Art. 26 w fintechu: obowiązki podmiotów wdrażających

Art. 26 nakłada te obowiązki na podmioty wdrażające systemy AI wysokiego ryzyka.

• art. 26(1)
  Stosowanie zgodnie z instrukcją

  Podjąć odpowiednie środki techniczne i organizacyjne, aby system był wykorzystywany zgodnie z instrukcją obsługi.

• art. 26(2)
  Powierzenie nadzoru ze strony człowieka

  Powierzyć sprawowanie nadzoru ze strony człowieka osobom fizycznym, które mają niezbędne kompetencje, przeszkolenie i uprawnienia, a także niezbędne wsparcie.

• art. 26(4)
  Kontrola danych wejściowych

  W zakresie, w jakim podmiot wdrażający sprawuje kontrolę nad danymi wejściowymi, zapewnić, aby były one adekwatne i wystarczająco reprezentatywne w świetle przeznaczenia systemu.

• art. 26(5)
  Monitorować, informować, zawiesić

  Monitorować działanie na podstawie instrukcji obsługi i w stosownych przypadkach informować dostawców. Jeżeli korzystanie z systemu zgodnie z instrukcją może powodować ryzyko w rozumieniu art. 79 ust. 1, bez zbędnej zwłoki poinformować dostawcę lub dystrybutora oraz właściwy organ nadzoru rynku i zawiesić korzystanie z systemu. Po poważnym incydencie niezwłocznie poinformować najpierw dostawcę, a następnie importera lub dystrybutora oraz organy nadzoru rynku. Jeżeli nie można skontaktować się z dostawcą, stosuje się odpowiednio art. 73.

• art. 26(6)
  Przechowywać rejestry zdarzeń

  Przechowywać generowane automatycznie przez system rejestry zdarzeń, w zakresie, w jakim pozostają pod ich kontrolą, przez okres odpowiedni do przeznaczenia systemu, wynoszący co najmniej sześć miesięcy, o ile prawo Unii lub prawo krajowe, w szczególności dotyczące ochrony danych osobowych, nie stanowi inaczej.

• art. 26(7)
  Informować pracowników

  Pracodawcy muszą poinformować przedstawicieli pracowników i zainteresowanych pracowników, zanim oddadzą do użytku lub zaczną wykorzystywać system wysokiego ryzyka w miejscu pracy, że będzie on wobec nich stosowany. Informacje te przekazuje się, w stosownych przypadkach, zgodnie z zasadami i procedurami prawa i praktyki Unii i krajowych w zakresie informowania pracowników i ich przedstawicieli.

• art. 26(8)
  Organy publiczne rejestrują się

  Podmioty wdrażające będące organami publicznymi lub instytucjami, organami i jednostkami organizacyjnymi Unii muszą przestrzegać obowiązków rejestracyjnych z art. 49, które dotyczą systemów z załącznika III. Nie mogą korzystać z systemu, który nie został zarejestrowany w unijnej bazie danych.

• art. 26(9)
  Ocena skutków dla ochrony danych

  W stosownych przypadkach wykorzystać informacje przekazane na podstawie art. 13 do przeprowadzenia oceny skutków dla ochrony danych na podstawie art. 35 rozporządzenia (UE) 2016/679 lub art. 27 dyrektywy (UE) 2016/680.

• art. 26(11)
  Informować osoby, których dotyczą decyzje

  W przypadku systemów z załącznika III, które podejmują decyzje dotyczące osób fizycznych lub pomagają w ich podejmowaniu, poinformować te osoby, że stosuje się wobec nich system, bez uszczerbku dla art. 50.

• art. 26(12)
  Współpracować z organami

  Współpracować z właściwymi organami w ramach wszelkich działań, jakie podejmują one w związku z systemem AI wysokiego ryzyka.

Art. 26 dotyczy wyłącznie podmiotów wdrażających systemy AI wysokiego ryzyka. Poniższe wiersze pokazują, kiedy AI w fintechu staje się systemem wysokiego ryzyka i jakie zasady dotyczą instytucji finansowych.

