Art. 13 dla AI w fintechu: przejrzystość i instrukcja obsługi

Art. 13 nakłada na dostawcę obowiązki wobec podmiotu wdrażającego. Nie nakłada obowiązku wyjaśnienia decyzji wnioskodawcy ani klientowi.

• art. 13(1)
  Przejrzystość pozwalająca podmiotom wdrażającym interpretować wyniki

  Systemy AI wysokiego ryzyka projektuje się i rozwija tak, aby ich działanie było wystarczająco przejrzyste i umożliwiało podmiotom wdrażającym interpretację wyników systemu i ich właściwe wykorzystanie. Zapewnia się odpowiedni rodzaj i stopień przejrzystości, aby dostawca i podmiot wdrażający mogli spełnić swoje obowiązki określone w sekcji 3.

• art. 13(2)
  Instrukcja obsługi

  Do systemów AI wysokiego ryzyka dołącza się instrukcję obsługi w odpowiednim formacie cyfrowym lub innym. Musi ona zawierać zwięzłe, kompletne, poprawne i jasne informacje, które są istotne, dostępne i zrozumiałe dla podmiotów wdrażających.

• art. 13(3)(a), (b)
  Minimalna zawartość: dostawca, skuteczność działania i ograniczenia

  Instrukcja obsługi musi zawierać co najmniej tożsamość i dane kontaktowe dostawcy oraz cechy, możliwości i ograniczenia skuteczności działania systemu. Należy do nich przeznaczenie systemu. Należy do nich też poziom dokładności wraz z jego wskaźnikami oraz poziom solidności i cyberbezpieczeństwa. Chodzi o poziomy, względem których przetestowano system i dokonano jego walidacji oraz których można oczekiwać. Należą do nich także znane okoliczności, które mogą na nie wpływać. Należą do nich też znane lub dające się przewidzieć okoliczności, które mogą powodować ryzyko dla zdrowia, bezpieczeństwa lub praw podstawowych. W stosownych przypadkach obejmuje ona możliwości techniczne wyjaśniania wyników, działanie systemu w odniesieniu do określonych osób lub grup osób, specyfikacje dotyczące danych wejściowych oraz informacje umożliwiające podmiotom wdrażającym interpretację wyników.

• art. 13(3)(c)–(f)
  Zmiany, nadzór, zasoby i rejestry zdarzeń

  Instrukcja musi też wskazywać zmiany zaplanowane z góry przez dostawcę przy początkowej ocenie zgodności, jeżeli takie były, oraz środki nadzoru ze strony człowieka na podstawie art. 14. Musi wskazywać potrzebne zasoby obliczeniowe i sprzętowe, przewidywany cykl życia oraz środki konserwacji, w tym aktualizacje oprogramowania. W stosownych przypadkach opisuje mechanizmy, które umożliwiają podmiotom wdrażającym zbieranie, przechowywanie i interpretowanie rejestrów zdarzeń zgodnie z art. 12.

Art. 13 dotyczy wyłącznie systemów AI wysokiego ryzyka. Poniższe wiersze pokazują, kiedy AI w fintechu staje się systemem wysokiego ryzyka.

• Fintech nie jest kategorią w rozporządzeniu

  Rozporządzenie nie zna kategorii „fintech”. Ta strona używa tego słowa dla AI, która podlega rozporządzeniu przez dwa zastosowania z załącznika III pkt 5. Pkt 5 lit. b) obejmuje systemy AI przeznaczone do wykorzystywania do celów oceny zdolności kredytowej osób fizycznych lub ustalenia ich scoringu kredytowego. Przewiduje wyjątek dla systemów AI wykorzystywanych w celu wykrywania oszustw finansowych. Pkt 5 lit. c) obejmuje systemy AI przeznaczone do wykorzystywania przy ocenie ryzyka i ustalaniu cen w odniesieniu do osób fizycznych w przypadku ubezpieczenia na życie i ubezpieczenia zdrowotnego. Pkt 5 nie wymienia wykrywania oszustw ani kontroli w zakresie przeciwdziałania praniu pieniędzy czy „poznaj swojego klienta”. Nie wymienia też handlu algorytmicznego, robodoradztwa, ubezpieczeń innych niż na życie, likwidacji szkód ani decyzji kredytowych dotyczących osób prawnych. System do jednego z tych zastosowań jest systemem wysokiego ryzyka tylko wtedy, gdy obejmuje go inny punkt załącznika III lub załącznik I.

