Art. 26 w edukacji: obowiązki podmiotów wdrażających

Art. 26 nakłada te obowiązki na podmioty wdrażające systemy AI wysokiego ryzyka.

• art. 26(1)
  Stosowanie zgodnie z instrukcją

  Podjąć odpowiednie środki techniczne i organizacyjne, aby system był wykorzystywany zgodnie z instrukcją obsługi.

• art. 26(2)
  Powierzenie nadzoru ze strony człowieka

  Powierzyć sprawowanie nadzoru ze strony człowieka osobom fizycznym, które mają niezbędne kompetencje, przeszkolenie i uprawnienia, a także niezbędne wsparcie.

• art. 26(4)
  Kontrola danych wejściowych

  W zakresie, w jakim podmiot wdrażający sprawuje kontrolę nad danymi wejściowymi, zapewnić, aby były one adekwatne i wystarczająco reprezentatywne w świetle przeznaczenia systemu.

• art. 26(5)
  Monitorować, informować, zawiesić

  Monitorować działanie na podstawie instrukcji obsługi i w stosownych przypadkach informować dostawców zgodnie z art. 72. Jeżeli korzystanie z systemu zgodnie z instrukcją może powodować ryzyko w rozumieniu art. 79 ust. 1, bez zbędnej zwłoki poinformować dostawcę lub dystrybutora oraz właściwy organ nadzoru rynku i zawiesić korzystanie z systemu. Po poważnym incydencie niezwłocznie poinformować najpierw dostawcę, a następnie importera lub dystrybutora oraz organy nadzoru rynku. Jeżeli nie można skontaktować się z dostawcą, stosuje się odpowiednio art. 73.

• art. 26(6)
  Przechowywać rejestry zdarzeń

  Przechowywać generowane automatycznie przez system rejestry zdarzeń, w zakresie, w jakim pozostają pod ich kontrolą, przez okres odpowiedni do przeznaczenia systemu, wynoszący co najmniej sześć miesięcy, o ile prawo Unii lub prawo krajowe, w szczególności dotyczące ochrony danych osobowych, nie stanowi inaczej.

• art. 26(7)
  Informować pracowników

  Pracodawcy muszą poinformować przedstawicieli pracowników i zainteresowanych pracowników, zanim oddadzą do użytku lub zaczną wykorzystywać system wysokiego ryzyka w miejscu pracy, że będzie on wobec nich stosowany. Informacje te przekazuje się, w stosownych przypadkach, zgodnie z zasadami i procedurami prawa i praktyki Unii i krajowych w zakresie informowania pracowników i ich przedstawicieli.

• art. 26(8)
  Organy publiczne rejestrują się

  Podmioty wdrażające będące organami publicznymi lub instytucjami, organami i jednostkami organizacyjnymi Unii muszą przestrzegać obowiązków rejestracyjnych z art. 49, które dotyczą systemów z załącznika III. Nie mogą korzystać z systemu, który nie został zarejestrowany w unijnej bazie danych.

• art. 26(9)
  Ocena skutków dla ochrony danych

  W stosownych przypadkach wykorzystać informacje przekazane na podstawie art. 13 do przeprowadzenia oceny skutków dla ochrony danych na podstawie art. 35 rozporządzenia (UE) 2016/679 lub art. 27 dyrektywy (UE) 2016/680.

• art. 26(11)
  Informować osoby, których dotyczą decyzje

  W przypadku systemów z załącznika III, które podejmują decyzje dotyczące osób fizycznych lub pomagają w ich podejmowaniu, poinformować te osoby, że stosuje się wobec nich system, bez uszczerbku dla art. 50.

• art. 26(12)
  Współpracować z organami

  Współpracować z właściwymi organami w ramach wszelkich działań, jakie podejmują one w związku z systemem AI wysokiego ryzyka.

Art. 26 dotyczy wyłącznie podmiotów wdrażających systemy AI wysokiego ryzyka. Poniższe wiersze pokazują, kiedy AI w edukacji staje się systemem wysokiego ryzyka i jakie dalsze przepisy dotyczą szkół i uczelni.

• Gdzie w rozporządzeniu mieści się edukacja

  Rozporządzenie nie zawiera sektorowego reżimu dla edukacji. Ta strona używa słowa „edukacja” dla AI stosowanej w szkołach, na uczelniach, w kształceniu zawodowym i na egzaminach. Taka AI podlega rozporządzeniu przez załącznik III pkt 3 pod tytułem „Kształcenie i szkolenie zawodowe” oraz przez zakaz wnioskowania o emocjach w placówkach edukacji (art. 5 ust. 1 lit. f)). Pkt 3 nie wymienia wykrywania plagiatów, przewidywania rezygnacji z nauki, adaptacyjnych platform edukacyjnych, paneli postępów ani chatbotów administracyjnych; czy system pod niego podpada, wynika z jego przeznaczenia (art. 3 pkt 12). System może być też systemem wysokiego ryzyka na podstawie innego punktu załącznika III.

