Art. 17 dla systemów autonomicznych: system zarządzania jakością

System dokumentuje się w systematyczny i uporządkowany sposób w formie pisemnych polityk, procedur i instrukcji. W naszym grupowaniu cztery aspekty odsyłają do innych obowiązków rozporządzenia; dziewięć kolejnych następuje dalej.

• art. 17(1)(a)
  Strategia zgodności regulacyjnej

  Strategia zgodności regulacyjnej, w tym zgodności z procedurami oceny zgodności i procedurami zarządzania zmianami w systemie.

• art. 17(1)(g)
  System zarządzania ryzykiem

  System zarządzania ryzykiem, o którym mowa w art. 9.

• art. 17(1)(h)
  Monitorowanie po wprowadzeniu do obrotu

  Ustanowienie, wdrożenie i utrzymanie systemu monitorowania po wprowadzeniu do obrotu zgodnie z art. 72.

• art. 17(1)(i)
  Zgłaszanie poważnych incydentów

  Procedury zgłaszania poważnych incydentów zgodnie z art. 73.

• art. 17(1)(b)–(f), (j)–(m)
  Pozostałe dziewięć aspektów

  Projektowanie i kontrola projektu; rozwój, kontrola jakości i zapewnienie jakości; procedury badania, testowania i walidacji; specyfikacje techniczne i normy; zarządzanie danymi; komunikacja z organami, jednostkami notyfikowanymi i innymi; prowadzenie rejestrów; zarządzanie zasobami; ramy odpowiedzialności.

• art. 17(2)
  Proporcjonalnie do wielkości, nie do ochrony

  Wdrożenie musi być proporcjonalne do wielkości organizacji dostawcy, w szczególności jeśli jest to MŚP, w tym przedsiębiorstwo typu start-up, lub mała spółka o średniej kapitalizacji. Dostawcy muszą jednak zachować stopień rygoru i poziom ochrony wymagane do zapewnienia zgodności ich systemów AI wysokiego ryzyka z rozporządzeniem.

Art. 17 wiąże wyłącznie dostawców systemów AI wysokiego ryzyka. Poniższe wiersze pokazują, które systemy autonomiczne obejmuje i kto jest dostawcą.

• „Systemy autonomiczne” nie są kategorią rozporządzenia

  Rozporządzenie nie zna kategorii „systemy autonomiczne”; jego definicja systemu AI odnosi się do działania z różnym poziomem autonomii (art. 3 pkt 1). Ta strona używa tego słowa dla AI w pojazdach, dronach, robotach i maszynach oraz dla AI wspierającej zarządzanie ruchem drogowym. Taka AI może być systemem wysokiego ryzyka trzema drogami i to droga decyduje, jakie przepisy dotyczące wysokiego ryzyka mają zastosowanie: załącznik I sekcja B (art. 2 ust. 2 ogranicza przepisy do kilku artykułów), załącznik I sekcja A (wymogi rozdziału III od 2 sierpnia 2028, jeżeli system jest systemem wysokiego ryzyka na podstawie art. 6 ust. 1) oraz załącznik III pkt 2 (wymogi rozdziału III od 2 grudnia 2027). Inne przepisy nie zależą od drogi: art. 4 i 5, art. 50, art. 53 dla dostawców modeli oraz pozostałe punkty załącznika III. Art. 2 ust. 2 ogranicza tylko systemy AI będące systemami wysokiego ryzyka na podstawie art. 6 ust. 1 w produktach z sekcji B. Najpierw ustal swoją drogę wysokiego ryzyka.

• Pojazdy, statki powietrzne, kolej, wyposażenie morskie i maszyny: załącznik I sekcja B

  Sekcja B załącznika I wymienia m.in. pojazdy silnikowe (rozporządzenia (UE) 2018/858 i 2019/2144), pojazdy dwu- lub trzykołowe (rozporządzenie (UE) nr 168/2013), pojazdy rolnicze i leśne (rozporządzenie (UE) nr 167/2013), system kolei (dyrektywa (UE) 2016/797), wyposażenie morskie (dyrektywa 2014/90/UE), bezzałogowe statki powietrzne oraz ich silniki, śmigła, części i wyposażenie do zdalnego sterowania, w zakresie objętym rozporządzeniem (UE) 2018/1139, a także maszyny (rozporządzenie (UE) 2023/1230, przeniesione z sekcji A do sekcji B rozporządzeniem (UE) 2026/1744). W przypadku systemu AI, który jest systemem wysokiego ryzyka na podstawie art. 6 ust. 1 i dotyczy takiego produktu, stosuje się tylko art. 6 ust. 1, art. 60a oraz art. 102–112 (art. 2 ust. 2); art. 57, 58 i 59 stosuje się tylko w zakresie, w jakim wymogi dotyczące systemów AI wysokiego ryzyka zostały włączone do tego unijnego prawodawstwa harmonizacyjnego. Art. 9–15, 17 i 26 do nich nie należą. Zamiast tego art. 102–109 dodają do ośmiu z tych aktów zasadę, że Komisja uwzględnia wymogi rozdziału III sekcji 2, gdy przyjmuje wymienione w nich akty dotyczące systemów AI. Dla maszyn art. 3 pkt 1 rozporządzenia (UE) 2026/1744 zobowiązuje Komisję do przyjęcia aktów delegowanych dodających wymogi w zakresie zdrowia i bezpieczeństwa dla takich systemów AI, odzwierciedlających rozdział III sekcję 2 oraz art. 17, 19, 72 i 73; akty te mają się stosować najpóźniej od 2 sierpnia 2028.