• „Fintech” nie jest kategorią rozporządzenia

  Rozporządzenie nie zna kategorii „fintech”. Ta strona używa tego słowa dla AI, która podlega rozporządzeniu dwiema drogami z załącznika III: pkt 5 lit. b) (zdolność kredytowa i scoring kredytowy osób fizycznych) oraz pkt 5 lit. c) (ocena ryzyka i ustalanie cen w ubezpieczeniach na życie i zdrowotnych). Lit. b) wyłącza wykrywanie oszustw. Pkt 5 załącznika III nie wymienia kontroli przeciwdziałania praniu pieniędzy, handlu algorytmicznego, robodoradztwa, ubezpieczeń innych niż ubezpieczenia na życie i zdrowotne ani oceny kredytowej osób prawnych. System może mimo to być systemem wysokiego ryzyka na podstawie innego punktu załącznika III.

• Załącznik III pkt 5 lit. b) i c)

  Załącznik III pkt 5 lit. b) obejmuje systemy AI przeznaczone do wykorzystywania do celów oceny zdolności kredytowej osób fizycznych lub ustalenia ich scoringu kredytowego, z wyjątkiem systemów AI wykorzystywanych w celu wykrywania oszustw finansowych. Lit. c) obejmuje systemy AI przeznaczone do wykorzystywania przy ocenie ryzyka i ustalaniu cen w odniesieniu do osób fizycznych w przypadku ubezpieczenia na życie i ubezpieczenia zdrowotnego. Zgodnie z art. 6 ust. 2 systemy AI, o których mowa w załączniku III, uznaje się za systemy wysokiego ryzyka. Dostawca, który uważa, że taki system nie jest systemem wysokiego ryzyka na podstawie art. 6 ust. 3, musi udokumentować swoją ocenę przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku i zarejestrować go zgodnie z art. 49 ust. 2. Odstępstwo nigdy nie ma zastosowania, gdy system dokonuje profilowania osób fizycznych. Profilowanie oznacza profilowanie zgodnie z definicją w art. 4 pkt 4 rozporządzenia (UE) 2016/679 (art. 3 pkt 52); rozporządzenie nie rozstrzyga, czy dany system scoringowy dokonuje profilowania.

• Dostawca i podmiot wdrażający

  Dostawca opracowuje system AI lub zleca jego opracowanie i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą (art. 3 pkt 3); może to być dostawca oprogramowania albo bank, który opracowuje system na własny użytek. Osoba fizyczna lub prawna, organ publiczny, agencja lub inny podmiot, który wykorzystuje system pod własnym nadzorem, na przykład bank, zakład ubezpieczeń lub pożyczkodawca, jest podmiotem wdrażającym (w rozporządzeniu: podmiot stosujący) (art. 3 pkt 4). Podmiot wdrażający staje się dostawcą, jeżeli umieści swoją nazwę lub znak towarowy na systemie wysokiego ryzyka już wprowadzonym do obrotu, wprowadzi istotną zmianę, po której system pozostaje systemem wysokiego ryzyka, albo zmieni przeznaczenie systemu niebędącego systemem wysokiego ryzyka tak, że staje się nim (art. 25 ust. 1). Osoby fizyczne, które korzystają z systemu w ramach czysto osobistej działalności o charakterze nieprofesjonalnym, nie są związane obowiązkami podmiotu wdrażającego (art. 2 ust. 10). Umieszczenie własnej nazwy lub znaku towarowego nie narusza ustaleń umownych, w których obowiązki przydzielono inaczej (art. 25 ust. 1 lit. a)); pierwotny dostawca przestaje wówczas być dostawcą tego systemu i ściśle współpracuje z nowym dostawcą (art. 25 ust. 2).

• Terminy

  Załącznik III pkt 5 lit. b) i c) obowiązuje od 2 grudnia 2027 (art. 113 akapit trzeci lit. c)). System wprowadzony do obrotu lub oddany do użytku przed tą datą jest objęty rozporządzeniem tylko wtedy, gdy po niej wprowadzono istotne zmiany w jego projekcie; w każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).

