Unijny AI Act nakłada na dostawców systemów wysokiego ryzyka szereg nowych obowiązków, a kluczowym z nich jest ocena zgodności systemu sztucznej inteligencji. Ten złożony proces ma na celu formalne wykazanie, że technologia spełnia rygorystyczne wymogi prawne. Z tego artykułu dowiesz się, kto i w jaki sposób musi przeprowadzić taką ocenę, aby legalnie wprowadzić swoje rozwiązanie na rynek Unii Europejskiej.
Ocena zgodności systemu sztucznej inteligencji – podstawowe informacje
W odniesieniu do systemów AI wysokiego ryzyka wymienionych w załączniku III do AI Act (systemy AI wysokiego ryzyka z obszaru biometrii), w przypadku gdy do wykazania zgodności systemu AI wysokiego ryzyka z wymogami dostawca zastosował normy zharmonizowane lub, w stosownych przypadkach, wspólne specyfikacje, dostawca wybiera jedną z następujących procedur oceny zgodności na podstawie:
- kontroli wewnętrznej lub
- oceny systemu zarządzania jakością i oceny dokumentacji technicznej przeprowadzanej z udziałem jednostki notyfikowanej.
Przy wykazywaniu zgodności systemu AI wysokiego ryzyka z wymogami dostawca postępuje zgodnie z procedurą oceny zgodności ustanowioną w załączniku VII do AI Act, w przypadku gdy:
- normy zharmonizowane nie istnieją, a wspólne specyfikacje nie są dostępne;
- dostawca nie zastosował normy zharmonizowanej lub zastosował jedynie jej część;
- wspólne specyfikacje istnieją, ale dostawca ich nie zastosował;
- co najmniej jedna z norm zharmonizowanych została opublikowana z ograniczeniem i jedynie w odniesieniu do tej części normy, której dotyczy ograniczenie.
W przypadku pozostałych systemów AI wysokiego ryzyka, o których mowa w załączniku III, dostawcy postępują zgodnie z procedurą oceny zgodności opierającą się na kontroli wewnętrznej, o której mowa w załączniku VI do AI Act i która nie przewiduje udziału jednostki notyfikowanej.
Systemy AI wysokiego ryzyka, które poddano już procedurze oceny zgodności, poddaje się nowej procedurze oceny zgodności, gdy wprowadza się w nich istotne zmiany, niezależnie od tego, czy zmieniony system jest przeznaczony do dalszej dystrybucji lub czy ma być nadal wykorzystywany przez obecny podmiot stosujący.
Przykład 1.
Spółka X wprowadziła do obrotu system AI sklasyfikowany jako wysokiego ryzyka – zgodnie z przepisami została przeprowadzona jego ocena zgodności. System ten jednak nadal się uczy po wprowadzeniu do obrotu. Zmiany wynikające z uczenia się, które powstały po dokonaniu pierwotnej oceny, zostały uwzględnione w dokumentacji – były przewidziane pierwotnie. Czy można uznać, że są to zmiany istotne, które powodują konieczność przeprowadzenia nowej procedury?
Nie, istotnej zmiany nie stanowią zmiany w systemie AI wysokiego ryzyka i jego skuteczności działania, które dostawca z góry zaplanował w chwili przeprowadzania początkowej oceny zgodności i które są częścią informacji zawartych w dokumentacji technicznej.
Odstępstwo od procedury oceny zgodności
Na zasadzie odstępstwa i na należycie uzasadniony wniosek organ nadzoru rynku może wydać zezwolenie na wprowadzenie do obrotu lub oddanie do użytku konkretnych systemów AI wysokiego ryzyka na terytorium danego państwa członkowskiego w związku z wystąpieniem nadzwyczajnych względów dotyczących bezpieczeństwa publicznego lub ochrony zdrowia i życia osób, ochrony środowiska lub ochrony kluczowych aktywów przemysłowych i infrastrukturalnych. Zezwolenie to wydaje się tymczasowo na okres przeprowadzenia niezbędnych procedur oceny zgodności, uwzględniając nadzwyczajne względy uzasadniające przedmiotowe odstępstwo. Dokłada się starań, aby procedury te ukończono bez zbędnej zwłoki.
Ocena zgodności systemu sztucznej inteligencji opierająca się na kontroli wewnętrznej
Załącznik VI do AI Act określa procedurę oceny zgodności opierającą się na kontroli wewnętrznej. Jest to procedura oceny zgodności przeprowadzana na podstawie poniższych zasad.