• Produkty z sekcji A i załącznik III pkt 2: obowiązuje rozdział III

  Dwie drogi uruchamiają wymogi rozdziału III. Po pierwsze, system AI jest systemem wysokiego ryzyka na podstawie art. 6 ust. 1, jeżeli jest przeznaczony do wykorzystania jako związany z bezpieczeństwem komponent produktu objętego prawodawstwem z załącznika I lub sam jest takim produktem, a produkt ten musi przejść ocenę zgodności przeprowadzaną przez stronę trzecią na podstawie tego prawodawstwa. Sekcja A (pkt 2–12) obejmuje na przykład dźwigi, instalacje kolei linowych, jednostki rekreacyjne i wyroby medyczne; rozdział III stosuje się do takich systemów od 2 sierpnia 2028 (art. 113 lit. c) ppkt (ii)). Związany z bezpieczeństwem komponent to komponent, który pełni funkcję bezpieczeństwa lub którego awaria lub nieprawidłowe działanie zagraża zdrowiu i bezpieczeństwu osób lub mieniu (art. 3 pkt 14); AI wykorzystywana wyłącznie do aspektów niezwiązanych z bezpieczeństwem, takich jak optymalizacja wydajności, automatyzacja lub wygoda, nim nie jest, ale AI, której awaria zagrażałaby zdrowiu i bezpieczeństwu, jest (art. 6 ust. 1a i 1b). Produkt, który musi przejść ocenę zgodności przez stronę trzecią wyłącznie z powodu ryzyka innego niż dla zdrowia i bezpieczeństwa, takiego jak wykorzystanie widma radiowego lub zakłócenia elektromagnetyczne niewpływające na zdrowie i bezpieczeństwo, nie spełnia tego warunku (art. 6 ust. 1c); dotyczy to na przykład urządzeń radiowych (pkt 6). Po drugie, załącznik III pkt 2 obejmuje systemy AI przeznaczone do wykorzystania jako związane z bezpieczeństwem komponenty w zarządzaniu krytyczną infrastrukturą cyfrową i ruchem drogowym oraz w ich obsłudze, a także w zaopatrzeniu w wodę, gaz, ciepło lub energię elektryczną; rozdział III stosuje się do nich od 2 grudnia 2027 (art. 113 lit. c) ppkt (i)). Według swojego brzmienia pkt 2 wymienia zarządzanie ruchem drogowym i jego obsługę, a nie pojazdy.

• Dostawca i podmiot wdrażający

  Dostawca opracowuje system AI lub zleca jego opracowanie i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym (art. 3 pkt 3); może to być producent produktu lub producent oprogramowania. W przypadku systemu AI wysokiego ryzyka, który jest związanym z bezpieczeństwem komponentem produktu z sekcji A, producent produktu jest dostawcą, jeżeli system wprowadzono do obrotu razem z produktem pod nazwą lub znakiem towarowym producenta albo oddano go do użytku pod tą nazwą lub znakiem po wprowadzeniu produktu do obrotu (art. 25 ust. 3). Operator floty, zakładu lub ruchu, który tylko używa systemu, jest podmiotem wdrażającym (art. 3 pkt 4) i nie ma obowiązku z art. 17. Podmiot wdrażający staje się dostawcą, jeżeli umieści swoją nazwę lub znak towarowy na systemie wysokiego ryzyka już wprowadzonym do obrotu, wprowadzi istotną zmianę, po której system pozostaje systemem wysokiego ryzyka, albo zmieni przeznaczenie systemu niebędącego systemem wysokiego ryzyka tak, że staje się nim (art. 25 ust. 1).

