Skip to main content

Artykuł 26: obowiązki podmiotu wdrażającego AI wysokiego ryzyka

Obowiązki podmiotu wdrażającego z art. 26 rozporządzenia w sprawie AI: kto nim jest, od kiedy obowiązują, czym różnią się od art. 27 i jakie kary przewiduje art. 99 ust. 4.

Podmioty wdrażające systemy AI wysokiego ryzyka muszą stosować instrukcję obsługi, powierzyć nadzór ze strony człowieka, monitorować działanie i przechowywać logi (art. 26).

Podmiot wdrażający (w rozporządzeniu: podmiot stosujący) to każda osoba lub podmiot, który korzysta z systemu AI pod własnym nadzorem (art. 3 pkt 4). Obowiązki dotyczą też podmiotów spoza UE, jeśli wyniki systemu są wykorzystywane w UE. Obowiązują od 2 grudnia 2027 (systemy z załącznika III, wymienione zastosowania, np. rekrutacja) lub od 2 sierpnia 2028 (systemy z załącznika I). Kary sięgają 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego, w zależności od tego, która kwota jest wyższa (art. 99 ust. 4). Pierwszy krok: poproś każdego dostawcę o instrukcję obsługi.

Art. 26 ustanawia 11 obowiązków podmiotów wdrażających

Poniższe karty podsumowują art. 26. Ust. 3 wyjaśnia, że obowiązki te nie naruszają innych obowiązków podmiotów wdrażających wynikających z prawa Unii lub prawa krajowego.

Używać systemu zgodnie z instrukcją

Podejmij odpowiednie środki techniczne i organizacyjne, aby używać systemu zgodnie z jego instrukcją obsługi (art. 26 ust. 1).

Powierzyć nadzór ze strony człowieka

Powierz nadzór ze strony człowieka osobom fizycznym o niezbędnych kompetencjach, przeszkoleniu i uprawnieniach oraz zapewnij im niezbędne wsparcie (art. 26 ust. 2).

Sprawdzać dane wejściowe

Jeśli kontrolujesz dane wejściowe, zadbaj o to, aby były adekwatne i wystarczająco reprezentatywne w odniesieniu do przewidzianego zastosowania systemu (art. 26 ust. 4).

Monitorować działanie i zgłaszać ryzyka

Monitoruj działanie na podstawie instrukcji obsługi. Jeżeli masz powody sądzić, że korzystanie z systemu może stwarzać ryzyko (art. 79 ust. 1), wstrzymaj korzystanie i niezwłocznie poinformuj dostawcę lub dystrybutora oraz organ nadzoru rynku. Po poważnym incydencie natychmiast poinformuj najpierw dostawcę, a następnie importera lub dystrybutora i organy nadzoru rynku. Jeśli nie możesz skontaktować się z dostawcą, stosuje się art. 73 (art. 26 ust. 5). Ten obowiązek nie obejmuje wrażliwych danych operacyjnych podmiotów wdrażających będących organami ścigania. Instytucje finansowe objęte unijnymi przepisami o wewnętrznym zarządzaniu w usługach finansowych spełniają obowiązek monitorowania, przestrzegając tych przepisów.

Przechowywać logi

Przechowuj logi generowane automatycznie przez system, o ile pozostają pod Twoją kontrolą, przez okres odpowiedni do przewidzianego zastosowania, co najmniej sześć miesięcy, chyba że prawo Unii lub prawo krajowe stanowi inaczej (art. 26 ust. 6). Instytucje finansowe przechowują je jako część dokumentacji prowadzonej na podstawie prawa dotyczącego usług finansowych.

Informować pracowników

Pracodawcy muszą poinformować przedstawicieli pracowników i pracowników, których to dotyczy, zanim oddadzą do użytku system wysokiego ryzyka lub zaczną z niego korzystać w miejscu pracy (art. 26 ust. 7).

