Art. 17 dla AI w fintechu: system zarządzania jakością

System dokumentuje się w systematyczny i uporządkowany sposób w formie pisemnych polityk, procedur i instrukcji. Cztery aspekty łączą się z innymi obowiązkami rozporządzenia; dalej następuje dziewięć kolejnych.

• art. 17(1)(a)
  Strategia zgodności regulacyjnej

  Strategia zgodności regulacyjnej, w tym zgodności z procedurami oceny zgodności i procedurami zarządzania zmianami w systemie.

• art. 17(1)(g)
  System zarządzania ryzykiem

  System zarządzania ryzykiem, o którym mowa w art. 9.

• art. 17(1)(h)
  Monitorowanie po wprowadzeniu do obrotu

  Ustanowienie, wdrożenie i utrzymanie systemu monitorowania po wprowadzeniu do obrotu zgodnie z art. 72.

• art. 17(1)(i)
  Zgłaszanie poważnych incydentów

  Procedury zgłaszania poważnych incydentów zgodnie z art. 73.

• art. 17(1)(b)–(f), (j)–(m)
  Pozostałe dziewięć aspektów

  Projektowanie i kontrola projektu; rozwój, kontrola jakości i zapewnienie jakości; procedury badania, testowania i walidacji; specyfikacje techniczne i normy; zarządzanie danymi; komunikacja z organami, jednostkami notyfikowanymi i innymi; prowadzenie rejestrów; zarządzanie zasobami; ramy odpowiedzialności.

• art. 17(2)
  Proporcjonalnie do wielkości, nie do ochrony

  Wdrożenie musi być proporcjonalne do wielkości organizacji dostawcy, w szczególności jeśli jest to MŚP, w tym przedsiębiorstwo typu start-up, lub mała spółka o średniej kapitalizacji. Dostawcy muszą jednak zachować stopień rygoru i poziom ochrony wymagane do zapewnienia zgodności ich systemów AI wysokiego ryzyka z rozporządzeniem.

Art. 17 dotyczy wyłącznie dostawców systemów AI wysokiego ryzyka. Poniższe wiersze pokazują, kiedy AI w fintechu staje się systemem wysokiego ryzyka i jakie zasady dotyczą instytucji finansowych.

• „Fintech” nie jest kategorią rozporządzenia

  Rozporządzenie nie zna kategorii „fintech”. Ta strona używa tego słowa dla AI, która podlega rozporządzeniu dwiema drogami z załącznika III: pkt 5 lit. b) (zdolność kredytowa i scoring kredytowy osób fizycznych) oraz pkt 5 lit. c) (ocena ryzyka i ustalanie cen w ubezpieczeniach na życie i zdrowotnych). Lit. b) wyłącza wykrywanie oszustw. Pkt 5 załącznika III nie wymienia kontroli przeciwdziałania praniu pieniędzy, handlu algorytmicznego, robodoradztwa, ubezpieczeń innych niż ubezpieczenia na życie i zdrowotne ani oceny kredytowej osób prawnych. System może mimo to być systemem wysokiego ryzyka na podstawie innego punktu załącznika III.

• Załącznik III pkt 5 lit. b) i c)

  Załącznik III pkt 5 lit. b) obejmuje systemy AI przeznaczone do wykorzystywania do celów oceny zdolności kredytowej osób fizycznych lub ustalenia ich scoringu kredytowego, z wyjątkiem systemów AI wykorzystywanych w celu wykrywania oszustw finansowych. Lit. c) obejmuje systemy AI przeznaczone do wykorzystywania przy ocenie ryzyka i ustalaniu cen w odniesieniu do osób fizycznych w przypadku ubezpieczenia na życie i ubezpieczenia zdrowotnego. Zgodnie z art. 6 ust. 2 systemy AI, o których mowa w załączniku III, uznaje się za systemy wysokiego ryzyka. Dostawca, który uważa, że taki system nie jest systemem wysokiego ryzyka na podstawie art. 6 ust. 3, musi udokumentować swoją ocenę przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku i zarejestrować go zgodnie z art. 49 ust. 2. Odstępstwo nigdy nie ma zastosowania, gdy system dokonuje profilowania osób fizycznych. Profilowanie oznacza profilowanie zgodnie z definicją w art. 4 pkt 4 rozporządzenia (UE) 2016/679 (art. 3 pkt 52); rozporządzenie nie rozstrzyga, czy dany system scoringowy dokonuje profilowania.

