Skip to main content

Artykuł 10: zarządzanie danymi dla AI wysokiego ryzyka

Artykuł 10 AI Act: kryteria jakości i zarządzanie danymi treningowymi, walidacyjnymi i testowymi systemów AI wysokiego ryzyka oraz zasada art. 4a dotycząca korygowania stronniczości.

Dostawcy systemów AI wysokiego ryzyka, które trenują modele AI, muszą stosować zbiory danych treningowych, walidacyjnych i testowych spełniające kryteria jakości (art. 10 ust. 1). Te zbiory danych podlegają praktykom zarządzania danymi, np. badaniu stronniczości (art. 10 ust. 2).

Przepis obowiązuje od 2 grudnia 2027 dla systemów z załącznika III (wykaz zastosowań wysokiego ryzyka). Dla produktów z załącznika I obowiązuje od 2 sierpnia 2028 (art. 113 lit. c). Produkty z sekcji B są wyłączone (art. 2 ust. 2). Kary za naruszenie sięgają 15 mln EUR lub 3 % światowego rocznego obrotu, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Następny krok: zapisz pochodzenie każdego zbioru danych i kontrole stronniczości.

Art. 10 ust. 2 wymienia osiem praktyk, zgrupowanych tu w pięciu obszarach

Wybory projektowe i pochodzenie danych

Praktyki muszą obejmować istotne wybory projektowe, sposób zbierania danych, ich pochodzenie oraz, w przypadku danych osobowych, pierwotny cel ich zbierania (art. 10 ust. 2 lit. a i b).

Przygotowanie danych

Uregluj adnotację, etykietowanie, czyszczenie, aktualizację, wzbogacanie i agregację (art. 10 ust. 2 lit. c).

Założenia i przydatność

Określ, co dane mają mierzyć i przedstawiać, i oceń, czy dostępna jest wystarczająca ilość odpowiednich danych (art. 10 ust. 2 lit. d i e).

Badanie stronniczości i środki

Zbadaj dane pod kątem stronniczości, która może wpływać na zdrowie i bezpieczeństwo, naruszać prawa podstawowe lub prowadzić do zakazanej dyskryminacji. Przyjmij środki, by ją wykrywać, jej zapobiegać i ją ograniczać (art. 10 ust. 2 lit. f i g).

Luki i niedociągnięcia w danych

Wskaż luki lub niedociągnięcia, które uniemożliwiają zgodność z rozporządzeniem, i sposób ich usunięcia (art. 10 ust. 2 lit. h).

Jeśli system AI wysokiego ryzyka nie trenuje modeli AI, te zasady dotyczą tylko jego zbiorów danych testowych (art. 10 ust. 6).

Zbiory danych muszą spełniać trzy kryteria jakości

Odpowiednie, reprezentatywne, bez błędów, kompletne

Zbiory danych muszą być adekwatne, wystarczająco reprezentatywne oraz w jak największym stopniu wolne od błędów i kompletne w świetle przeznaczenia (art. 10 ust. 3).

Właściwe cechy statystyczne

Muszą mieć odpowiednie właściwości statystyczne, także w odniesieniu do osób lub grup osób, wobec których system ma być wykorzystywany (art. 10 ust. 3).

Dopasowane do otoczenia

Muszą odzwierciedlać geograficzne, kontekstowe, behawioralne lub funkcjonalne otoczenie wykorzystania, w zakresie wymaganym przez przeznaczenie (art. 10 ust. 4).

Cztery praktyki inżynierskie, które dostarczają dowodów dla art. 10

Art. 10 nie narzuca narzędzi. Te cztery praktyki to propozycje dokumentowania zarządzania danymi.

Dokumentacja zbiorów danych jako kod

Trzymaj specyfikacje zbiorów danych, metody zbierania i kroki przygotowania w plikach pod kontrolą wersji obok kodu systemu AI.

Testy stronniczości i dryfu w CI/CD

Uruchamiaj w potoku kontrole stronniczości dla każdej wersji zbioru danych oraz testy dryfu danych.

Śledzenie pochodzenia danych

Śledź źródła, przekształcenia i wersje, by móc wykazać, skąd pochodzi każdy zbiór danych (art. 10 ust. 2 lit. b).

