Artykuł 16: obowiązki dostawcy AI wysokiego ryzyka
12 obowiązków dostawcy z art. 16 rozporządzenia w sprawie AI: kto jest dostawcą, od kiedy obowiązują i jakie kary przewiduje art. 99 ust. 4.
Dostawcy systemów AI wysokiego ryzyka muszą spełnić 12 obowiązków z art. 16, od zarządzania jakością po oznakowanie CE.
Dotyczy to dostawców, którzy wprowadzają taki system do obrotu w UE, niezależnie od miejsca siedziby. Obowiązki obowiązują od 2 grudnia 2027 dla systemów z załącznika III (wymienione zastosowania, np. rekrutacja). Dla systemów z załącznika I (AI w produktach objętych wymienionymi przepisami UE o bezpieczeństwie) obowiązują od 2 sierpnia 2028. Naruszenia mogą skutkować karami do 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego, w zależności od tego, która kwota jest wyższa (art. 99 ust. 4). Pierwszy krok: sprawdź każdy obowiązek poniżej w odniesieniu do swojego systemu.
Dostawca musi spełnić 12 obowiązków
Litery a–l odpowiadają literom w art. 16.
Spełnić wymogi z sekcji 2
System musi spełniać wymogi z sekcji 2 (art. 8–15): zarządzanie ryzykiem, zarządzanie danymi, dokumentacja techniczna, rejestrowanie zdarzeń, przejrzystość, nadzór ze strony człowieka oraz dokładność, solidność i cyberbezpieczeństwo.
Podać nazwę i adres kontaktowy
Umieść na systemie swoją nazwę, zarejestrowaną nazwę handlową lub zarejestrowany znak towarowy oraz adres kontaktowy. Jeżeli nie jest to możliwe, umieść je na opakowaniu lub w dokumentacji towarzyszącej.
Prowadzić system zarządzania jakością
Wprowadź system zarządzania jakością zgodny z art. 17. Musi on być udokumentowany w formie pisemnych polityk, procedur i instrukcji.
Przechowywać dokumentację przez 10 lat
Przechowuj dokumenty wymienione w art. 18 przez 10 lat od wprowadzenia systemu do obrotu lub oddania go do użytku. Należą do nich dokumentacja techniczna, dokumentacja systemu zarządzania jakością i deklaracja zgodności UE.
Przechowywać automatycznie generowane logi
Przechowuj logi generowane automatycznie przez system, o ile pozostają pod Twoją kontrolą (art. 19). Przechowuj je przez okres odpowiedni do przewidzianego zastosowania, co najmniej sześć miesięcy, chyba że prawo Unii lub prawo krajowe stanowi inaczej.
Przejść ocenę zgodności
Zadbaj o to, aby system przeszedł procedurę oceny zgodności z art. 43 przed wprowadzeniem do obrotu lub oddaniem do użytku.
Sporządzić deklarację zgodności UE
Sporządź deklarację zgodności UE zgodnie z art. 47.
Umieścić oznakowanie CE
Umieść oznakowanie CE na systemie, zgodnie z wymogiem art. 48. Jeżeli nie jest to możliwe, umieść je na opakowaniu lub w dokumentacji towarzyszącej.
Zarejestrować system w unijnej bazie danych
Spełnij obowiązki rejestracyjne z art. 49 ust. 1: zarejestruj siebie i system w unijnej bazie danych przed wprowadzeniem go do obrotu lub oddaniem do użytku. Art. 49 ust. 1 obejmuje systemy z załącznika III z wyjątkiem pkt 2 (infrastruktura krytyczna).
Podjąć działania naprawcze
Jeżeli uważasz, że system nie jest zgodny z rozporządzeniem, niezwłocznie podejmij działania naprawcze z art. 20: doprowadź go do zgodności, wycofaj go, wyłącz go lub odzyskaj go od użytkowników. Poinformuj dystrybutorów oraz, w stosownych przypadkach, podmioty wdrażające, upoważnionego przedstawiciela i importerów.
Wykazać zgodność na żądanie
Na uzasadniony wniosek krajowego organu właściwego wykaż, że system spełnia wymogi z sekcji 2.
Spełnić wymogi dostępności
Zadbaj o to, aby system spełniał wymogi dostępności z dyrektyw (UE) 2016/2102 i (UE) 2019/882.
Dostawcą jest ten, kto wprowadza system do obrotu pod własną nazwą
Dostawca opracowuje system AI lub zleca jego opracowanie i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym (art. 3 pkt 3).
Podmiot wdrażający, importer, dystrybutor lub inna osoba trzecia staje się dostawcą w trzech przypadkach (art. 25 ust. 1). Umieszcza swoją nazwę lub znak towarowy na systemie wysokiego ryzyka, który jest już w obrocie. Wprowadza istotną zmianę, po której system nadal jest systemem wysokiego ryzyka. Albo zmienia przewidziane zastosowanie systemu niebędącego systemem wysokiego ryzyka tak, że staje się on takim systemem.
