Skip to main content

Ocena ryzyka AI (AIRA): system zarządzania ryzykiem z art. 9

Dostawcy systemów AI wysokiego ryzyka muszą prowadzić system zarządzania ryzykiem (art. 9). AIRA to prowadzona ocena Scanara.

Dostawcy systemów AI wysokiego ryzyka muszą prowadzić system zarządzania ryzykiem przez cały cykl życia systemu (art. 9). AIRA to nazwa, której Scanara używa dla swojej prowadzonej oceny tego obowiązku; samo rozporządzenie nie zawiera pojęcia „ocena ryzyka AI”.

Obowiązek ma zastosowanie od 2 grudnia 2027 do systemów z załącznika III. Kary dla dostawców sięgają 15 mln EUR lub 3 % światowego obrotu rocznego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Następny krok: potwierdzić, że Państwa system jest systemem wysokiego ryzyka według art. 6, a potem rozpocząć ocenę.

Art. 9 opisuje ciągły proces w czterech krokach

System zarządzania ryzykiem to ciągły, iteracyjny proces, planowany i realizowany przez cały cykl życia, z regularnym systematycznym przeglądem i aktualizacją (art. 9 ust. 2).

  1. 1

    Identyfikacja i analiza ryzyka

    Należy wypisać znane i dające się racjonalnie przewidzieć zagrożenia dla zdrowia, bezpieczeństwa lub praw podstawowych, gdy system jest używany zgodnie z przeznaczeniem (art. 9 ust. 2 lit. a).

  2. 2

    Szacowanie i ocena ryzyka

    Należy uwzględnić ryzyka, które mogą wystąpić przy dającym się racjonalnie przewidzieć niewłaściwym użyciu (art. 9 ust. 2 lit. b).

  3. 3

    Ocena ryzyk widocznych po wydaniu systemu

    Należy dodać ryzyka, które wynikają z danych z monitorowania po wprowadzeniu do obrotu (art. 9 ust. 2 lit. c, art. 72).

  4. 4

    Przyjęcie celowanych środków ograniczających ryzyko

    Należy przyjąć odpowiednie i celowane środki wobec ryzyk zidentyfikowanych w kroku 1. Ryzyko szczątkowe musi zostać uznane za akceptowalne (art. 9 ust. 2 lit. d i ust. 5).

Środki mają ustaloną kolejność, a znaczenie mają też testy i grupy szczególnie wrażliwe

  • Ograniczanie ryzyka w ustalonej kolejności

    Najpierw wyeliminuj lub ogranicz zagrożenia przez projektowanie i rozwój. Potem dodaj środki łagodzące i kontrolne. Następnie przekaż podmiotom wdrażającym informacje i w stosownych przypadkach szkolenie. Ryzyko szczątkowe musi być akceptowalne (art. 9 ust. 5).

  • Testy według z góry określonych wskaźników

    Testuj w trakcie rozwoju i przed wprowadzeniem systemu do obrotu, według wskaźników i progów probabilistycznych określonych z góry (art. 9 ust. 6 i 8). Testy w warunkach rzeczywistych są możliwe na podstawie art. 60 (art. 9 ust. 7).

  • Uwzględnienie dzieci i grup szczególnie wrażliwych

    Rozważ, czy system może mieć negatywny wpływ na osoby poniżej 18. roku życia i w stosownych przypadkach na inne grupy szczególnie wrażliwe (art. 9 ust. 9).

Co robi ocena AIRA w Scanara

AIRA to prowadzona ocena: odpowiadają Państwo na pytania o swój system, a Scanara zapisuje odpowiedzi jako dowody. Ocena ryzyk i tego, które ryzyko szczątkowe jest akceptowalne, pozostaje po Państwa stronie.

Pytania prowadzące

Bank pytań prowadzi Państwa przez obowiązki w zakresie zarządzania ryzykiem i przy większości pytań podaje artykuł, na którym się opiera.

Odpowiedzi wstępnie wypełnione na podstawie skanów

Jeśli zeskanowano repozytorium, Scanara wstępnie wypełnia odpowiedzi wynikami skanu. Państwo je sprawdzają i poprawiają.

Materiał do dokumentacji z załącznika IV

Załącznik IV pkt 5 wymaga opisu systemu zarządzania ryzykiem. Scanara przygotowuje projekt dokumentacji technicznej na podstawie Państwa odpowiedzi; uzupełniają go i weryfikują Państwo.

Otwórz demo Scanara

Szczegóły stojące za tą oceną

Najczęstsze pytania o ocenę AIRA

Czy „AIRA” jest pojęciem z rozporządzenia w sprawie AI?

Nie. Art. 9 wymaga systemu zarządzania ryzykiem. AIRA to nazwa, której Scanara używa dla swojej prowadzonej oceny tego systemu.

Kto odpowiada za system zarządzania ryzykiem?

Dostawca. Dostawcy muszą zapewnić, że ich systemy AI wysokiego ryzyka spełniają wymogi sekcji 2, w tym art. 9 (art. 16 lit. a). Podmioty wdrażające go nie prowadzą, ale muszą monitorować działanie systemu i w stosownych przypadkach informować dostawców (art. 26 ust. 5).

Czy art. 9 dotyczy wszystkich systemów AI?

Nie. Art. 9 dotyczy systemów AI wysokiego ryzyka, które art. 6 określa przez załączniki III i I. Obowiązuje od 2 grudnia 2027 dla systemów z załącznika III i od 2 sierpnia 2028 dla systemów z załącznika I (art. 113 lit. c). Dla systemów wysokiego ryzyka powiązanych z produktami objętymi prawodawstwem z załącznika I sekcji B stosuje się tylko art. 6 ust. 1, art. 60a i art. 102–112, a art. 57–59 stosuje się tylko w zakresie, w jakim wymogi dla systemów AI wysokiego ryzyka zostały włączone do tego prawodawstwa (art. 2 ust. 2).

Czy art. 9 dotyczy systemów, które już są na rynku?

Tylko po istotnych zmianach w konstrukcji. System wysokiego ryzyka wprowadzony do obrotu lub oddany do użytku przed datą rozpoczęcia stosowania rozdziału III jest objęty przepisami tylko wtedy, gdy od tej daty jego konstrukcja ulega istotnym zmianom (art. 111 ust. 2). W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030.

Czy rozporządzenie wymaga określonej metody lub normy zarządzania ryzykiem?

Nie. Art. 9 określa kroki, a nie metodę. Normy zharmonizowane opublikowane w Dzienniku Urzędowym dają domniemanie zgodności z wymogami, które obejmują (art. 40).

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.