Dostawca sprawdza, czy ustanowiony system zarządzania jakością jest zgodny z wymogami art. 17 AI Act. Następnie analizuje informacje zawarte w dokumentacji technicznej, aby ocenić zgodność systemu AI z odpowiednimi zasadniczymi wymogami określonymi w AI Act. W kolejnym kroku sprawdza również, czy proces projektowania i rozwoju systemu AI oraz proces jego monitorowania po wprowadzeniu do obrotu, są zgodne z dokumentacją techniczną.
Zgodność opierająca się na ocenie systemu zarządzania jakością i ocenie dokumentacji technicznej
Załącznik VII do AI Act określa procedurę oceny zgodności opierającą się na ocenie systemu zarządzania jakością i ocenie dokumentacji technicznej. Działa ona na poniżej wskazanych zasadach.
Zatwierdzony system zarządzania jakością w zakresie projektowania, rozwoju i testowania systemów AI zgodnie z art. 17 AI Act ocenia się i poddaje nadzorowi. Ocenie podlega również dokumentacja techniczna.
System zarządzania jakością jest oceniany przez jednostkę notyfikowaną, która ustala, czy spełnia on wymogi. O decyzji powiadamia się dostawcę lub jego upoważnionego przedstawiciela. Powiadomienie to zawiera wnioski z oceny systemu zarządzania jakością oraz decyzję dotyczącą dokonanej oceny wraz z uzasadnieniem. Zatwierdzony system zarządzania jakością jest dalej wdrażany i utrzymywany przez dostawcę, tak aby mógł zachować adekwatność i skuteczność.
Dostawca powiadamia jednostkę notyfikowaną o wszelkich zamierzonych zmianach w zatwierdzonym systemie zarządzania jakością lub w wykazie systemów AI objętych tym systemem.
Jednostka notyfikowana powiadamia dostawcę o swojej decyzji. Takie powiadomienie zawiera wnioski z weryfikacji zmian oraz decyzję dotyczącą dokonanej oceny wraz z uzasadnieniem.
Podobnie jednostka notyfikowana dokonuje analizy dokumentacji technicznej. W stosownych przypadkach, i w zakresie ograniczonym do tego, co jest niezbędne do wykonywania zadań jednostki notyfikowanej, otrzymuje ona pełny dostęp do wykorzystywanych zbiorów danych treningowych, walidacyjnych i testowych, w tym, w stosownych przypadkach i z zastrzeżeniem gwarancji bezpieczeństwa, za pośrednictwem API lub innych odpowiednich środków i narzędzi technicznych umożliwiających zdalny dostęp.
Analizując dokumentację techniczną, jednostka notyfikowana może zwrócić się do dostawcy o przedstawienie dalszych dowodów lub przeprowadzenie dalszych testów w celu umożliwienia właściwej oceny zgodności systemu AI. W przypadku, gdy jednostka notyfikowana nie jest usatysfakcjonowana testami przeprowadzonymi przez dostawcę, przeprowadza sama bezpośrednio, stosownie do okoliczności, odpowiednie testy.
O decyzji jednostki notyfikowanej powiadamia się dostawcę lub jego upoważnionego przedstawiciela. Powiadomienie to zawiera wnioski z oceny dokumentacji produktu oraz decyzję dotyczącą dokonanej oceny wraz z uzasadnieniem.
Jednostka notyfikowana przeprowadza okresowe audyty, aby upewnić się, że dostawca utrzymuje i stosuje system zarządzania jakością, oraz przedstawia dostawcy sprawozdanie z audytu. W ramach tych audytów jednostka notyfikowana może przeprowadzać dodatkowe testy systemów AI, w odniesieniu do których wydano unijny certyfikat oceny dokumentacji technicznej.
Celem nadzoru sprawowanego przez jednostkę notyfikowaną jest zapewnienie, aby dostawca należycie wywiązywał się z warunków, jakimi obwarowano zatwierdzony system zarządzania jakością.
Do celów oceny dostawca umożliwia jednostce notyfikowanej dostęp do pomieszczeń, w których odbywa się projektowanie, rozwój i testowanie systemów AI. Dostawca udostępnia ponadto jednostce notyfikowanej wszystkie niezbędne informacje.
