Skip to main content

Art. 55: obowiązki przy ryzyku systemowym

Art. 55 rozporządzenia w sprawie AI: kiedy model AI ogólnego przeznaczenia niesie ryzyko systemowe, powiadomienie w ciągu dwóch tygodni, cztery dodatkowe obowiązki, terminy i kary.

Dostawcy modeli AI ogólnego przeznaczenia (GPAI) z ryzykiem systemowym mają cztery dodatkowe obowiązki (art. 55 ust. 1). Dotyczą oceny i testów, ograniczania ryzyka, zgłaszania incydentów i cyberbezpieczeństwa.

Model niesie ryzyko systemowe, jeśli ma zdolności o dużym oddziaływaniu (art. 51). Rozporządzenie zakłada to przy ponad 1025 operacji zmiennoprzecinkowych (FLOP) w treningu. Dostawcy muszą powiadomić Komisję w ciągu dwóch tygodni (art. 52 ust. 1). Obowiązki mają zastosowanie od 2 sierpnia 2025. Od 2 sierpnia 2026 Komisja może nakładać kary na dostawców. Wynoszą one do 3 % światowego obrotu lub 15 mln EUR, zależnie od tego, która kwota jest wyższa (art. 101). Następny krok: porównaj moc obliczeniową treningu swojego modelu z progiem.

Model niesie ryzyko systemowe, jeśli ma zdolności o dużym oddziaływaniu lub Komisja go wyznaczy

Próg mocy obliczeniowej

Zdolności o dużym oddziaływaniu to zdolności równe zdolnościom najbardziej zaawansowanych modeli GPAI lub większe od nich (art. 3 pkt 64). Rozporządzenie zakłada je, gdy łączna ilość obliczeń użytych do treningu przekracza 1025 operacji zmiennoprzecinkowych (FLOP). Komisja może zmienić próg w drodze aktu delegowanego wraz z rozwojem technologii (art. 51 ust. 2 i 3).

Wyznaczenie przez Komisję

Komisja może też wyznaczyć model o zdolnościach lub oddziaływaniu równoważnych zdolnościom o dużym oddziaływaniu, z własnej inicjatywy lub po ostrzeżeniu kwalifikowanym panelu naukowego. Stosuje kryteria z załącznika XIII, takie jak parametry, dane treningowe, obliczenia, modalności, wskaźniki odniesienia i zasięg. Przyjmuje się, że model udostępniony co najmniej 10 000 zarejestrowanych użytkowników biznesowych mających siedzibę w Unii wywiera duży wpływ na rynek wewnętrzny (art. 51 ust. 1 lit. b, załącznik XIII).

Powiadomić Komisję w ciągu dwóch tygodni

Dostawca musi bez zwłoki, a w każdym razie w ciągu dwóch tygodni, powiadomić Komisję, że jego model spełnia warunek z art. 51 ust. 1 lit. a. Termin biegnie także od chwili, gdy wiadomo, że model go spełni. Powiadomienie musi zawierać informacje wykazujące, że warunek jest spełniony (art. 52 ust. 1).

Wraz z powiadomieniem dostawca może przedstawić dostatecznie uzasadnione argumenty, że model wyjątkowo nie stwarza ryzyka systemowego ze względu na swoje szczególne cechy. Decyduje Komisja; jeśli odrzuci argumenty, model uznaje się za model z ryzykiem systemowym (art. 52 ust. 2 i 3). Dostawcy wyznaczonych modeli mogą najwcześniej sześć miesięcy po wyznaczeniu złożyć uzasadniony wniosek o ponowną ocenę, wskazując obiektywne, szczegółowe i nowe powody. Komisja publikuje i aktualizuje wykaz modeli GPAI z ryzykiem systemowym (art. 52 ust. 5 i 6).

Modele z ryzykiem systemowym mają cztery dodatkowe obowiązki

Te obowiązki dochodzą do obowiązków z art. 53 i 54 (art. 55 ust. 1). Dokumentacja techniczna tych modeli musi ponadto opisywać strategie oceny i wyniki. W stosownych przypadkach dodaje środki testów typu adversarial i architekturę systemu (załącznik XI, sekcja 2).

