EU AI Act: co dostawcy systemów AI wysokiego ryzyka muszą przygotować przed 2027 r.

Najważniejsza jest data rozpoczęcia obowiązków: pełne wymogi Unii Europejskiej dla systemów AI wysokiego ryzyka zostały odroczone, a nie weszły już w życie. Dla samodzielnych systemów wskazanych w załączniku III do AI Act obowiązki mają zacząć obowiązywać 2 grudnia 2027 r. Systemy AI wysokiego ryzyka stanowiące część niektórych regulowanych produktów obejmie późniejszy termin — 2 sierpnia 2028 r. 18

Dla firm, które zamierzają wprowadzać takie systemy na rynek UE, praktyczne zadanie jest jasne: przed premierą produktu trzeba zbudować proces zgodności pozwalający wykazać bezpieczeństwo, identyfikowalność działania i rozliczalność.

Kiedy system AI jest uznawany za wysokiego ryzyka?

Kategoria wysokiego ryzyka obejmuje dwie główne grupy:

• systemy AI wykorzystywane jako komponenty bezpieczeństwa produktów objętych konkretnymi przepisami UE, jeżeli dany produkt wymaga oceny zgodności przez niezależną stronę trzecią;
• systemy AI stosowane w określonych obszarach wymienionych w załączniku III — z uwzględnieniem kwalifikacji i wyjątków przewidzianych w akcie. 15

Klasyfikacja ma zasadnicze znaczenie, ponieważ status wysokiego ryzyka uruchamia znacznie bardziej rygorystyczne obowiązki dotyczące całego cyklu życia systemu niż w przypadku zwykłych narzędzi AI.

Co dostawcy muszą przygotować

Zanim system AI wysokiego ryzyka będzie można wprowadzić na rynek UE, dostawca powinien mieć mechanizmy wbudowane w proces tworzenia i utrzymania produktu — a nie kompletowane dopiero wtedy, gdy zażąda ich organ nadzoru.

Zarządzanie ryzykiem i danymi

Dostawcy muszą ustanowić środki oceny i ograniczania ryzyka. Powinni też korzystać z danych o odpowiedniej jakości, aby zmniejszać ryzyko dyskryminujących rezultatów. Ramy dla systemów wysokiego ryzyka kładą nacisk na trafne, reprezentatywne i właściwie zarządzane dane wykorzystywane do trenowania, walidacji i testowania. 115

Dokumentacja i możliwość prześledzenia działania

Systemy wysokiego ryzyka muszą prowadzić rejestry zdarzeń wspierające identyfikowalność rezultatów, a także posiadać szczegółową dokumentację techniczną opisującą system oraz jego przeznaczenie. Taki materiał dowodowy umożliwia organom ocenę zgodności z przepisami. 1

Nadzór człowieka i odporność operacyjna

Przepisy UE wymagają również odpowiednich środków nadzoru człowieka, wysokiego poziomu dokładności, odporności oraz cyberbezpieczeństwa. Dostawca musi przekazać podmiotowi stosującemu system jasne i wystarczające informacje, aby narzędzie było używane zgodnie z przeznaczeniem i ze świadomością jego ograniczeń. 1

Ocena zgodności, rejestracja i monitoring po wprowadzeniu na rynek

Przed udostępnieniem systemu na rynku dostawcy będą musieli przeprowadzić właściwą ocenę zgodności. Tam, gdzie jest to wymagane, system trzeba będzie zarejestrować, monitorować jego działanie po wdrożeniu oraz zgłaszać poważne incydenty. Oznacza to, że zgodność nie będzie jednorazowym zatwierdzeniem produktu, lecz stałą funkcją operacyjną. 115

Lista kontrolna przed terminami w 2027 i 2028 r.

Organizacja przygotowująca się do nowych terminów powinna umieć odpowiedzieć na następujące pytania:

1. Czy system rzeczywiście jest wysokiego ryzyka? Należy przyporządkować przypadek użycia do kategorii z załączników I i III.
2. Kto odpowiada za zgodność? Warto jasno przypisać odpowiedzialność za bezpieczeństwo produktu, kwestie prawne, dokumentację i reakcję na incydenty.
3. Czy ryzyka można wykazać i ograniczyć? Potrzebny jest powtarzalny proces zarządzania ryzykiem wraz z testami i zapisami decyzji.
4. Czy kontrola nad danymi jest możliwa do obrony? Należy dokumentować trafność i reprezentatywność zbiorów danych, kontrole jakości oraz znane ograniczenia.
5. Czy system można audytować? Trzeba zachować logi, dokumentację techniczną i instrukcje dla użytkowników wyjaśniające przeznaczenie oraz ograniczenia narzędzia.
6. Czy nadzór człowieka działa w praktyce? Organizacja powinna określić, kiedy człowiek może interweniować, unieważnić wynik lub wstrzymać użycie systemu.
7. Czy monitoring po wprowadzeniu na rynek jest gotowy? Niezbędne są procedury obserwowania działania systemu, działań korygujących i zgłaszania incydentów.

Jakie kary przewiduje EU AI Act?

AI Act przewiduje sankcje określane zarówno kwotowo, jak i jako procent światowego rocznego obrotu. Najwyższy poziom — za zakazane praktyki w zakresie AI — może sięgnąć 35 mln euro lub 7% światowego rocznego obrotu. Za inne naruszenia grożą kary do 15 mln euro lub 3% światowego rocznego obrotu. 3

Skala możliwych sankcji oznacza, że program zgodności dla systemów wysokiego ryzyka nie może ograniczać się do analizy prawnej. Zespoły produktowe, bezpieczeństwa, data science, zakupów, compliance i operacyjne powinny dysponować dowodami, że zabezpieczenia rzeczywiście funkcjonują.

Dlaczego odroczenie nie oznacza, że można czekać

Nowe terminy dają firmom więcej czasu, ale nie zmniejszają zakresu wymagań. Dostawca, który zacznie działać dopiero pod koniec 2027 r., może nadal stanąć przed koniecznością zbudowania systemu dokumentacji, zmiany praktyk tworzenia modeli, wdrożenia logowania, przetestowania mechanizmów nadzoru i ustanowienia procedur raportowania po wprowadzeniu produktu na rynek.

Najrozsądniej traktować EU AI Act jako standard zarządzania produktem: wcześnie identyfikować zastosowania wysokiego ryzyka, zbierać materiał dowodowy już podczas budowy systemu oraz od początku uwzględniać w procesie wydania bezpieczeństwo, identyfikowalność i kontrolę człowieka. 115