Art. 12 dla AI w fintechu: rejestrowanie zdarzeń i rejestry

Art. 12 nakłada na dostawcę obowiązek projektowy. Przechowywanie rejestrów to odrębny obowiązek, opisany w wierszach poniżej.

• art. 12(1)
  Automatyczne rejestrowanie zdarzeń w całym cyklu życia

  Systemy AI wysokiego ryzyka muszą dysponować technicznymi możliwościami automatycznego rejestrowania zdarzeń (rejestrów zdarzeń) w całym cyklu życia systemu.

• art. 12(2)
  Identyfikowalność stosowna do przeznaczenia

  Funkcja rejestrowania zdarzeń musi zapewniać poziom identyfikowalności funkcjonowania systemu stosowny ze względu na jego przeznaczenie. Musi umożliwiać rejestrowanie zdarzeń istotnych dla trzech celów. Pierwszy to identyfikowanie sytuacji, które mogą skutkować ryzykiem w rozumieniu art. 79 ust. 1 lub prowadzić do istotnej zmiany. Drugi to ułatwianie monitorowania po wprowadzeniu do obrotu (art. 72). Trzeci to monitorowanie działania systemu (art. 26 ust. 5).

• art. 12(3)
  Minimalna zawartość rejestrów: tylko zdalna identyfikacja biometryczna

  Art. 12 ust. 3 wymienia minimalną zawartość rejestrów dla systemów wysokiego ryzyka z pkt 1 lit. a) załącznika III (zdalna identyfikacja biometryczna). Nie dotyczy systemów scoringu kredytowego ani ubezpieczeniowych, dla których rozporządzenie nie wskazuje minimalnych pól rejestru.

Art. 12 dotyczy wyłącznie systemów AI wysokiego ryzyka. Poniższe wiersze pokazują, kiedy AI w fintechu staje się systemem wysokiego ryzyka i kto przechowuje rejestry.

• Fintech nie jest kategorią w rozporządzeniu

  Rozporządzenie nie zna kategorii „fintech”. Ta strona używa tego słowa dla AI, która podlega rozporządzeniu przez dwa zastosowania z załącznika III pkt 5. Pkt 5 lit. b) obejmuje systemy AI przeznaczone do wykorzystywania do celów oceny zdolności kredytowej osób fizycznych lub ustalenia ich scoringu kredytowego. Przewiduje wyjątek dla systemów AI wykorzystywanych w celu wykrywania oszustw finansowych. Pkt 5 lit. c) obejmuje systemy AI przeznaczone do wykorzystywania przy ocenie ryzyka i ustalaniu cen w odniesieniu do osób fizycznych w przypadku ubezpieczenia na życie i ubezpieczenia zdrowotnego. Pkt 5 nie wymienia wykrywania oszustw ani kontroli w zakresie przeciwdziałania praniu pieniędzy czy „poznaj swojego klienta”. Nie wymienia też handlu algorytmicznego, robodoradztwa, ubezpieczeń innych niż na życie, likwidacji szkód ani decyzji kredytowych dotyczących osób prawnych. System do jednego z tych zastosowań jest systemem wysokiego ryzyka tylko wtedy, gdy obejmuje go inny punkt załącznika III lub załącznik I.

• Art. 6 ust. 3 może wyłączyć system z załącznika III

  System objęty pkt 5 lit. b) lub pkt 5 lit. c) jest systemem wysokiego ryzyka na podstawie art. 6 ust. 2. Zgodnie z art. 6 ust. 3 nie jest nim, jeżeli nie stwarza znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych. Obejmuje to brak znaczącego wpływu na wynik procesu decyzyjnego. Wyjątek ten stosuje się, gdy spełniony jest którykolwiek z następujących warunków (art. 6 ust. 3 lit. a)–d)). System jest przeznaczony do wykonywania wąsko określonego zadania proceduralnego. Albo jest przeznaczony do poprawienia wyniku zakończonej uprzednio czynności wykonywanej przez człowieka. Albo jest przeznaczony do wykrywania wzorców podejmowania decyzji lub odstępstw od wzorców podjętych uprzednio decyzji. Nie ma on na celu zastąpienia ani wywarcia wpływu na zakończoną uprzednio ocenę dokonaną przez człowieka bez odpowiedniej weryfikacji przez człowieka. Albo jest przeznaczony do wykonywania zadań przygotowawczych w kontekście oceny istotnej z punktu widzenia przypadków wykorzystania wymienionych w załączniku III. To, jak te warunki łączą się z testem znaczącego ryzyka, jest pytaniem do prawnika. System zawsze jest systemem wysokiego ryzyka, jeżeli dokonuje profilowania osób fizycznych. Profilowanie definiuje art. 4 pkt 4 RODO (art. 3 pkt 52). To, czy dany system scoringu lub ustalania cen go dokonuje, również jest pytaniem do prawnika. Dostawca, który powołuje się na wyjątek, dokumentuje swoją ocenę przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku. Musi też zarejestrować system (art. 6 ust. 4, art. 49 ust. 2).

