Obowiązki podmiotów wdrażających systemy AI wysokiego ryzyka: art. 26

Ust. 3 dodaje, że obowiązki te nie naruszają innych obowiązków podmiotów wdrażających (w rozporządzeniu: podmiotów stosujących) wynikających z prawa Unii lub prawa krajowego (art. 26 ust. 3).

• Używać systemu zgodnie z instrukcją

  Podejmij odpowiednie środki techniczne i organizacyjne, aby używać systemu zgodnie z jego instrukcją obsługi (art. 26 ust. 1).

• Powierzyć nadzór ze strony człowieka

  Powierz nadzór ze strony człowieka osobom fizycznym o niezbędnych kompetencjach, przeszkoleniu i uprawnieniach oraz zapewnij im niezbędne wsparcie (art. 26 ust. 2).

• Sprawdzać dane wejściowe

  Jeśli kontrolujesz dane wejściowe, zadbaj o to, aby były adekwatne i wystarczająco reprezentatywne w odniesieniu do przewidzianego zastosowania systemu (art. 26 ust. 4).

• Monitorować działanie i zgłaszać ryzyka

  Monitoruj działanie na podstawie instrukcji obsługi. Jeżeli masz powody sądzić, że korzystanie z systemu może stwarzać ryzyko (art. 79 ust. 1), wstrzymaj korzystanie i niezwłocznie poinformuj dostawcę lub dystrybutora oraz organ nadzoru rynku. Po poważnym incydencie natychmiast poinformuj najpierw dostawcę, a następnie importera lub dystrybutora i organy nadzoru rynku. Jeśli nie możesz skontaktować się z dostawcą, stosuje się art. 73 (art. 26 ust. 5). Ten obowiązek nie obejmuje wrażliwych danych operacyjnych podmiotów wdrażających będących organami ścigania. Instytucje finansowe objęte unijnymi przepisami o wewnętrznym zarządzaniu w usługach finansowych spełniają obowiązek monitorowania, przestrzegając tych przepisów.

• Przechowywać logi

  Przechowuj logi generowane automatycznie przez system, o ile pozostają pod Twoją kontrolą, przez okres odpowiedni do przewidzianego zastosowania, co najmniej sześć miesięcy, chyba że prawo Unii lub prawo krajowe stanowi inaczej (art. 26 ust. 6). Instytucje finansowe przechowują je jako część dokumentacji prowadzonej na podstawie prawa dotyczącego usług finansowych.

• Informować pracowników

  Pracodawcy muszą poinformować przedstawicieli pracowników i pracowników, których to dotyczy, zanim oddadzą do użytku system wysokiego ryzyka lub zaczną z niego korzystać w miejscu pracy (art. 26 ust. 7).

• Zarejestrować korzystanie (organy publiczne)

  Organy publiczne i instytucje Unii muszą spełnić obowiązki rejestracyjne z art. 49. Jeżeli system, z którego planują korzystać, nie jest zarejestrowany w unijnej bazie danych, nie mogą go używać i muszą poinformować dostawcę lub dystrybutora (art. 26 ust. 8).

• Wykorzystać informacje od dostawcy do oceny skutków dla ochrony danych

  W stosownych przypadkach wykorzystaj informacje przekazane przez dostawcę na podstawie art. 13 do przeprowadzenia oceny skutków dla ochrony danych na podstawie art. 35 rozporządzenia (UE) 2016/679 lub art. 27 dyrektywy (UE) 2016/680 (art. 26 ust. 9).

• Uzyskać zezwolenie na zdalną identyfikację biometryczną post factum

  Przy ukierunkowanym poszukiwaniu osoby podejrzanej o popełnienie przestępstwa lub skazanej za nie uzyskaj przed użyciem systemu zdalnej identyfikacji biometrycznej post factum zezwolenie organu sądowego lub organu administracyjnego, którego decyzja jest wiążąca, albo najpóźniej w ciągu 48 godzin. Wyjątkiem jest wstępna identyfikacja potencjalnego podejrzanego na podstawie obiektywnych i weryfikowalnych faktów. Niekierowane użycie jest zakazane, każde użycie dokumentuje się w aktach policji, a organy otrzymują roczne sprawozdania (art. 26 ust. 10).

