Член 12 — Водене на записи (Закон за ИИ на ЕС)

Член 12 от Регламент (ЕС) 2024/1689 — Водене на записи. Официален текст, практическа интерпретация, ключови задължения и последици за съответствието.

Резюме на официалния текст

Член 12 от Регламент (ЕС) 2024/1689 установява задължителни изисквания за водене на записи за системите с изкуствен интелект с висок риск. Членът се намира в Дял III, Глава 2, която определя техническите и управленски изисквания, на които системите с ИИ с висок риск трябва да отговарят, преди да бъдат пуснати на пазара на ЕС или въведени в експлоатация.

Основното задължение е, че системите с ИИ с висок риск трябва да бъдат проектирани и разработени с възможности за регистриране, позволяващи автоматично записване на събития — обичайно означавани като дневници — по време на оперативния живот на системата. Тези дневници служат за двойна цел: подпомагане на мониторинга след пускането на пазара от доставчика по член 72, и предоставяне на националните компетентни органи на възможност да упражняват своите надзорни и разследващи функции.

Член 12(2) уточнява, че възможностите за регистриране трябва да записват минимум периода на всяко използване на системата (начална и крайна дата и час), референтната база данни, спрямо която са проверени входните данни, когато е приложимо, входните данни, довели до даден резултат или решение, и — при системи за биометрична идентификация — самоличността на физическите лица, участвали в проверката на резултатите.

Членът поставя задължението за проектиране изцяло върху доставчиците. Регистрирането трябва да бъде вградено в системата по конструкция, а не добавено впоследствие. Това отразява по-широката философия „по проект" на Регламента. Операторите, внедряващи тези системи, носят допълнителни задължения по член 26 за съхраняване на дневниците, генерирани по време на тяхното използване на системата, доколкото такива дневници са под тяхн контрол.

Практически смисъл

За доставчиците, разработващи или пускащи на пазара системи с ИИ с висок риск на пазара на ЕС, член 12 изисква вземане на решения на инженерно ниво по време на фазата на проектиране, а не след внедряването. Регистрирането трябва да бъде архитектурна характеристика на продукта.

Засегнати страни. Всяка организация, разработваща, пускаща на пазара или въвеждаща в експлоатация система с ИИ с висок риск, определена по член 6 и Приложение III, е подчинена на член 12. Това включва системи, използвани при скрининг за заетост, кредитно оценяване, биометрична идентификация, управление на критична инфраструктура, образователна оценка, правоприлагане, граничен контрол и правосъдие, наред с други. Операторите — организации, внедряващи система с ИИ с висок риск на доставчик в собствен контекст — имат вторични задължения за поддържане на дневниците, под техния контрол.

Конкретни необходими действия. Доставчикът трябва да внедри автоматизирано регистриране, обхващащо необходимите точки от данни без ръчна намеса. Например, доставчик на инструмент за скрининг на автобиографии с помощта на ИИ трябва да гарантира, че системата записва всяка сесия по наемане, използваната версия на набора от данни за обучение или калибриране на модела, и входните данни (профили на кандидатите), генерирали всеки резултат (класиране или препоръка). Операторът, внедряващ този инструмент, трябва да съхранява тези дневници и да ги предоставя на органите при поискване.

Полезност за разследвания. Дневниците съществуват предимно за да позволят ретроспективен анализ. Ако система произвежда дискриминационен резултат или причинява вреда, регулаторите трябва да могат да реконструират случилото се. Дневниците, които са непълни, презаписани или недостъпни, осуетяват тази цел и излагат и доставчика, и оператора на риск от принудително изпълнение.

Пропорционалност. Конкретният обхват на това, което трябва да се записва, е калибриран спрямо вида на системата. Биометричните системи са подложени на най-детайлни изисквания. Доставчиците следва да документират своите решения относно дизайна на регистрирането в техническата документация, изисквана от член 11.