• Art. 6 ust. 3 może wyłączyć system z załącznika III

  System objęty pkt 5 lit. b) lub pkt 5 lit. c) jest systemem wysokiego ryzyka na podstawie art. 6 ust. 2. Zgodnie z art. 6 ust. 3 nie jest nim, jeżeli nie stwarza znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych. Obejmuje to brak znaczącego wpływu na wynik procesu decyzyjnego. Wyjątek ten stosuje się, gdy spełniony jest którykolwiek z następujących warunków (art. 6 ust. 3 lit. a)–d)). System jest przeznaczony do wykonywania wąsko określonego zadania proceduralnego. Albo jest przeznaczony do poprawienia wyniku zakończonej uprzednio czynności wykonywanej przez człowieka. Albo jest przeznaczony do wykrywania wzorców podejmowania decyzji lub odstępstw od wzorców podjętych uprzednio decyzji. Nie ma on na celu zastąpienia ani wywarcia wpływu na zakończoną uprzednio ocenę dokonaną przez człowieka bez odpowiedniej weryfikacji przez człowieka. Albo jest przeznaczony do wykonywania zadań przygotowawczych w kontekście oceny istotnej z punktu widzenia przypadków wykorzystania wymienionych w załączniku III. To, jak te warunki łączą się z testem znaczącego ryzyka, jest pytaniem do prawnika. System zawsze jest systemem wysokiego ryzyka, jeżeli dokonuje profilowania osób fizycznych. Profilowanie definiuje art. 4 pkt 4 RODO (art. 3 pkt 52). To, czy dany system scoringu lub ustalania cen go dokonuje, również jest pytaniem do prawnika. Dostawca, który powołuje się na wyjątek, dokumentuje swoją ocenę przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku. Musi też zarejestrować system (art. 6 ust. 4, art. 49 ust. 2).

• Dostawca i podmiot wdrażający

  Dostawca rozwija system AI lub zleca jego rozwój i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym (art. 3 pkt 3). Oddanie do użytku obejmuje dostarczenie systemu do użytku własnego dostawcy (art. 3 pkt 11). Bank lub ubezpieczyciel, który rozwija system i oddaje go do użytku pod własną nazwą, jest więc dostawcą. Bank lub ubezpieczyciel, który wykorzystuje system, nad którym sprawuje kontrolę, jest podmiotem wdrażającym (w rozporządzeniu: podmiot stosujący; art. 3 pkt 4). Podmiot wdrażający staje się dostawcą w trzech przypadkach. Umieszcza swoją nazwę lub znak towarowy na systemie wysokiego ryzyka już wprowadzonym do obrotu, bez uszczerbku dla ustaleń umownych przewidujących, że podział obowiązków następuje w inny sposób. Wprowadza istotną zmianę w takim systemie, po której pozostaje on systemem wysokiego ryzyka. Albo zmienia przeznaczenie systemu niebędącego systemem wysokiego ryzyka tak, że staje się on takim systemem (art. 25 ust. 1). Dostawcy, który pierwotnie wprowadził system do obrotu lub oddał go do użytku, nie uznaje się wtedy już za dostawcę tego konkretnego systemu i musi on ściśle współpracować z nowym dostawcą (art. 25 ust. 2). Nie dotyczy to sytuacji, gdy pierwotny dostawca wyraźnie określił, że jego system nie może zostać zmieniony w system AI wysokiego ryzyka.

• Wyjaśnienie decyzji wnioskodawcy nie wynika z art. 13

  Art. 86 ust. 1 daje prawo do wyjaśnienia. Dotyczy sytuacji, gdy podmiot wdrażający podejmuje decyzję na podstawie wyników systemu AI wysokiego ryzyka z załącznika III, z wyjątkiem pkt 2. Decyzja musi wywoływać skutki prawne lub w podobny sposób oddziaływać na osobę na tyle znacząco, że uważa ona, iż ma to niepożądany wpływ na jej zdrowie, bezpieczeństwo lub prawa podstawowe. Osoba ta ma wtedy prawo uzyskać od podmiotu wdrażającego jasne i merytoryczne wyjaśnienie roli systemu AI w procedurze podejmowania decyzji oraz głównych elementów podjętej decyzji. Prawo to nie ma zastosowania, gdy z prawa Unii lub zgodnego z prawem Unii prawa krajowego wynikają wyjątki lub ograniczenia (art. 86 ust. 2). Dotyczy to wyłącznie zakresu, w jakim prawo to nie zostało inaczej ustanowione w prawie Unii (art. 86 ust. 3). Podmioty wdrażające systemy z załącznika III muszą też informować osoby fizyczne, że jest w stosunku do nich wykorzystywany system. Dotyczy to podmiotów, które podejmują decyzje dotyczące tych osób lub uczestniczą w ich podejmowaniu (art. 26 ust. 11).

• Terminy

  Wymogi dla tych zastosowań z załącznika III stosuje się od 2 grudnia 2027 (art. 113 akapit trzeci lit. c) ppkt (i)). System wprowadzony do obrotu lub oddany do użytku przed tą datą jest objęty rozporządzeniem tylko wtedy, gdy po niej jego projekt ulegnie istotnym zmianom. W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).