• Informować osoby, których to dotyczy

  Podmioty wdrażające systemy z załącznika III, które podejmują decyzje dotyczące osób fizycznych lub pomagają w ich podejmowaniu, muszą poinformować te osoby, że jest wobec nich używany system. W przypadku celów ścigania przestępstw stosuje się art. 13 dyrektywy (UE) 2016/680 (art. 26 ust. 11).

• Współpracować z organami

  Współpracuj z właściwymi organami przy wszelkich działaniach, które podejmują w odniesieniu do systemu w celu wykonania rozporządzenia (art. 26 ust. 12).

Jesteś podmiotem wdrażającym, jeśli korzystasz z systemu AI pod własnym nadzorem, bez względu na to, kto go zbudował (art. 3 pkt 4). Firma, która buduje system i sama z niego korzysta, jest zarazem dostawcą i podmiotem wdrażającym, ponieważ oddanie do użytku obejmuje użytek własny (art. 3 pkt 11).

Podmiot wdrażający staje się dostawcą, z obowiązkami z art. 16, w trzech przypadkach (art. 25 ust. 1). Umieszcza swoją nazwę lub znak towarowy na systemie wysokiego ryzyka. Wprowadza istotną zmianę, po której system nadal jest systemem wysokiego ryzyka. Albo zmienia przewidziane zastosowanie systemu tak, że staje się on systemem wysokiego ryzyka. Pierwotny dostawca nie musi współpracować z nowym dostawcą, jeśli jasno określił, że jego system AI nie ma być zmieniany w system AI wysokiego ryzyka (art. 25 ust. 2).

• Terminy stosowania

  Art. 26 obowiązuje od 2 grudnia 2027 w odniesieniu do systemów z załącznika III i od 2 sierpnia 2028 w odniesieniu do systemów z załącznika I (art. 113). System wysokiego ryzyka wprowadzony do obrotu przed datą rozpoczęcia stosowania jest objęty przepisami tylko wtedy, gdy jego konstrukcja zostanie później istotnie zmieniona (art. 111 ust. 2). W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).

• Gdzie art. 26 nie obowiązuje

  Art. 26 nie dotyczy systemów związanych z produktami z załącznika I sekcja B (art. 2 ust. 2), osób fizycznych korzystających z systemów AI w ramach czysto osobistej działalności o charakterze nieprofesjonalnym (art. 2 ust. 10) ani systemów AI wykorzystywanych wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego (art. 2 ust. 3). W przypadku produktów z załącznika I sekcja B art. 57, 58 i 59 stosuje się tylko w zakresie, w jakim wymogi dotyczące systemów AI wysokiego ryzyka włączono do tego unijnego prawodawstwa harmonizacyjnego.

• Art. 26 i art. 27 to odrębne obowiązki

  Art. 26 dotyczy każdego podmiotu wdrażającego system AI wysokiego ryzyka. Art. 27 dodaje ocenę skutków dla praw podstawowych tylko dla niektórych podmiotów: podmiotów prawa publicznego, podmiotów prywatnych świadczących usługi publiczne oraz podmiotów wdrażających systemy oceny zdolności kredytowej lub ubezpieczeń na życie i zdrowotnych. Sam art. 26 nie zawiera takiej oceny.

Scanara nie rozstrzyga, co Państwa dotyczy, i nie wykonuje obowiązków za Państwa. Porządkuje pracę i zapisuje dowody.

• Artykuł 26: obowiązki podmiotu wdrażającego AI wysokiego ryzyka

  Omawia w całości art. 26: obowiązki, rolę podmiotów wdrażających, terminy i kary.

• Artykuł 27: ocena skutków dla praw podstawowych (FRIA)

  Omawia, które podmioty wdrażające muszą ocenić skutki dla praw podstawowych przed pierwszym użyciem.

• Ocena skutków dla praw podstawowych (FRIA) według art. 27

  Omawia, które podmioty wdrażające przeprowadzają FRIA i jak działa ocena w Scanara.