Член 20 — Коригиращи действия и задължение за предоставяне на информация (Закон за ИИ на ЕС)

Член 20 от Регламент (ЕС) 2024/1689 — Коригиращи действия и задължение за предоставяне на информация. Официален текст, практическо тълкуване, ключови задължения и последици за съответствието.

Резюме на официалния текст

Член 20 от Регламент (ЕС) 2024/1689 установява задължително коригиращо действие и задължение за предоставяне на информация за доставчиците на системи с висок риск за ИИ. Когато доставчикът има основание да счита, че система с висок риск за ИИ, която е пуснал на пазара или въвел в експлоатация, вече не отговаря на изискванията, посочени в глава 2 от дял III, той трябва незабавно да предприеме необходимите коригиращи действия, за да върне системата в съответствие, да я оттегли или изтегли, в зависимост от случая.

Доставчикът е едновременно задължен да информира дистрибуторите на системата и, когато е приложимо, упълномощения представител, ползвателите и всякакви други съответни трети страни за несъответствието и предприетите коригиращи мерки. Когато системата за ИИ представлява риск по смисъла на член 79, параграф 1, доставчикът трябва да уведоми незабавно и компетентните национални органи на държавите членки, в които е предоставил системата, и, когато е приложимо, нотифицирания орган, издал сертификат за системата, като предостави подробности за несъответствието и предприетите коригиращи действия.

Членът съчетава две отделни, но свързани задължения: оперативно задължение за действие и възстановяване на съответствието, и информационно задължение да се гарантира, че всички участници във веригата на доставки и разгръщане — включително органите за пазарен надзор — са информирани за ситуацията и стъпките, предприемани за нейното решаване. Тази двойна структура гарантира, че рисковете не остават изолирани в организацията на доставчика, а се разкриват своевременно в рамките на регулаторната и търговската екосистема.

Практически смисъл

За организациите, които разработват или пускат на пазара на ЕС системи с висок риск за ИИ, член 20 създава постоянно задължение, което е активно непрекъснато по целия жизнен цикъл на системата. Съответствието не може да се третира като еднократно упражнение, ограничено до първоначалната оценка на съответствието.

Кого засяга: Всеки доставчик на система с висок риск за ИИ в обхвата на Annex III или системи, предмет на правилата за класификация като системи с висок риск по член 6. Това включва производители, вносители, пускащи система на трета страна на пазара на ЕС под собственото си наименование, и юридически лица в трети страни, чиито системи се използват в ЕС чрез упълномощен представител.

Какво задейства действие: Прагът е „основание да счита" — умишлено нисък доказателствен праг. Доставчикът не се нуждае от сигурност за несъответствие; достоверна основа за загриженост, независимо дали произтича от вътрешни данни за наблюдение след пускане на пазара, доклад на ползвател, оплакване на потребител или запитване на регулатор, е достатъчна за активиране на задължението.

Конкретен пример: Доставчик на система с висок риск за ИИ, използвана при кредитно оценяване, установява чрез процеса си на наблюдение след пускане на пазара (изискван по член 72), че точността на системата е значително влошена за защитена демографска група, което повдига потенциално нарушение на изискванията за непредубеденост и надеждност по членове 9 и 15. По силата на член 20 доставчикът трябва своевременно да оцени варианти за корекция (повторно обучение, корекция на параметри, временно спиране), да приложи избраното действие, да уведоми всички ползватели, ползващи в момента системата, и да информира съответния национален орган за пазарен надзор, ако влошаването представлява риск по член 79, параграф 1.

Документация: Всички коригиращи действия и уведомления следва да бъдат записани в техническата документация, поддържана по член 18, и в регистрите, съхранявани по член 19, тъй като те ще бъдат основните доказателства, прегледани от органите.

Ключови задължения

• Незабавно коригиращо действие: Предприемане на всички необходими мерки за възстановяване на съответствието, оттегляне на системата от пазара или изтеглянето й от ползватели и потребители, пропорционално на естеството и сериозността на установеното несъответствие.
• Уведомяване на веригата на доставки: Информиране на дистрибуторите, упълномощените представители и ползвателите за несъответствието и предприетите коригиращи действия без излишно забавяне.
• Уведомяване на органите: Когато несъответствието представлява риск по смисъла на член 79, параграф 1, уведомяване на компетентните органи за пазарен надзор на всички засегнати държави членки и на всеки нотифициран орган, издал сертификат за системата.
• Предоставяне на информация: Осигуряване на пълни подробности на националните органи и нотифицираните органи за несъответствието, потенциалните му последици и приложените или планираните коригиращи мерки.
• Постоянна бдителност: Поддържане на системите за наблюдение след пускане на пазара, изисквани по член 72, за да се гарантира, че обстоятелствата, пораждащи несъответствие, се установяват своевременно и не остават без отговор.
• Документиране на действията: Записване на всички решения за корекция, издадени уведомления и комуникации с органите като част от текущите задължения за техническа документация и управление на качеството по членове 17, 18 и 19.

Връзка с други членове

Член 20 се намира в оперативното ядро на задълженията на доставчика по жизнения цикъл и се свързва с няколко други разпоредби.

Той е преди член 73 (докладване на сериозни инциденти), който се прилага специално, когато система с висок риск за ИИ причинява или допринася за сериозен инцидент; двата режима могат да бъдат задействани едновременно и трябва да се управляват паралелно. Той е след член 72 (наблюдение след пускане на пазара), който е основният механизъм, чрез който доставчиците ще установяват несъответствията, активиращи член 20.

Задължението за коригиращо действие е тясно свързано и с член 9 (система за управление на риска) и членове 15 и 17 (точност, надеждност и управление на качеството), тъй като адекватността на тези системи ще определи дали несъответствието е установено и отстранено своевременно. Член 26 създава допълнително задължение за ползвателите да докладват предполагаеми несъответствия обратно на доставчиците, като ги прави важен вторичен източник на информация, подхранваща задействащия механизъм на член 20. Накрая, член 21 урежда задълженията за сътрудничество на доставчиците след официалната намеса на органите и следва да се чете като аналога за регулаторно прилагане на доброволното задължение за коригиращо действие по член 20.

График за съответствие

Законът за ИИ на ЕС влезе в сила на 1 август 2024 г. (двадесет дни след публикуването в Официален вестник на 12 юли 2024 г.). Член 20 попада в дял III, глава 3 и се прилага за системи с висок риск за ИИ. Поетапният график за прилагане е следният:

• Февруари 2025 г.: Разпоредбите относно забранените практики за ИИ (дял II) станаха приложими.
• Август 2025 г.: Правилата за модели с общо предназначение за ИИ (дял VIII, глава 2) станаха приложими.
• Август 2026 г.: Задълженията за системи с висок риск за ИИ, изброени в Annex III и използвани от публични органи, станаха приложими.
• Декември 2026 г. (основен краен срок за висок риск): Пълният набор от задължения по дял III — включително член 20 — стана приложим за доставчиците на системи с висок риск за ИИ, обхванати от Annex III. Доставчиците, чиито системи са били на пазара преди тази дата, са се ползвали от преходен период, но вече трябва да спазват изцяло изискванията.
• Август 2027 г.: Удължен краен срок за определени системи с висок риск за ИИ, които са компоненти на мащабни ИТ системи на ЕС или са предмет на хармонизирани стандарти, непубликувани към момента на влизане в сила.

За повечето доставчици на системи с висок риск за ИИ по Annex III, член 20 е напълно приложим от декември 2026 г., а процесите за коригиращо действие и предоставяне на информация следва вече да бъдат въведени в действие.