• Załącznik III pkt 3: cztery zastosowania

  załącznik III pkt 3 obejmuje systemy AI przeznaczone do wykorzystywania: a) do celów podejmowania decyzji o dostępie lub przyjęciu do instytucji edukacyjnych i instytucji szkolenia zawodowego lub przydzielania osób do tych instytucji na wszystkich poziomach; b) do celów oceny efektów uczenia się, także w przypadku gdy efekty te są wykorzystywane do kierowania procesem uczenia się osób fizycznych w instytucjach edukacyjnych i instytucjach szkolenia zawodowego na wszystkich poziomach; c) do celów oceny odpowiedniego poziomu wykształcenia, jaki dana osoba otrzyma lub do jakiego będzie mogła mieć dostęp w kontekście lub w ramach tych instytucji; d) do celów monitorowania i wykrywania niedozwolonego zachowania uczniów podczas testów w kontekście lub w ramach tych instytucji. Zgodnie z art. 6 ust. 2 systemy AI, o których mowa w załączniku III, uznaje się za systemy wysokiego ryzyka. Dostawca, który uważa, że taki system nie jest systemem wysokiego ryzyka na podstawie art. 6 ust. 3, musi udokumentować swoją ocenę przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku i zarejestrować go zgodnie z art. 49 ust. 2. Odstępstwo nigdy nie ma zastosowania, gdy system dokonuje profilowania osób fizycznych. Profilowanie oznacza profilowanie zgodnie z definicją w art. 4 pkt 4 rozporządzenia (UE) 2016/679 (art. 3 pkt 52).

• Dostawca i podmiot wdrażający

  Dostawca opracowuje system AI lub zleca jego opracowanie i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą (art. 3 pkt 3); może to być dostawca technologii edukacyjnych albo uczelnia, która opracowuje system na własny użytek. Osoba fizyczna lub prawna, organ publiczny, agencja lub inny podmiot, który wykorzystuje system pod własnym nadzorem, na przykład szkoła, uczelnia lub organ egzaminacyjny, jest podmiotem wdrażającym (w rozporządzeniu: podmiot stosujący) (art. 3 pkt 4). Podmiot wdrażający staje się dostawcą, jeżeli umieści swoją nazwę lub znak towarowy na systemie wysokiego ryzyka już wprowadzonym do obrotu, wprowadzi istotną zmianę, po której system pozostaje systemem wysokiego ryzyka, albo zmieni przeznaczenie systemu niebędącego systemem wysokiego ryzyka tak, że staje się nim (art. 25 ust. 1). Osoby fizyczne, które korzystają z systemu w ramach czysto osobistej działalności o charakterze nieprofesjonalnym, nie są związane obowiązkami podmiotu wdrażającego (art. 2 ust. 10). Umieszczenie własnej nazwy lub znaku towarowego nie narusza ustaleń umownych, w których obowiązki przydzielono inaczej (art. 25 ust. 1 lit. a)); pierwotny dostawca przestaje wówczas być dostawcą tego systemu i ściśle współpracuje z nowym dostawcą (art. 25 ust. 2). Obowiązek współpracy nie ma zastosowania, gdy pierwotny dostawca jasno określił, że jego system AI nie ma być zmieniony w system AI wysokiego ryzyka, i w związku z tym nie podlega obowiązkowi współpracy (art. 25 ust. 2, ostatni akapit).

• Terminy

  Załącznik III pkt 3 obowiązuje od 2 grudnia 2027 (art. 113 lit. c)). System wprowadzony do obrotu lub oddany do użytku przed tą datą jest objęty rozporządzeniem tylko wtedy, gdy od tej daty wprowadzono istotne zmiany w jego projekcie. W tym samym ustępie zdanie „w każdym razie” stanowi, że dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne podejmują niezbędne kroki w celu spełnienia wymogów do 2 sierpnia 2030 (art. 111 ust. 2). Rozporządzenie nie mówi, czy dotyczy to także systemów wprowadzonych do obrotu po 2 grudnia 2027; zasięgnij porady prawnej.

