Twój klient z UE pyta o dokumentację unijnego aktu o AI
Praktyczny przewodnik po odpowiadaniu na zapytania o dokumentację unijnego aktu o AI od klientów korporacyjnych: czego potrzebują i jak odpowiedzieć.
Najważniejsze wnioski
- 1.Podmioty wdrażające (w rozporządzeniu: podmioty stosujące), czyli klienci używający Państwa systemu AI wysokiego ryzyka, muszą go używać zgodnie z Państwa instrukcją obsługi (art. 26).
- 2.Proszę odpowiedzieć pakietem: klasyfikacja ryzyka, instrukcja obsługi, streszczenie dokumentacji technicznej oraz informacje o rejestrowaniu zdarzeń i monitorowaniu. W przypadku systemu wysokiego ryzyka należy dodać unijną deklarację zgodności (art. 47). To Państwa podpisane oświadczenie, że system spełnia art. 8–15.
- 3.Nie należy twierdzić, że system jest zgodny, jeśli nie można tego udokumentować. Proszę powiedzieć, co Państwo mają i kiedy pojawi się reszta.
- 4.Pakiet przygotować raz i używać go ponownie. Weryfikować go po każdym wydaniu i po każdej zmianie systemu lub jego przewidzianego zastosowania. Przewidziane zastosowanie to użycie, które Państwo jako dostawca określają (art. 3 pkt 12).
Klient z UE może napisać: „Czy mogą Państwo przekazać dokumentację pokazującą, jak Państwa system AI spełnia wymogi unijnego aktu o AI?”. Mogą otrzymać takie zapytanie dostawcy, którzy sprzedają firmom z UE. Podmioty wdrażające potrzebują od nich informacji (art. 13: instrukcja obsługi; art. 26: obowiązki podmiotów wdrażających).
Odpowiedź zależy od klasy ryzyka systemu, więc najpierw należy sprawdzić klasę. Art. 8–27 zawierają wymogi dotyczące wysokiego ryzyka i obowiązki dostawców oraz podmiotów wdrażających. Mają one zastosowanie do systemów z załącznika III (listy zastosowań wysokiego ryzyka w rozporządzeniu) od 2 grudnia 2027 r. Mają zastosowanie do systemów z załącznika I (listy unijnych przepisów o produktach) od 2 sierpnia 2028 r. Załącznik I sekcja B wymienia pozostałe unijne przepisy o produktach, na przykład dotyczące ochrony lotnictwa cywilnego, pojazdów rolniczych i leśnych oraz wyposażenia morskiego. Art. 8–27 nie mają zastosowania do systemów wysokiego ryzyka związanych z produktami objętymi tymi przepisami (art. 2 ust. 2). Dotyczy to systemów sklasyfikowanych jako systemy wysokiego ryzyka na podstawie art. 6 ust. 1. Rozporządzenie (UE) 2026/1744 zmieniło art. 113, aby określić obie daty, i zastąpiło art. 2 ust. 2. Bez Państwa instrukcji obsługi podmioty wdrażające nie mogą używać systemu zgodnie z art. 26 ust. 1.
Dlaczego Państwa klient z UE pyta
Podmioty wdrażające systemy AI wysokiego ryzyka mają własne obowiązki. Między innymi art. 26 wymaga od nich, aby:
- używały systemu tak, jak wskazuje instrukcja obsługi dostawcy (art. 26 ust. 1)
- powierzyły nadzór ze strony człowieka osobom mającym niezbędne kompetencje, przeszkolenie i uprawnienia (art. 26 ust. 2)
- monitorowały działanie systemu (art. 26 ust. 5)
- zgłaszały ryzyko dostawcy lub dystrybutorowi oraz organowi nadzoru rynku, a o poważnym incydencie informowały najpierw dostawcę (art. 26 ust. 5)
- wstrzymywały używanie systemu, który stwarza ryzyko (art. 26 ust. 5)
- przechowywały rejestry zdarzeń pozostające pod ich kontrolą przez co najmniej sześć miesięcy, o ile inne przepisy nie stanowią inaczej (art. 26 ust. 6)
Art. 27 dodaje obowiązek oceny skutków dla praw podstawowych przed pierwszym użyciem. Dotyczy podmiotów prawa publicznego, podmiotów prywatnych świadczących usługi publiczne oraz podmiotów wdrażających systemy oceny zdolności kredytowej lub ubezpieczeń na życie i zdrowotnych. Nie dotyczy systemów z załącznika III pkt 2 (infrastruktura krytyczna).
Art. 13 ust. 2 wymaga od Państwa dołączenia instrukcji obsługi do systemu wysokiego ryzyka.
Proszę wysłać do pięciu dokumentów
Spośród tych dokumentów do podmiotów wdrażających musi trafić tylko instrukcja obsługi (art. 13 ust. 2). Unijną deklarację zgodności przechowuje się do dyspozycji właściwych organów krajowych (art. 47 ust. 1). Pozostałe elementy to nasza propozycja tego, co można zaoferować klientom.
Oświadczenie o klasyfikacji ryzyka
Oświadczenie o klasie ryzyka Państwa systemu na podstawie rozporządzenia: zakazany (art. 5), wysokiego ryzyka (art. 6), z obowiązkami przejrzystości (art. 50) albo żadne z tych. Proszę dodać uzasadnienie odwołujące się w stosownych przypadkach do załącznika III.
