Член 40 — Хармонизирани стандарти и резултати от стандартизацията (Закон за ИИ на ЕС)

Член 40 от Регламент (ЕС) 2024/1689 — Хармонизирани стандарти и резултати от стандартизацията. Официален текст, практическо тълкуване, ключови задължения и последици за съответствието.

Резюме на официалния текст

Член 40 от Регламент (ЕС) 2024/1689 установява ролята на хармонизираните стандарти при доказването на съответствие с изискванията, приложими към високорисковите системи с ИИ съгласно Закона за ИИ на ЕС. Когато доставчиците на високорискови системи с ИИ прилагат хармонизирани стандарти — или съответни части от тях — чиито референции са публикувани в Официален вестник на Европейския съюз, се счита, че тези системи отговарят на изискванията на Дял III, Глава 3, доколкото тези изисквания са обхванати от приложимите хармонизирани стандарти.

Членът упълномощава Европейската комисия да издава заявки за стандартизация до европейските организации по стандартизация (CEN, CENELEC и ETSI) в съответствие с Регламент (ЕС) № 1025/2012 относно европейската стандартизация. Тези заявки насочват ЕОС да разработват хармонизирани стандарти, които операционализират съществените изисквания на Закона.

Член 40 също така разглежда ситуации, в които хармонизирани стандарти все още не съществуват или техните референции не са публикувани. В такива случаи Комисията може да приеме общи спецификации съгласно член 41, като гарантира, че доставчиците разполагат с определен технически път за доказване на съответствие дори при липса на официални хармонизирани стандарти.

Разпоредбата прави ясно разграничение между доброволното прилагане на стандарти и задължителното спазване на основните правни изисквания. Прилагането на хармонизиран стандарт не е задължително, но осигурява оборима презумпция за съответствие, намалявайки доказателствената тежест върху доставчиците при процедурите за оценка на съответствието, провеждани съгласно членове 43 и 44.

Какво означава това на практика

За доставчиците на високорискови системи с ИИ член 40 е централен инструмент за съответствие. Вместо да изграждат изцяло специфична техническа аргументация за начина, по който е изпълнено всяко правно изискване, доставчиците могат да приведат системите си в съответствие с публикуваните хармонизирани стандарти и да се възползват от презумпцията за съответствие. Това значително опростява процеса на оценка на съответствието, особено за системи, подложени на оценка от трета страна от нотифицирани органи.

На практика, доставчик, разработващ медицинско изделие с ИИ, попадащо в обхвата на Приложение I към Закона, би се консултирал с Официален вестник, за да установи кои хармонизирани стандарти са публикувани за съответните изисквания — например стандарти за управление на риска, качество на данните или киберсигурност. Прилагането на тези стандарти като част от проектирането на системата и процеса на управление на качеството позволява на доставчика да заяви съответствие с съответните членове на Закона, без нотифицираният орган да е длъжен да проверява самостоятелно съответствието от основни принципи.

За доставчиците, избрали да не прилагат хармонизирани стандарти — или когато все още не съществува приложим стандарт — тежестта пада върху тях да документират чрез технически файлове и доказателства от оценката на съответствието как е постигнато еквивалентно ниво на защита. Това е жизнеспособен, но по-взискателен път, изискващ тясно сътрудничество с нотифицирания орган и потенциално по-обширно тестване и документация.

Вносителите и ползвателите следва да проверят, че доставчиците, чиито системи пускат на пазара или пускат в действие, са правилно идентифицирали и приложили съответните стандарти, тъй като това влияе върху валидността на декларацията за съответствие на ЕС и маркировката CE.

Практическото въздействие на член 40 ще нараства прогресивно, тъй като процесът на стандартизация се развива. В началото на прилагането на Закона ще бъдат налични ограничен брой хармонизирани стандарти, което ще налага по-голямо разчитане на общи спецификации и специфични технически оценки.