• Kary

  Naruszenie obowiązków dostawców (art. 16) i podmiotów wdrażających (art. 26) może skutkować karą pieniężną do 15 mln EUR lub, w przypadku przedsiębiorstwa, do 3 % jego całkowitego światowego obrotu rocznego z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Dla MŚP, w tym przedsiębiorstw typu start-up, każda kara jest ograniczona do niższej z tych kwot (art. 99 ust. 6). Ten sam pułap dotyczy małych spółek o średniej kapitalizacji (art. 3 pkt 14b, art. 99 ust. 6a). Każde państwo członkowskie ustanawia przepisy określające, w jakim zakresie kary administracyjne mogą być nakładane na organy i podmioty publiczne ustanowione w tym państwie członkowskim (art. 99 ust. 8). Art. 27, 49 i 86 nie są wymienione w art. 99 ust. 3–5; państwa członkowskie ustanawiają przepisy o sankcjach stosowanych w przypadku naruszeń rozporządzenia przez operatorów (art. 99 ust. 1).

• Granice zakresu stosowania rozporządzenia

  Rozporządzenie stosuje się do dostawców wprowadzających do obrotu lub oddających do użytku systemy AI w Unii albo wprowadzających do obrotu modele AI ogólnego przeznaczenia w Unii, bez względu na miejsce ich siedziby (art. 2 ust. 1 lit. a)), oraz do dostawców i podmiotów wdrażających z siedzibą w państwie trzecim, jeżeli wyniki działania systemu AI są wykorzystywane w Unii (lit. c)). Nie stosuje się go do obszarów wykraczających poza zakres prawa Unii i nie wpływa na kompetencje państw członkowskich w zakresie bezpieczeństwa narodowego; nie stosuje się go też do systemów AI wykorzystywanych wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego (art. 2 ust. 3).

• Instytucje finansowe: monitorowanie i rejestry zdarzeń (art. 26 ust. 5 i 6)

  W przypadku podmiotów wdrażających będących instytucjami finansowymi, które podlegają wymogom dotyczącym ich systemu zarządzania wewnętrznego, uzgodnień lub procedur na podstawie przepisów prawa Unii dotyczących usług finansowych, obowiązek monitorowania uznaje się za spełniony w przypadku zapewnienia zgodności z przepisami dotyczącymi zarządzania wewnętrznego, uzgodnień, procesów i mechanizmów zgodnie z odpowiednimi przepisami dotyczącymi usług finansowych (art. 26 ust. 5 akapit drugi). Podmioty te przechowują rejestry zdarzeń jako część dokumentacji prowadzonej zgodnie z odpowiednimi przepisami prawa Unii dotyczącymi usług finansowych (art. 26 ust. 6 akapit drugi). Rozporządzenie nie wskazuje, o jakie przepisy dotyczące usług finansowych chodzi.

• Ocena skutków dla praw podstawowych (art. 27)

  Art. 27 ust. 1: przed wdrożeniem systemu AI wysokiego ryzyka, o którym mowa w art. 6 ust. 2, z wyjątkiem systemów przeznaczonych do wykorzystywania w obszarze wymienionym w pkt 2 załącznika III, podmioty wdrażające będące podmiotami prawa publicznego lub podmiotami prywatnymi świadczącymi usługi publiczne oraz podmioty wdrażające systemy, o których mowa w załączniku III pkt 5 lit. b) i c), muszą dokonać oceny wpływu, jaki wykorzystanie takiego systemu może mieć na prawa podstawowe. W odniesieniu do pkt 5 lit. b) i c) przepis wskazuje podmioty wdrażające te systemy, nie ograniczając ich do podmiotów publicznych. Obowiązek dotyczy pierwszego użycia; w podobnych przypadkach podmiot wdrażający może oprzeć się na wcześniejszych ocenach (art. 27 ust. 2). Podmiot wdrażający powiadamia organ nadzoru rynku o wynikach oceny (art. 27 ust. 3) i może odwołać się do oceny skutków dla ochrony danych (art. 27 ust. 4).