Ocenić i przetestować model

Oceń model za pomocą znormalizowanych protokołów i narzędzi odzwierciedlających aktualny stan wiedzy. Obejmuje to testy typu adversarial (celowe atakowanie modelu w celu znalezienia słabych punktów) (art. 55 ust. 1 lit. a).

Oceniać i ograniczać ryzyko systemowe

Oceniaj i ograniczaj możliwe ryzyko systemowe na poziomie Unii, w tym jego źródła (art. 55 ust. 1 lit. b).

Zgłaszać poważne incydenty

Śledź poważne incydenty, dokumentuj je wraz z możliwymi środkami naprawczymi i zgłaszaj je bez zbędnej zwłoki Urzędowi ds. AI oraz, w stosownych przypadkach, właściwym organom krajowym (art. 55 ust. 1 lit. c).

Chronić przed cyberatakami

Zapewnij odpowiedni poziom cyberbezpieczeństwa modelu i jego infrastruktury fizycznej (art. 55 ust. 1 lit. d).

Kodeksy praktyk mogą wykazać zgodność do czasu powstania normy zharmonizowanej

Dostawcy mogą opierać się na kodeksach praktyk (art. 56), aby wykazać spełnienie wymogów art. 55, do czasu opublikowania normy zharmonizowanej. Zgodność z europejskimi normami zharmonizowanymi daje domniemanie zgodności w zakresie, w jakim normy te obejmują te obowiązki. Dostawcy, którzy nie zobowiązują się do przestrzegania zatwierdzonego kodeksu praktyk ani nie zapewniają zgodności z europejską normą zharmonizowaną, muszą przedstawić adekwatne alternatywne środki zapewnienia zgodności. Komisja je ocenia (art. 55 ust. 2). Uzyskane informacje, w tym tajemnice przedsiębiorstwa, są traktowane poufnie (art. 55 ust. 3). Następny krok: przeczytaj Kodeks postępowania w zakresie AI ogólnego przeznaczenia Komisji.

Modele open source nie uciekają od art. 55

Zwolnienie dla open source z art. 53 ust. 2 nie obejmuje modeli z ryzykiem systemowym (art. 53 ust. 2). Dostawcy takich modeli mający siedzibę poza Unią muszą również ustanowić upoważnionego przedstawiciela (art. 54 ust. 6).

Niektóre zastosowania nie podlegają rozporządzeniu

Rozporządzenia nie stosuje się do systemów AI, gdy i w zakresie, w jakim są wykorzystywane wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego. Dotyczy to także wprowadzania ich do obrotu i oddawania do użytku do tych celów (art. 2 ust. 3). Nie stosuje się go do systemów lub modeli AI opracowanych i oddanych do użytku wyłącznie w celu badań naukowych i prac rozwojowych (art. 2 ust. 6). Nie stosuje się go do działalności badawczej, testowej i rozwojowej dotyczącej systemów lub modeli AI przed ich wprowadzeniem do obrotu lub oddaniem do użytku (art. 2 ust. 8). Testy w warunkach rzeczywistych nie są objęte tym wyłączeniem.

Obowiązki mają zastosowanie od 2 sierpnia 2025; kary najwcześniej od 2 sierpnia 2026

Art. 113 stosuje rozdział V (art. 51–56) od 2 sierpnia 2025. Rozdział XII o karach ma zastosowanie od tej samej daty, z jednym wyjątkiem: art. 101 o karach dla dostawców modeli GPAI ma zastosowanie od 2 sierpnia 2026 (art. 113).

Dostawcy modeli wprowadzonych do obrotu przed 2 sierpnia 2025 mają czas do 2 sierpnia 2027 na dostosowanie się (art. 111 ust. 3). Komisja nie może ukarać naruszenia obowiązków przez takie modele przed 2 sierpnia 2027 (art. 101 ust. 1 lit. a). Kary na podstawie art. 101 ust. 1 lit. b–d, za nieodpowiedzenie na żądanie informacji, niezastosowanie się do żądanego środka lub nieudzielenie dostępu do oceny, mają zastosowanie od 2 sierpnia 2026.