Zarejestrować korzystanie (organy publiczne)

Organy publiczne i instytucje Unii muszą spełnić obowiązki rejestracyjne z art. 49. Jeżeli system, z którego planują korzystać, nie jest zarejestrowany w unijnej bazie danych, nie mogą go używać i muszą poinformować dostawcę lub dystrybutora (art. 26 ust. 8).

Wykorzystać informacje od dostawcy do oceny skutków dla ochrony danych

W stosownych przypadkach wykorzystaj informacje przekazane przez dostawcę na podstawie art. 13 do przeprowadzenia oceny skutków dla ochrony danych na podstawie art. 35 rozporządzenia (UE) 2016/679 lub art. 27 dyrektywy (UE) 2016/680 (art. 26 ust. 9).

Uzyskać zezwolenie na zdalną identyfikację biometryczną post factum

Przy ukierunkowanym poszukiwaniu osoby podejrzanej o popełnienie przestępstwa lub skazanej za nie uzyskaj przed użyciem systemu zdalnej identyfikacji biometrycznej post factum zezwolenie organu sądowego lub organu administracyjnego, którego decyzja jest wiążąca, albo najpóźniej w ciągu 48 godzin. Wyjątkiem jest wstępna identyfikacja potencjalnego podejrzanego na podstawie obiektywnych i weryfikowalnych faktów. Niekierowane użycie jest zakazane, każde użycie dokumentuje się w aktach policji, a organy otrzymują roczne sprawozdania (art. 26 ust. 10).

Informować osoby, których to dotyczy

Podmioty wdrażające systemy z załącznika III, które podejmują decyzje dotyczące osób fizycznych lub pomagają w ich podejmowaniu, muszą poinformować te osoby, że jest wobec nich używany system. W przypadku celów ścigania przestępstw stosuje się art. 13 dyrektywy (UE) 2016/680 (art. 26 ust. 11).

Współpracować z organami

Współpracuj z właściwymi organami przy wszelkich działaniach, które podejmują w odniesieniu do systemu w celu wykonania rozporządzenia (art. 26 ust. 12).

Rola wynika z użycia: niektóre podmioty wdrażające stają się dostawcami

Jesteś podmiotem wdrażającym, jeśli korzystasz z systemu AI pod własnym nadzorem, bez względu na to, kto go zbudował (art. 3 pkt 4). Firma, która buduje system i sama z niego korzysta, jest zarazem dostawcą i podmiotem wdrażającym, ponieważ oddanie do użytku obejmuje użytek własny (art. 3 pkt 11).

Podmiot wdrażający staje się dostawcą, z obowiązkami z art. 16, w trzech przypadkach (art. 25 ust. 1). Umieszcza swoją nazwę lub znak towarowy na systemie wysokiego ryzyka. Wprowadza istotną zmianę, po której system nadal jest systemem wysokiego ryzyka. Albo zmienia przewidziane zastosowanie systemu tak, że staje się on systemem wysokiego ryzyka. Pierwotny dostawca nie musi współpracować z nowym dostawcą, jeśli jasno określił, że jego system AI nie ma być zmieniany w system AI wysokiego ryzyka (art. 25 ust. 2).

Art. 26 i art. 27 to odrębne obowiązki

Art. 26 dotyczy każdego podmiotu wdrażającego system AI wysokiego ryzyka. Art. 27 dodaje ocenę skutków dla praw podstawowych tylko dla niektórych podmiotów: podmiotów prawa publicznego, podmiotów prywatnych świadczących usługi publiczne oraz podmiotów wdrażających systemy oceny zdolności kredytowej lub ubezpieczeń na życie i zdrowotnych. Sam art. 26 nie zawiera takiej oceny.

Terminy, ograniczenia i kary dla podmiotów wdrażających

Terminy stosowania

Art. 26 obowiązuje od 2 grudnia 2027 w odniesieniu do systemów z załącznika III i od 2 sierpnia 2028 w odniesieniu do systemów z załącznika I (art. 113). System wysokiego ryzyka wprowadzony do obrotu przed datą rozpoczęcia stosowania jest objęty przepisami tylko wtedy, gdy jego konstrukcja zostanie później istotnie zmieniona (art. 111 ust. 2). W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).