• Dostawca i podmiot wdrażający

  Dostawca opracowuje system AI lub zleca jego opracowanie i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą (art. 3 pkt 3); może to być dostawca oprogramowania albo bank, który opracowuje system na własny użytek. Osoba fizyczna lub prawna, organ publiczny, agencja lub inny podmiot, który wykorzystuje system pod własnym nadzorem, na przykład bank, zakład ubezpieczeń lub pożyczkodawca, jest podmiotem wdrażającym (w rozporządzeniu: podmiot stosujący) (art. 3 pkt 4). Podmiot wdrażający staje się dostawcą, jeżeli umieści swoją nazwę lub znak towarowy na systemie wysokiego ryzyka już wprowadzonym do obrotu, wprowadzi istotną zmianę, po której system pozostaje systemem wysokiego ryzyka, albo zmieni przeznaczenie systemu niebędącego systemem wysokiego ryzyka tak, że staje się nim (art. 25 ust. 1).

• Terminy

  Załącznik III pkt 5 lit. b) i c) obowiązuje od 2 grudnia 2027 (art. 113 akapit trzeci lit. c)). System wprowadzony do obrotu lub oddany do użytku przed tą datą jest objęty rozporządzeniem tylko wtedy, gdy po niej wprowadzono istotne zmiany w jego projekcie; w każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).

• Kary

  Naruszenie obowiązków dostawców (art. 16) i podmiotów wdrażających (art. 26) może skutkować karą pieniężną do 15 mln EUR lub, w przypadku przedsiębiorstwa, do 3 % jego całkowitego światowego obrotu rocznego z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Dla MŚP, w tym przedsiębiorstw typu start-up, każda kara jest ograniczona do niższej z tych kwot (art. 99 ust. 6). Ten sam pułap dotyczy małych spółek o średniej kapitalizacji (art. 3 pkt 14b, art. 99 ust. 6a). Każde państwo członkowskie ustanawia przepisy określające, w jakim zakresie kary administracyjne mogą być nakładane na organy i podmioty publiczne ustanowione w tym państwie członkowskim (art. 99 ust. 8).

• Granice zakresu stosowania rozporządzenia

  Rozporządzenie stosuje się do dostawców wprowadzających do obrotu lub oddających do użytku systemy AI w Unii albo wprowadzających do obrotu modele AI ogólnego przeznaczenia w Unii, bez względu na miejsce ich siedziby (art. 2 ust. 1 lit. a)), oraz do dostawców i podmiotów wdrażających z siedzibą w państwie trzecim, jeżeli wyniki działania systemu AI są wykorzystywane w Unii (lit. c)). Nie stosuje się go do obszarów wykraczających poza zakres prawa Unii i nie wpływa na kompetencje państw członkowskich w zakresie bezpieczeństwa narodowego; nie stosuje się go też do systemów AI wykorzystywanych wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego (art. 2 ust. 3).

• Instytucje finansowe: zasada dotycząca zarządzania wewnętrznego (art. 17 ust. 4)

  W odniesieniu do dostawców będących instytucjami finansowymi, które podlegają wymogom dotyczącym ich systemu zarządzania wewnętrznego, uzgodnień lub procedur na podstawie przepisów prawa Unii dotyczących usług finansowych, obowiązek wprowadzenia systemu zarządzania jakością uznaje się za spełniony w przypadku zapewnienia zgodności z przepisami dotyczącymi zarządzania wewnętrznego, uzgodnień lub procedur zgodnie z tymi przepisami (art. 17 ust. 4). Wyjątek dotyczy art. 17 ust. 1 lit. g), h) oraz i): systemu zarządzania ryzykiem (art. 9), systemu monitorowania po wprowadzeniu do obrotu (art. 72) i procedur zgłaszania poważnych incydentów (art. 73). Uwzględnia się normy zharmonizowane, o których mowa w art. 40. Rozporządzenie nie definiuje „instytucji finansowej” i nie wskazuje, o jakie przepisy dotyczące usług finansowych chodzi.