Komisja może nałożyć na dostawcę karę do 3 % jego światowego obrotu rocznego lub 15 mln EUR, zależnie od tego, która kwota jest wyższa. Podstawa prawna: art. 101 ust. 1. Kary dotyczą zachowań umyślnych lub wynikających z zaniedbania. Obejmują naruszenie odpowiednich przepisów, niezastosowanie się do żądanego środka i odmowę dostępu do modelu w celu przeprowadzenia oceny. Obejmują też brak odpowiedzi na żądanie dokumentów lub informacji oraz przekazanie nieprawidłowych, niepełnych lub wprowadzających w błąd informacji. W przypadku modelu wprowadzonego do obrotu przed 2 sierpnia 2025 obowiązki trzeba spełnić do 2 sierpnia 2027 (art. 111 ust. 3). Naruszenia obowiązków z art. 53 przez taki model nie można więc ukarać wcześniej. Zachowania z art. 101 ust. 1 lit. b–d można karać od 2 sierpnia 2026. Komisja musi najpierw wysłuchać dostawcy (art. 101 ust. 2). Trybunał Sprawiedliwości Unii Europejskiej może uchylić, obniżyć lub podwyższyć karę (art. 101 ust. 5).

Co Scanara robi dla dostawców z ryzykiem systemowym

Prowadzona ocena dla dostawców GPAI

Scanara prowadzi Cię przez obowiązki z art. 53–55 dla Twojego modelu i zapisuje Twoje odpowiedzi. Ty decydujesz, które obowiązki mają zastosowanie, a przy wysokiej stawce z pomocą prawnika.

Dokumenty według załącznika XI, w tym sekcja o ryzyku systemowym

Scanara generuje dokumentację według załącznika XI z szablonów, częściowo wstępnie wypełnioną Twoimi odpowiedziami. Wyniki oceny i treść specyficzną dla modelu dostarczasz Ty.

Dokumentuje Twoje testy, ale ich nie przeprowadza

Scanara pomaga udokumentować ocenę modelu i testy typu adversarial. Nie przeprowadza ich i nie rozstrzyga, czy Twój model niesie ryzyko systemowe.

Najczęstsze pytania: próg, kary, daty rozpoczęcia i open source

Czy mój model GPAI podlega art. 55?

Tak, jeśli niesie ryzyko systemowe. Pierwsza droga: łączna ilość obliczeń użytych do treningu przekracza próg z art. 51 ust. 2, który rozporządzenie traktuje jako domniemanie zdolności o dużym oddziaływaniu. Druga droga: Komisja wyznaczyła model (art. 51 ust. 1). Wraz z powiadomieniem możesz wykazywać, że model wyjątkowo nie stwarza ryzyka systemowego (art. 52 ust. 2). Decyduje Komisja (art. 52 ust. 3).

Co się stanie, jeśli nie spełnimy obowiązków?

Od 2 sierpnia 2026 Komisja może nakładać kary na dostawców. Wynoszą one do 3 % światowego obrotu lub 15 mln EUR, zależnie od tego, która kwota jest wyższa (art. 101 ust. 1). Kary dotyczą umyślnych lub wynikających z zaniedbania naruszeń. Trybunał Sprawiedliwości Unii Europejskiej może uchylić, obniżyć lub podwyższyć karę (art. 101 ust. 5).

Od kiedy obowiązują te obowiązki?

Od 2 sierpnia 2025 dla modeli wprowadzonych do obrotu w UE od tej daty. Modele wprowadzone do obrotu przed 2 sierpnia 2025 mają czas do 2 sierpnia 2027 (art. 111 ust. 3). Art. 55 obowiązuje razem z art. 53, dla którego obowiązują te same daty.

Czy model na licencji open source jest zwolniony?

Nie, nie przy ryzyku systemowym. Zwolnienie dla open source nie obejmuje modeli z ryzykiem systemowym (art. 53 ust. 2), a dostawcy mający siedzibę poza Unią muszą ustanowić upoważnionego przedstawiciela (art. 54 ust. 6).

Szczegóły powiązanych obowiązków

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.