Art. 26 dla systemów autonomicznych: obowiązki podmiotów wdrażających

Art. 26 nakłada te obowiązki na podmioty wdrażające systemy AI wysokiego ryzyka.

• art. 26(1)
  Stosowanie zgodnie z instrukcją

  Podjąć odpowiednie środki techniczne i organizacyjne, aby system był wykorzystywany zgodnie z instrukcją obsługi.

• art. 26(2)
  Powierzenie nadzoru ze strony człowieka

  Powierzyć sprawowanie nadzoru ze strony człowieka osobom fizycznym, które mają niezbędne kompetencje, przeszkolenie i uprawnienia, a także niezbędne wsparcie.

• art. 26(4)
  Kontrola danych wejściowych

  W zakresie, w jakim podmiot wdrażający sprawuje kontrolę nad danymi wejściowymi, zapewnić, aby były one adekwatne i wystarczająco reprezentatywne w świetle przeznaczenia systemu.

• art. 26(5)
  Monitorować, informować, zawiesić

  Monitorować działanie na podstawie instrukcji obsługi i w stosownych przypadkach informować dostawców. Jeżeli korzystanie z systemu zgodnie z instrukcją może powodować ryzyko w rozumieniu art. 79 ust. 1, bez zbędnej zwłoki poinformować dostawcę lub dystrybutora oraz właściwy organ nadzoru rynku i zawiesić korzystanie z systemu. Po poważnym incydencie niezwłocznie poinformować najpierw dostawcę, a następnie importera lub dystrybutora oraz organy nadzoru rynku. Jeżeli nie można skontaktować się z dostawcą, stosuje się odpowiednio art. 73.

• art. 26(6)
  Przechowywać rejestry zdarzeń

  Przechowywać generowane automatycznie przez system rejestry zdarzeń, w zakresie, w jakim pozostają pod ich kontrolą, przez okres odpowiedni do przeznaczenia systemu, wynoszący co najmniej sześć miesięcy, o ile prawo Unii lub prawo krajowe, w szczególności dotyczące ochrony danych osobowych, nie stanowi inaczej.

• art. 26(7)
  Informować pracowników

  Pracodawcy muszą poinformować przedstawicieli pracowników i zainteresowanych pracowników, zanim oddadzą do użytku lub zaczną wykorzystywać system wysokiego ryzyka w miejscu pracy, że będzie on wobec nich stosowany. Informacje te przekazuje się, w stosownych przypadkach, zgodnie z zasadami i procedurami prawa i praktyki Unii i krajowych w zakresie informowania pracowników i ich przedstawicieli.

• art. 26(8)
  Organy publiczne rejestrują się

  Podmioty wdrażające będące organami publicznymi lub instytucjami, organami i jednostkami organizacyjnymi Unii muszą spełniać obowiązki rejestracyjne z art. 49. Jeżeli stwierdzą, że system AI wysokiego ryzyka, którego użycie planują, nie został zarejestrowany w unijnej bazie danych, o której mowa w art. 71, nie mogą z niego korzystać i informują dostawcę lub dystrybutora. W sprawie systemów z załącznika III pkt 2 zob. wiersz o rejestracji poniżej.

• art. 26(9)
  Ocena skutków dla ochrony danych

  W stosownych przypadkach wykorzystać informacje przekazane na podstawie art. 13 do przeprowadzenia oceny skutków dla ochrony danych na podstawie art. 35 rozporządzenia (UE) 2016/679 lub art. 27 dyrektywy (UE) 2016/680.

• art. 26(11)
  Informować osoby, których dotyczą decyzje

  W przypadku systemów z załącznika III, które podejmują decyzje dotyczące osób fizycznych lub pomagają w ich podejmowaniu, poinformować te osoby, że stosuje się wobec nich system, bez uszczerbku dla art. 50.

• art. 26(12)
  Współpracować z organami

  Współpracować z właściwymi organami w ramach wszelkich działań, jakie podejmują one w związku z systemem AI wysokiego ryzyka.

