Dokumentacja techniczna AI Act – jakie informacje musi zawierać?

Wejście w życie AI Act wprowadza rewolucyjny system regulacyjny dla technologii AI w Unii Europejskiej. Kluczowym elementem tych przepisów jest obowiązek prowadzenia szczegółowej dokumentacji, która ma zapewnić przejrzystość i zgodność z prawem. Wymagana dokumentacja techniczna AI Act stanowi podstawowe narzędzie do oceny ryzyka, monitorowania systemów i wykazywania spełnienia obowiązków przez dostawców AI. Co dokładnie musi zawierać i jak się do tego przygotować? Wyjaśniamy w artykule.

Dokumentacja techniczna AI Act – co to jest?

Dokumentację techniczną dla systemu AI wysokiego ryzyka sporządza się przed wprowadzeniem danego systemu do obrotu lub oddaniem go do użytku oraz dokonuje się jej aktualizacji.

Przykład:

System sztucznej inteligencji wykorzystywany do oceny zdolności kredytowej konsumentów stanowi przykład AI wysokiego ryzyka. Jego działanie polega na analizie dużych zbiorów danych finansowych oraz behawioralnych w celu podjęcia decyzji o przyznaniu kredytu. Tego rodzaju system wywiera bezpośredni wpływ na prawa i obowiązki jednostki, a ewentualne błędy lub nieprzejrzyste kryteria mogłyby prowadzić do dyskryminacji lub naruszenia zasady równego traktowania, dlatego podlega rygorystycznym wymogom dokumentacyjnym, testowym i nadzorczym określonym w AI Act.

Dokumentację techniczną sporządza się w taki sposób, aby wykazać, że system AI wysokiego ryzyka jest zgodny z wymogami ustanowionymi w niniejszej sekcji, oraz aby dostarczyć właściwym organom krajowym i jednostkom notyfikowanym informacji – w jasnej i kompleksowej formie – niezbędnych do oceny zgodności systemu AI z tymi wymogami. Zawiera ona co najmniej elementy określone w załączniku IV do AI Act.

MŚP, w tym przedsiębiorstwa typu start-up, mogą podawać elementy dokumentacji technicznej określone w załączniku IV do AI Act w formie uproszczonej. W tym celu Komisja ustanowi wzór uproszczonej dokumentacji technicznej ukierunkowany na potrzeby małych przedsiębiorstw i mikroprzedsiębiorstw. W przypadku gdy MŚP, w tym przedsiębiorstwa typu start-up, zdecydują się na podawanie informacji wymaganych w załączniku IV do AI Act w sposób uproszczony, obowiązkowo muszą korzystać ze wzoru. Jednostki notyfikowane akceptują wzór do celów oceny zgodności.

W przypadku wprowadzania do obrotu lub oddawania do użytku systemu AI wysokiego ryzyka związanego z produktem, który jest objęty zakresem stosowania unijnego prawodawstwa harmonizacyjnego, sporządza się jeden zestaw dokumentacji technicznych zawierający wszystkie wymagane informacje – jak również informacje wymagane na podstawie tych aktów prawnych, które regulują produkty zharmonizowane.

Wymagania dotyczące dokumentacji technicznej

Załącznik IV do AI Act określa wymagany zakres dokumentacji technicznej. Dokumentacja techniczna powinna zawierać, stosownie do przypadku, co najmniej następujące informacje właściwe dla danego systemu AI:

• ogólny opis systemu AI;
• szczegółowy opis elementów systemu AI oraz procesu jego rozwoju;
• szczegółowe informacje dotyczące monitorowania, funkcjonowania i kontroli systemu AI;
• opis adekwatności wskaźników skuteczności działania w odniesieniu do konkretnego systemu AI;
• szczegółowy opis systemu zarządzania ryzykiem;
• opis odpowiednich zmian dokonanych przez dostawcę w systemie w czasie cyklu jego życia;
• wykaz norm zharmonizowanych stosowanych w całości lub w części;
• kopię deklaracji zgodności UE;
• szczegółowy opis systemu stosowanego do oceny skuteczności działania systemu AI po wprowadzeniu do obrotu.

