KI-Verordnung: lista kontrolna dla dostawców i podmiotów wdrażających

Obowiązuje od 2 lutego 2025. Zakazy dotyczące niektórych treści intymnych i krzywdzących obowiązują od 2 grudnia 2026.

• Sprawdź, czy któryś z twoich systemów AI odpowiada zakazanej praktyce z art. 5 ust. 1, na przykład szkodliwej manipulacji, scoringowi społecznemu, nieukierunkowanemu pozyskiwaniu wizerunków twarzy lub wnioskowaniu o emocjach w pracy i w edukacji.
• Zatrzymaj i udokumentuj każdy system odpowiadający zakazanej praktyce, uwzględniając wyjątki z art. 5.
• Sprawdź systemy, które generują lub zmieniają realistyczne obrazy, wideo lub dźwięk przedstawiające intymne części ciała lub czynności jednoznacznie seksualne możliwej do zidentyfikowania osoby bez jej zgody (art. 5 ust. 1 lit. ba), oraz materiały, o których mowa w art. 2 lit. c i e dyrektywy 2011/93/UE, chyba że zgodnie z prawem krajowym przysługuje obrona „bez uprawnienia” (lit. bb). Zakaz dotyczy tylko sytuacji, gdy jest to zamierzony cel systemu albo dający się racjonalnie przewidzieć wynik, któremu odpowiednie zabezpieczenia nie zapobiegają (art. 5 ust. 1a).
• Podejmij środki wspierające kompetencje w zakresie AI twojego personelu i innych osób, które w twoim imieniu obsługują systemy AI lub z nich korzystają (art. 4).

Obowiązuje od 2 sierpnia 2025 dostawców modeli AI ogólnego przeznaczenia. Modele wprowadzone do obrotu wcześniej muszą spełnić wymogi do 2 sierpnia 2027.

• Sprawdź, czy dostarczasz model AI ogólnego przeznaczenia: model AI o znacznej ogólności, który potrafi kompetentnie wykonywać szeroki zakres różnorodnych zadań (art. 3 pkt 63).
• Sporządź i aktualizuj dokumentację techniczną modelu oraz przekazuj informacje dostawcom niższego szczebla (art. 53 ust. 1 lit. a i b).
• Wprowadź politykę zgodności z prawem autorskim Unii (art. 53 ust. 1 lit. c).
• Opublikuj wystarczająco szczegółowe streszczenie treści użytych do treningu (art. 53 ust. 1 lit. d).
• Sprawdź, czy model stwarza ryzyko systemowe, co wiąże się z dalszymi obowiązkami (art. 51 i 55).

Obowiązują od 2 sierpnia 2026. Dostawcy systemów generujących treści syntetyczne, wprowadzonych do obrotu wcześniej, muszą spełnić art. 50 ust. 2 do 2 grudnia 2026.

• Zadbaj, aby systemy AI wchodzące w bezpośrednią interakcję z ludźmi informowały ich, że wchodzą w interakcję z systemem AI, chyba że jest to oczywiste (art. 50 ust. 1).
• Oznaczaj syntetyczne treści audio, obrazowe, wideo i tekstowe w formacie nadającym się do odczytu maszynowego, tak aby można je wykryć jako sztucznie wygenerowane, o ile jest to technicznie wykonalne (art. 50 ust. 2). Stosuje się wyjątki z tego ustępu.
• Informuj osoby poddane działaniu systemu rozpoznawania emocji lub kategoryzacji biometrycznej (art. 50 ust. 3).
• Ujawniaj deepfake’i oraz teksty wygenerowane przez AI i publikowane w celu informowania opinii publicznej o sprawach leżących w interesie publicznym, z zastrzeżeniem wyjątków z art. 50 ust. 4.

Obowiązują od 2 grudnia 2027 (załącznik III) i od 2 sierpnia 2028 (załącznik I). Systemy wprowadzone do obrotu lub oddane do użytku przed tymi datami podlegają rozporządzeniu dopiero po istotnych zmianach projektu (art. 111 ust. 2).