Art. 26 wiąże wyłącznie podmioty wdrażające systemy AI wysokiego ryzyka. Poniższe wiersze pokazują, które systemy autonomiczne obejmuje i które dalsze przepisy dotyczą operatorów i organów.

• „Systemy autonomiczne” nie są kategorią rozporządzenia

  Rozporządzenie nie zna kategorii „systemy autonomiczne”; jego definicja systemu AI odnosi się do działania z różnym poziomem autonomii (art. 3 pkt 1). Ta strona używa tego słowa dla AI w pojazdach, dronach, robotach i maszynach oraz dla AI wspierającej zarządzanie ruchem drogowym. Taka AI może być systemem wysokiego ryzyka trzema drogami i to droga decyduje, jakie przepisy dotyczące wysokiego ryzyka mają zastosowanie: załącznik I sekcja B (art. 2 ust. 2 ogranicza przepisy do kilku artykułów), załącznik I sekcja A (wymogi rozdziału III od 2 sierpnia 2028, jeżeli system jest systemem wysokiego ryzyka na podstawie art. 6 ust. 1) oraz załącznik III pkt 2 (wymogi rozdziału III od 2 grudnia 2027). Inne przepisy nie zależą od drogi: art. 4 i 5, art. 50, art. 53 dla dostawców modeli oraz pozostałe punkty załącznika III. Art. 2 ust. 2 ogranicza tylko systemy AI będące systemami wysokiego ryzyka na podstawie art. 6 ust. 1 w produktach z sekcji B. Najpierw ustal swoją drogę wysokiego ryzyka.

• Pojazdy, statki powietrzne, kolej, wyposażenie morskie i maszyny: załącznik I sekcja B

  Sekcja B załącznika I wymienia m.in. pojazdy silnikowe (rozporządzenia (UE) 2018/858 i 2019/2144), pojazdy dwu- lub trzykołowe (rozporządzenie (UE) nr 168/2013), pojazdy rolnicze i leśne (rozporządzenie (UE) nr 167/2013), system kolei (dyrektywa (UE) 2016/797), wyposażenie morskie (dyrektywa 2014/90/UE), bezzałogowe statki powietrzne oraz ich silniki, śmigła, części i wyposażenie do zdalnego sterowania, w zakresie objętym rozporządzeniem (UE) 2018/1139, a także maszyny (rozporządzenie (UE) 2023/1230, przeniesione z sekcji A do sekcji B rozporządzeniem (UE) 2026/1744). W przypadku systemu AI, który jest systemem wysokiego ryzyka na podstawie art. 6 ust. 1 i dotyczy takiego produktu, stosuje się tylko art. 6 ust. 1, art. 60a oraz art. 102–112 (art. 2 ust. 2); art. 57, 58 i 59 stosuje się tylko w zakresie, w jakim wymogi dotyczące systemów AI wysokiego ryzyka zostały włączone do tego unijnego prawodawstwa harmonizacyjnego. Art. 9–15, 17 i 26 do nich nie należą. Zamiast tego art. 102–109 dodają do ośmiu z tych aktów zasadę, że Komisja uwzględnia wymogi rozdziału III sekcji 2, gdy przyjmuje wymienione w nich akty dotyczące systemów AI. Dla maszyn art. 3 pkt 1 rozporządzenia (UE) 2026/1744 zobowiązuje Komisję do przyjęcia aktów delegowanych dodających wymogi w zakresie zdrowia i bezpieczeństwa dla takich systemów AI, odzwierciedlających rozdział III sekcję 2 oraz art. 17, 19, 72 i 73; akty te mają się stosować najpóźniej od 2 sierpnia 2028.