Ключови задължения

• Регистриране по проект. Системите с ИИ с висок риск трябва да бъдат проектирани и разработени с автоматични възможности за регистриране на събития, вградени в системната архитектура преди пускането на пазара или внедряването.
• Минимално съдържание на дневника. Дневниците трябва да обхващат минимум: оперативния период на всяка сесия на употреба, референтната база данни, използвана за проверка на входните данни, когато е приложимо, входните данни, произвели всеки резултат или решение, и — за системи за биометрична идентификация — самоличностите на физическите лица, проверили резултатите.
• Съхранение на дневниците от оператора. Операторите трябва да съхраняват дневниците, генерирани по време на тяхното използване на система с ИИ с висок риск, за периода, изисквана от приложимото право и минимум за срока, необходим за подпомагане на мониторинга след пускането на пазара и регулаторните разследвания.
• Достъпност за органите. Дневниците трябва да бъдат на разположение на националните компетентни органи при поискване за улесняване на надзорния контрол, разследването на инциденти и дейностите по пазарен надзор.
• Проследимост на резултатите. Системата за регистриране трябва да позволява реконструкция на причинно-следствената верига от конкретен вход до конкретен резултат, поддържайки отчетността и правото на обяснение, когато то се прилага.
• Съгласуване с техническата документация. Архитектурата на регистрирането и нейният обхват трябва да бъдат описани в техническата документация, поддържана по член 11, като се гарантира съгласуваност между системата, проектирана, и системата, наблюдавана.

Връзка с други членове

Член 12 не може да се чете изолирано. Той функционира като част от мрежа от взаимосвързани изисквания в Дял III, Глава 2.

Член 9 (Система за управление на риска) установява всеобхватната рамка, в която се включва регистрирането — дневниците генерират оперативните данни, необходими за идентифициране и оценка на рисковете при реално внедряване.

Член 11 (Техническа документация) изисква от доставчиците да документират архитектурата и възможностите за регистриране като част от по-широкото техническо досие, представено на нотифицираните органи или съхранявано за регулаторна проверка.

Член 17 (Система за управление на качеството) изисква от доставчиците да поддържат система за управление на качеството, интегрираща регистрирането в по-широки оперативни контроли и процедури за коригиращи действия.

Член 26 (Задължения на ползвателите) възлага на операторите задължение да съхраняват дневниците под тяхн контрол и да си сътрудничат с доставчиците и органите, правейки член 12 споделена отговорност в цялата верига на доставки.

Член 72 (Мониторинг след пускането на пазара) е потребителят надолу по веригата на дневниците по член 12 — системата за мониторинг разчита на оперативните дневници за открива деградация на производителността, неочаквани резултати и нови рискове след внедряването.

Член 73 (Докладване на сериозни инциденти) използва данните от дневниците като основни доказателства, когато доставчиците са задължени да докладват сериозни неизправности или инциденти на органите за пазарен надзор.

График за съответствие

Законът за ИИ на ЕС (Регламент 2024/1689) влезе в сила на 1 август 2024 г., двадесет дни след публикуването му в Официален вестник на Европейския съюз.

Прилагането на Регламента е поетапно:

• 2 февруари 2025 г. — Забраните за практики с ИИ с неприемлив риск (Дял II, член 5) станаха приложими.
• 2 август 2025 г. — Правилата за модели с ИИ с общо предназначение (Дял VIII) и задълженията за управление (Дял III, Глава 4 за нотифицираните органи; Дял VI за управлението) станаха приложими.
• 2 август 2026 г. — Задълженията за системите с ИИ с висок риск, изброени в Приложение III, започват да се прилагат за повечето категории. Член 12 попада в тази фаза. Доставчиците и операторите на системи с ИИ с висок риск трябва да разполагат с функциониращи възможности за регистриране до тази дата.
• 2 август 2027 г. — Удължен краен срок за системите с ИИ с висок риск, обхванати от съществуващото секторно хармонизирано законодателство на Съюза, изброено в Приложение I (напр. машини, медицински изделия), предоставяйки на тези сектори допълнително време за адаптиране на съществуващите рамки за оценка на съответствието.

Организациите, разработващи системи с ИИ с висок риск, следва да приемат 2 август 2026 г. като твърд краен срок за съответствие с изискванията за регистриране по член 12, като проектирането и тестването на инфраструктурата за регистриране трябва да бъдат завършени значително по-рано, за да се предостави достатъчно време за процедурите за оценка на съответствието по член 43.