Skip to main content

Artykuł 12 rozporządzenia AI: rejestrowanie zdarzeń

Art. 12 wymaga, aby systemy AI wysokiego ryzyka automatycznie rejestrowały zdarzenia. Ten przewodnik wyjaśnia, co muszą zawierać rejestry zdarzeń, jak je zbudować i jak długo je przechowywać.

Dostawcy systemów AI wysokiego ryzyka muszą projektować je tak, aby automatycznie rejestrowały zdarzenia (rejestry zdarzeń) przez cały cykl życia (art. 12).

Obejmuje systemy wprowadzone do obrotu lub oddane do użytku w UE. Obowiązuje od 2 grudnia 2027 (załącznik III) i od 2 sierpnia 2028 (załącznik I). Dostawcy i podmioty wdrażające (organizacje, które używają systemu; w rozporządzeniu: podmioty stosujące) muszą przechowywać rejestry zdarzeń pod swoją kontrolą co najmniej sześć miesięcy (art. 19 i 26 ust. 6). Prawo Unii lub prawo krajowe może przewidywać inny okres. Kary sięgają 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Następny krok: wypisz zdarzenia, które system musi rejestrować.

Rejestry zdarzeń służą trzem celom, a jeden typ systemu ma stałą treść minimalną

Art. 12 ust. 2 nie podaje listy pól. Wymaga rejestrowania zdarzeń istotnych dla trzech celów, na poziomie identyfikowalności odpowiednim do przewidzianego zastosowania systemu.

Wykrywanie ryzyk i istotnych zmian

Rejestruj zdarzenia pokazujące, kiedy system może stwarzać ryzyko w rozumieniu art. 79 ust. 1 lub zostaje istotnie zmieniony (art. 12 ust. 2 lit. a).

Wsparcie monitorowania po wprowadzeniu do obrotu

Rejestruj zdarzenia, których dostawca potrzebuje do monitorowania systemu po wprowadzeniu go do obrotu (art. 12 ust. 2 lit. b, art. 72).

Wsparcie monitorowania przez podmioty wdrażające

Rejestruj zdarzenia, dzięki którym podmioty wdrażające mogą monitorować działanie systemu (art. 12 ust. 2 lit. c, art. 26 ust. 5).

Treść minimalna przy zdalnej identyfikacji biometrycznej

Systemy zdalnej identyfikacji biometrycznej z załącznika III pkt 1 lit. a, o ile ich wykorzystanie jest dozwolone prawem Unii lub prawem krajowym, muszą rejestrować co najmniej poniższe dane (art. 12 ust. 3). Nie obejmuje to systemów służących wyłącznie do potwierdzenia, że osoba jest tym, za kogo się podaje. Są to okres każdego wykorzystania, sprawdzona referencyjna baza danych, dane wejściowe, które doprowadziły do trafienia, oraz osoby, które zweryfikowały wyniki.

Rozporządzenie nie narzuca formatu rejestru; te praktyki wspierają jego cele

Art. 12 nie wskazuje formatu rejestru ani technologii przechowywania. Poniższe trzy praktyki to typowe decyzje inżynierskie.

Ustrukturyzowane pola

Zapisuj każde zdarzenie jako JSON z zawsze tymi samymi polami: znacznik czasu, typ zdarzenia, ID systemu, ID śladu oraz streszczenie danych wejściowych i wyjściowych.

Magazyn tylko do dopisywania

Przechowuj rejestry tam, gdzie nikt nie może ich później zmienić, na przykład z użyciem S3 Object Lock. Ani art. 12, ani art. 19 tego nie wymaga; chroni to rejestry jako dowód.

ID śladu

Umieszczaj to samo ID śladu w każdym wpisie rejestru jednego żądania, aby śledzić zdarzenie w całym potoku AI.

Dostawcy i podmioty wdrażające przechowują rejestry zdarzeń co najmniej sześć miesięcy, chyba że inne prawo stanowi inaczej

Minimum sześciu miesięcy dotyczy rejestrów zdarzeń pod twoją kontrolą. Prawo Unii lub prawo krajowe, w szczególności prawo o ochronie danych, może przewidywać inny okres. Instytucje finansowe podlegające prawu Unii dotyczącemu usług finansowych w zakresie wewnętrznego zarządzania, ustaleń lub procesów przechowują rejestry w ramach dokumentacji prowadzonej na podstawie tego prawa (art. 19 ust. 2 i art. 26 ust. 6).

