnych ryzyk prawnych i biznesowych.

Pytania i odpowiedzi

W jaki sposób zamawiający może zadbać o ochronę tajemnicy przedsiębiorstwa, dostarczając dane do szkolenia modelu AI, jeżeli umowa nie wyłącza możliwości ponownego skorzystania przez klienta z tej samej bazy danych?

W umowie można wprowadzić klauzule, która nakazuje wyłączenie określonych danych z modelu treningowego. Należy je dokładnie sprecyzować, aby między stronami nie było wątpliwości, które informacje stanowią tajemnicę przedsiębiorstwa.

Na czym polegają działania naprawcze dostawcy systemu AI?

Działania naprawcze powinny zostać wdrożone już na etapie podejrzenia, że oprogramowanie nie spełnia minimalnych wymagań określonych w rozporządzeniu. Nie jest do tego potrzebne zaistnienie szkody lub jakichkolwiek innych działań niepożądanych. Procedura powinna w pierwszej kolejności polegać na przywróceniu pełnej zgodności oprogramowania. Jeśli jest to niemożliwe, należy opracować mechanizm, który pozwoli na wycofanie AI z rynku lub od jego użytkowników. Umowa powinna przewidywać też możliwość całkowitego i natychmiastowego odcięcia systemu od środowiska użytkownika oraz przywrócenie kopii roboczej systemu sprzed awarii.

MAM PYTANIA | JESTEM ZAINTERESOWANY / A OFERTĄ

Zaufali nam: