제25조 AI 가치사슬에서의 책임(Responsibilities Along the AI Value Chain)은 책임 공백을 방지하기 위해 마련됐다. AI 시스템은 개발자, 공급자, 통합자, 배포자, 운영자 등 여러 주체가 관여하며, 어느 한 단계에서든 시스템의 성능이나 목적을 변경하면 위험 구조가 달라진다. 단일 행위자 중심의 책임 구조로는 AI 위험 관리가 어렵다는 인식에서 제25조는 고위험 AI 시스템의 제공자뿐만 아니라 유통업자, 수입자, 배포자, 제품 제조업체 등 가치사슬에 참여한 주체에게 일정 조건에서 제공자의 의무를 부과한다.
이미 시장에 출시된 고위험 AI 시스템에 유통업자, 수입자 등이 자신의 이름이나 상표를 부착하면 실제 개발하지 않았더라도 제공자로 간주된다. 단순 오류 수정이 아닌 위험 수준에 영향을 미치는 개조 등 시스템의 구조나 성능을 실질적으로 변경한 경우도 마찬가지다.
예를 들어 안면인식 시스템에 새로운 알고리즘이나 학습 데이터를 추가하여 식별 범위를 확대하거나 일반 상담용 AI 챗봇을 채용 심사나 신용평가에 사용하는 등 사용 목적을 변경하면 '제6조 고위험 AI 시스템의 분류 규칙’에 따라 고위험 시스템으로 재분류되며 변경한 자가 제공자로 전환된다.
이러한 상황이 발생하면 최초 제공자는 더 이상 해당 시스템의 제공자로 간주되지 않는다. 최초 제공자가 설정한 품질관리, 위험관리, 적합성 평가 체계가 변경 이후 더 이상 유효하지 않기 때문이다. 다만 최초 제공자는 새로운 제공자가 의무를 이행할 수 있도록 기술문서, 접근 권한, 기술 지원을 제공해야 한다. 최초 제공자가 명시적으로 "해당 시스템이 고위험 AI로 변경되어서는 안 된다"고 지정한 경우에는 협력 의무가 면제된다.
제품의 안전 구성 요소로 AI가 포함되고 해당 AI 시스템이 제조업체의 이름이나 상표로 시장에 출시되는 경우 제품 제조업체가 제공자로 간주된다. 또한 제품이 시장에 출시된 후 제조업체의 이름이나 상표로 AI 시스템이 서비스에 투입되는 경우도 동일하다.
예를 들어 차량에 탑재된 운전자 감지 AI가 자동차 안전의 핵심 요소로 기능한다면 제조업체가 '제16조 고위험 AI 시스템 제공자의 의무’를 직접 이행해야 한다. 제공자의 의무에는 품질관리 체계 수립, 기술문서 작성과 최신화, 자동 로그 보관, 위험관리, 적합성 평가와 CE 마킹, 데이터베이스 등록, 시정조치 및 정보 제공 등이 포함된다.
고위험 AI 시스템 제공자는 시스템에 통합되는 도구, 서비스, 컴포넌트, 프로세스를 공급하는 제3자와 서면 계약으로 필요한 정보, 기술 접근, 지원 범위를 명시해야 한다. 제공자가 법적 의무 완수를 위해 공급자로부터 일정 수준의 기술 협력을 받아야 한다는 점을 반영한 규정이다. 단, 범용 AI 모델을 제외한 자유·오픈소스 라이선스로 공개된 도구나 서비스에는 이 조항이 적용되지 않는다. EU AI 사무국은 이러한 계약에 활용할 수 있는 표준 계약 조항(Voluntary model terms)을 마련하여 공개할 수 있다.
새로운 제공자와 최초 제공자, 또는 외부 협력자 간의 정보 이전과 문서 공유는 지식재산권, 영업비밀, 기밀정보 등 관련 법률을 준수해야 한다. 이는 정보 제공 의무로 인한 영업비밀 침해를 방지하기 위함이다.
이 접근은 EU가 기업 지속가능성 실사지침이나 일반제품안전규정에서 채택한 가치사슬 기반 책임 구조와 일관된다. AIA는 기존 개발자 중심 책임에서 가치사슬 전체에 걸친 확장된 책임(Extended responsibility)으로 전환한 첫 사례다.