Ключови задължения

• Идентифициране на приложимите хармонизирани стандарти: Доставчиците на високорискови системи с ИИ трябва да следят Официален вестник на Европейския съюз за публикувани референции към хармонизирани стандарти, приложими за тяхната система и изискванията съгласно Дял III, Глава 3.
• Прилагане на стандарти за задействане на презумпцията за съответствие: Когато доставчикът избере да разчита на презумпцията за съответствие, хармонизираният стандарт трябва да се прилага изцяло за изискванията, които обхваща; частичното прилагане не разпростира презумпцията върху необхванатите елементи.
• Документиране на прилагането на стандарти в техническата документация: Техническата документация, изисквана съгласно член 11 и Приложение IV, трябва ясно да посочва кои хармонизирани стандарти са приложени и как те съответстват на съответните правни изисквания.
• Преодоляване на пропуски, когато стандарти не съществуват: Когато никой хармонизиран стандарт не обхваща конкретно изискване, доставчиците трябва да докажат съответствие чрез алтернативни средства, включително общи спецификации, приети съгласно член 41, или независими технически доказателства, и трябва да документират този подход в своя файл за оценка на съответствието.
• Поддържане на осведоменост за актуализирани или оттеглени стандарти: Когато хармонизиран стандарт бъде преразгледан или референцията му бъде оттеглена от Официален вестник, доставчиците трябва да преценят дали съществуващата им документация за съответствие остава валидна и да актуализират системите и техническите файлове си съответно.
• Участие в процесите на стандартизация: Доставчиците, особено тези в сектори с бързо развиващи се ИИ приложения, следва да участват в съответните органи по стандартизация и отраслови работни групи, за да гарантират, че нововъзникващите стандарти отразяват реалната техническа практика и поддържат значими пътища за съответствие.

Връзка с други членове

Член 40 функционира като процедурен мост между съществените изисквания на Дял III, Глава 3 (членове 9–15 и 17) и процедурите за оценка на съответствието в Глава 5. Той следва да се чете заедно с член 41, който предвижда общи спецификации, приети от Комисията, като алтернатива, когато хармонизираните стандарти липсват или са недостатъчни. Член 43 урежда процедурите за оценка на съответствието, при които се разчита на презумпцията, създадена от член 40, а член 44 обхваща ролята на нотифицираните органи при оценките от трети страни.

Членът също така се свързва с член 11 и Приложение IV относно техническата документация, тъй като доказателствата за прилагане на стандарти трябва да фигурират в техническия файл, и с член 17 относно системите за управление на качеството, които трябва да включват процеси за идентифициране и прилагане на съответни стандарти. Член 48, обхващащ декларацията за съответствие на ЕС, е последващият инструмент, чрез който доставчикът официално заявява презумпцията за съответствие, установена съгласно член 40. За доставчиците на модели с общо предназначение стандартизацията се урежда отделно съгласно Дял VIII; член 40 се прилага специално за високорискови системи с ИИ съгласно Дял III.

График за съответствие

Член 40 влезе в сила на 1 август 2024 г., датата, на която Законът за ИИ на ЕС беше публикуван в Официален вестник на Европейския съюз и стана задължително право. Неговото практическо прилагане обаче е обвързано с поетапното въвеждане на задълженията:

• Август 2024 г.: Законът влиза в сила; мандатите за стандартизация към CEN, CENELEC и ETSI започват или се ускоряват.
• Февруари 2025 г.: Забранените практики в областта на ИИ съгласно член 5 стават приложими; член 40 не е пряко засегнат на този етап.
• Август 2025 г.: Задълженията за модели с общо предназначение съгласно Дял VIII стават приложими; член 40 остава специфичен за високорисковите системи с ИИ и не урежда стандартите за общото предназначение.
• Декември 2026 г.: Високорисковите системи с ИИ, изброени в Приложение III (различни от тези, обхванати от продуктовото законодателство по Приложение I), трябва да спазват изискванията на Дял III. Доставчиците следва да са идентифицирали и приложили съответните хармонизирани стандарти до тази дата; където са налични публикувани стандарти, оценките на съответствието, разчитащи на тях, трябва да бъдат завършени.
• Август 2027 г.: Високорисковите системи с ИИ, вградени в продукти, уредени от секторното законодателство по Приложение I (медицински изделия, машини, авиация и др.), трябва да спазват изискванията. Очаква се пълното хармонизирано стандартно покритие да бъде по-развито до тази дата, макар доставчиците да не следва да приемат пълно покритие и да трябва да планират за пропуски.

На доставчиците се препоръчва настоятелно да следят заявките за стандартизация на Комисията и работните програми на CEN-CENELEC JTC 21 (съвместния технически комитет за стандартизация в областта на ИИ), за да предвидят кои стандарти ще бъдат налични и кога, което позволява съответното планиране на графиците за съответствие.