Due diligence furnizor de soluție AI: ce ar trebui să verifice companiile înainte de semnarea contractului

Pentru companiile care implementează soluții de inteligență artificială, recomandăm ca analiza juridică să nu înceapă abia odată cu apariția unui incident. În practică, o parte semnificativă a riscurilor poate fi identificată încă din etapa de selecție și contractare a furnizorului.

Trebuie să înțelegem ceva din start: o soluție AI nu este un produs software obișnuit. În funcție de modul în care este utilizat, aceasta poate procesa volume importante de date, poate genera rezultate pe baza cărora compania ia decizii sau poate deveni parte integrantă dintr-un proces operațional. De aceea, contractul cu furnizorul trebuie analizat prin raportare la riscul concret pe care utilizarea soluției îl generează pentru companie.

Din perspectiva unui proces de due diligence furnizor, există câteva zone care merită o atenție deosebită.

1. Ce face efectiv sistemul și ce date ajung la furnizor?

Prima întrebare este una operațională: cum va fi utilizată soluția AI?

Această întrebare determină, în mare măsură, analiza juridică ulterioară. Un instrument utilizat pentru activități interne cu risc redus ridică probleme diferite de un sistem care generează rezultate utilizate în relația cu clienții, angajații sau pacienții.

La fel de important este ce date sunt introduse în sistem. Nu este suficient ca furnizorul să declare că datele sunt „anonimizate” sau că nu sunt utilizate în alte scopuri. Trebuie analizat dacă natura informațiilor transmise permite, în concret, identificarea unei persoane și ce se întâmplă ulterior cu aceste informații.

Într-o analiză recentă a unor soluții AI, această distincție a fost relevantă inclusiv în cazul unor seturi de date medicale. Caracterul sensibil al acestor informații și posibilitatea lor de corelare a schimbat fundamental analiza juridică.

2. Cine răspunde pentru rezultatele generate de AI?

O problemă frecventă în contractele furnizorilor este diferența dintre performanța promisă comercial și răspunderea juridică asumată contractual.

Furnizorul poate prezenta anumite niveluri de acuratețe, disponibilitate sau performanță, însă acestea nu răspund, prin ele însele, la întrebarea esențială pentru beneficiar: ce se întâmplă atunci când sistemul produce un rezultat eronat?

Riscul este cu atât mai important atunci când compania utilizează rezultatul AI într-un proces cu impact semnificativ. O limitare contractuală a răspunderii care poate fi rezonabilă pentru un instrument software cu impact redus poate deveni problematică atunci când o eroare a sistemului poate genera prejudicii importante pentru companie sau pentru terți.

De aceea, plafonul de răspundere trebuie analizat în raport cu riscul generat de utilizarea soluției.

3. Cine controlează datele și ce poate face furnizorul cu ele?

O altă zonă sensibilă este utilizarea datelor beneficiarului pentru dezvoltarea sau îmbunătățirea produsului livrat de furnizor.

Din perspectiva companiei, este important să existe o delimitare clară între datele procesate pentru furnizarea serviciului și eventualele utilizări secundare ale acestora.

Problema este cu atât mai relevantă atunci când furnizorul utilizează datele beneficiarului pentru antrenarea modelelor sau pentru dezvoltarea unor produse care vor fi ulterior oferite altor clienți.

În acest context, o formulare contractuală aparent tehnică poate avea consecințe comerciale importante asupra controlului companiei asupra propriilor date și asupra modului în care acestea pot fi reutilizate.

4. Furnizorul este singurul furnizor relevant?

Nu întotdeauna.

Soluția AI poate depinde de componente furnizate de terți. Din perspectiva beneficiarului, însă, aceste relații nu ar trebui să dispară din analiza juridică doar pentru că nu există un contract direct cu fiecare dintre furnizorii respectivi.

Prin urmare, SLA-ul, dependența de terți și drepturile companiei în astfel de situații trebuie tratate distinct.

5. Cum iese compania din relația cu furnizorul?

Unul dintre aspectele care tind să fie analizate prea târziu este încetarea relației contractuale.

La momentul semnării, schimbarea furnizorului este rareori luată în considerare. După integrarea soluției în procesele companiei, chiar după parcurgerea perioadei de testare, lucrurile se pot schimba.

Ce se întâmplă cu datele companiei? Pot fi acestea păstrate de furnizor? Există obligații de ștergere sau returnare? Cât de ușor poate fi migrată soluția către un alt furnizor? Ce se întâmplă dacă furnizorul încetează el însuși serviciul?

Acestea sunt aspecte de alocare contractuală a riscului și ar trebui analizate înainte de implementare.

***

Un proces de due diligence eficient nu înseamnă doar verificarea conformității furnizorului sau a existenței unui acord GDPR.

Analiza trebuie să pornească de la modul concret în care compania intenționează să utilizeze soluția și să urmărească principalele riscuri de-a lungul întregii relații contractuale: date, performanță, răspundere, securitate, dependența de terți, continuitatea serviciului și exit-ul.

Mai ales în cazul soluțiilor AI integrate în procese importante pentru companie, aceste aspecte nu ar trebui lăsate în sarcina documentației standard a furnizorului.

Contractul este, în cele din urmă, instrumentul prin care compania poate stabili în ce măsură riscurile generate de utilizarea AI rămân la beneficiar și în ce măsură sunt transferate furnizorului.

Iar această alocare merită negociată înainte ca soluția să devină indispensabilă businessului.

Dacă luați în considerare achiziția unei soluții AI sau ați implementat deja una fără o evaluare contractuală prealabilă, echipa noastră vă poate asista în identificarea riscurilor și în negocierea sau renegocierea contractelor cu furnizorii de soluții AI.

(Photo by Dylan Gillis on Unsplash)