Nowy dostawca przejmuje obowiązki z art. 16. Pierwotny dostawca nie jest już uznawany za dostawcę tego systemu i musi współpracować z nowym dostawcą (art. 25 ust. 2). Nie dotyczy to sytuacji, w której pierwotny dostawca jasno określił, że jego system AI nie ma być zmieniany w system AI wysokiego ryzyka. Dostawca i osoba trzecia dostarczająca komponenty, narzędzia lub modele do systemu muszą uzgodnić na piśmie informacje i dostęp techniczny, których potrzebuje dostawca (art. 25 ust. 4). Wyłączone są narzędzia udostępniane na bezpłatnej licencji otwartego oprogramowania, chyba że są to modele AI ogólnego przeznaczenia.
Dostawcy i podmioty wdrażające mają odrębne obowiązki
Terminy, ograniczenia i kary dla dostawców
Terminy stosowania
Art. 16 obowiązuje od 2 grudnia 2027 w odniesieniu do systemów z załącznika III i od 2 sierpnia 2028 w odniesieniu do systemów z załącznika I (art. 113). System wysokiego ryzyka wprowadzony do obrotu przed datą rozpoczęcia stosowania jest objęty przepisami tylko wtedy, gdy jego konstrukcja zostanie później istotnie zmieniona (art. 111 ust. 2). W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).
Gdzie art. 16 nie obowiązuje
W przypadku systemów związanych z produktami z załącznika I sekcja B (m.in. przepisy o maszynach, pojazdach silnikowych, kolei i lotnictwie cywilnym) stosuje się tylko art. 6 ust. 1, art. 60a oraz art. 102–112. Art. 16 ich nie dotyczy (art. 2 ust. 2). Rozporządzenie wyłącza też systemy AI wykorzystywane wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego (art. 2 ust. 3). W przypadku produktów z załącznika I sekcja B art. 57, 58 i 59 stosuje się tylko w zakresie, w jakim wymogi dotyczące systemów AI wysokiego ryzyka włączono do tego unijnego prawodawstwa harmonizacyjnego.
Kary
Naruszenie obowiązków dostawcy z art. 16 może skutkować karą do 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego, w zależności od tego, która kwota jest wyższa (art. 99 ust. 4 lit. a). Dla MŚP, w tym przedsiębiorstw typu start-up, oraz dla małych spółek o średniej kapitalizacji kara nie może przekroczyć niższej z tych dwóch kwot (art. 99 ust. 6 i 6a).
Jak Scanara wspiera obowiązki dostawcy
Scanara prowadzi Cię przez oceny systemu zarządzania jakością (art. 17), łańcucha wartości (art. 25) i gotowości do oceny zgodności (art. 43). Na podstawie Twoich odpowiedzi i skanów repozytoriów przygotowuje projekty dokumentacji technicznej (załącznik IV) i deklaracji zgodności UE (załącznik V). Ty sprawdzasz i decydujesz. Scanara porządkuje dowody do rejestracji, a samej rejestracji dokonujesz Ty.
Najczęstsze pytania o obowiązki dostawcy
Co się stanie, jeśli dostawca nie spełni obowiązku z art. 16?
Dostawcy grozi kara do 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego, w zależności od tego, która kwota jest wyższa (art. 99 ust. 4 lit. a). Dla MŚP, w tym przedsiębiorstw typu start-up, oraz małych spółek o średniej kapitalizacji kara nie może przekroczyć kwoty niższej (art. 99 ust. 6 i 6a). Państwa członkowskie ustanawiają przepisy o karach, a kary nakładają właściwe organy krajowe lub sądy (art. 99 ust. 1 i 9). Biorą one pod uwagę charakter, wagę i czas trwania naruszenia oraz wielkość podmiotu (art. 99 ust. 7).
Czy jestem dostawcą, jeśli buduję system na modelu osoby trzeciej?
Tak, jeśli wprowadzasz system AI wysokiego ryzyka do obrotu pod własną nazwą (art. 3 pkt 3). Dostawca modelu zachowuje własne obowiązki dotyczące modelu AI ogólnego przeznaczenia (art. 53 i 55), które nie zastępują Twoich obowiązków z art. 16. Ty i dostawca modelu musicie uzgodnić na piśmie informacje i dostęp techniczny, których potrzebujesz (art. 25 ust. 4). Wyłączone są narzędzia udostępniane na bezpłatnej licencji otwartego oprogramowania, chyba że są to modele AI ogólnego przeznaczenia.
Od kiedy obowiązują obowiązki z art. 16?
Obowiązują od 2 grudnia 2027 w odniesieniu do systemów z załącznika III i od 2 sierpnia 2028 w odniesieniu do systemów z załącznika I (art. 113 w brzmieniu zmienionym rozporządzeniem (UE) 2026/1744). System, który był w obrocie przed tą datą, podlega rozporządzeniu tylko wtedy, gdy jego konstrukcja zostanie później istotnie zmieniona (art. 111 ust. 2). W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).
Szczegóły każdego obowiązku
Art. 17: system zarządzania jakością
Omawia 13 aspektów, które musi obejmować system zarządzania jakością dostawcy.
Art. 11: dokumentacja techniczna
Omawia dokumentację techniczną, którą dostawca musi sporządzić i aktualizować.
Art. 26: obowiązki podmiotów wdrażających
Omawia obowiązki organizacji korzystających z systemów AI wysokiego ryzyka.
Art. 6: kiedy system AI jest systemem wysokiego ryzyka
Wyjaśnia dwie drogi, którymi system AI zostaje uznany za system wysokiego ryzyka.
Scanara przygotowuje dowody na podstawie Państwa repozytoriów
Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.