• Produkty z sekcji A i załącznik III pkt 2: obowiązuje rozdział III

  Dwie drogi uruchamiają wymogi rozdziału III. Po pierwsze, system AI jest systemem wysokiego ryzyka na podstawie art. 6 ust. 1, jeżeli jest przeznaczony do wykorzystania jako związany z bezpieczeństwem komponent produktu objętego prawodawstwem z załącznika I lub sam jest takim produktem, a produkt ten musi przejść ocenę zgodności przeprowadzaną przez stronę trzecią na podstawie tego prawodawstwa. Sekcja A (pkt 2–12) obejmuje na przykład dźwigi, instalacje kolei linowych, jednostki rekreacyjne i wyroby medyczne; rozdział III stosuje się do takich systemów od 2 sierpnia 2028 (art. 113 lit. c) ppkt (ii)). Związany z bezpieczeństwem komponent to komponent, który pełni funkcję bezpieczeństwa lub którego awaria lub nieprawidłowe działanie zagraża zdrowiu i bezpieczeństwu osób lub mieniu (art. 3 pkt 14); AI wykorzystywana wyłącznie do aspektów niezwiązanych z bezpieczeństwem, takich jak optymalizacja wydajności, automatyzacja lub wygoda, nim nie jest, ale AI, której awaria zagrażałaby zdrowiu i bezpieczeństwu, jest (art. 6 ust. 1a i 1b). Produkt, który musi przejść ocenę zgodności przez stronę trzecią wyłącznie z powodu ryzyka innego niż dla zdrowia i bezpieczeństwa, takiego jak wykorzystanie widma radiowego lub zakłócenia elektromagnetyczne niewpływające na zdrowie i bezpieczeństwo, nie spełnia tego warunku (art. 6 ust. 1c); dotyczy to na przykład urządzeń radiowych (pkt 6). Po drugie, załącznik III pkt 2 obejmuje systemy AI przeznaczone do wykorzystania jako związane z bezpieczeństwem komponenty w zarządzaniu krytyczną infrastrukturą cyfrową i ruchem drogowym oraz w ich obsłudze, a także w zaopatrzeniu w wodę, gaz, ciepło lub energię elektryczną; rozdział III stosuje się do nich od 2 grudnia 2027 (art. 113 lit. c) ppkt (i)). Według swojego brzmienia pkt 2 wymienia zarządzanie ruchem drogowym i jego obsługę, a nie pojazdy.

• Podmiot wdrażający i dostawca

  Osoba fizyczna lub prawna, organ publiczny, agencja lub inny podmiot, który wykorzystuje system AI pod własnym nadzorem, jest podmiotem wdrażającym (art. 3 pkt 4); na przykład przewoźnik, właściciel floty, operator zakładu lub zarządca dróg, który używa systemu dostawcy. Art. 26 wiąże go, gdy system jest systemem wysokiego ryzyka, na przykład na podstawie załącznika III pkt 2 lub, jako produkt z sekcji A, na podstawie art. 6 ust. 1; uruchamiają go też pozostałe punkty załącznika III, produkty z sekcji B nie (art. 2 ust. 2). Podmiot wdrażający staje się dostawcą, jeżeli umieści swoją nazwę lub znak towarowy na systemie wysokiego ryzyka już wprowadzonym do obrotu, wprowadzi istotną zmianę, po której system pozostaje systemem wysokiego ryzyka, albo zmieni przeznaczenie systemu niebędącego systemem wysokiego ryzyka tak, że staje się nim (art. 25 ust. 1). Osoby fizyczne, które używają systemu w ramach czysto osobistej działalności o charakterze nieprofesjonalnym, nie są związane jako podmioty wdrażające (art. 2 ust. 10).

• Poważne incydenty

  Poważny incydent obejmuje incydent lub nieprawidłowe działanie systemu AI, które bezpośrednio lub pośrednio prowadzi do śmierci osoby lub poważnego uszczerbku na jej zdrowiu, poważnego i nieodwracalnego zakłócenia zarządzania infrastrukturą krytyczną lub jej funkcjonowania, naruszenia obowiązków wynikających z prawa Unii mających chronić prawa podstawowe albo poważnych szkód w mieniu lub środowisku (art. 3 pkt 49). Podmiot wdrażający, który stwierdził poważny incydent, natychmiast informuje najpierw dostawcę, a następnie importera lub dystrybutora oraz właściwe organy nadzoru rynku (art. 26 ust. 5). Dostawca zgłasza go organom nadzoru rynku: nie później niż 15 dni po tym, jak dostawca lub podmiot wdrażający dowiedział się o incydencie, nie później niż 10 dni w razie śmierci osoby oraz nie później niż dwa dni w razie powszechnego naruszenia lub incydentu, o którym mowa w art. 3 pkt 49 lit. b) (art. 73 ust. 1–4). Art. 73 nie należy do przepisów, które zgodnie z art. 2 ust. 2 stosuje się do produktów z sekcji B.

