Skip to main content

Artykuł 13 rozporządzenia AI: przejrzystość i instrukcja obsługi

Art. 13 wymaga, aby dostawcy przekazywali podmiotom wdrażającym instrukcję obsługi. Ten przewodnik wymienia jej treść i to, co robią z nią podmioty wdrażające.

Dostawcy systemów AI wysokiego ryzyka muszą przekazać podmiotom wdrażającym instrukcję obsługi i zapewnić wystarczającą przejrzystość systemu (art. 13).

Obejmuje systemy wprowadzone do obrotu lub oddane do użytku w UE. Obowiązuje od 2 grudnia 2027 (załącznik III) i od 2 sierpnia 2028 (załącznik I). Podmioty wdrażające (w rozporządzeniu: podmioty stosujące) to organizacje, które używają systemu. Przejrzystość ma umożliwić im interpretację wyników (art. 13 ust. 1). Instrukcja musi wskazywać dostawcę, podawać przetestowaną dokładność i znane ryzyka oraz opisywać nadzór ze strony człowieka (art. 13 ust. 3). Kary sięgają 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Następny krok: porównaj instrukcję z art. 13 ust. 3.

Instrukcja obsługi musi zawierać co najmniej te informacje

Art. 13 ust. 3 wymienia minimalną treść w lit. a–f. Poniższe karty grupują te punkty. Instrukcja musi być zwięzła, kompletna, prawidłowa i jasna, w odpowiednim formacie cyfrowym lub w inny sposób (art. 13 ust. 2).

Tożsamość i dane kontaktowe dostawcy

Podaj nazwę i dane kontaktowe dostawcy oraz, jeśli go ma, jego upoważnionego przedstawiciela (art. 13 ust. 3 lit. a).

Przewidziane zastosowanie i przetestowane parametry

Podaj przewidziane zastosowanie. Podaj poziom dokładności, solidności i cyberbezpieczeństwa, względem którego system przetestowano i zwalidowano i którego można oczekiwać, wraz ze wskaźnikami. Dodaj okoliczności, które mogą na niego wpływać (art. 13 ust. 3 lit. b ppkt (i) i (ii)).

Znane ryzyka i dające się przewidzieć niewłaściwe użycie

Opisz znane lub dające się przewidzieć okoliczności, w tym dające się racjonalnie przewidzieć niewłaściwe użycie, które mogą prowadzić do ryzyka dla zdrowia, bezpieczeństwa lub praw podstawowych (art. 13 ust. 3 lit. b ppkt (iii)).

Wyjaśnienia, grupy osób i dane

Tam, gdzie to stosowne, opisz, jak system wyjaśnia swoje wyniki, jak działa w odniesieniu do określonych osób lub grup osób, jakie są specyfikacje danych wejściowych oraz jakich zbiorów danych treningowych, walidacyjnych i testowych użyto (art. 13 ust. 3 lit. b ppkt (iv)–(vii)).

Zmiany z góry określone przez dostawcę

Wymień zmiany w systemie i jego skuteczności działania, które zostały z góry określone podczas pierwotnej oceny zgodności (sprawdzenia przed uruchomieniem, czy system spełnia rozporządzenie), jeśli takie są (art. 13 ust. 3 lit. c).

Środki nadzoru ze strony człowieka

Opisz środki nadzoru ze strony człowieka z art. 14, w tym środki techniczne, które ułatwiają podmiotom wdrażającym interpretację wyników (art. 13 ust. 3 lit. d).

Zasoby, okres eksploatacji, konserwacja i rejestry zdarzeń

Podaj potrzebne zasoby obliczeniowe i sprzętowe, przewidywany okres eksploatacji oraz konserwację, z jej częstotliwością i aktualizacjami oprogramowania (art. 13 ust. 3 lit. e). Tam, gdzie to stosowne, opisz mechanizmy, dzięki którym podmioty wdrażające mogą gromadzić, przechowywać i interpretować rejestry zdarzeń zgodnie z art. 12 (art. 13 ust. 3 lit. f).

Cztery sposoby na utrzymanie prawidłowej instrukcji

Art. 13 określa treść, nie proces. Te cztery praktyki utrzymują instrukcję kompletną i aktualną.

Przygotowanie na podstawie istniejących dokumentów

Bierz informacje o systemie z kart modelu, arkuszy danych i raportów z oceny, a instrukcję trzymaj w systemie kontroli wersji obok kodu.

Śledzenie ograniczeń i zmian

Zapisuj każde znane ograniczenie i każdy tryb awarii w dzienniku zmian. Aktualizuj instrukcję przy każdej zmianie systemu.

Podawanie skuteczności dla grup

Tam, gdzie to stosowne, podaj skuteczność działania systemu w odniesieniu do określonych osób lub grup osób, wobec których ma być stosowany (art. 13 ust. 3 lit. b ppkt (v)).

Wyjaśnianie, jak czytać wyniki

Wyjaśnij podmiotom wdrażającym, jak interpretować wyniki, na przykład za pomocą wskaźników pewności lub wyjaśnień, jeśli system je podaje, oraz jakie środki nadzoru ze strony człowieka obowiązują (art. 13 ust. 3 lit. b ppkt (vii) i lit. d).