• Ocena zgodności: prawo sektorowe dla sekcji A, kontrola wewnętrzna dla pkt 2

  W przypadku systemów AI wysokiego ryzyka objętych unijnym prawodawstwem harmonizacyjnym wymienionym w sekcji A załącznika I dostawca stosuje procedurę oceny zgodności wymaganą przez to prawodawstwo; wymogi rozdziału III sekcji 2 stanowią jej część, a ocenie podlega też system zarządzania jakością z art. 17 (art. 43 ust. 3). Jeżeli to prawodawstwo pozwala producentowi oprzeć się na ocenie bez udziału strony trzeciej, może on z tej możliwości skorzystać tylko wtedy, gdy zastosował również normy zharmonizowane lub wspólne specyfikacje obejmujące wszystkie wymogi sekcji 2 (art. 43 ust. 3). W przypadku systemów wysokiego ryzyka, o których mowa w pkt 2–8 załącznika III, dostawcy stosują procedurę opartą na kontroli wewnętrznej z załącznika VI, która nie przewiduje udziału jednostki notyfikowanej (art. 43 ust. 2); dostawca weryfikuje, czy ustanowiony system zarządzania jakością spełnia wymogi art. 17 (załącznik VI pkt 2). Art. 43 nie należy do przepisów, które zgodnie z art. 2 ust. 2 stosuje się do produktów z sekcji B. Jednostki notyfikowane na podstawie prawodawstwa z sekcji A muszą wystąpić o wyznaczenie na podstawie rozdziału III sekcji 4 do 28 stycznia 2028 (art. 43 ust. 3).

• Sektorowe systemy zarządzania jakością i dokumentacja z sekcji A

  Dostawcy systemów AI wysokiego ryzyka, którzy podlegają obowiązkom dotyczącym systemów zarządzania jakością lub równoważnej funkcji na mocy odpowiedniego sektorowego prawa Unii, mogą włączyć aspekty wymienione w art. 17 ust. 1 do systemu zarządzania jakością zgodnie z tym prawem (art. 17 ust. 3). W przypadku produktu z systemem AI objętego prawodawstwem z sekcji A dostawcy mogą też włączyć procesy testowania i sprawozdawczości, informacje i dokumentację dotyczące wymogów w zakresie AI do dokumentacji i procedur, które już istnieją na podstawie tego prawodawstwa (art. 8 ust. 2). Komisja ma opublikować do dnia 1 sierpnia 2027 r. wytyczne dotyczące praktycznego wdrażania art. 8 ust. 2, art. 9 ust. 10 i art. 17 ust. 3 (art. 96 ust. 1 lit. g)). Art. 17 ust. 3 nie wymienia aktów sektorowych, o które chodzi; rozporządzenie nie rozstrzyga, czy obowiązki dostawcy na mocy takiego aktu stanowią system zarządzania jakością lub równoważną funkcję; zapytaj prawnika.

• Terminy

  Systemy z załącznika III pkt 2 muszą spełniać wymogi rozdziału III od 2 grudnia 2027, a systemy z sekcji A od 2 sierpnia 2028 (art. 113 lit. c)). Dla systemów z sekcji B nie obowiązuje żadna data dotycząca art. 9–15, 17 i 26, ponieważ te artykuły ich nie dotyczą; zgodnie z art. 113 lit. c) ppkt (ii) rozdział III sekcje 1–3, do których należy art. 6, stosuje się do systemów z załącznika I od 2 sierpnia 2028, a art. 102–110 stosuje się od 27 lipca 2026 (art. 113 lit. c) ppkt (ii) i lit. d)). System wprowadzony do obrotu lub oddany do użytku przed datą rozpoczęcia stosowania rozdziału III jest objęty rozporządzeniem tylko wtedy, gdy po niej wprowadzono istotne zmiany w jego projekcie; w każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).

• Kary

  Naruszenie obowiązków dostawców (art. 16) i podmiotów wdrażających (art. 26) może skutkować karą pieniężną do 15 mln EUR lub, w przypadku przedsiębiorstwa, do 3 % jego całkowitego światowego obrotu rocznego z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Dla MŚP, w tym przedsiębiorstw typu start-up, każda kara jest ograniczona do niższej z tych kwot (art. 99 ust. 6). Ten sam pułap dotyczy małych spółek o średniej kapitalizacji (art. 3 pkt 14b, art. 99 ust. 6a). Każde państwo członkowskie ustanawia przepisy określające, w jakim zakresie kary administracyjne mogą być nakładane na organy i podmioty publiczne ustanowione w tym państwie członkowskim (art. 99 ust. 8). Art. 99 nie należy do przepisów, które zgodnie z art. 2 ust. 2 stosuje się do systemów AI wysokiego ryzyka na podstawie art. 6 ust. 1 w produktach z sekcji B.