Gdzie art. 26 nie obowiązuje

Art. 26 nie dotyczy systemów związanych z produktami z załącznika I sekcja B (art. 2 ust. 2), osób fizycznych korzystających z systemów AI w ramach czysto osobistej działalności o charakterze nieprofesjonalnym (art. 2 ust. 10) ani systemów AI wykorzystywanych wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego (art. 2 ust. 3). W przypadku produktów z załącznika I sekcja B art. 57, 58 i 59 stosuje się tylko w zakresie, w jakim wymogi dotyczące systemów AI wysokiego ryzyka włączono do tego unijnego prawodawstwa harmonizacyjnego.

Kary

Naruszenie obowiązków podmiotu wdrażającego z art. 26 może skutkować karą do 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego, w zależności od tego, która kwota jest wyższa (art. 99 ust. 4 lit. e). Dla MŚP, w tym przedsiębiorstw typu start-up, oraz dla małych spółek o średniej kapitalizacji kara nie może przekroczyć niższej z tych dwóch kwot (art. 99 ust. 6 i 6a).

Jak Scanara wspiera podmioty wdrażające

Scanara przeprowadza prowadzoną ocenę obowiązków podmiotu wdrażającego z art. 26, łączy ją z oceną skutków dla ochrony danych, gdy przetwarzane są dane osobowe, i zapisuje dowody przechowywania logów. Gdy ma zastosowanie art. 27, druga prowadzona ocena porządkuje ocenę skutków dla praw podstawowych. Ty decydujesz, co Cię dotyczy, i sam wykonujesz obowiązki.

Najczęstsze pytania o obowiązki podmiotu wdrażającego

Czy art. 26 dotyczy systemów AI używanych wyłącznie wewnątrz firmy?

Tak. Podmiot wdrażający jest definiowany przez korzystanie z systemu pod własnym nadzorem, a nie przez to, kto go zbudował (art. 3 pkt 4). Firma, która buduje system wysokiego ryzyka i sama z niego korzysta, jest zarazem dostawcą i podmiotem wdrażającym, więc stosuje się art. 16 i art. 26. Rozwój i testowanie przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku są poza zakresem rozporządzenia (art. 2 ust. 8), z wyjątkiem testów w warunkach rzeczywistych.

Co musi zrobić podmiot wdrażający po poważnym incydencie?

Podmiot wdrażający, który stwierdzi poważny incydent, musi natychmiast poinformować najpierw dostawcę, a następnie importera lub dystrybutora i organy nadzoru rynku (art. 26 ust. 5). Poważny incydent to incydent lub nieprawidłowe działanie, które bezpośrednio lub pośrednio prowadzi do śmierci lub poważnej szkody dla zdrowia, poważnego i nieodwracalnego zakłócenia infrastruktury krytycznej, naruszenia obowiązków wynikających z prawa Unii mających chronić prawa podstawowe albo poważnej szkody w mieniu lub środowisku (art. 3 pkt 49). Wstrzymanie korzystania jest wymagane, gdy podmiot ma powody sądzić, że korzystanie stwarza ryzyko w rozumieniu art. 79 ust. 1.

Czy MŚP mają ulgi w obowiązkach podmiotu wdrażającego?

Nie. Art. 26 nie przewiduje wyłączenia ze względu na wielkość. MŚP, w tym przedsiębiorstwa typu start-up, oraz małe spółki o średniej kapitalizacji podlegają karze do wysokości niższej z dwóch kwot (art. 99 ust. 6 i 6a). Instytucje finansowe, które przestrzegają przepisów Unii o wewnętrznym zarządzaniu, przechowują logi jako część dokumentacji prowadzonej na podstawie prawa dotyczącego usług finansowych (art. 26 ust. 6).

Szczegóły każdego obowiązku

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.