Член 16 — Задължения на доставчиците на високорискови системи с ИИ (Регламент ЕС за ИИ)

Член 16 от Регламент (ЕС) 2024/1689 — Задължения на доставчиците на високорискови системи с ИИ. Официален текст, практическо тълкуване, ключови задължения и последици за съответствие.

Резюме на официалния текст

Член 16 от Регламент (ЕС) 2024/1689 (Регламентът на ЕС за ИИ) установява изчерпателния набор от задължения, които доставчиците на високорискови системи с ИИ трябва да изпълнят преди пускането на своите системи на пазара или въвеждането им в експлоатация. Членът функционира като централна опорна точка за отговорностите на доставчиците в Дял III, Глава 3.

Съгласно Член 16 доставчиците трябва да гарантират, че техните високорискови системи с ИИ отговарят на всички изисквания, залегнали в Глава 2 на Дял III, обхващащи управлението на риска (Член 9), данните и управлението на данните (Член 10), техническата документация (Член 11), воденето на записи (Член 12), прозрачността и предоставянето на информация (Член 13), човешкия надзор (Член 14) и точността, надеждността и киберсигурността (Член 15).

Освен съответствие с Глава 2, Член 16 налага конкретни административни и процедурни задължения. Доставчиците трябва да установят система за управление на качеството в съответствие с Член 17, да изготвят техническа документация, посочена в Annex IV, и когато е приложимо, да преминат процедура за оценка на съответствието, преди да поставят маркировката CE. Те трябва да регистрират своите системи в базата данни на ЕС, създадена съгласно Член 71, където регистрацията е задължителна за съответната категория, да си сътрудничат с националните компетентни органи при поискване и да съхраняват цялата съответна документация за период от десет години след пускането на системата на пазара или въвеждането й в експлоатация. Доставчиците, установени извън ЕС, трябва да назначат упълномощен представител в Съюза съгласно Член 22.

Какво означава това на практика

За организациите, разработващи или поръчващи високорискови системи с ИИ, Член 16 се превръща в структурирана програма за съответствие преди пускането на пазара, която трябва да бъде завършена преди всяко внедряване или търговско пускане.

Разработчиците и доставчиците, изграждащи системи с ИИ, попадащи в категориите с висок риск, определени в Annex III — обхващащи области като биометрична идентификация, критична инфраструктура, образование, заетост, основни услуги, правоприлагане, миграция и правораздаване — трябва да третират Член 16 като своя основен контролен списък за съответствие. Преди пускането трябва да разполагат с документирана система за управление на качеството, да са завършили оценка на съответствието (самооценка или от трета страна, в зависимост от категорията), да са поставили маркировката CE и да са регистрирали продукта в базата данни по Регламента на ЕС за ИИ.

Конкретен пример: Софтуерна компания, предлагаща базиран на ИИ инструмент за подбор на автобиографии на HR отдели, попада в Annex III, точка 4 (заетост и управление на работниците). Преди пускането на този инструмент на пазара компанията трябва да документира своя процес на управление на риска, да докаже качеството на своите данни за обучение, да предостави техническа документация, даваща възможност на регулаторите да оценят съответствието, да прилага механизми за човешки надзор и да регистрира системата. Ако компанията е установена извън ЕС, тя трябва да определи упълномощен представител с адрес в ЕС.

Текущите задължения продължават след внедряването. Доставчиците трябва да поддържат записи, да наблюдават пост-пазарната ефективност съгласно Член 72, да докладват сериозни инциденти съгласно Член 73 и да актуализират техническата документация при съществени промени в системата. Съответствието не е еднократно събитие, а непрекъсната оперативна отговорност.

Доставчиците, работещи в регулирани секторни области — като медицински изделия или машини — трябва допълнително да изпълнят специфичните за сектора изисквания за съответствие, взаимодействащи с Регламента за ИИ съгласно Annex I.