• Kary

  Naruszenie obowiązków dostawców (art. 16) i podmiotów wdrażających (art. 26) może skutkować karą pieniężną do 15 mln EUR lub, w przypadku przedsiębiorstwa, do 3 % jego całkowitego światowego obrotu rocznego z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Dla MŚP, w tym przedsiębiorstw typu start-up, każda kara jest ograniczona do niższej z tych kwot (art. 99 ust. 6). Ten sam pułap dotyczy małych spółek o średniej kapitalizacji (art. 3 pkt 14b, art. 99 ust. 6a). Każde państwo członkowskie ustanawia przepisy określające, w jakim zakresie kary administracyjne mogą być nakładane na organy i podmioty publiczne ustanowione w tym państwie członkowskim (art. 99 ust. 8). Art. 27, 49 i 86 nie są wymienione w art. 99 ust. 3–5; państwa członkowskie ustanawiają przepisy o sankcjach stosowanych w przypadku naruszeń rozporządzenia przez operatorów (art. 99 ust. 1).

• Granice zakresu stosowania rozporządzenia

  Rozporządzenie stosuje się do dostawców wprowadzających do obrotu lub oddających do użytku systemy AI w Unii albo wprowadzających do obrotu modele AI ogólnego przeznaczenia w Unii, bez względu na miejsce ich siedziby (art. 2 ust. 1 lit. a)), oraz do dostawców i podmiotów wdrażających z siedzibą w państwie trzecim, jeżeli wyniki działania systemu AI są wykorzystywane w Unii (lit. c)). Nie stosuje się go do obszarów wykraczających poza zakres prawa Unii i nie wpływa na kompetencje państw członkowskich w zakresie bezpieczeństwa narodowego; nie stosuje się go też do systemów AI wykorzystywanych wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego (art. 2 ust. 3). Rozporządzenia nie stosuje się do systemów AI ani modeli AI, w tym ich wyników, opracowanych i oddanych do użytku wyłącznie w celu badań naukowych i prac rozwojowych (art. 2 ust. 6). Nie stosuje się go też do działalności badawczej, testowej i rozwojowej prowadzonej przed wprowadzeniem systemu lub modelu do obrotu lub oddaniem do użytku; testy w warunkach rzeczywistych nie są objęte tym wyłączeniem (art. 2 ust. 8). Nie stosuje się go do obowiązków podmiotów wdrażających będących osobami fizycznymi, które korzystają z systemów AI w ramach czysto osobistej działalności pozazawodowej (art. 2 ust. 10). Nie ma zastosowania do systemów AI udostępnianych na podstawie bezpłatnych licencji otwartego oprogramowania, chyba że zostaną wprowadzone do obrotu lub oddane do użytku jako systemy AI wysokiego ryzyka lub jako systemy AI objęte art. 5 lub 50 (art. 2 ust. 12).

• Czy szkoła lub uczelnia jest podmiotem publicznym?

  Rozporządzenie nie definiuje „organu publicznego” ani „podmiotu prawa publicznego”. Od tego statusu zależą na przykład te reguły: rejestracja systemu i jego użycia w unijnej bazie danych przez podmioty wdrażające będące organami publicznymi, instytucjami, organami i jednostkami organizacyjnymi Unii lub osobami działającymi w ich imieniu (art. 26 ust. 8, art. 49 ust. 3); ocena wpływu na prawa podstawowe (art. 27 ust. 1); oraz zdanie „w każdym razie” w art. 111 ust. 2 o systemach przeznaczonych dla organów publicznych (2 sierpnia 2030). Czy dana szkoła, uczelnia lub organ egzaminacyjny ma taki status, rozporządzenie nie rozstrzyga.

• Ocena skutków dla praw podstawowych (art. 27)

  Art. 27 ust. 1: przed wdrożeniem systemu AI wysokiego ryzyka, o którym mowa w art. 6 ust. 2, z wyjątkiem systemów przeznaczonych do wykorzystywania w obszarze wymienionym w pkt 2 załącznika III, podmioty wdrażające będące podmiotami prawa publicznego lub podmiotami prywatnymi świadczącymi usługi publiczne muszą dokonać oceny wpływu, jaki wykorzystanie systemu może mieć na prawa podstawowe. Pkt 3 załącznika III nie jest obszarem wyłączonym; wyłączony jest tylko pkt 2. Obowiązek dotyczy pierwszego użycia; w podobnych przypadkach podmiot wdrażający może oprzeć się na wcześniejszych ocenach (art. 27 ust. 2). Podmiot wdrażający powiadamia organ nadzoru rynku o wynikach oceny (art. 27 ust. 3) i może odwołać się do oceny skutków dla ochrony danych (art. 27 ust. 4).