W odniesieniu do ogólnego opisu systemu AI wymagane jest uwzględnienie w dokumentacji w szczególności:

• jego przeznaczenia, imienia i nazwiska lub nazwy dostawcy i wersji systemu wraz z informacją dotyczącą jej związku z poprzednimi wersjami;
• sposobu, w jaki system AI, w stosownych przypadkach, współdziała lub może być wykorzystany do współdziałania ze sprzętem lub oprogramowaniem, w tym z innymi systemami AI, które nie są częścią samego systemu AI;
• wersji odpowiedniego oprogramowania lub oprogramowania układowego oraz wszelkich wymogów związanych z aktualizacjami wersji;
• opisu wszystkich postaci, w jakich system AI wprowadza się do obrotu lub oddaje do użytku, takich jak pakiety oprogramowania wbudowane w urządzenie, oprogramowanie do pobrania lub API;
• opisu sprzętu, na którym system AI ma być eksploatowany;
• w przypadku gdy system AI jest elementem produktów – zdjęć lub ilustracji przedstawiających cechy zewnętrzne, oznakowanie i układ wewnętrzny tych produktów;
• podstawowego opisu interfejsu użytkownika, który dostarczono podmiotowi stosującemu;
• instrukcji obsługi dla podmiotu stosującego oraz, w stosownych przypadkach, podstawowego opisu interfejsu użytkownika, który dostarczono podmiotowi stosującemu.

Szczegółowy opis elementów systemu AI oraz procesu jego rozwoju powinien obejmować w szczególności:

• metody i działania zastosowane w celu rozwoju systemu AI, w tym, w stosownych przypadkach, skorzystanie z systemów, które zostały poddane pretreningowi, lub narzędzi dostarczonych przez osoby trzecie oraz wskazanie, w jaki sposób dostawca wykorzystał, zintegrował lub zmienił te systemy lub narzędzia;
• specyfikacje projektowe systemu, a mianowicie ogólna logika systemu AI i algorytmów; kluczowe decyzje projektowe wraz z uzasadnieniem i przyjętymi założeniami, w tym w odniesieniu do osób lub grup osób, wobec których system ma być wykorzystywany; główne wybory klasyfikacyjne; wskazanie, pod kątem czego system ma być optymalizowany, i znaczenie poszczególnych parametrów; opis oczekiwanego wyniku systemu oraz jakości tego wyniku; decyzje dotyczące wszelkich możliwych kompromisów w zakresie rozwiązań technicznych przyjętych w celu zapewnienia zgodności z wymogami;
• opis architektury systemu wyjaśniający, w jaki sposób elementy oprogramowania współgrają ze sobą lub wzajemnie się uzupełniają oraz włączają się w ogólne przetwarzanie; zasoby obliczeniowe wykorzystywane do rozwoju, trenowania, testowania i walidacji systemu AI;
• w stosownych przypadkach wymogi dotyczące danych w zakresie arkuszy danych opisujących metodyki i techniki trenowania systemu oraz wykorzystywane zbiory danych treningowych, w tym ogólny opis tych zbiorów danych, informacje o ich pochodzeniu, ich zakresie i głównych cechach; sposób uzyskania i wyboru danych; procedury etykietowania (np. w przypadku uczenia nadzorowanego), metody oczyszczania danych (np. wykrywanie wartości oddalonych);
• ocenę środków nadzoru ze strony człowieka, w tym ocenę środków technicznych potrzebnych do ułatwienia podmiotom stosującym interpretacji wyników systemów AI;
• w stosownych przypadkach szczegółowy opis z góry zaplanowanych zmian w systemie AI i jego skuteczności działania wraz ze wszystkimi istotnymi informacjami dotyczącymi rozwiązań technicznych przyjętych w celu zapewnienia ciągłej zgodności systemu AI z odpowiednimi wymogami;
• zastosowane procedury walidacji i testowania, w tym informacje o wykorzystywanych danych walidacyjnych i danych testowych oraz ich głównych cechach; wskaźniki stosowane do pomiaru dokładności, solidności i zgodności z innymi stosownymi wymogami, jak również skutków potencjalnie dyskryminujących; rejestry zdarzeń generowane podczas testów i wszystkie sprawozdania z testów opatrzone datą i podpisane przez osoby odpowiedzialne, w tym w odniesieniu do z góry zaplanowanych zmian;
• wdrożone środki w zakresie cyberbezpieczeństwa.