Ключови задължения

• Осигуряване на съответствие с Глава 2: Проверка дали високорисковата система с ИИ отговаря на всички технически и управленски изисквания (Членове 8–15) преди пускането на пазара, включително управление на риска, управление на данните, прозрачност, човешки надзор и надеждност.
• Установяване на система за управление на качеството: Прилагане на документирана система за управление на качеството в съответствие с Член 17, обхващаща политики, процедури, оценка на съответствието, пост-пазарно наблюдение и работни потоци за докладване на инциденти.
• Изготвяне и поддържане на техническа документация: Подготвяне и актуализиране на техническата документация, посочена в Annex IV, доказваща съответствие пред националните компетентни органи и нотифицираните органи при поискване.
• Преминаване на оценка на съответствието и поставяне на маркировката CE: Завършване на приложимата процедура за оценка на съответствието (самооценка или от трета страна) и поставяне на маркировката CE преди пускането на системата на пазара или въвеждането й в експлоатация в ЕС.
• Регистриране в базата данни на ЕС: Вписване на системата в общата база данни на ЕС за високорискови системи с ИИ, създадена съгласно Член 71, където регистрацията е задължителна за съответната категория.
• Съхраняване на записи за десет години и сътрудничество с органите: Съхраняване на цялата техническа документация, декларации за съответствие и приложимите регистрационни файлове за не по-малко от десет години; отговаряне на информационни запитвания от националните надзорни органи и органите за пазарен надзор; назначаване на упълномощен представител в ЕС, ако доставчикът не е установен в Съюза.

Връзка с други членове

Член 16 не може да се чете изолирано. Той е шлюзовото задължение, което активира и препраща към практически всички останали изисквания към доставчиците в Дял III.

Съществените технически изисквания, чието спазване Член 16 изисква от доставчиците, са намерени в Членове 8 до 15 (Глава 2). Системата за управление на качеството, която той задължава, е разработена в Член 17. Спецификациите на техническата документация са в Annex IV, упоменат от Член 11. Процедурите за оценка на съответствието, задействани от Член 16, са подробно описани в Член 43, с правилата за декларация за съответствие в Член 47 и правилата за маркировката CE в Член 48.

Задълженията за пост-пазарно наблюдение, разширяващи обхвата на Член 16 отвъд първоначалното пускане, са посочени в Член 72, с докладването на сериозни инциденти в Член 73. Упълномощените представители — изисквани за доставчици, неустановени в ЕС, съгласно Член 16 — се управляват от Член 22. Обстоятелствата, при които вносителите и дистрибуторите поемат задълженията на доставчика, са посочени в Член 24. Накрая, изискването за регистрация в базата данни на ЕС е свързано с Член 71. Националните компетентни органи, прилагащи задълженията по Член 16, работят в рамката, установена в Членове 70 и 74.

Срокове за съответствие

Регламентът на ЕС за ИИ влезе в сила на 1 август 2024 г., двадесет дни след публикуването му в Официален вестник. Неговите разпоредби обаче се прилагат поетапно:

• 2 февруари 2025 г.: Забраните за практики с неприемлив риск от ИИ (Член 5) станаха изпълними.
• 2 август 2025 г.: Задълженията, свързани с моделите с ИИ с общо предназначение (Дял VIII, Членове 51–56), станаха приложими.
• 2 август 2026 г.: Задълженията по Член 16 стават изпълними за високорискови системи с ИИ, изброени в Annex III (самостоятелни системи с ИИ в области като заетост, образование, основни услуги, биометрия и правоприлагане).
• 2 август 2027 г.: Задълженията по Член 16 стават изпълними за високорискови системи с ИИ, обхванати от Annex I (компоненти за безопасност на продукти, вече регулирани от съществуващото секторно законодателство на ЕС, като медицински изделия, машини и гражданска авиация).

Доставчиците не следва да чакат до тези дати на правоприлагане, за да започнат подготовка. Изграждането на система за управление на качеството, съставянето на техническа документация и завършването на оценките на съответствието са ресурсоемки процеси. Организациите, пускащи системи от Annex III на пазара, се съветват да бъдат оперативно съответстващи до средата на 2026 г. в най-лошия случай, като анализите на пропуските и програмите за отстраняване на нередности трябва да бъдат започнати не по-късно от началото на 2025 г.