• Rejestracja systemów z pkt 2 (art. 49)

  Systemy, o których mowa w pkt 2 załącznika III, nie są rejestrowane w unijnej bazie danych ani przez dostawcę, ani przez podmioty wdrażające będące organami publicznymi (art. 49 ust. 1 i 3); rejestruje się je na poziomie krajowym (art. 49 ust. 5). Rozporządzenie nie mówi, jak działa rejestracja krajowa; zapytaj organ krajowy i zasięgnij porady prawnej. Rozporządzenie nie definiuje „organu publicznego”; nie rozstrzyga, czy dany operator nim jest, a ma to znaczenie dla art. 26 ust. 8, art. 49 ust. 3 i art. 111 ust. 2, zgodnie z którym dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030.

• Ocena skutków dla praw podstawowych: pkt 2 jest wyłączony (art. 27)

  Art. 27 ust. 1: przed wdrożeniem systemu AI wysokiego ryzyka, o którym mowa w art. 6 ust. 2, z wyjątkiem systemów przeznaczonych do wykorzystywania w obszarze wymienionym w pkt 2 załącznika III, podmioty wdrażające będące podmiotami prawa publicznego lub podmiotami prywatnymi świadczącymi usługi publiczne muszą dokonać oceny wpływu, jaki wykorzystanie systemu może mieć na prawa podstawowe. Operator lub organ, który wdraża system z pkt 2, nie ma zatem w odniesieniu do tego systemu obowiązku z art. 27, niezależnie od tego, czy jest podmiotem prawa publicznego lub świadczy usługę publiczną. Art. 27 ust. 1 może mieć zastosowanie do tego samego podmiotu wdrażającego w odniesieniu do systemu wysokiego ryzyka z innego obszaru załącznika III i obejmuje też podmioty wdrażające systemy z załącznika III pkt 5 lit. b) i c). Systemy z załącznika I sekcji A są systemami wysokiego ryzyka na podstawie art. 6 ust. 1, którego art. 27 ust. 1 nie wymienia.

• Wyjaśnienie decyzji (art. 86) i informowanie (art. 26 ust. 11)

  Zgodnie z art. 26 ust. 11 podmioty wdrażające systemy AI wysokiego ryzyka z załącznika III, które podejmują decyzje dotyczące osób fizycznych lub pomagają w ich podejmowaniu, muszą informować te osoby, że podlegają stosowaniu takiego systemu. Odrębnie osoba, której dotyczy decyzja podjęta przez podmiot wdrażający na podstawie wyników systemu AI wysokiego ryzyka z załącznika III (z wyjątkiem pkt 2), wywołująca skutki prawne lub w podobny sposób znacząco na nią oddziałująca w sposób, który jej zdaniem ma negatywny wpływ na jej zdrowie, bezpieczeństwo lub prawa podstawowe, ma prawo uzyskać od podmiotu wdrażającego jasne i merytoryczne wyjaśnienia dotyczące roli systemu AI w procesie podejmowania decyzji oraz głównych elementów podjętej decyzji (art. 86 ust. 1). Stosuje się to tylko w zakresie, w jakim prawo to nie jest przewidziane w inny sposób w prawie Unii (art. 86 ust. 3). Ust. 1 nie ma zastosowania, gdy wyjątki lub ograniczenia wynikają z prawa Unii lub prawa krajowego zgodnego z prawem Unii (art. 86 ust. 2). Art. 86 ust. 1 wyłącza systemy wymienione w pkt 2 załącznika III.

