AI-förordningen skiljer mellan olika aktörer som deltar i livscykeln för ett AI-system: leverantörer, tillhandahållare, importörer, distributörer och produkttillverkare. En fråga som regelbundet aktualiseras är vilken eller vilka av dessa aktörer som ansvarar för att säkerställa att förbuden i artikel 5 AI-förordningen efterlevs.
Eftersom leverantörer och tillhandahållare intar en framträdande roll i AI-förordningen, fokuserar denna artikel på dessa två aktörer. Enligt artikel 3.3 AI-förordningen är leverantörer fysiska eller juridiska personer, offentliga myndigheter, byråer eller andra organ som utvecklar eller låter utveckla AI-system och släpper ut dem på unionsmarknaden, eller tar dem i bruk i eget namn eller under eget varumärke. Leverantörer som är etablerade utanför unionen omfattas också av bestämmelserna i AI-förordningen om de släpper ut dessa system på marknaden eller tar dem i bruk i unionen, eller om AI-systemets utdata används i unionen. Enligt AI-förordningen måste leverantörer av AI-system säkerställa att deras system uppfyller alla relevanta krav innan de släpps ut på marknaden eller tas i bruk.
Tillhandahållare är fysiska eller juridiska personer, offentliga myndigheter, byråer eller andra organ som under eget överinseende använder ett AI-system, utom när användningen sker inom ramen för personlig, icke-yrkesmässig verksamhet (artikel 3.4 AI-förordningen). Med ”överinseende” över ett AI-system avses att man tar ansvar för beslutet att tillhandahålla systemet och för det sätt på vilket det faktiskt används. Tillhandahållare omfattas av AI-förordningen om de har sin etableringsort i unionen, befinner sig där, eller om de befinner sig i ett tredjeland och AI-systemets utdata används i unionen.
Om tillhandahållaren av ett AI-system är en juridisk person under vars överinseende systemet används, dvs. en brottsbekämpande myndighet eller ett privat säkerhetsföretag, anses inte de enskilda anställda som agerar inom ramen för förfarandena och under den juridiska personens kontroll vara tillhandahållare. En juridisk person betraktas också som tillhandahållare om den involverar tredjeparter (t.ex. entreprenörer eller extern personal) i driften av systemet för sin räkning och under sitt ansvar och kontroll.
En aktör kan inneha mer än en roll samtidigt med avseende på ett AI-system. Om en aktör till exempel utvecklar ett eget AI-system som denne sedan använder, kommer aktören att betraktas både som leverantör och tillhandahållare av systemet, även om systemet också används av andra tillhandahållare till vilka det har levererats, antingen mot betalning eller kostnadsfritt.
I sina riktlinjer om AI-förordningens förbjudna användningsområden konstaterar EU-kommissionen att det krävs kontinuerlig efterlevnad av AI-förordningen under alla faser av ett AI-systems livscykel. Enligt kommissionen kräver detta fortlöpande övervakning och uppdateringar av de AI-system som släpps ut på marknaden eller tas i bruk i unionen, för att säkerställa att systemen förblir förenliga med AI-förordningen under hela livscykeln och inte leder till användningsområden som är förbjudna enligt artikel 5.
EU-kommissionen förtydligar dessutom att leverantörer och tillhandahållare av AI-system har olika ansvarsområden beroende på deras roller och kontroll över utformning, utveckling och faktisk användning av systemet när det gäller att undvika ett eller flera av de förbjudna användningsområdena. Dessa roller och ansvarsområden bör tolkas proportionerligt, med beaktande av vem i värdekedjan som är bäst lämpad att anta särskilda förebyggande och riskbegränsande åtgärder, samt säkerställa att AI-systemen utvecklas och används i enlighet med AI-förordningens mål och strategi.
Följaktligen kan varken leverantörer eller tillhandahållare överföra sitt ansvar på varandra eller någon annan part. Desto viktigare är det att säkerställa korrekt ansvarsfördelning vid upphandling, inköp och utkontrakterad utveckling av AI-system, till exempel genom avtalsmässiga åtgärder.