• Kary pieniężne

  Dostawcy muszą zapewnić, aby ich systemy AI wysokiego ryzyka spełniały wymogi sekcji 2 rozdziału III, która obejmuje art. 9–15 (art. 16 lit. a)). Naruszenie obowiązków dostawców z art. 16 lub obowiązków podmiotów wdrażających z art. 26 może skutkować karą pieniężną. Kara wynosi do 15 mln EUR lub, w przypadku przedsiębiorstwa, do 3 % jego całkowitego światowego obrotu rocznego z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4 lit. a) i e)). Dla MŚP, w tym przedsiębiorstw typu start-up, każda kara jest ograniczona do niższej z tych kwot (art. 99 ust. 6). To samo dotyczy małych spółek o średniej kapitalizacji (art. 3 pkt 14b, art. 99 ust. 6a). Każde państwo członkowskie ustanawia przepisy dotyczące określenia, w jakim zakresie na organy i podmioty publiczne ustanowione w tym państwie członkowskim można nakładać administracyjne kary pieniężne (art. 99 ust. 8).

• Zakres rozporządzenia i jego granice

  Rozporządzenie stosuje się do dostawców i podmiotów wdrażających, którzy mają siedzibę lub znajdują się w państwie trzecim, w przypadku gdy wyniki wytworzone przez system AI są wykorzystywane w Unii (art. 2 ust. 1 lit. c)). Nie stosuje się go do obszarów wykraczających poza zakres stosowania prawa Unii i nie wpływa ono na kompetencje państw członkowskich w zakresie bezpieczeństwa narodowego (art. 2 ust. 3). Rozporządzenia nie stosuje się do systemów AI lub modeli AI, w tym ich wyników, specjalnie rozwiniętych i oddanych do użytku wyłącznie do celów badań naukowych i rozwojowych (art. 2 ust. 6). Nie stosuje się go do działalności badawczej, testowej ani rozwojowej przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku. Wyłączenie to nie obejmuje testów w warunkach rzeczywistych (art. 2 ust. 8). Systemy AI udostępniane na podstawie bezpłatnych licencji otwartego oprogramowania są poza zakresem rozporządzenia. Wyłączenie to nie ma zastosowania, jeżeli są one wprowadzane do obrotu lub oddawane do użytku jako systemy AI wysokiego ryzyka albo objęte art. 5 lub 50 (art. 2 ust. 12).

• Brak formatu ujawniania informacji dla fintechu

  Rozporządzenie nie wskazuje formatu, wzoru ani sformułowań instrukcji obsługi dla udzielania kredytów ani ubezpieczeń. Dostawca decyduje, jak przedstawić elementy wymagane przez art. 13 ust. 3. Samo rozporządzenie nie wskazuje żadnej normy zharmonizowanej. Dla systemów AI wysokiego ryzyka zgodnych z normami zharmonizowanymi, do których odniesienia opublikowano w Dzienniku Urzędowym, domniemuje się zgodność z wymogami sekcji 2 w zakresie, w jakim normy te je obejmują (art. 40 ust. 1). Komisja ma opracować wytyczne dotyczące praktycznego stosowania wymogów i obowiązków z art. 8–15, 25 i 26 (art. 96 ust. 1 lit. a)).

• Przykład: treść dla systemu scoringu kredytowego

  Przykład, a nie wymóg rozporządzenia: instrukcja obsługi systemu scoringu kredytowego mogłaby wskazywać dane, których model potrzebuje, oraz populację, na której zmierzono jego dokładność. Mogłaby też wymieniać przypadki, w których jego wyniku nie należy stosować samodzielnie.

• Przykład: dane wejściowe kontrolowane przez podmiot wdrażający

  Przykład, a nie wymóg rozporządzenia: instrukcja obsługi mogłaby wymieniać dane wejściowe po stronie banku, od których zależy model. Podmiot wdrażający kontrolujący dane wejściowe mógłby wtedy spełnić wymóg z art. 26 ust. 4.

• Artykuł 13 rozporządzenia AI: przejrzystość i instrukcja obsługi

  Art. 13 dla wszystkich sektorów: wymogi, terminy i kary.

• Rozporządzenie AI fintech: zgodność

  Przegląd fintechu: jak rozporządzenie obejmuje AI do scoringu kredytowego i ubezpieczeń.

• Art. 14 dla AI w fintechu: nadzór ze strony człowieka

  AI w fintechu a art. 14: nadzór sprawowany przez osoby fizyczne i to, czego rozporządzenie nie wymaga.

• Załącznik III szczegółowo: 8 kategorii wysokiego ryzyka

  Kategorie z załącznika III, w tym pkt 5 dotyczący scoringu kredytowego oraz ubezpieczeń na życie i zdrowotnych.