Skip to main content

Dokumentacja techniczna z załącznika IV: dziewięć punktów

Dziewięć punktów załącznika IV rozporządzenia o AI dla dokumentacji technicznej systemów AI wysokiego ryzyka wraz z otaczającymi je zasadami: terminy, przechowywanie, formularz dla MŚP i zakres stosowania.

Załącznik IV wymienia dziewięć punktów, które dokumentacja techniczna systemu AI wysokiego ryzyka musi zawierać co najmniej, stosownie do danego systemu.

Dostawcy muszą ją sporządzić, zanim wprowadzą system do obrotu w UE lub oddadzą go do użytku (art. 11 ust. 1). Obowiązek obowiązuje od 2 grudnia 2027 (systemy z załącznika III) lub 2 sierpnia 2028 (załącznik I). Brak dokumentacji narusza art. 16. Kary sięgają 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego, w zależności od tego, która kwota jest wyższa (art. 99 ust. 4). Pierwszy krok: porównaj swój system z dziewięcioma punktami poniżej.

Grupujemy sześć zasad dotyczących dokumentacji

Przed wprowadzeniem do obrotu lub oddaniem do użytku

Sporządź dokumentację, zanim system zostanie wprowadzony do obrotu lub oddany do użytku, i aktualizuj ją (art. 11 ust. 1).

Przechowuj ją dziesięć lat

Przechowuj dokumentację do dyspozycji organów krajowych przez dziesięć lat od wprowadzenia systemu do obrotu lub oddania go do użytku (art. 18 ust. 1).

Uproszczony formularz dla małych firm

MŚP, w tym przedsiębiorstwa typu start-up, oraz małe spółki o średniej kapitalizacji mogą przedstawić elementy z załącznika IV w uproszczony sposób. Komisja musi ustanowić formularz, a jednostki notyfikowane muszą go akceptować (art. 11 ust. 1). Dla MŚP i małych spółek o średniej kapitalizacji kara jest ograniczona do kwoty niższej (art. 99 ust. 6 i 6a).

Jeden zestaw dla prawa produktowego

Jeśli system dotyczy produktu objętego prawodawstwem z załącznika I sekcji A, sporządź jeden zestaw dokumentacji, który obejmuje także to prawodawstwo (art. 11 ust. 2).

Wybrane granice zakresu stosowania

Załącznik IV stosuje się do systemów AI wysokiego ryzyka objętych zakresem rozporządzenia. Rozporządzenie nie narusza dziedzin spoza prawa Unii i nie ma zastosowania do systemów AI w zakresie, w jakim są wykorzystywane wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego (art. 2 ust. 3), ani do systemów badań naukowych oraz do badań lub testów przed wprowadzeniem do obrotu (art. 2 ust. 6 i 8). Do systemów AI sklasyfikowanych jako wysokiego ryzyka na podstawie art. 6 ust. 1, związanych z produktami z załącznika I sekcji B, stosuje się tylko art. 6 ust. 1, art. 60a i art. 102–112. Art. 57–59 stosuje się tylko w zakresie, w jakim wymogi dla systemów AI wysokiego ryzyka włączono do tego prawodawstwa produktowego (art. 2 ust. 2).

Systemy już obecne na rynku

System wysokiego ryzyka wprowadzony do obrotu lub oddany do użytku przed datą rozpoczęcia stosowania jest objęty przepisami tylko wtedy, gdy jego konstrukcja zostanie później istotnie zmieniona. W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2). Systemy AI będące komponentami wielkoskalowych systemów informatycznych z załącznika X, wprowadzone do obrotu przed 2 sierpnia 2027, muszą spełniać wymogi do 31 grudnia 2030 (art. 111 ust. 1).

Załącznik IV ma dziewięć punktów

Ogólny opis

1

Punkt 1 identyfikuje system: do czego służy, jaka to wersja, gdzie działa i w jakiej formie jest udostępniany.