Podmioty wdrażające korzystają z instrukcji, aby spełnić własne obowiązki

Podmioty wdrażające muszą podejmować odpowiednie środki techniczne i organizacyjne, aby używać systemu zgodnie z jego instrukcją obsługi (art. 26 ust. 1). Korzystają też z informacji z art. 13 przy ocenie skutków dla ochrony danych, gdy jest wymagana (art. 26 ust. 9). Podmiot wdrażający może stosować tylko to, co zawiera instrukcja.

Art. 13 dotyczy wyłącznie systemów AI wysokiego ryzyka

System jest systemem wysokiego ryzyka, jeśli należy do obszaru z załącznika III, chyba że ma zastosowanie wyłączenie z art. 6 ust. 3. System, który profiluje osoby fizyczne, jest zawsze systemem wysokiego ryzyka. Jest nim także, jeśli jest produktem objętym załącznikiem I, który wymaga oceny zgodności przez stronę trzecią, lub jego komponentem bezpieczeństwa (art. 6). Dostawcy podlegają przepisom, gdy wprowadzają system do obrotu w UE lub oddają go do użytku w UE, bez względu na miejsce siedziby (art. 2 ust. 1 lit. a). Dostawcy i podmioty wdrażające z państw trzecich również podlegają przepisom, gdy wyniki systemu są wykorzystywane w UE (art. 2 ust. 1 lit. c). Systemy wysokiego ryzyka związane z produktami objętymi aktami z załącznika I sekcja B nie podlegają przepisom art. 13 (art. 2 ust. 2). W przypadku produktów z załącznika I sekcja A niektóre wymogi mogą zostać ograniczone (art. 2 ust. 13). Dotyczy to art. 9–15 i 17–25, jeśli prawo sektorowe zapewnia równoważny lub wyższy poziom ochrony. Akty delegowane, które mają zostać przyjęte do 2 sierpnia 2027, określą które. Rozporządzenie wyłącza zastosowania wojskowe, obronne i związane z bezpieczeństwem narodowym, systemy opracowane wyłącznie do celów badań naukowych oraz badania i testy przed wprowadzeniem do obrotu (art. 2 ust. 3, 6 i 8). Systemy wprowadzone do obrotu lub oddane do użytku przed datą rozpoczęcia stosowania podlegają przepisom tylko po istotnych zmianach konstrukcji. W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).

Częste pytania: format, open source, karty modelu i kary

Jaki format musi mieć instrukcja obsługi?

Rozporządzenie nie narzuca formatu pliku. Art. 13 ust. 2 wymaga odpowiedniego formatu cyfrowego lub innej odpowiedniej formy, ze zwięzłymi, kompletnymi, prawidłowymi i jasnymi informacjami, dostępnymi i zrozumiałymi dla podmiotów wdrażających. Plik PDF, strona internetowa lub dokumentacja dostarczana z oprogramowaniem mogą to spełniać, jeśli są kompletne i jasne.

Czy art. 13 dotyczy AI open source?

Tylko jeśli system jest wprowadzany do obrotu lub oddawany do użytku jako system AI wysokiego ryzyka (art. 2 ust. 12). Wtedy dostawca musi dostarczyć instrukcję obsługi, nawet jeśli kod jest publiczny.

Czym art. 13 różni się od dokumentacji technicznej z art. 11?

Dokumentację techniczną z art. 11 sporządza się przed wprowadzeniem systemu do obrotu, aby wykazać organom i jednostkom notyfikowanym (niezależnym podmiotom oceniającym), że system jest zgodny (art. 11 ust. 1). Instrukcja z art. 13 trafia do podmiotów wdrażających, aby mogły prawidłowo używać systemu.

Co, jeśli podmiot wdrażający zignoruje instrukcję?

Dostawca musi dostarczyć prawidłową instrukcję (art. 13), a podmiot wdrażający musi używać systemu zgodnie z nią (art. 26 ust. 1). Podmiot, który tego nie robi, narusza własny obowiązek. Może zostać ukarany karą pieniężną do 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4).

Czy karta modelu wystarczy jako instrukcja obsługi?

Tylko jeśli obejmuje każdy punkt z art. 13 ust. 3, w tym dane kontaktowe dostawcy, środki nadzoru ze strony człowieka i konserwację. Porównaj swoją kartę modelu z kartami powyżej i uzupełnij braki.

Jakie są kary i czy MŚP mają niższą górną granicę?

Dla dostawców (art. 16) i podmiotów wdrażających (art. 26) kary sięgają do 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Dla MŚP, w tym przedsiębiorstw typu start-up, i małych spółek o średniej kapitalizacji górną granicą jest niższa z tych dwóch kwot (art. 99 ust. 6 i 6a). Państwa członkowskie ustanawiają przepisy o sankcjach (art. 99 ust. 1).

Czytaj dalej: dokumentacja techniczna, nadzór ze strony człowieka i obowiązki podmiotów wdrażających

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.