Член 25 от Регламент (ЕС) 2024/1689 — Отговорности по веригата за създаване на стойност на ИИ. Официален текст, практическа интерпретация, ключови задължения и последици за съответствието.
Резюме на официалния текст
Член 25 от Регламент (ЕС) 2024/1689 (Законът на ЕС за ИИ) установява условията, при които страни, различни от оригиналния доставчик, поемат отговорности на ниво доставчик за система с висок риск. Статията е включена в Дял III, Глава 3, която урежда задълженията на доставчиците и ползвателите през целия жизнен цикъл на системите с висок риск.
Статията определя три задействащи сценария. Първо, дистрибутор, вносител, ползвател или друга трета страна се превръща в доставчик — с всички свързани задължения по Глава 2 на Дял III — когато пуска система с висок риск на пазара или я въвежда в експлоатация под собственото си наименование или търговска марка. Второ, статусът на доставчик се поема, когато трета страна извърши съществена модификация на система с висок риск. Трето, промяна в предназначението на система с висок риск — дори без физическа промяна — може да задейства изисквания за прекласификация и повторна оценка.
Когато настъпи такова прехвърляне на отговорност, оригиналният доставчик не се освобождава автоматично от отговорност. Регламентът изисква договорните споразумения между страните по веригата за доставки ясно да разграничават кой поема кои задължения на всеки етап. Това гарантира, че регулаторната отчетност следва субекта, който упражнява ефективен контрол върху внедряването или модификацията на системата. Статията подкрепя по-широкия принцип, че Законът на ЕС за ИИ разпределя задълженията въз основа на действителната роля и влияние на всеки участник в производствената верига, а не само въз основа на формалните договорни наименования.
Какво означава това на практика
Член 25 има преки последици за съответствието за всяка организация, която интегрира, преименова, съществено модифицира или преразпределя система с висок риск на трета страна. Той предотвратява широко разпространената търговска практика да се приема, че отговорността за съответствието лежи изключително при горния доставчик.
Системните интегратори и търговците на дребно, които пускат система с висок риск на пазара на ЕС под собствената си марка — например софтуерна компания, която вгражда базиран на ИИ механизъм за кредитен рейтинг на трета страна в собствения си продукт и го предлага под собственото си наименование — стават доставчици съгласно Закона. Те трябва да изпълнят всички задължения, посочени в член 16, включително оценки на съответствието, техническа документация, регистрация в базата данни на ЕС и поставяне на маркировка CE.
Компаниите, които модифицират системи с ИИ, трябва да преценят дали промените им представляват съществена модификация. Повторното обучение на модел върху нов набор от данни, промяната на праговете за вземане на решения по начин, който променя рисковите профили, или разширяването на функционалността на системата в нова област са примери, които вероятно ще задействат повторна оценка. Дори чисто програмна промяна, която засяга резултатите в регулиран контекст, може да се квалифицира.
Ползватели, които използват системи за цели, различни от първоначалното предназначение — например използване на общ инструмент за анализ на работното място за вземане на решения за наемане — трябва да преценят дали новият случай на употреба попада в категорията с висок риск и, ако е така, дали те фактически са се превърнали в доставчик на системата.
На практика организациите трябва да одитират всички системи с ИИ в своята инфраструктура, да нанесат на карта документираното предназначение на оригиналния доставчик и да установят вътрешни процеси на управление, за да маркират кога предложените промени или нови случаи на употреба се доближават до праговете на член 25.
Ключови задължения
- Поемане на задълженията на доставчик при преименуване: Всеки дистрибутор, вносител или трета страна, която предлага на пазара или внедрява система с висок риск под собственото си наименование или търговска марка, трябва да изпълни всички задължения на доставчик съгласно член 16, включително техническа документация, оценка на съответствието и регистрация в базата данни на ЕС.
- Повторна оценка след съществена модификация: Всяка страна, която извършва съществена модификация на система с висок риск, трябва да третира модифицираната система като нова система с висок риск, да повтори съответната процедура за оценка на съответствието и да актуализира цялата документация по съответен начин.
- Повторна регистрация на системата: Когато се поема статус на доставчик или се извършва съществена модификация, новият доставчик трябва да регистрира системата (или нейната модифицирана версия) в базата данни на ЕС за системи с висок риск, създадена съгласно член 71.
- Преглед на предназначението преди внедряване: Ползвателите трябва да проверят дали използването им на система с висок риск остава в рамките на предназначението, документирано от оригиналния доставчик; всяко съществено отклонение трябва да се оцени за последици за съответствието съгласно член 25.
- Поддържане на ясно договорно разпределение на отговорностите: Всички страни по веригата за създаване на стойност на ИИ — оригинални доставчици, вносители, дистрибутори и ползватели — трябва да гарантират, че споразуменията им ясно разпределят отговорностите за съответствие, особено когато се предвиждат модификации или преименуване.
