Член 21 — Сътрудничество с компетентните органи (Закон за ИИ на ЕС)

Член 21 от Регламент (ЕС) 2024/1689 — Сътрудничество с компетентните органи. Официален текст, практическо тълкуване, ключови задължения и последици за съответствието.

Резюме на официалния текст

Член 21 от Регламент (ЕС) 2024/1689 (Законът за ИИ на ЕС) установява общо задължение за доставчиците на системи с висок риск за ИИ да си сътрудничат с компетентните национални органи при поискване. По тази разпоредба доставчиците — и, когато е приложимо, техните упълномощени представители — трябва да предоставят на компетентните органи цялата информация и документация, необходими за доказване, че разглежданата система с висок риск за ИИ отговаря на изискванията, посочени в глава 2 на дял III. Това задължение за сътрудничество се разпростира и до предоставяне на достъп до самата система за ИИ, когато компетентният орган счита такъв достъп за необходим за изпълнение на надзорните му или задачи по пазарен надзор.

Членът функционира в рамките на по-широката система за пазарен надзор на Регламента и трябва да се чете заедно с правомощията за прилагане, предоставени на националните органи по дял X. Той не създава проактивно задължение за оповестяване в обичайния ход на дейността; по-скоро се активира при официална или неофициална молба от надзорен орган. Задължението е безусловно по обхват: доставчиците не могат да откажат сътрудничество на основание търговска поверителност, търговска тайна или собственически интереси, въпреки че Регламентът предвижда отделни гаранции за боравенето с поверителна информация от страна на органите. Член 21 на практика функционира като мост между задълженията за съответствие, наложени на доставчиците, и капацитета за прилагане на регулаторната инфраструктура, изградена от държавите членки и Европейската служба за ИИ.

Практически смисъл

За доставчиците на системи с висок риск за ИИ член 21 изисква поддържане на структурирана, готова за одит позиция на съответствие по всяко време — не само в момента на оценката на съответствието. Когато национален орган за пазарен надзор, нотифициран орган, действащ по делегация, или Европейската служба за ИИ открие разследване, доставчикът трябва да може да отговори своевременно с цялостна техническа документация, резултати от оценката на съответствието, записи за управление на риска и данни за наблюдение след пускане на пазара.

Кого засяга. Доставчиците, пускащи на пазара на ЕС системи с висок риск за ИИ (изброени в Annex III или обхванати от секторното законодателство на Annex I), са основните носители на задълженията. Упълномощените представители, действащи от името на доставчици от трети страни, носят същото задължение в рамките на своя мандат. Ползвателите не са основните адресати на член 21, но могат да бъдат включени в процедури за сътрудничество, когато техните оперативни данни или достъп до разгърнатата система са изискани от орган.

Конкретни примери. Производител на медицинско оборудване, интегриращ инструмент за диагностика, управляван от ИИ, трябва при поискване да предаде пълното техническо досие, включително описания на данните за обучение, протоколи за валидация и регистри за наблюдение след разгръщане. Работодател, ползващ инструмент за скрининг на автобиографии с помощта на ИИ, класифициран като висок риск по Annex III, трябва да улесни достъпа на органа до логиката на вземане на решения и конфигурационните параметри на системата, ако бъде открито разследване.

Оперативна подготовка. Организациите следва да определят функция за връзка с регулаторите, да поддържат техническа документация с контрол на версиите и да установят вътрешен протокол за молби от органи, включително срокове за правен преглед, които не препятстват навременното сътрудничество.

Ключови задължения

• Предоставяне на документация при поискване. Доставчиците трябва да снабдят компетентните органи с цялата информация и техническа документация, необходима за оценка на съответствието с глава 2 на дял III, включително техническото досие, изисквано по член 11, и регистрите, поддържани по член 12.
• Предоставяне на достъп до системата за ИИ. Когато компетентен орган определи, че проверката на или взаимодействието със системата за ИИ е необходимо, доставчиците трябва да улеснят такъв достъп без излишно забавяне или възпрепятстване.
• Сътрудничество чрез упълномощени представители. Доставчиците от трети страни трябва да гарантират, че техният упълномощен представител, установен в ЕС, е оправомощен да изпълнява изцяло задълженията за сътрудничество от тяхно име, съгласно изискването по член 22.
• Поддържане на информацията в извлечима форма. Практическата полезност на член 21 зависи от актуалността, точността и извлечимостта на документацията. Доставчиците не трябва да допускат техническите записи да остареят или да станат недостъпни в момента, когато е получена молба.
• Въздържане от възпрепятстване. Всяко действие или бездействие, което пречи, забавя или осуетява надзорно разследване — включително избирателно оповестяване, унищожаване на записи или укриване на данни за достъп — представлява нарушение на член 21 и може да доведе до санкции по член 99.
• Разширяване на сътрудничеството върху дейностите по надзор след пускане на пазара. Сътрудничеството по член 21 не е ограничено до предварителни проверки на съответствието преди пускане; то обхваща текущия надзорен контрол по целия жизнен цикъл на системата с висок риск за ИИ.

Връзка с други членове

Член 21 се намира на пресечната точка на задълженията на доставчика и регулаторното прилагане и не може да се чете изолирано. Той пряко зависи от член 11 (техническа документация) и член 12 (съхраняване на записи и регистриране), тъй като тези разпоредби определят масива от информация, която доставчикът трябва да може да предостави. Свързва се с член 17 (система за управление на качеството), който урежда организационните процеси, подкрепящи готовността на документацията. Член 22 (упълномощени представители) прилага на практика член 21 за доставчиците от трети страни, като определя кой носи задълженията за сътрудничество в ЕС. От страна на прилагането, член 21 се влива в режима на пазарен надзор на дял X (членове 74–76), правомощията на Европейската служба за ИИ по дял VIII и рамката за санкции на член 99, който прикрепя наказания към несътрудничеството. Член 9 (управление на риска) също е релевантен, тъй като органите могат да проверят дали записите за идентифициране и намаляване на риска са адекватни. Четенето на член 21 заедно с членове 13 (прозрачност) и 14 (човешки надзор) дава пълна картина на информационната среда, която доставчиците трябва да поддържат.

График за съответствие

Законът за ИИ на ЕС влезе в сила на 1 август 2024 г., двадесет дни след публикуването в Официален вестник. Разпоредбите му се прилагат по поетапен график:

• 2 февруари 2025 г. — Забраните за практики за ИИ с неприемлив риск (дял II) станаха приложими. Самият член 21 все още не беше в сила за системите с висок риск.
• 2 август 2025 г. — Разпоредбите за модели с общо предназначение за ИИ (дял VIII) и задълженията на Европейската служба за ИИ станаха приложими.
• 2 август 2026 г. — Член 21, заедно с пълния набор от задължения по дял III за системи с висок риск за ИИ, изброени в Annex III (различни от тези, обхванати от по-ранното секторно право), стана приложим. Доставчиците, чиито системи попадат в тази категория, трябва да бъдат напълно готови за сътрудничество до тази дата.
• 2 август 2027 г. — Системите с висок риск за ИИ, уредени от законодателството на Съюза за хармонизация, изброено в Annex I (напр. медицински изделия, машинно оборудване, авиация), които вече са предмет на процедури за оценка на съответствието, разполагат до тази дата, преди да се приложат пълните задължения по Закона за ИИ за системи с висок риск, включително член 21, за унаследени продукти.

Доставчиците следва да третират периода, предшестващ приложимата за тях дата, не като гратисен период, а като време за изпълнение: техническата документация, инфраструктурата за регистриране и вътрешните протоколи за сътрудничество следва да бъдат въведени в действие значително преди крайния срок.