Skip to main content

KI-Verordnung w Niemczech: obowiązki, terminy i nadzór

Czego rozporządzenie UE o AI (KI-Verordnung) wymaga od firm w Niemczech: poziomy ryzyka, terminy stosowania, kary i organ nadzoru.

Dostawcy, podmioty wdrażające (w rozporządzeniu: podmioty stosujące), importerzy i dystrybutorzy systemów AI w UE muszą przestrzegać rozporządzenia (UE) 2024/1689, w Niemczech zwanego KI-Verordnung. Większość zakazanych praktyk obowiązuje od 2 lutego 2025. Obowiązki dla wysokiego ryzyka obowiązują od 2 grudnia 2027 (załącznik III) i od 2 sierpnia 2028 (załącznik I).

Rozporządzenie obejmuje systemy wprowadzone do obrotu lub oddane do użytku w UE. art. 2 wymienia wyłączenia. W Niemczech organem nadzoru rynku jest zasadniczo Bundesnetzagentur (federalna agencja sieci) (§ 2 ust. 1 KI-MIG). Kary za zakazane praktyki sięgają 35 mln EUR lub 7 % całkowitego światowego obrotu rocznego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 3). Następny krok: przypisz każdy system AI do poziomu ryzyka.

Najważniejsze terminy

Wejście w życie
1 sierpnia 2024
Zakazane praktyki obowiązują (art. 5)
2 lutego 2025; zakazy dotyczące niektórych treści intymnych i krzywdzących: 2 grudnia 2026
Obowiązki dla modeli AI ogólnego przeznaczenia (rozdział V)
2 sierpnia 2025; modele wprowadzone do obrotu wcześniej: 2 sierpnia 2027
Obowiązki w zakresie przejrzystości (art. 50)
2 sierpnia 2026
Obowiązki dla wysokiego ryzyka (rozdział III, sekcje 1–3)
2 grudnia 2027 (załącznik III); 2 sierpnia 2028 (załącznik I)

Co dotyczy którego systemu (nasze pogrupowanie przepisów rozporządzenia)

  • Zakazane praktyki (art. 5)

    Przykłady to szkodliwa manipulacja, scoring społeczny, nieukierunkowane pozyskiwanie wizerunków twarzy i wnioskowanie o emocjach w pracy i w edukacji, z wyjątkiem względów medycznych lub bezpieczeństwa. Większość zakazów obowiązuje od 2 lutego 2025.

  • Systemy AI wysokiego ryzyka (art. 6)

    Obszary z załącznika III, takie jak zatrudnienie, edukacja, scoring kredytowy i ściganie przestępstw. Także systemy będące elementem bezpieczeństwa produktu lub same będące produktem objętym przepisami z załącznika I, który wymaga oceny zgodności przez stronę trzecią. Dostawcy spełniają art. 9–15 i art. 16; podmioty wdrażające art. 26. Do przepisów z załącznika I sekcja B stosuje się tylko art. 6 ust. 1, art. 60a i art. 102–112.

  • Obowiązki w zakresie przejrzystości (art. 50)

    Chatboty informują, że ludzie rozmawiają z AI, chyba że jest to oczywiste. Dostawcy oznaczają treści syntetyczne w formacie nadającym się do odczytu maszynowego, a podmioty wdrażające ujawniają deepfake’i i informują osoby poddane rozpoznawaniu emocji lub kategoryzacji biometrycznej. Art. 50 przewiduje wyjątki, na przykład dla systemów dopuszczonych prawem do wykrywania lub ścigania przestępstw.

  • Modele AI ogólnego przeznaczenia (art. 51–55)

    Dostawcy dokumentują model, wprowadzają politykę praw autorskich i publikują streszczenie treści treningowych. Dostawcy modeli na wolnych licencjach open source są zwolnieni z obowiązków dokumentacyjnych, chyba że model stwarza ryzyko systemowe (art. 53 ust. 2). Modele z ryzykiem systemowym mają dodatkowe obowiązki.

  • Wszystkie pozostałe systemy AI

    Poza kompetencjami w zakresie AI (art. 4) i obowiązkami w zakresie przejrzystości tam, gdzie stosuje się art. 50, rozporządzenie nie ustanawia dla nich szczególnych wymogów. Kodeksy postępowania są dobrowolne (art. 95).

Trzy pogłębione przewodniki: systemy wysokiego ryzyka, lista kontrolna i wymogi według roli

Więcej zasobów: strona o rozporządzeniu o AI i klasyfikacja ryzyka

Kary: trzy poziomy w art. 99

  • Do 35 mln EUR lub 7 % całkowitego światowego obrotu rocznego

    Zależnie od tego, która kwota jest wyższa. Za zakazane praktyki z art. 5 (art. 99 ust. 3).

  • Do 15 mln EUR lub 3 % całkowitego światowego obrotu rocznego

    Zależnie od tego, która kwota jest wyższa. Za naruszenie obowiązków dostawców, upoważnionych przedstawicieli, importerów, dystrybutorów i podmiotów wdrażających oraz art. 50 (art. 99 ust. 4). Komisja może nakładać na dostawców modeli AI ogólnego przeznaczenia kary do tych samych kwot (art. 101).

  • Do 7,5 mln EUR lub 1 % całkowitego światowego obrotu rocznego

    Zależnie od tego, która kwota jest wyższa. Za podanie nieprawidłowych, niepełnych lub wprowadzających w błąd informacji jednostkom notyfikowanym lub organom (art. 99 ust. 5).

W Niemczech kary reguluje KI-MIG (§ 1).

Wyłączenia, starsze systemy i górne granice kar

Rozporządzenia nie stosuje się do systemów AI wykorzystywanych wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego (art. 2 ust. 3). Nie stosuje się go do systemów AI opracowanych i oddanych do użytku specjalnie i wyłącznie do celów badań naukowych i prac rozwojowych (art. 2 ust. 6) ani do badań, testów i prac rozwojowych przed wprowadzeniem do obrotu lub oddaniem do użytku, z wyjątkiem testów w warunkach rzeczywistych (art. 2 ust. 8). Systemy na wolnych licencjach open source są wyłączone, chyba że wprowadza się je do obrotu lub oddaje do użytku jako systemy wysokiego ryzyka albo podlegają art. 5 lub 50 (art. 2 ust. 12). Osoby fizyczne używające systemu w ramach czysto osobistej działalności pozazawodowej nie są związane obowiązkami podmiotu wdrażającego (art. 2 ust. 10). Do systemów wysokiego ryzyka związanych z produktami objętymi przepisami z załącznika I sekcja B, takimi jak pojazdy silnikowe, lotnictwo, kolej, wyposażenie morskie, pojazdy rolnicze i maszyny, stosuje się tylko art. 6 ust. 1, art. 60a i art. 102–112. Art. 57–59 stosuje się tylko w takim zakresie, w jakim te przepisy włączają wymogi (art. 2 ust. 2).

Systemy wysokiego ryzyka wprowadzone do obrotu lub oddane do użytku przed datą stosowania podlegają rozporządzeniu dopiero po istotnych zmianach projektu. W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).

W przypadku MŚP każda kara sięga co najwyżej niższego procentu lub niższej kwoty (art. 99 ust. 6). Dla małych przedsiębiorstw o średniej kapitalizacji (art. 3 pkt 14b) ta sama granica dotyczy kar z art. 99 ust. 4 i 5 (art. 99 ust. 6a). Poziom 15 mln EUR obejmuje też obowiązki dostawców i operatorów z art. 25 ust. 2 i 4 (art. 99 ust. 4 lit. da).

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.