- Запазване на информацията на оригиналния доставчик: Когато трета страна поема статуса на доставчик, тя трябва да има достъп до — и да поддържа — цялата техническа документация и информация за съответствието, първоначално изготвена от горния доставчик, тъй като това е основата на собствените й задължения за съответствие.
Връзка с други членове
Член 25 функционира като мост между задълженията на доставчика, определени в член 16 (задължения на доставчиците на системи с висок риск), и задълженията на ползвателя в член 26. Той гарантира, че отговорностите, изброени в член 16 — техническа документация, оценка на съответствието, управление на качеството, наблюдение след пускането на пазара — не могат да бъдат заобиколени чрез договорно споразумение или корпоративна структура.
Трябва да се чете заедно с член 6 (правила за класификация на системи с висок риск) и Приложение III, които определят кога дадена система е с висок риск и следователно е подложена на пълния режим на задължения на доставчика. Член 47 (декларация за съответствие на ЕС) и член 48 (маркировка CE) са пряко засегнати, когато нов доставчик трябва да ресертифицира модифицирана система.
Член 71 (база данни на ЕС за системи с висок риск) е релевантен, тъй като е необходима повторна регистрация при промяна на статуса на доставчика. Съображение 79 предоставя тълкувателни насоки за това какво представлява съществена модификация. За вериги за доставки, включващи модели с общо предназначение, членове 51–56 уреждат задълженията на доставчика на горния модел, но член 25 определя кога системният интегратор, изграждащ се върху този модел, се превръща в доставчик на система с висок риск сам по себе си.
График за съответствие
Законът на ЕС за ИИ влезе в сила на 1 август 2024 г. (двадесет дни след публикуването в Официалния вестник на ЕС на 12 юли 2024 г.). Прилагането е поетапно:
- 2 февруари 2025 г. — Забраните за практики с ИИ с недопустим риск (Дял II) започнаха да се прилагат. Член 25 все още не се прилагаше.
- 2 август 2025 г. — Задълженията за модели с общо предназначение (Дял VIII, членове 51–56) и разпоредбите за управление (Дял III, Глава 4; Дял V) започнаха да се прилагат. Член 25 все още не се прилагаше за системи с висок риск, изброени в Приложение III.
- 2 август 2026 г. — Член 25 и пълният режим на задължения на доставчика и ползвателя по Глава 3 се прилагат за системи с висок риск, изброени в Приложение III (включително биометрични системи, критична инфраструктура, заетост, образование, достъп до основни услуги и правоприлагане). Организациите, работещи в тези сектори, трябва да имат процеси на управление, договорни рамки и процедури за оценка на модификациите на място до тази дата.
- 2 август 2027 г. — Задълженията на член 25 се разширяват върху системи с висок риск, обхванати от Приложение I (законодателство за безопасността на продуктите, като медицински изделия и машини), където тези системи вече са на пазара преди август 2026 г. и подлежат на преходен период.
Организациите трябва да започнат картографиране на съответствието съгласно член 25 — по-специално одити на веригата за доставки и протоколи за управление на модификациите — доста преди крайния срок от август 2026 г.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Член 25 се прилага за дистрибутори, вносители, ползватели и всякакви трети страни, които пускат на пазара или въвеждат в експлоатация система с висок риск под собственото си наименование или търговска марка, или които модифицират система с висок риск по начин, който променя нейното предназначение или статуса на съответствие. В тези случаи тези страни поемат задълженията на доставчик съгласно Закона.
Ползвателят се счита за доставчик — и трябва да изпълни всички задължения на доставчик — когато пуска система с висок риск на пазара или в експлоатация под собственото си наименование или търговска марка, извършва съществена модификация на система с висок риск, която променя нейното предназначение, или модифицира система с висок риск по начин, който може да засегне нейното съответствие с изискванията на Дял III, Глава 2.
Съществена модификация е промяна на система с висок риск — физическа или логическа — която засяга съответствието на системата с изискванията на Дял III, Глава 2, или води до промяна на предназначението, за което системата е оценена. Съществената модификация задейства задълженията за повторна оценка и повторна регистрация.
Когато трета страна поема статуса на доставчик съгласно член 25, оригиналният доставчик не се освобождава автоматично от цялата отговорност. Договорните споразумения и естеството на модификацията определят продължаващите задължения. Страните се насърчават ясно да документират отговорностите в техническите и правните споразумения по цялата верига за доставки.
Член 25 се фокусира върху отговорностите в рамките на веригата за създаване на стойност на системи с висок риск. За модели с общо предназначение (МООП) се прилагат отделни задължения съгласно Дял VIII (членове 51–56). Въпреки това интеграторите, които изграждат системи с висок риск върху модели с общо предназначение, трябва да преценят дали тяхната интеграция задейства задълженията на доставчик съгласно член 25.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.