Karty zbiorów danych z wersjami

Zapisuj dla każdej wersji zbioru danych skład, metodę zbierania, znane ograniczenia i wyniki badania stronniczości.

Art. 4a pozwala na szczególne kategorie danych do korygowania stronniczości, pod ścisłymi warunkami

Dostawcy systemów AI wysokiego ryzyka mogą wyjątkowo przetwarzać szczególne kategorie danych osobowych, gdy jest to absolutnie niezbędne do wykrywania i korygowania stronniczości zgodnie z art. 10 ust. 2 lit. f i g (art. 4a ust. 1). Muszą być spełnione wszystkie warunki. Wśród nich: inne dane, także syntetyczne lub zanonimizowane, nie wystarczają; dane podlegają technicznym ograniczeniom ponownego wykorzystania i ścisłej kontroli dostępu oraz nie są przekazywane innym podmiotom; są usuwane po skorygowaniu stronniczości lub po upływie okresu przechowywania. Te warunki obowiązują obok RODO. Art. 4a ust. 2 rozszerza to na podmioty wdrażające systemy AI wysokiego ryzyka oraz na dostawców i podmioty wdrażające inne systemy i modele AI, gdy przetwarzanie jest absolutnie niezbędne i stosuje się wszystkie warunki i zabezpieczenia z art. 4a ust. 1. Nie tworzy obowiązku wykrywania ani korygowania stronniczości.

Art. 4a dodano rozporządzeniem (UE) 2026/1744. Zastępuje on dawny art. 10 ust. 5.

Najczęstsze pytania o art. 10

Czy art. 10 obowiązuje, jeśli dostrajam model AI ogólnego przeznaczenia?

Tak, w odniesieniu do zbiorów danych, na których trenujesz, walidujesz i testujesz swój system AI wysokiego ryzyka (art. 10 ust. 1). Rozporządzenie nie mówi, czy art. 10 obejmuje też pierwotne dane treningowe modelu bazowego. Zapytaj doradcę prawnego i zażądaj informacji o modelu, które dostawca modelu AI ogólnego przeznaczenia musi udostępniać dostawcom niższego szczebla (art. 53 ust. 1 lit. b).

Co znaczy „wystarczająco reprezentatywne”?

Art. 10 ust. 3 wymaga, by zbiory danych były wystarczająco reprezentatywne w świetle przeznaczenia i miały odpowiednie właściwości statystyczne, także w odniesieniu do osób lub grup osób, wobec których system jest wykorzystywany. Art. 10 ust. 4 dodaje geograficzne, kontekstowe, behawioralne lub funkcjonalne otoczenie wykorzystania. Rozporządzenie nie podaje progu liczbowego.

Czy muszę używać danych syntetycznych?

Nie. Dane syntetyczne nie są obowiązkowe. Art. 4a ust. 1 wymaga jednak, by wykrywanie i korygowanie stronniczości nie mogło być skutecznie przeprowadzone na innych danych, także syntetycznych lub zanonimizowanych, zanim przetworzysz szczególne kategorie danych osobowych.

Co z zewnętrznymi zbiorami danych?

Art. 10 dotyczy zbiorów danych używanych dla Twojego systemu, niezależnie od tego, kto je stworzył. Udokumentuj ich pochodzenie (art. 10 ust. 2 lit. b) i sam zbadaj je pod kątem stronniczości (art. 10 ust. 2 lit. f).

Jak art. 10 odnosi się do RODO?

Art. 10 obowiązuje obok RODO. Art. 4a ustala warunki przetwarzania szczególnych kategorii danych osobowych do korygowania stronniczości, dodatkowo do RODO (art. 4a ust. 1). Art. 4a ust. 2 rozszerza wyjątek na podmioty wdrażające oraz na inne systemy i modele AI.

Jaka kara grozi, jeśli dostawca naruszy art. 10?

Kary za naruszenie obowiązków dostawców z art. 16 sięgają 15 mln EUR lub 3 % całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Dla MŚP i małych spółek o średniej kapitalizacji granicą jest niższa z tych dwóch kwot (art. 99 ust. 6 i 6a).

Czytaj dalej: zarządzanie ryzykiem, dokumentacja i dokładność

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.