• Sporządź wykaz wszystkich systemów AI i sklasyfikuj każdy według art. 6 oraz załączników III i I. Udokumentuj ocenę, jeśli powołujesz się na art. 6 ust. 3 (art. 6 ust. 4).
• Ustanów system zarządzania ryzykiem działający przez cały cykl życia (art. 9).
• Stosuj zarządzanie danymi do danych treningowych, walidacyjnych i testowych i badaj je pod kątem możliwej stronniczości (art. 10).
• Sporządź przed wprowadzeniem do obrotu lub oddaniem do użytku dokumentację techniczną z co najmniej elementami z załącznika IV i aktualizuj ją (art. 11).
• Spraw, aby system automatycznie rejestrował zdarzenia (rejestry zdarzeń), i przechowuj rejestry pod swoją kontrolą co najmniej sześć miesięcy, chyba że inne przepisy stanowią inaczej (art. 12 i 19).
• Dostarcz instrukcję obsługi, aby podmioty wdrażające mogły interpretować wyniki (art. 13).
• Zaprojektuj nadzór ze strony człowieka tak, aby osoby mogły w stosownym i proporcjonalnym zakresie interweniować w działanie systemu lub je przerwać, na przykład za pomocą przycisku „stop” lub podobnej procedury (art. 14).
• Osiągnij i przetestuj odpowiedni poziom dokładności, odporności i cyberbezpieczeństwa (art. 15).
• Wprowadź system zarządzania jakością (art. 17).
• Zakończ ocenę zgodności przed wprowadzeniem do obrotu lub oddaniem do użytku, a po istotnej zmianie przeprowadź ją ponownie (art. 43).
• Sporządź unijną deklarację zgodności i umieść oznakowanie CE (art. 47 i 48).
• Zarejestruj system (art. 49) i przechowuj dokumentację dziesięć lat od wprowadzenia do obrotu lub oddania do użytku (art. 18).

Obowiązują od 2 grudnia 2027 (załącznik III) i od 2 sierpnia 2028 (załącznik I).

• Używaj systemu zgodnie z jego instrukcją obsługi (art. 26 ust. 1).
• Powierz nadzór ze strony człowieka osobom fizycznym o niezbędnych kompetencjach, przeszkoleniu, uprawnieniach i wsparciu (art. 26 ust. 2).
• W zakresie, w jakim kontrolujesz dane wejściowe, zapewnij, aby były adekwatne i wystarczająco reprezentatywne z uwagi na przewidziane zastosowanie (art. 26 ust. 4).
• Monitoruj działanie na podstawie instrukcji obsługi. Jeśli masz powody sądzić, że użycie zgodne z instrukcją może stwarzać ryzyko w rozumieniu art. 79 ust. 1, niezwłocznie poinformuj dostawcę lub dystrybutora oraz organ nadzoru rynku i zawieś użycie (art. 26 ust. 5).
• Przechowuj rejestry pod swoją kontrolą co najmniej sześć miesięcy, chyba że inne przepisy stanowią inaczej (art. 26 ust. 6).
• Podmioty wdrażające będące pracodawcami: przed oddaniem systemu do użytku lub użyciem go w miejscu pracy poinformuj przedstawicieli pracowników i pracowników, których to dotyczy (art. 26 ust. 7).
• Informuj osoby fizyczne, wobec których systemy z załącznika III podejmują decyzje lub pomagają je podejmować (art. 26 ust. 11).
• Wykorzystaj informacje z art. 13 do oceny skutków dla ochrony danych, gdy jest wymagana (art. 26 ust. 9), i oceń wpływ na prawa podstawowe tam, gdzie stosuje się art. 27.

Art. 72 i 73 nie są wymienione w art. 113 lit. a–d, więc obowiązują od ogólnej daty stosowania, 2 sierpnia 2026. Jak to się ma do terminów dla wysokiego ryzyka, to pytanie do doradcy prawnego. Obowiązki podmiotów wdrażających poniżej wynikają z terminów dla wysokiego ryzyka.

• Dostawcy prowadzą system monitorowania po wprowadzeniu do obrotu, oparty na planie monitorowania (art. 72).
• Dostawcy zgłaszają poważny incydent organowi nadzoru rynku niezwłocznie po ustaleniu związku przyczynowego między systemem a incydentem lub racjonalnego prawdopodobieństwa takiego związku, a w każdym razie nie później niż 15 dni po uzyskaniu wiedzy. Obowiązują krótsze terminy: nie później niż 10 dni po uzyskaniu wiedzy o śmierci osoby i nie później niż 2 dni w razie rozpowszechnionego naruszenia lub poważnego i nieodwracalnego zakłócenia infrastruktury krytycznej (art. 73 ust. 2–4).
• Po istotnej zmianie dostawcy aktualizują dokumentację techniczną i powtarzają ocenę zgodności (art. 11 i 43 ust. 4).
• Po poważnym incydencie podmioty wdrażające informują najpierw dostawcę, potem importera lub dystrybutora oraz organy nadzoru rynku (art. 26 ust. 5).
• Powtarzaj kontrole kodu i dokumentów przed każdym wydaniem i przechowuj raporty jako dowód. Pomyślny skan nie dowodzi zgodności.

• KI-Verordnung: systemy AI wysokiego ryzyka

  Które systemy AI są wysokiego ryzyka, jakie wymogi spełniają dostawcy i kto sprawuje nadzór w Niemczech.

• KI-Verordnung: wymogi według roli

  Co muszą zrobić dostawcy, podmioty wdrażające, importerzy i dystrybutorzy, w tym obowiązki dotyczące dokumentacji, zarządzania ryzykiem i przejrzystości.