Член 2 — Обхват (Закон за ИИ на ЕС)

Член 2 от Регламент (ЕС) 2024/1689 — Обхват. Официален текст, практическо тълкуване, основни задължения и последици за съответствието.

Резюме на официалния текст

Член 2 от Регламент (ЕС) 2024/1689 определя материалния и териториалния обхват на Закона за ИИ на ЕС. Той установява кои участници, системи и обстоятелства попадат в приложното поле на регламента.

Ratione personae, Законът се прилага за: (1) доставчици, пускащи системи за ИИ на пазара на Съюза или въвеждащи ги в експлоатация в ЕС, независимо от тяхното място на установяване; (2) ползватели на системи за ИИ, установени или намиращи се в ЕС; (3) доставчици и ползватели, установени в трети страни, когато резултатите, произведени от системата за ИИ, се използват в Съюза; (4) вносители и дистрибутори на системи за ИИ; и (5) производители на продукти, пускащи системи за ИИ като компоненти за безопасност на регулирани продукти на пазара на Съюза.

Член 2 допълнително изяснява, че Законът не се прилага за системи за ИИ, разработени или използвани изключително за военни, национални сигурностни или отбранителни цели, нито за системи за ИИ, използвани от публични органи на трети страни или международни организации в контекста на международни споразумения за правоприлагане и съдебно сътрудничество. Системи за ИИ, които все още не са пуснати на пазара и са в изследователска и развойна фаза, преди да бъдат предоставени на потребителите, също са извън обхвата.

Когато даден ползвател или доставчик е установен извън ЕС, но резултатите от системата за ИИ се използват в рамките на ЕС, Законът все пак се прилага, установявайки силна екстериториална обхватност, сравнима с модела на GDPR.

Какво означава това на практика

Член 2 определя дали вашата организация изобщо трябва да спазва Закона за ИИ на ЕС — това е основният въпрос, на който всеки правен екип и екип за съответствие трябва да отговори, преди да могат да се оценят каквито и да е задължения.

За компании, базирани в ЕС, анализът е прост: ако разработвате, внедрявате, внасяте, разпространявате или интегрирате системи за ИИ в продукти или услуги, достъпни в ЕС, вие сте в обхвата. Това включва SaaS доставчици, предлагащи функции, задвижвани от ИИ, предприятия, внедряващи инструменти за ИИ в HR, кредитиране или здравеопазване, и производители, вграждащи ИИ в физически продукти, предмет на съществуващото законодателство на ЕС за безопасност на продуктите.

За компании извън ЕС ключовият тест е дали резултатите от системата за ИИ достигат до или засягат физически лица или субекти в ЕС. Американска компания, предоставяща инструмент за скрининг при набиране на персонал с ИИ, използван от европейски дъщерни дружества на мултинационални компании, например, е в обхвата дори ако самата компания няма присъствие в ЕС. Такива доставчици трябва да определят упълномощен представител в Съюза.

На практика, екипите за съответствие трябва първо да картографират всяка система за ИИ в употреба или разработка, след което да приложат критериите по Член 2 към всяка от тях. Системи, използвани изключително за вътрешна научноизследователска и развойна дейност — невнедрени за крайни потребители — могат да бъдат документирани като извън обхвата, но този статус трябва да се поддържа активно и да се преразглежда при внедряване. Изключенията за военни цели и национална сигурност са тесни и не трябва да се предполага, че се прилагат за системи с двойна употреба или инструменти за правоприлагане без внимателен правен преглед.

Доставчиците на модели с отворен код се ползват от някои облекчени задължения, но остават в обхвата по отношение на забранените практики и класификациите с висок риск.

Основни задължения

• Определяне на обхвата: Организациите трябва категорично да определят дали попадат в една от определените категории участници (доставчик, ползвател, вносител, дистрибутор или производител на продукти), преди да оценят кое ниво на задължения се прилага за тях.
• Екстериториално съответствие: Доставчиците извън ЕС, чиито резултати от системи за ИИ се използват в Съюза, трябва да спазват Закона и да определят упълномощен представител, установен в ЕС.
• Яснота на ролята: Когато същата организация действа едновременно като доставчик и ползвател, двата набора от задължения се прилагат кумулативно; организациите трябва да документират и управляват всяка роля поотделно.
• Документиране на границите на научноизследователската и развойна дейност: Организациите, разчитащи на изключението за научноизследователска и развойна дейност, трябва да поддържат ясни записи, доказващи, че системата не е пусната на пазара или въведена в експлоатация, и трябва да преоценяват обхвата на всеки етап от разработката.
• Стриктно тълкуване на изключенията: Изключенията за военни цели, национална сигурност и отбрана трябва да се прилагат стриктно; системите за ИИ с двойна употреба или тези, използвани в общи контексти на правоприлагане, не се квалифицират автоматично за изключване.
• Определяне на упълномощен представител: Доставчиците от трети страни в обхвата трябва официално да определят и документират упълномощен представител в ЕС като част от тяхната инфраструктура за съответствие.

Връзка с други членове

Член 2 е входната точка към цялата регулаторна рамка и трябва да се чете заедно с няколко основополагащи разпоредби. Член 3 (Определения) е от съществено значение за тълкуването на ключовите термини, използвани в Член 2, особено определенията за „система за ИИ", „доставчик" и „ползвател", които определят обхвата. Член 5 (Забранени практики в областта на ИИ) се прилага за всички участници в обхвата независимо от нивото на риск, което прави правилното определяне на обхвата по Член 2 предпоставка за оценка на най-сериозните задължения. Член 6 (Класификация на системи за ИИ с висок риск) и Член 51 (Класификация на модели с общо предназначение за ИИ) стават релевантни само след като обхватът по Член 2 е потвърден. За организациите, разчитащи на пътя на доставчика от трета страна, Член 2 е пряко свързан с Член 25 (Задължения на вносителите) и Член 26 (Задължения на дистрибуторите). Екстериториалният обхват, установен в Член 2, отразява логиката на Член 3 от GDPR и регулаторните органи са потвърдили, че тези разпоредби трябва да се четат последователно.

График за съответствие

Член 2 влезе в сила на 1 август 2024 г., двадесет дни след публикуването на Регламента в Официален вестник на ЕС. Въпреки това, практическите му задължения се активират съгласно поетапния график за прилагане на Закона:

• 2 февруари 2025 г.: Обхватът по Член 2 се прилага изцяло по отношение на забранените практики в областта на ИИ по Член 5 — организациите трябва да са завършили определянето на обхвата си до тази дата, за да оценят дали някои от техните системи попадат в забранени категории.
• 2 август 2025 г.: Обхватът се прилага за доставчиците на модели с общо предназначение за ИИ (МОПИИ) по Дял VIII (Членове 51–56), включително оценките на системния риск и задълженията за прозрачност.
• 2 август 2026 г.: Задълженията за институции и органи на ЕС, използващи системи за ИИ по Член 2(1)(h), стават приложими.
• 2 декември 2026 г.: Обхватът по Член 2 се прилага за системи за ИИ с висок риск, изброени в Annex I (компоненти за безопасност на регулирани продукти).
• 2 август 2027 г.: Пълно прилагане за системи за ИИ с висок риск, изброени в Annex III (самостоятелни приложения с висок риск в области като заетост, образование, критична инфраструктура и правоприлагане).

Организациите трябва да третират август 2024 г. като датата, от която трябва да са започнали упражненията за картографиране на обхвата, като всеки следващ краен срок задейства съответен работен процес за съответствие.