• Dostawca i podmiot wdrażający

  Dostawca rozwija system AI lub zleca jego rozwój i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym (art. 3 pkt 3). Oddanie do użytku obejmuje dostarczenie systemu do użytku własnego dostawcy (art. 3 pkt 11). Bank lub ubezpieczyciel, który rozwija system i oddaje go do użytku pod własną nazwą, jest więc dostawcą. Bank lub ubezpieczyciel, który wykorzystuje system, nad którym sprawuje kontrolę, jest podmiotem wdrażającym (w rozporządzeniu: podmiot stosujący; art. 3 pkt 4). Podmiot wdrażający staje się dostawcą w trzech przypadkach. Umieszcza swoją nazwę lub znak towarowy na systemie wysokiego ryzyka już wprowadzonym do obrotu, bez uszczerbku dla ustaleń umownych przewidujących, że podział obowiązków następuje w inny sposób. Wprowadza istotną zmianę w takim systemie, po której pozostaje on systemem wysokiego ryzyka. Albo zmienia przeznaczenie systemu niebędącego systemem wysokiego ryzyka tak, że staje się on takim systemem (art. 25 ust. 1). Dostawcy, który pierwotnie wprowadził system do obrotu lub oddał go do użytku, nie uznaje się wtedy już za dostawcę tego konkretnego systemu i musi on ściśle współpracować z nowym dostawcą (art. 25 ust. 2). Nie dotyczy to sytuacji, gdy pierwotny dostawca wyraźnie określił, że jego system nie może zostać zmieniony w system AI wysokiego ryzyka.

• Dostawcy przechowują rejestry pod swoją kontrolą

  Dostawcy muszą przechowywać rejestry generowane automatycznie przez ich systemy wysokiego ryzyka, w zakresie, w jakim rejestry te znajdują się pod ich kontrolą (art. 19 ust. 1). Bez uszczerbku dla mającego zastosowanie prawa Unii lub prawa krajowego okres musi być stosowny ze względu na przeznaczenie i wynosić co najmniej sześć miesięcy. Może być inny, jeżeli stanowi tak prawo Unii lub prawo krajowe, w szczególności dotyczące ochrony danych osobowych.

• Podmioty wdrażające przechowują rejestry pod swoją kontrolą

  Podmioty wdrażające muszą przechowywać rejestry generowane automatycznie przez system, w zakresie, w jakim rejestry te znajdują się pod ich kontrolą (art. 26 ust. 6). Okres musi być stosowny ze względu na przeznaczenie i wynosić co najmniej sześć miesięcy. Może być inny, jeżeli stanowi tak mające zastosowanie prawo Unii lub prawo krajowe, w szczególności dotyczące ochrony danych osobowych.

• Instytucje finansowe: rejestry jako część dokumentacji prowadzonej na podstawie prawa finansowego

  Dotyczy to dostawców będących instytucjami finansowymi, które podlegają wymogom dotyczącym ich zarządzania wewnętrznego, uzgodnień lub procedur na podstawie prawa Unii dotyczącego usług finansowych. Prowadzą one rejestry jako część dokumentacji prowadzonej na podstawie tego prawa (art. 19 ust. 2). To samo robią podmioty wdrażające będące takimi instytucjami finansowymi (art. 26 ust. 6 akapit drugi). Rozporządzenie nie wskazuje żadnego konkretnego prawa dotyczącego usług finansowych.

• Terminy

  Wymogi dla tych zastosowań z załącznika III stosuje się od 2 grudnia 2027 (art. 113 akapit trzeci lit. c) ppkt (i)). System wprowadzony do obrotu lub oddany do użytku przed tą datą jest objęty rozporządzeniem tylko wtedy, gdy po niej jego projekt ulegnie istotnym zmianom. W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).