Czego wymaga załącznik

  • Przeznaczenie, nazwa dostawcy i wersja systemu, w tym jego związek z wcześniejszymi wersjami
  • Jak system współdziała ze sprzętem lub oprogramowaniem, które nie są jego częścią, w stosownych przypadkach
  • Wersje odpowiedniego oprogramowania lub oprogramowania układowego i wymogi dotyczące aktualizacji wersji
  • Wszystkie formy, w jakich system jest wprowadzany do obrotu lub oddawany do użytku, np. pakiety oprogramowania wbudowane w sprzęt, pliki do pobrania lub API
  • Sprzęt, na którym system ma działać
  • W przypadku komponentu produktów: zdjęcia lub ilustracje przedstawiające cechy zewnętrzne, oznakowanie i układ wewnętrzny
  • Podstawowy opis interfejsu użytkownika udostępnianego podmiotowi wdrażającemu
  • Instrukcja obsługi dla podmiotu wdrażającego

Wskazówka praktyczna (niewymagana przez rozporządzenie)

Prowadź ten punkt w pliku z kontrolą wersji obok kodu i aktualizuj go przy każdym wydaniu.

Elementy i proces rozwoju

2

Punkt 2 jest najdłuższy: obejmuje sposób zbudowania, wytrenowania, przetestowania i zabezpieczenia systemu.

Czego wymaga załącznik

  • Metody i etapy rozwoju, w tym wstępnie wytrenowane systemy lub narzędzia osób trzecich oraz sposób ich użycia, zintegrowania lub zmodyfikowania
  • Specyfikacje projektowe: ogólna logika i algorytmy, kluczowe wybory projektowe z uzasadnieniem i założeniami (także co do osób lub grup, wobec których system będzie używany), główne wybory klasyfikacyjne, pod kątem czego system jest optymalizowany i istotność poszczególnych parametrów, oczekiwane wyniki i ich jakość oraz kompromisy przyjęte dla spełnienia wymogów rozdziału III sekcji 2
  • Architektura systemu i zasoby obliczeniowe użyte do rozwoju, trenowania, testowania i walidacji systemu
  • W stosownych przypadkach wymogi dotyczące danych w formie kart danych: metody trenowania, zbiory danych, pochodzenie, zakres, główne cechy, sposób pozyskania i wyboru danych, etykietowanie i czyszczenie
  • Ocena potrzebnych środków nadzoru ze strony człowieka (art. 14), w tym środków technicznych ułatwiających podmiotom wdrażającym interpretację wyników (art. 13 ust. 3 lit. d)
  • W stosownych przypadkach z góry określone zmiany systemu i jego skuteczności działania wraz z rozwiązaniami technicznymi zapewniającymi dalszą zgodność
  • Walidacja i testy: procedury, użyte dane, wskaźniki dokładności, odporności i innych wymogów, potencjalnie dyskryminujące skutki oraz opatrzone datą i podpisane dzienniki i sprawozdania z testów
  • Wdrożone środki cyberbezpieczeństwa

Wskazówka praktyczna (niewymagana przez rozporządzenie)

Pobierz architekturę i listy zależności z repozytorium i dodaj uzasadnienia, które zna tylko Twój zespół.

Monitorowanie, funkcjonowanie i kontrola

3

Punkt 3 określa, co system potrafi, a czego nie, oraz jakie wynikają z tego ryzyka i środki nadzoru.

Czego wymaga załącznik

  • Możliwości i ograniczenia skuteczności działania, w tym dokładność dla określonych osób lub grup oraz ogólna oczekiwana dokładność w odniesieniu do przeznaczenia
  • Dające się przewidzieć niezamierzone skutki i źródła ryzyka dla zdrowia i bezpieczeństwa, praw podstawowych i dyskryminacji
  • Środki nadzoru ze strony człowieka (art. 14), w tym środki techniczne ułatwiające podmiotom wdrażającym interpretację wyników
  • Specyfikacje danych wejściowych, w stosownych przypadkach

Wskazówka praktyczna (niewymagana przez rozporządzenie)

Zapisuj zmierzoną dokładność dla każdej grupy razem z testem, który ją wykazał.