• Granice zakresu stosowania rozporządzenia

  Rozporządzenie stosuje się do dostawców wprowadzających do obrotu lub oddających do użytku systemy AI w Unii albo wprowadzających do obrotu modele AI ogólnego przeznaczenia w Unii, bez względu na miejsce ich siedziby (art. 2 ust. 1 lit. a)), oraz do dostawców i podmiotów wdrażających z siedzibą w państwie trzecim, jeżeli wyniki działania systemu AI są wykorzystywane w Unii (lit. c)). Nie stosuje się go do obszarów wykraczających poza zakres prawa Unii i nie wpływa na kompetencje państw członkowskich w zakresie bezpieczeństwa narodowego; nie stosuje się go też do systemów AI wykorzystywanych wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego (art. 2 ust. 3). Rozporządzenia nie stosuje się do systemów AI ani modeli AI, w tym ich wyników, opracowanych i oddanych do użytku wyłącznie w celu badań naukowych i prac rozwojowych (art. 2 ust. 6). Nie stosuje się go też do działalności badawczej, testowej i rozwojowej prowadzonej przed wprowadzeniem systemu lub modelu do obrotu lub oddaniem do użytku; testy w warunkach rzeczywistych nie są objęte tym wyłączeniem (art. 2 ust. 8). Nie ma zastosowania do systemów AI udostępnianych na podstawie bezpłatnych licencji otwartego oprogramowania, chyba że zostaną wprowadzone do obrotu lub oddane do użytku jako systemy AI wysokiego ryzyka lub jako systemy AI objęte art. 5 lub 50 (art. 2 ust. 12).

• Brak wskazanej normy, brak przepisu specyficznego dla systemów autonomicznych

  Rozporządzenie nie wskazuje żadnej normy ani certyfikacji dla systemu zarządzania jakością i nie zawiera przepisu specyficznego dla systemów autonomicznych. Art. 17 ust. 1 lit. e) odnosi się do specyfikacji technicznych, w tym norm, które mają być stosowane, oraz – gdy odpowiednie normy zharmonizowane nie są stosowane w całości lub nie obejmują wszystkich wymogów rozdziału III sekcji 2 (art. 8–15) – do środków służących zapewnieniu zgodności systemu z tymi wymogami. Zasady jakości w prawie sektorowym produktu z sekcji B wynikają z tego prawa, a nie z art. 17 (art. 2 ust. 2).

• Przechowywanie przez dziesięć lat to art. 18

  Obowiązek przechowywania dokumentacji systemu zarządzania jakością przez dziesięć lat po wprowadzeniu systemu do obrotu lub oddaniu go do użytku znajduje się w art. 18 ust. 1, a nie w art. 17.

• Sekcja A: wymogi mogą zostać ograniczone (art. 2 ust. 13)

  W przypadku systemów AI wysokiego ryzyka, o których mowa w art. 6 ust. 1, stosowanie szczególnych wymogów lub obowiązków z art. 9–15 i 17–25 może zostać ograniczone w zakresie, w jakim unijne prawodawstwo harmonizacyjne wymienione w sekcji A załącznika I ustanawia wymogi lub obowiązki zapewniające równoważny lub wyższy poziom ochrony, a ograniczenie nie obniża ogólnego poziomu ochrony przewidzianego w rozporządzeniu (art. 2 ust. 13). Komisja ma przyjąć do 2 sierpnia 2027 akty delegowane określające systemy, których to dotyczy, wymogi, które mogą zostać ograniczone, warunki i zakres. Według naszej lektury art. 2 ust. 13 samo rozporządzenie nie mówi, które wymogi są ograniczone dla danego produktu z sekcji A; mają to zrobić akty delegowane; zapytaj prawnika.

• Przykład: przypisanie 13 aspektów do istniejących dokumentów

  Przykład, nie wymóg rozporządzenia: producent, który już prowadzi system zarządzania jakością na podstawie prawa sektorowego, mógłby wypisać 13 aspektów w tabeli i przy każdym zaznaczyć istniejący dokument, który go obejmuje.

• Artykuł 17 rozporządzenia AI: system zarządzania jakością

  Art. 17 dla wszystkich sektorów: 13 aspektów, proporcjonalność i kary.

• Rozporządzenie AI: zgodność systemów autonomicznych

  Przegląd systemów autonomicznych: które drogi z rozporządzenia dotyczą pojazdów, statków powietrznych, maszyn i AI w ruchu drogowym.

• Art. 26 dla systemów autonomicznych: obowiązki podmiotów wdrażających

  Systemy autonomiczne i art. 15: dokładność, solidność, cyberbezpieczeństwo, terminy i role.

• Systemy AI wysokiego ryzyka z załącznika I: ścieżka bezpieczeństwa produktów

  Załącznik I: które systemy AI w produktach regulowanych są systemami wysokiego ryzyka, z sekcjami A i B.