• Kary pieniężne

  Dostawcy muszą zapewnić, aby ich systemy AI wysokiego ryzyka spełniały wymogi sekcji 2 rozdziału III, która obejmuje art. 9–15 (art. 16 lit. a)). Naruszenie obowiązków dostawców z art. 16 lub obowiązków podmiotów wdrażających z art. 26 może skutkować karą pieniężną. Kara wynosi do 15 mln EUR lub, w przypadku przedsiębiorstwa, do 3 % jego całkowitego światowego obrotu rocznego z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4 lit. a) i e)). Dla MŚP, w tym przedsiębiorstw typu start-up, każda kara jest ograniczona do niższej z tych kwot (art. 99 ust. 6). To samo dotyczy małych spółek o średniej kapitalizacji (art. 3 pkt 14b, art. 99 ust. 6a). Każde państwo członkowskie ustanawia przepisy dotyczące określenia, w jakim zakresie na organy i podmioty publiczne ustanowione w tym państwie członkowskim można nakładać administracyjne kary pieniężne (art. 99 ust. 8).

• Zakres rozporządzenia i jego granice

  Rozporządzenie stosuje się do dostawców i podmiotów wdrażających, którzy mają siedzibę lub znajdują się w państwie trzecim, w przypadku gdy wyniki wytworzone przez system AI są wykorzystywane w Unii (art. 2 ust. 1 lit. c)). Nie stosuje się go do obszarów wykraczających poza zakres stosowania prawa Unii i nie wpływa ono na kompetencje państw członkowskich w zakresie bezpieczeństwa narodowego (art. 2 ust. 3). Rozporządzenia nie stosuje się do systemów AI lub modeli AI, w tym ich wyników, specjalnie rozwiniętych i oddanych do użytku wyłącznie do celów badań naukowych i rozwojowych (art. 2 ust. 6). Nie stosuje się go do działalności badawczej, testowej ani rozwojowej przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku. Wyłączenie to nie obejmuje testów w warunkach rzeczywistych (art. 2 ust. 8). Systemy AI udostępniane na podstawie bezpłatnych licencji otwartego oprogramowania są poza zakresem rozporządzenia. Wyłączenie to nie ma zastosowania, jeżeli są one wprowadzane do obrotu lub oddawane do użytku jako systemy AI wysokiego ryzyka albo objęte art. 5 lub 50 (art. 2 ust. 12).

• Brak pól rejestru i okresu przechowywania dla fintechu

  Poza zasadą „co najmniej sześć miesięcy, o ile nie przewidziano inaczej” rozporządzenie nie wskazuje pól rejestru, formatu ani okresu przechowywania. Nie wskazuje ich dla scoringu kredytowego ani ustalania cen ubezpieczeń (art. 19 ust. 1, art. 26 ust. 6). Inne prawo Unii lub prawo krajowe może stanowić inaczej. Samo rozporządzenie nie wskazuje żadnej normy zharmonizowanej. Dla systemów AI wysokiego ryzyka zgodnych z normami zharmonizowanymi, do których odniesienia opublikowano w Dzienniku Urzędowym, domniemuje się zgodność z wymogami sekcji 2 w zakresie, w jakim normy te je obejmują (art. 40 ust. 1). Komisja ma opracować wytyczne dotyczące praktycznego stosowania wymogów i obowiązków z art. 8–15, 25 i 26 (art. 96 ust. 1 lit. a)).

• Przykład: co może zawierać rejestr scoringu

  Przykład, a nie wymóg rozporządzenia: dostawca systemu scoringu kredytowego mógłby zapisywać przy każdym przebiegu scoringu wersję modelu, odniesienie do danych wejściowych i wynik. Nieoczekiwany wynik można wtedy prześledzić.

• Przykład: rejestry mogą zawierać dane osobowe

  Przykład, a nie wymóg rozporządzenia: rejestry przebiegów scoringu mogą zawierać dane osobowe wnioskodawców. Dostawca mógłby ustalić z prawnikiem zajmującym się ochroną danych, jakie pola przechowywać i jak długo. Decyzja musi respektować minimum sześciu miesięcy i inne mające zastosowanie przepisy.

• Artykuł 12 rozporządzenia AI: rejestrowanie zdarzeń

  Art. 12 dla wszystkich sektorów: wymogi, terminy i kary.

• Rozporządzenie AI fintech: zgodność

  Przegląd fintechu: jak rozporządzenie obejmuje AI do scoringu kredytowego i ubezpieczeń.

• Art. 13 dla AI w fintechu: przejrzystość i instrukcja obsługi

  AI w fintechu a art. 13: instrukcja obsługi, deklaracja dokładności i wyjaśnienie należne osobom, na które AI ma wpływ.

• Art. 72: monitorowanie po wprowadzeniu do obrotu

  Monitorowanie po wprowadzeniu do obrotu, które ma ułatwiać rejestrowanie zdarzeń na podstawie art. 12 ust. 2 lit. b).