• Wyjaśnienie decyzji (art. 86) i informowanie (art. 26 ust. 11)

  Zgodnie z art. 26 ust. 11 podmioty wdrażające systemy AI wysokiego ryzyka z załącznika III, które podejmują decyzje dotyczące osób fizycznych lub pomagają w ich podejmowaniu, muszą informować te osoby, że podlegają stosowaniu takiego systemu. Odrębnie osoba, której dotyczy decyzja podjęta przez podmiot wdrażający na podstawie wyników systemu AI wysokiego ryzyka z załącznika III (z wyjątkiem pkt 2), wywołująca skutki prawne lub w podobny sposób znacząco na nią oddziałująca w sposób, który jej zdaniem ma negatywny wpływ na jej zdrowie, bezpieczeństwo lub prawa podstawowe, ma prawo uzyskać od podmiotu wdrażającego jasne i merytoryczne wyjaśnienia dotyczące roli systemu AI w procesie podejmowania decyzji oraz głównych elementów podjętej decyzji (art. 86 ust. 1). Stosuje się to tylko w zakresie, w jakim prawo to nie jest przewidziane w inny sposób w prawie Unii (art. 86 ust. 3). Ust. 1 nie ma zastosowania, gdy wyjątki lub ograniczenia wynikają z prawa Unii lub prawa krajowego zgodnego z prawem Unii (art. 86 ust. 2).

• Kompetencje w zakresie AI (art. 4)

  Dostawcy i podmioty wdrażające systemy AI muszą podejmować środki, które wspierają rozwój kompetencji w zakresie AI wśród ich personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu, z uwzględnieniem ich wiedzy technicznej, doświadczenia, wykształcenia i wyszkolenia oraz kontekstu wykorzystania (art. 4 ust. 1). Dotyczy to systemów AI w ogóle, nie tylko systemów wysokiego ryzyka. Rozdział I, w którym znajduje się art. 4, obowiązuje od 2 lutego 2025 (art. 113 lit. a)). Obowiązek ten nie oznacza, że mają zapewniać osiągnięcie określonego poziomu kompetencji w zakresie AI przez poszczególne osoby. Kompetencje, wyszkolenie i uprawnienia osób, którym powierzono nadzór ludzki, wymaga odrębnie art. 26 ust. 2.

• Brak liczb dotyczących personelu i szkoleń

  Art. 26 nie określa liczby pracowników, godzin szkolenia ani kwalifikacji osób nadzorujących system przyjęć, oceniania lub monitorowania testów. Wymaga niezbędnych kompetencji, przeszkolenia, uprawnień oraz wsparcia. Komisja opracowuje wytyczne dotyczące stosowania wymogów i obowiązków z art. 8–15 oraz art. 25 i 26 (art. 96 ust. 1 lit. a)).

• Przechowywanie rejestrów zdarzeń

  Art. 26 ust. 6 wymaga co najmniej sześciu miesięcy dla rejestrów zdarzeń pod kontrolą podmiotu wdrażającego i ustępuje innemu prawu Unii lub prawu krajowemu, w szczególności dotyczącemu danych osobowych. Rozporządzenie nie podaje okresu przechowywania dla edukacji.

• Wybór projektowy: role nadzorcze

  Częsty wybór projektowy, nie wymóg rozporządzenia: wskazać osoby sprawujące nadzór według ról w procedurach przyjęć, oceniania lub egzaminów i odnotować ich szkolenie.

• Weryfikacja przez człowieka każdej oceny i decyzji o przyjęciu

  Art. 14 ust. 4 i art. 26 ust. 2 dotyczą nadzoru ludzkiego nad systemem. Żaden z nich nie mówi, że człowiek musi sprawdzać każdą indywidualną decyzję. Czy wymaga tego inne prawo, na przykład dotyczące zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach, rozporządzenie nie rozstrzyga.

• Artykuł 26: obowiązki podmiotu wdrażającego AI wysokiego ryzyka

  Art. 26 dla wszystkich sektorów: kto jest podmiotem wdrażającym, obowiązki, art. 27 i kary.

• Rozporządzenie AI edtech: zgodność w edukacji

  Przegląd edukacji: jak rozporządzenie obejmuje AI w szkołach, na uczelniach i w szkoleniach.

• Art. 17 dla AI w edukacji: system zarządzania jakością

  AI w edukacji i art. 17: 13 aspektów i kto jest dostawcą.

• Artykuł 27: ocena skutków dla praw podstawowych (FRIA)

  Art. 27 dla wszystkich sektorów: kto musi ocenić wpływ na prawa podstawowe i co obejmuje ocena.