• Terminy

  Systemy z załącznika III pkt 2 muszą spełniać wymogi rozdziału III od 2 grudnia 2027, a systemy z sekcji A od 2 sierpnia 2028 (art. 113 lit. c)). Dla systemów z sekcji B nie obowiązuje żadna data dotycząca art. 9–15, 17 i 26, ponieważ te artykuły ich nie dotyczą; zgodnie z art. 113 lit. c) ppkt (ii) rozdział III sekcje 1–3, do których należy art. 6, stosuje się do systemów z załącznika I od 2 sierpnia 2028, a art. 102–110 stosuje się od 27 lipca 2026 (art. 113 lit. c) ppkt (ii) i lit. d)). System wprowadzony do obrotu lub oddany do użytku przed datą rozpoczęcia stosowania rozdziału III jest objęty rozporządzeniem tylko wtedy, gdy po niej wprowadzono istotne zmiany w jego projekcie; w każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).

• Kary

  Naruszenie obowiązków dostawców (art. 16) i podmiotów wdrażających (art. 26) może skutkować karą pieniężną do 15 mln EUR lub, w przypadku przedsiębiorstwa, do 3 % jego całkowitego światowego obrotu rocznego z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Dla MŚP, w tym przedsiębiorstw typu start-up, każda kara jest ograniczona do niższej z tych kwot (art. 99 ust. 6). Ten sam pułap dotyczy małych spółek o średniej kapitalizacji (art. 3 pkt 14b, art. 99 ust. 6a). Każde państwo członkowskie ustanawia przepisy określające, w jakim zakresie kary administracyjne mogą być nakładane na organy i podmioty publiczne ustanowione w tym państwie członkowskim (art. 99 ust. 8). Art. 99 nie należy do przepisów, które zgodnie z art. 2 ust. 2 stosuje się do systemów AI wysokiego ryzyka na podstawie art. 6 ust. 1 w produktach z sekcji B.

• Kompetencje w zakresie AI (art. 4)

  Dostawcy i podmioty wdrażające systemy AI muszą podejmować środki, które wspierają rozwój kompetencji w zakresie AI wśród ich personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu, z uwzględnieniem ich wiedzy technicznej, doświadczenia, wykształcenia i wyszkolenia oraz kontekstu wykorzystania (art. 4 ust. 1). Dotyczy to systemów AI w ogóle, nie tylko systemów wysokiego ryzyka. Rozdział I, w którym znajduje się art. 4, obowiązuje od 2 lutego 2025 (art. 113 lit. a)). Obowiązek ten nie oznacza, że mają zapewniać osiągnięcie określonego poziomu kompetencji w zakresie AI przez poszczególne osoby. Kompetencje, wyszkolenie i uprawnienia osób, którym powierzono nadzór ludzki, wymaga odrębnie art. 26 ust. 2.

• Granice zakresu stosowania rozporządzenia

  Rozporządzenie stosuje się do dostawców wprowadzających do obrotu lub oddających do użytku systemy AI w Unii albo wprowadzających do obrotu modele AI ogólnego przeznaczenia w Unii, bez względu na miejsce ich siedziby (art. 2 ust. 1 lit. a)), oraz do dostawców i podmiotów wdrażających z siedzibą w państwie trzecim, jeżeli wyniki działania systemu AI są wykorzystywane w Unii (lit. c)). Nie stosuje się go do obszarów wykraczających poza zakres prawa Unii i nie wpływa na kompetencje państw członkowskich w zakresie bezpieczeństwa narodowego; nie stosuje się go też do systemów AI wykorzystywanych wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego (art. 2 ust. 3). Rozporządzenia nie stosuje się do systemów AI ani modeli AI, w tym ich wyników, opracowanych i oddanych do użytku wyłącznie w celu badań naukowych i prac rozwojowych (art. 2 ust. 6). Nie stosuje się go też do działalności badawczej, testowej i rozwojowej prowadzonej przed wprowadzeniem systemu lub modelu do obrotu lub oddaniem do użytku; testy w warunkach rzeczywistych nie są objęte tym wyłączeniem (art. 2 ust. 8). Nie ma zastosowania do systemów AI udostępnianych na podstawie bezpłatnych licencji otwartego oprogramowania, chyba że zostaną wprowadzone do obrotu lub oddane do użytku jako systemy AI wysokiego ryzyka lub jako systemy AI objęte art. 5 lub 50 (art. 2 ust. 12).