Szczegółowe informacje dotyczące monitorowania, funkcjonowania i kontroli systemu AI, w szczególności w odniesieniu do:

• jego możliwości i ograniczeń w zakresie skuteczności działania, w tym stopnie dokładności w przypadku określonych osób lub grup osób, wobec których system ma być wykorzystywany – ogólny spodziewany poziom dokładności w stosunku do jego przeznaczenia;
• możliwych do przewidzenia niezamierzonych wyników i źródeł ryzyka dla zdrowia i bezpieczeństwa, praw podstawowych i ryzyka powodującego dyskryminację w świetle przeznaczenia systemu AI;
• środków nadzoru ze strony człowieka, w tym środków technicznych wprowadzonych w celu ułatwienia podmiotom stosującym interpretacji wyników systemów AI;
• w stosownych przypadkach specyfikacji dotyczących danych wejściowych.

Przejrzystość i udostępnianie informacji podmiotom stosującym

Systemy AI wysokiego ryzyka projektuje się i rozwija w sposób zapewniający wystarczającą przejrzystość ich działania, umożliwiającą podmiotom stosującym interpretację wyników systemu i ich właściwe wykorzystanie. Zapewnia się odpowiedni rodzaj i stopień przejrzystości w celu osiągnięcia spełnienia przez dostawcę i podmiot stosujący odpowiednich obowiązków.

Do systemów AI wysokiego ryzyka dołącza się instrukcję obsługi w odpowiednim formacie cyfrowym lub innym formacie zawierającą zwięzłe, kompletne, poprawne i jasne informacje, które są istotne, dostępne i zrozumiałe dla podmiotów stosujących.

Instrukcja obsługi zawiera co najmniej następujące informacje:

• tożsamość i dane kontaktowe dostawcy oraz, w stosownych przypadkach, jego upoważnionego przedstawiciela;
• cechy, możliwości i ograniczenia skuteczności działania systemu AI wysokiego ryzyka, w tym: jego przeznaczenie; poziom dokładności, wraz z jego wskaźnikami, poziom solidności i cyberbezpieczeństwa, względem których przetestowano system AI wysokiego ryzyka i dokonano jego walidacji oraz których to poziomów można oczekiwać, a także wszelkie znane i dające się przewidzieć okoliczności, które mogą mieć wpływ na te oczekiwane poziomy dokładności, solidności i cyberbezpieczeństwa;
• wszelkie znane lub dające się przewidzieć okoliczności związane z wykorzystaniem systemu AI wysokiego ryzyka zgodnie z jego przeznaczeniem lub w warunkach dającego się racjonalnie przewidzieć niewłaściwego wykorzystania, mogące powodować ryzyko dla zdrowia i bezpieczeństwa lub praw podstawowych;
• w stosownych przypadkach, możliwości techniczne i właściwości systemu AI wysokiego ryzyka w zakresie udostępniania informacji istotnych dla wyjaśnienia jego wyników;
• w stosownych przypadkach, działanie systemu w odniesieniu do określonych osób lub grup osób, wobec których ma on być wykorzystywany;
• w stosownych przypadkach, specyfikacje dotyczące danych wejściowych lub wszelkie inne istotne informacje dotyczące wykorzystywanych zbiorów danych treningowych, walidacyjnych i testowych, uwzględniając przeznaczenie systemu AI wysokiego ryzyka;
• w stosownych przypadkach, informacje umożliwiające podmiotom stosującym interpretację wyników systemu AI wysokiego ryzyka i odpowiednie wykorzystanie tych wyników;
• zmiany w systemie AI wysokiego ryzyka i jego skuteczności działania, które zostały z góry zaplanowane przez dostawcę w momencie przeprowadzania początkowej oceny zgodności;
• środki nadzoru ze strony człowieka, w tym środki techniczne wprowadzone w celu ułatwienia podmiotom stosującym interpretacji wyników systemów AI wysokiego ryzyka;
• potrzebne zasoby obliczeniowe i sprzętowe, przewidywany cykl życia systemu AI wysokiego ryzyka oraz wszelkie niezbędne środki w zakresie konserwacji i utrzymania, w tym częstotliwość ich stosowania, mające na celu zapewnienie właściwego funkcjonowania tego systemu AI, w tym dotyczące aktualizacji oprogramowania;
• w stosownych przypadkach, opis mechanizmów zawartych w systemie AI wysokiego ryzyka, które umożliwiają podmiotom stosującym prawidłowe zbieranie, przechowywanie i interpretowanie rejestrów zdarzeń.