• Wyjaśnienie decyzji (art. 86) i informowanie (art. 26 ust. 11)

  Zgodnie z art. 26 ust. 11 podmioty wdrażające systemy AI wysokiego ryzyka z załącznika III, które podejmują decyzje dotyczące osób fizycznych lub pomagają w ich podejmowaniu, muszą informować te osoby, że podlegają stosowaniu takiego systemu. Odrębnie osoba, której dotyczy decyzja podjęta przez podmiot wdrażający na podstawie wyników systemu AI wysokiego ryzyka z załącznika III (z wyjątkiem pkt 2), wywołująca skutki prawne lub w podobny sposób znacząco na nią oddziałująca w sposób, który jej zdaniem ma negatywny wpływ na jej zdrowie, bezpieczeństwo lub prawa podstawowe, ma prawo uzyskać od podmiotu wdrażającego jasne i merytoryczne wyjaśnienia dotyczące roli systemu AI w procesie podejmowania decyzji oraz głównych elementów podjętej decyzji (art. 86 ust. 1). Stosuje się to tylko w zakresie, w jakim prawo to nie jest przewidziane w inny sposób w prawie Unii (art. 86 ust. 3). Ust. 1 nie ma zastosowania, gdy wyjątki lub ograniczenia wynikają z prawa Unii lub prawa krajowego zgodnego z prawem Unii (art. 86 ust. 2).

• Który organ jest właściwy

  W przypadku systemów wysokiego ryzyka wprowadzanych do obrotu, oddawanych do użytku lub wykorzystywanych przez instytucje finansowe regulowane prawem Unii dotyczącym usług finansowych organem nadzoru rynku jest właściwy organ krajowy odpowiedzialny za nadzór finansowy nad tymi instytucjami na podstawie tych przepisów, o ile wprowadzenie do obrotu, oddanie do użytku lub wykorzystywanie systemu pozostaje w bezpośrednim związku ze świadczeniem tych usług finansowych (art. 74 ust. 6). W odpowiednich okolicznościach i pod warunkiem zapewnienia koordynacji państwo członkowskie może wskazać inny właściwy organ (art. 74 ust. 7).

• Brak liczb dotyczących personelu i szkoleń

  Art. 26 nie określa liczby pracowników, godzin szkoleń ani kwalifikacji osób nadzorujących system kredytowy lub ubezpieczeniowy. Wymaga niezbędnych kompetencji, przeszkolenia, uprawnień oraz wsparcia. Komisja opracowuje wytyczne dotyczące stosowania wymogów i obowiązków z art. 8–15 oraz art. 25 i 26 (art. 96 ust. 1 lit. a)).

• Rejestry zdarzeń i przechowywanie w prawie finansowym

  Art. 26 ust. 6 wymaga co najmniej sześciu miesięcy dla rejestrów zdarzeń pod kontrolą podmiotu wdrażającego i ustępuje innemu prawu Unii lub prawu krajowemu, w szczególności dotyczącemu danych osobowych. Rozporządzenie nie podaje okresu przechowywania wynikającego z prawa dotyczącego usług finansowych.

• Wybór projektowy: role nadzorcze

  Częsty wybór projektowy, nie wymóg rozporządzenia: wskazać osoby sprawujące nadzór według ról w procedurach kredytowych lub ubezpieczeniowych i odnotować ich szkolenie.

• Przegląd każdej decyzji przez człowieka

  Art. 14 ust. 4 i art. 26 ust. 2 dotyczą nadzoru ludzkiego nad systemem. Żaden z nich nie mówi, że człowiek musi sprawdzać każdą indywidualną decyzję. Czy wymaga tego inne prawo, na przykład dotyczące zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach, rozporządzenie nie rozstrzyga.

• Artykuł 26: obowiązki podmiotu wdrażającego AI wysokiego ryzyka

  Art. 26 dla wszystkich sektorów: kto jest podmiotem wdrażającym, obowiązki, art. 27 i kary.

• Rozporządzenie AI fintech: zgodność

  Przegląd fintechu: jak rozporządzenie obejmuje AI w kredytach i ubezpieczeniach.

• Art. 17 dla AI w fintechu: system zarządzania jakością

  AI w fintechu i art. 17: 13 aspektów i zasada dla instytucji finansowych.

• Artykuł 27: ocena skutków dla praw podstawowych (FRIA)

  Art. 27 dla wszystkich sektorów: kto musi ocenić wpływ na prawa podstawowe i co obejmuje ocena.