• Brak liczb dotyczących personelu i szkoleń

  Art. 26 nie ustala poziomu obsady, liczby godzin szkolenia ani kwalifikacji osób nadzorujących system. Wymaga niezbędnych kompetencji, przeszkolenia, uprawnień oraz wsparcia (art. 26 ust. 2). Komisja opracowuje wytyczne dotyczące stosowania wymogów i obowiązków z art. 8–15 oraz art. 25 i 26 (art. 96 ust. 1 lit. a)).

• Przechowywanie rejestrów zdarzeń

  Art. 12 ust. 1 wymaga, aby systemy AI wysokiego ryzyka technicznie umożliwiały automatyczne rejestrowanie zdarzeń (logów) w całym cyklu życia systemu; jest to obowiązek projektowy dostawcy. Art. 26 ust. 6 ustala co najmniej sześć miesięcy dla logów pozostających pod kontrolą podmiotu wdrażającego i ustępuje innemu prawu Unii lub prawu krajowemu, w szczególności o ochronie danych osobowych. Rozporządzenie nie wskazuje okresu przechowywania dla systemów autonomicznych.

• Wybór projektowy: role nadzorcze

  Powszechny wybór projektowy, a nie wymóg rozporządzenia: wyznaczyć osoby nadzorujące według roli dla każdej lokalizacji, floty pojazdów lub nastawni i udokumentować ich szkolenie.

• Zatrzymanie systemu: obowiązek projektowy dostawcy

  Art. 14 ust. 4 lit. e) wymaga, aby system był udostępniany w taki sposób, by osoby, którym powierzono nadzór ludzki, mogły, stosownie i proporcjonalnie, ingerować w jego działanie lub przerwać je za pomocą przycisku „stop” lub podobnej procedury umożliwiającej zatrzymanie systemu w stanie bezpiecznym. Jest to obowiązek projektowy dostawcy. Art. 26 ust. 2 wymaga, aby podmiot wdrażający powierzył nadzór osobom o niezbędnych kompetencjach, przeszkoleniu i uprawnieniach. Rozporządzenie nie mówi, kto może zatrzymać pojazd, statek powietrzny lub maszynę ani kiedy, i nie wymienia roli operatora zdalnego.

• Inne przepisy obowiązują równolegle

  Art. 26 ust. 1 i 2 pozostają bez uszczerbku dla innych obowiązków podmiotów wdrażających wynikających z prawa Unii lub prawa krajowego (art. 26 ust. 3). To, czy po incydencie należy dokonać także zgłoszenia na podstawie innego aktu, rozstrzyga ten akt, a nie rozporządzenie o AI.

• Artykuł 26: obowiązki podmiotu wdrażającego AI wysokiego ryzyka

  Art. 26 dla wszystkich sektorów: kto jest podmiotem wdrażającym, obowiązki, art. 27 i kary.

• Rozporządzenie AI: zgodność systemów autonomicznych

  Przegląd systemów autonomicznych: które drogi z rozporządzenia dotyczą pojazdów, statków powietrznych, maszyn i AI w ruchu drogowym.

• Art. 17 dla systemów autonomicznych: system zarządzania jakością

  Systemy autonomiczne i art. 17: 13 aspektów i kto jest dostawcą.

• Systemy AI wysokiego ryzyka z załącznika I: ścieżka bezpieczeństwa produktów

  Załącznik I: które systemy AI w produktach regulowanych są systemami wysokiego ryzyka, z sekcjami A i B.