Skip to main content

Artykuł 9: system zarządzania ryzykiem dla AI wysokiego ryzyka

Artykuł 9 AI Act: dostawcy systemów AI wysokiego ryzyka muszą prowadzić ciągły system zarządzania ryzykiem. Co obejmuje, od kiedy obowiązuje, ile kosztują naruszenia i od czego zacząć.

Dostawcy systemów AI wysokiego ryzyka wprowadzanych do obrotu w UE muszą prowadzić system zarządzania ryzykiem przez cały cykl życia systemu (art. 9). Proces identyfikuje, ocenia i ogranicza zagrożenia.

Przepis obowiązuje od 2 grudnia 2027 dla systemów z załącznika III (wykaz zastosowań wysokiego ryzyka). Dla produktów z załącznika I obowiązuje od 2 sierpnia 2028 (art. 113 lit. c). Produkty z sekcji B są wyłączone (art. 2 ust. 2). Kary za naruszenie sięgają 15 mln EUR lub 3 % światowego rocznego obrotu, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Następny krok: sprawdź według art. 6, czy Twój system jest wysokiego ryzyka, i załóż rejestr ryzyka.

Art. 9 wymaga identyfikowania, oceniania, ograniczania i testowania ryzyka

Identyfikacja ryzyka

Wypisz znane i dające się racjonalnie przewidzieć zagrożenia dla zdrowia, bezpieczeństwa lub praw podstawowych, gdy system jest używany zgodnie z przeznaczeniem (art. 9 ust. 2 lit. a). Liczą się tylko zagrożenia, które można racjonalnie ograniczyć przez projektowanie, rozwój lub informacje techniczne (art. 9 ust. 3).

Szacowanie i ocena ryzyka

Uwzględnij zagrożenia przy dającym się racjonalnie przewidzieć niewłaściwym użyciu oraz te, które wynikają z danych z monitorowania po wprowadzeniu do obrotu (art. 9 ust. 2 lit. b i c).

Ograniczanie ryzyka w ustalonej kolejności

Najpierw wyeliminuj lub ogranicz zagrożenia przez projektowanie i rozwój. Potem dodaj środki łagodzące i kontrolne. Następnie przekaż podmiotom wdrażającym informacje i w stosownych przypadkach szkolenie. Ryzyko szczątkowe musi być akceptowalne (art. 9 ust. 5).

Testy według z góry określonych wskaźników

Testuj w trakcie rozwoju i przed wprowadzeniem systemu do obrotu, według wskaźników i progów probabilistycznych określonych z góry (art. 9 ust. 6 i 8). Testy w warunkach rzeczywistych są możliwe na podstawie art. 60 (art. 9 ust. 7).

Uwzględnienie dzieci i grup szczególnie wrażliwych

Rozważ, czy system może mieć negatywny wpływ na osoby poniżej 18. roku życia i w stosownych przypadkach na inne grupy szczególnie wrażliwe (art. 9 ust. 9).

Cztery praktyki inżynierskie, które dostarczają dowodów dla art. 9

Art. 9 nie narzuca narzędzi. Te cztery praktyki to propozycje udokumentowanego, powtarzalnego procesu.

Rejestr ryzyka jako kod

Prowadź rejestr ryzyka czytelny dla maszyn (JSON lub YAML) w systemie kontroli wersji obok kodu. Zapisuj dla każdego zagrożenia prawdopodobieństwo, wagę, środek łagodzący i osobę odpowiedzialną.

Kontrole ryzyka w CI/CD

Dodaj do potoku skany i testy, które zgłaszają wzorce istotne dla ryzyka, takie jak brak walidacji danych wejściowych lub brak progów pewności.

Testy znanych zagrożeń

Pisz testy, które sprawdzają, czy każdy środek działa, według wskaźników i progów określonych z góry (art. 9 ust. 8).

Monitorowanie po wydaniu

Wprowadzaj do rejestru dane produkcyjne: spadki wydajności, dryf, nietypowe wyniki i interwencje ludzi (art. 9 ust. 2 lit. c).

Zarządzanie ryzykiem trwa przez cały cykl życia

Art. 9 ust. 2 opisuje system jako ciągły, iteracyjny proces realizowany przez cały cykl życia, wymagający regularnego systematycznego przeglądu i aktualizacji.

1

Przed każdym wydaniem zidentyfikować i ocenić ryzyko.

2

Wdrożyć środki łagodzące i je przetestować.

3

Monitorować po wydaniu i przekazywać wnioski z powrotem do rejestru.

Najczęstsze pytania o art. 9

Czy art. 9 dotyczy wszystkich systemów AI?

Nie. Art. 9 dotyczy systemów AI wysokiego ryzyka, które art. 6 określa przez załączniki III i I. Obowiązuje od 2 grudnia 2027 dla systemów z załącznika III i od 2 sierpnia 2028 dla systemów z załącznika I (art. 113 lit. c). Dla systemów wysokiego ryzyka powiązanych z produktami objętymi prawodawstwem z załącznika I sekcji B stosuje się tylko art. 6 ust. 1, art. 60a i art. 102–112, a art. 57–59 stosuje się tylko w zakresie, w jakim wymogi dla systemów AI wysokiego ryzyka zostały włączone do tego prawodawstwa (art. 2 ust. 2).

Jakiej dokumentacji wymaga art. 9?

Art. 9 ust. 1 wymaga, by system zarządzania ryzykiem był udokumentowany, a załącznik IV pkt 5 wymaga jego szczegółowego opisu w dokumentacji technicznej. Rozporządzenie nie podaje stałego zestawu dokumentów. Zapisz zagrożenia, środki, ocenę ryzyka szczątkowego i wyniki testów.

Jak często trzeba przeglądać system zarządzania ryzykiem?

Regularnie i systematycznie przez cały cykl życia (art. 9 ust. 2). Rozporządzenie nie określa stałego odstępu.

Kto odpowiada za system zarządzania ryzykiem?

Dostawca. Dostawcy muszą zapewnić, że ich systemy AI wysokiego ryzyka spełniają wymogi sekcji 2, w tym art. 9 (art. 16 lit. a). Podmioty wdrażające go nie prowadzą, ale muszą monitorować działanie systemu i w stosownych przypadkach informować dostawców (art. 26 ust. 5).

Jaka kara grozi, jeśli dostawca naruszy art. 9?

Kary za naruszenie obowiązków dostawców z art. 16 sięgają 15 mln EUR lub 3 % całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Dla MŚP i małych spółek o średniej kapitalizacji granicą jest niższa z tych dwóch kwot (art. 99 ust. 6 i 6a).

Czytaj dalej: rejestrowanie, nadzór i dokumentacja techniczna

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.