Dostawcy: co najmniej 6 miesięcy

Przechowuj rejestry zdarzeń generowane przez twój system AI wysokiego ryzyka, w zakresie, w jakim znajdują się pod twoją kontrolą. Okres musi być odpowiedni do przewidzianego zastosowania i wynosić co najmniej sześć miesięcy, chyba że prawo Unii lub prawo krajowe stanowi inaczej (art. 19 ust. 1).

Podmioty wdrażające: co najmniej 6 miesięcy

Przechowuj rejestry zdarzeń generowane przez system, w zakresie, w jakim znajdują się pod twoją kontrolą. Okres musi być odpowiedni do przewidzianego zastosowania i wynosić co najmniej sześć miesięcy, chyba że prawo Unii lub prawo krajowe stanowi inaczej (art. 26 ust. 6).

Art. 12 dotyczy wyłącznie systemów AI wysokiego ryzyka

System jest systemem wysokiego ryzyka, jeśli należy do obszaru z załącznika III, chyba że ma zastosowanie wyłączenie z art. 6 ust. 3. System, który profiluje osoby fizyczne, jest zawsze systemem wysokiego ryzyka. Jest nim także, jeśli jest produktem objętym załącznikiem I, który wymaga oceny zgodności przez stronę trzecią, lub jego komponentem bezpieczeństwa (art. 6). Dostawcy podlegają przepisom, gdy wprowadzają system do obrotu w UE lub oddają go do użytku w UE, bez względu na miejsce siedziby (art. 2 ust. 1 lit. a). Dostawcy i podmioty wdrażające z państw trzecich również podlegają przepisom, gdy wyniki systemu są wykorzystywane w UE (art. 2 ust. 1 lit. c). Systemy wysokiego ryzyka związane z produktami objętymi aktami z załącznika I sekcja B nie podlegają przepisom art. 12 (art. 2 ust. 2). W przypadku produktów z załącznika I sekcja A niektóre wymogi mogą zostać ograniczone (art. 2 ust. 13). Dotyczy to art. 9–15 i 17–25, jeśli prawo sektorowe zapewnia równoważny lub wyższy poziom ochrony. Akty delegowane, które mają zostać przyjęte do 2 sierpnia 2027, określą które. Rozporządzenie wyłącza zastosowania wojskowe, obronne i związane z bezpieczeństwem narodowym, systemy opracowane wyłącznie do celów badań naukowych oraz badania i testy przed wprowadzeniem do obrotu (art. 2 ust. 3, 6 i 8). Systemy wprowadzone do obrotu lub oddane do użytku przed datą rozpoczęcia stosowania podlegają przepisom tylko po istotnych zmianach konstrukcji. W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).

Częste pytania: istniejące rejestry, RODO i kary

Czy mogę użyć istniejącego systemu rejestrowania?

Tak, jeśli spełnia art. 12. System AI wysokiego ryzyka musi technicznie umożliwiać automatyczne rejestrowanie zdarzeń dla trzech celów z art. 12 ust. 2. Rejestry zdarzeń pod twoją kontrolą trzeba przechowywać co najmniej sześć miesięcy, chyba że prawo Unii lub prawo krajowe stanowi inaczej. Porównaj swoje obecne rejestry z tymi trzema celami i z okresem przechowywania.

Czy art. 12 koliduje z minimalizacją danych w RODO?

Art. 12 nie wskazuje pól z danymi osobowymi, poza identyfikacją osób weryfikujących wyniki w systemach zdalnej identyfikacji biometrycznej (art. 12 ust. 3 lit. d). Obowiązek przechowywania ustępuje prawu o ochronie danych, gdy to prawo stanowi inaczej (art. 19 ust. 1 i art. 26 ust. 6). Jeśli cel na to pozwala, rejestruj identyfikatory i metadane zdarzeń zamiast surowych danych osobowych. Jakie dane osobowe może zawierać rejestr, to pytanie z zakresu RODO do inspektora ochrony danych lub doradcy prawnego.

Jakie są kary i czy MŚP mają niższą górną granicę?

Dla dostawców (art. 16) i podmiotów wdrażających (art. 26) kary sięgają do 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Dla MŚP, w tym przedsiębiorstw typu start-up, i małych spółek o średniej kapitalizacji górną granicą jest niższa z tych dwóch kwot (art. 99 ust. 6 i 6a). Państwa członkowskie ustanawiają przepisy o sankcjach (art. 99 ust. 1).

Czytaj dalej: monitorowanie po wprowadzeniu do obrotu, obowiązki podmiotów wdrażających i ślad audytu

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.