Wskaźniki skuteczności działania

4

Punkt 4 wymaga opisu, dlaczego wskaźniki skuteczności działania są odpowiednie. Same wskaźniki należą do punktu 2.

Czego wymaga załącznik

  • Opis tego, dlaczego wskaźniki skuteczności działania są odpowiednie dla tego konkretnego systemu AI

System zarządzania ryzykiem

5

Punkt 5 odsyła do systemu zarządzania ryzykiem z art. 9.

Czego wymaga załącznik

  • Szczegółowy opis systemu zarządzania ryzykiem zgodnie z art. 9

Zmiany w cyklu życia

6

Punkt 6 utrzymuje aktualność dokumentacji: rejestruje, co zmieniło się po pierwszym wydaniu.

Czego wymaga załącznik

  • Opis istotnych zmian wprowadzonych przez dostawcę w systemie w trakcie jego cyklu życia

Wskazówka praktyczna (niewymagana przez rozporządzenie)

Korzystaj z notatek wydań i historii git i oznacz, które zmiany były z góry określone (pkt 2 lit. f).

Normy i inne rozwiązania

7

Punkt 7 wskazuje normy, na których się oparto, lub wyjaśnia własne rozwiązania.

Czego wymaga załącznik

  • Wykaz norm zharmonizowanych zastosowanych w całości lub w części, do których odniesienia opublikowano w Dzienniku Urzędowym Unii Europejskiej
  • Jeżeli takich norm nie zastosowano: szczegółowy opis rozwiązań przyjętych w celu spełnienia wymogów rozdziału III sekcji 2 wraz z wykazem innych zastosowanych norm i specyfikacji technicznych

Deklaracja zgodności UE

8

Punkt 8 dołącza deklarację zgodności.

Czego wymaga załącznik

  • Kopia deklaracji zgodności UE (art. 47)

Ocena po wprowadzeniu do obrotu

9

Punkt 9 łączy dokumentację z monitorowaniem po wprowadzeniu do obrotu.

Czego wymaga załącznik

  • Szczegółowy opis systemu oceny skuteczności działania po wprowadzeniu do obrotu (art. 72)
  • Plan monitorowania po wprowadzeniu do obrotu (art. 72 ust. 3)

Co Scanara robi dla dokumentacji z załącznika IV

Scanara sprawdza, czy Twoje dokumenty zgodności zawierają wymaganą treść. Nie sprawdza, czy ta treść jest prawdziwa.

Projekty dokumentacji z załącznika IV

Scanara generuje dokumenty z załącznika IV na podstawie Twoich danych i odpowiedzi w ocenach. Ty je sprawdzasz i uzupełniasz. Projekt nie jest automatycznie dokładny ani kompletny.

Dowody z wersjami

Scanara zachowuje wersje i znaczniki czasu dokumentów oraz odpowiedzi w ocenach, na których się opierają.

Najczęstsze pytania o załącznik IV

Jak długo muszę przechowywać dokumentację techniczną?

Przez dziesięć lat od wprowadzenia systemu AI do obrotu lub oddania go do użytku, do dyspozycji właściwych organów krajowych (art. 18 ust. 1).

Czy MŚP mogą używać uproszczonej dokumentacji?

Tak. MŚP, w tym przedsiębiorstwa typu start-up, oraz małe spółki o średniej kapitalizacji mogą przedstawić elementy z załącznika IV w uproszczony sposób. Komisja musi ustanowić formularz, a jednostki notyfikowane muszą go akceptować do oceny zgodności (art. 11 ust. 1).

Co wymaga aktualizacji dokumentacji?

Dokumentację trzeba aktualizować (art. 11 ust. 1). Istotna zmiana, czyli zmiana niewzięta pod uwagę ani niezaplanowana w pierwotnej ocenie zgodności, która wpływa na zgodność lub przeznaczenie (art. 3 pkt 23), wymaga nowej oceny zgodności (art. 43 ust. 4). Z góry określone i udokumentowane zgodnie z pkt 2 lit. f załącznika IV zmiany systemu, który stale się uczy, nie są istotnymi zmianami.

Czytaj dalej: art. 11, załącznik III i inwentarz AI

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.