• Sektorowe systemy zarządzania jakością

  Dostawcy, którzy na podstawie sektorowego prawa Unii podlegają obowiązkom dotyczącym systemów zarządzania jakością lub równoważnej funkcji, mogą włączyć aspekty z art. 17 ust. 1 do systemu zarządzania jakością na podstawie tego prawa (art. 17 ust. 3).

• Dokumentacja, rejestry zdarzeń i monitorowanie w prawie finansowym

  Dostawcy będący instytucjami finansowymi, które podlegają takim wymogom dotyczącym zarządzania wewnętrznego, prowadzą dokumentację techniczną jako część dokumentacji prowadzonej zgodnie z odpowiednimi przepisami prawa Unii dotyczącymi usług finansowych (art. 18 ust. 3) i w ten sam sposób przechowują automatycznie generowane rejestry zdarzeń (art. 19 ust. 2). Art. 72 ust. 4 akapit drugi rozciąga na systemy z załącznika III pkt 5 takich instytucji finansowych możliwość włączenia elementów monitorowania po wprowadzeniu do obrotu do istniejących systemów i planów; rozporządzenie nie mówi, które istniejące systemy prawa finansowego się kwalifikują.

• Który organ jest właściwy

  W przypadku systemów wysokiego ryzyka wprowadzanych do obrotu, oddawanych do użytku lub wykorzystywanych przez instytucje finansowe regulowane prawem Unii dotyczącym usług finansowych organem nadzoru rynku jest właściwy organ krajowy odpowiedzialny za nadzór finansowy nad tymi instytucjami na podstawie tych przepisów, o ile wprowadzenie do obrotu, oddanie do użytku lub wykorzystywanie systemu pozostaje w bezpośrednim związku ze świadczeniem tych usług finansowych (art. 74 ust. 6). W odpowiednich okolicznościach i pod warunkiem zapewnienia koordynacji państwo członkowskie może wskazać inny właściwy organ (art. 74 ust. 7).

• Brak wskazanej normy i powiązania z prawem finansowym

  Rozporządzenie nie wskazuje normy ani certyfikacji dla systemu zarządzania jakością i nie przyporządkowuje zasad zarządzania z prawa finansowego do 13 aspektów. Art. 17 ust. 4 mówi tylko, że uwzględnia się normy zharmonizowane, o których mowa w art. 40.

• Przechowywanie przez dziesięć lat to art. 18

  Obowiązek przechowywania dokumentacji systemu zarządzania jakością przez dziesięć lat po wprowadzeniu systemu do obrotu lub oddaniu go do użytku znajduje się w art. 18 ust. 1, a nie w art. 17.

• Przykład: tabela luk

  Przykład, nie wymóg rozporządzenia: bank będący dostawcą mógłby wypisać 13 aspektów w tabeli, oznaczyć dokument dotyczący zarządzania wewnętrznego, który obejmuje każdy z nich, i potraktować aspekty g), h) i i) jako osobną pracę, ponieważ art. 17 ust. 4 ich nie obejmuje.

• Artykuł 17 rozporządzenia AI: system zarządzania jakością

  Art. 17 dla wszystkich sektorów: 13 aspektów, proporcjonalność i kary.

• Rozporządzenie AI fintech: zgodność

  Przegląd fintechu: jak rozporządzenie obejmuje AI w kredytach i ubezpieczeniach.

• Art. 15 dla AI w fintechu: dokładność, solidność i cyberbezpieczeństwo

  AI w fintechu i art. 15: dokładność, solidność, cyberbezpieczeństwo, terminy i role.

• Załącznik III szczegółowo: 8 kategorii wysokiego ryzyka

  Osiem obszarów załącznika III, w tym scoring kredytowy oraz ubezpieczenia na życie i zdrowotne.