Instrukcja obsługi
Art. 13 ust. 3 wymienia minimalną treść instrukcji obsługi systemu wysokiego ryzyka. Obejmuje ona tożsamość dostawcy, przewidziane zastosowanie, przetestowane poziomy dokładności, solidności i cyberbezpieczeństwa, znane ryzyka, środki nadzoru ze strony człowieka, oczekiwany okres eksploatacji i konserwację. Jeśli Państwa podręcznik użytkownika pełni rolę instrukcji obsługi, proszę sprawdzić, czy obejmuje każdy punkt art. 13 ust. 3. Jeśli nie, należy dodać osobny dokument.
Streszczenie dokumentacji technicznej
Załącznik IV to lista tego, co musi zawierać dokumentacja techniczna. Pełna dokumentacja jest przeznaczona dla krajowych organów właściwych i jednostek notyfikowanych (art. 11 ust. 1). Jednostka notyfikowana to podmiot oceniający zgodność, notyfikowany zgodnie z rozporządzeniem i innymi właściwymi unijnymi przepisami harmonizacyjnymi (art. 3 pkt 22). Sugerujemy udostępnienie streszczenia, aby podmiot wdrażający zobaczył, że pełna dokumentacja istnieje i co obejmuje.
Informacje o rejestrowaniu zdarzeń i monitorowaniu
Podmioty wdrażające muszą wiedzieć, co rejestruje Państwa system i jak mogą uzyskać dostęp do rejestrów, ponieważ muszą przechowywać rejestry pozostające pod ich kontrolą (art. 26 ust. 6). W stosownych przypadkach instrukcja obsługi musi opisywać mechanizmy, które umożliwiają podmiotom wdrażającym zbieranie, przechowywanie i interpretowanie rejestrów (art. 13 ust. 3 lit. f).
Unijna deklaracja zgodności (systemy wysokiego ryzyka)
W przypadku systemów wysokiego ryzyka dostawca sporządza unijną deklarację zgodności (art. 47). Stwierdza ona, że system spełnia wymogi art. 8–15 (art. 47 ust. 2). Ocena zgodności to proces wykazywania, czy te wymogi są spełnione (art. 3 pkt 20). Jeśli ocena jeszcze trwa, należy to powiedzieć i podać przewidywaną datę jako szacunek.
Najpierw potwierdzić odbiór, potem wysłać pełny pakiet
W pierwszej odpowiedzi potwierdzić otrzymanie zapytania i podać terminy, których można dotrzymać
Pełny pakiet wysłać, gdy jest gotowy
Nie składać twierdzeń, których nie można uzasadnić
Powiązane lektury
Źródła i odniesienia
Często zadawane pytania
Jakich dokumentów potrzebuje klient z UE od dostawcy AI?
To zależy od systemu. W przypadku systemu wysokiego ryzyka podmioty wdrażające potrzebują instrukcji obsługi (art. 13), w tym informacji o rejestrowaniu zdarzeń i nadzorze ze strony człowieka. Zalecamy, by zaoferować też klasyfikację ryzyka, streszczenie dokumentacji technicznej z załącznika IV i unijną deklarację zgodności (art. 47). Dostawcy muszą projektować systemy AI wchodzące w bezpośrednią interakcję z ludźmi tak, aby ludzie byli o tym informowani, chyba że jest to oczywiste (art. 50 ust. 1).
Czym jest załącznik IV unijnego aktu o AI?
Załącznik IV wymienia dziewięć minimalnych punktów dokumentacji technicznej systemu AI wysokiego ryzyka. Punkty 1–5: ogólny opis; proces opracowywania i projekt; monitorowanie i kontrola; adekwatność wskaźników skuteczności działania; system zarządzania ryzykiem. Punkty 6–9: zmiany w cyklu życia; zastosowane normy; unijna deklaracja zgodności; system monitorowania po wprowadzeniu do obrotu.
Co powinna zawierać moja pierwsza odpowiedź na prośbę o dokumentację wymaganą przez unijny akt o AI?
Należy wysłać pierwszą odpowiedź, która potwierdza odbiór prośby, mówi, jakie dokumenty można wysłać, i podaje terminy, których można dotrzymać. Terminy ustalać na piśmie.
Czy mogę użyć tego samego pakietu dokumentacji dla więcej niż jednego klienta z UE?
Tak, w zakresie, w jakim system i jego przewidziane zastosowanie są takie same. Przewidziane zastosowanie to to, które Państwo określają (art. 3 pkt 12). Pakiet należy weryfikować po każdym wydaniu i po każdej zmianie systemu lub jego przewidzianego zastosowania.
Co, jeśli nie mam jeszcze dokumentacji technicznej (załącznik IV)?
Należy to powiedzieć. Proszę poinformować klienta, jakie dokumenty Państwo mają i kiedy pojawi się reszta. Dokumentacja techniczna musi istnieć przed wprowadzeniem systemu wysokiego ryzyka do obrotu lub oddaniem go do użytku (art. 11 ust. 1). Art. 8–27 mają zastosowanie do systemów z załącznika III od 2 grudnia 2027 r. i do systemów z załącznika I od 2 sierpnia 2028 r. Załącznik I sekcja B wymienia pozostałe unijne przepisy o produktach. W przypadku systemów wysokiego ryzyka związanych z produktami objętymi tym prawodawstwem art. 8–27 nie mają zastosowania (art. 2 ust. 2). Dotyczy to systemów sklasyfikowanych jako systemy wysokiego ryzyka na podstawie art. 6 ust. 1. Rozporządzenie (UE) 2026/1744 zmieniło art. 113, aby określić obie daty, i zastąpiło art. 2 ust. 2.
Scanara przygotowuje dowody na podstawie Państwa repozytoriów
Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.