Член 43 — Оценка на съответствието (Закон на ЕС за ИИ)

Член 43 от Регламент (ЕС) 2024/1689 — Оценка на съответствието. Официален текст, практическо тълкуване, ключови задължения и последици за съответствието.

Резюме на официалния текст

Член 43 от Регламент (ЕС) 2024/1689 установява процедурите за оценка на съответствието, които доставчиците на високорискови системи за ИИ трябва да следват, преди да пуснат системата на пазара или да я въведат в експлоатация в Европейския съюз.

За високорискови системи за ИИ, обхванати от хармонизационното законодателство на Съюза, изброено в Annex I — като продукти, подчинени на Директивата за машините, Регламента за медицинските изделия или правилата за безопасност на гражданската авиация — се прилага процедурата за оценка на съответствието, приложима по това секторно законодателство, допълнена от изискванията на Глава 2 на Дял III от Закона за ИИ. Когато секторното законодателство не изисква участие на трета страна, доставчикът трябва да следва процедурата за вътрешен контрол, установена в Annex VI от Закона за ИИ.

За високорискови системи за ИИ, изброени в Annex III, член 43 предвижда два пътя. По подразбиране доставчиците следват процедурата за вътрешен контрол от Annex VI. Въпреки това, когато системата включва биометрична идентификация на физически лица в реално време или дистанционно (различни от изключените по член 6(3)), или когато не съществува хармонизиран стандарт, обхващащ всички релевантни изисквания, и не е приета обща спецификация, оценката трябва да се извърши от нотифициран орган в съответствие с Annex VII.

Всяка високорискова система за ИИ, претърпяла съществена промяна след получаване на декларация за съответствие на ЕС или сертификат, трябва да бъде подложена на нова оценка на съответствието. Членът също потвърждава, че нотифицираните органи трябва да бъдат нотифицирани пред Комисията и органите на държавите членки, преди да извършват оценки, и че издадените сертификати остават в сила, освен ако не бъдат оттеглени.

Практическо значение

За повечето доставчици на високорискови системи за ИИ, изброени в Annex III — обхващащи области като подбор на персонал, образование, кредитен скоринг, управление на критична инфраструктура и правосъдие — член 43 означава, че вътрешната самооценка е маршрутът за съответствие по подразбиране. Системата за управление на качеството на доставчика, техническата документация и записите за съответствие трябва да са в ред, преди да се подпише декларацията за съответствие и да се постави маркировката CE. Не се изисква външен одитор, освен ако системата не попада в някоя от категориите, изискващи участие на нотифициран орган.

За доставчици, чиито системи попадат под секторното законодателство на Annex I — например система за ИИ, вградена в медицинско изделие клас IIb, или в авиационно оборудване с критично значение за безопасността — оценката на съответствието по Закона за ИИ се наслагва върху каквато и да е секторна процедура, вече приложима. На практика това означава ангажиране на нотифицирания орган, вече определен по Регламента за медицинските изделия или от съответния авиационен орган, като се гарантира, че органът е компетентен и за оценка на изискванията, специфични за ИИ.

Най-оперативно значимият тригер в член 43 е изискването за повторна оценка на съответствието след съществена промяна. Следователно екипите по разработка и продуктовите мениджъри трябва да включат формален контролен пункт за управление на промените в жизнения цикъл на разработката на ИИ: всяка актуализация, която изменя предназначението, характеристиките на производителността или рисковия профил на системата, трябва да бъде оценена спрямо определението за съществена промяна преди въвеждане в експлоатация.

Вносителите и дистрибуторите не носят лична отговорност за провеждането на оценката на съответствието, но трябва да проверят, че доставчикът е завършил процедурата и че документацията е налична. Операторите, действащи в регулирани сектори, следва да поискат потвърждение за приложимия маршрут за оценка като част от надлежната проверка на доставчика.

Ключови задължения

• Избор на правилния маршрут за оценка: Доставчиците трябва да определят дали тяхната високорискова система за ИИ попада под секторното законодателство на Annex I или под Annex III, и да приложат съответната процедура (вътрешен контрол по Annex VI или оценка от нотифициран орган по Annex VII, когато се изисква).
• Провеждане на оценка преди пускане на пазара: Оценката на съответствието трябва да бъде завършена и декларацията за съответствие на ЕС подписана, преди системата да бъде пусната на пазара на Съюза или въведена в експлоатация — а не впоследствие.
• Ангажиране на нотифициран орган, когато е необходимо: Системите, включващи биометрична идентификация в реално време от разстояние за целите на правоприлагането, или при отсъствие на приложим хармонизиран стандарт и при липса на обща спецификация, обхващаща всички изисквания, изискват оценка от трета страна от акредитиран нотифициран орган.
• Интегриране на оценката на ИИ със секторните процедури: За продукти по Annex I, оценката на съответствието, специфична за ИИ, трябва да бъде приведена в съответствие с — и където е възможно интегрирана в — съществуващата секторна оценка на съответствието, като се използва същият нотифициран орган, когато е компетентен.
• Повторна оценка след съществена промяна: Всяка съществена промяна на високорискова система за ИИ, вече преминала оценка на съответствието, задейства задължителна нова оценка, преди модифицираната система да може да бъде въведена в експлоатация или пусната на пазара.
• Поддържане на документация за надзор след пускане на пазара: Доставчиците трябва да съхраняват техническата документация, записите от системата за управление на качеството и декларацията за съответствие в продължение на десет години след пускането на системата на пазара и да ги предоставят на национално компетентните органи при поискване.

Връзка с други членове

Член 43 не може да се чете изолирано. Той е процедурният израз на съществените изисквания, установени в членове 8 до 15 (Глава 2 на Дял III), които определят техническите и управленски стандарти, на които трябва да отговарят високорисковите системи за ИИ — включително управление на риска, управление на данните, прозрачност, човешки надзор, точност и устойчивост на киберсигурността. Определението за това какво представлява високорискова система за ИИ — и следователно задейства член 43 — е установено в член 6, четен заедно с Annexes I и III.

Процедурата за вътрешен контрол, посочена в член 43, е подробно описана в Annex VI, а процедурата за нотифициран орган е установена в Annex VII. Член 44 урежда сертификатите, издавани от нотифицираните органи след оценка по Annex VII, включително условията за спиране и оттегляне. Член 45 урежда задълженията на нотифицирания орган по време на оценката. Член 47 обхваща декларацията за съответствие на ЕС, която доставчиците трябва да изготвят след завършване на процедурата. Член 48 свързва завършването на оценката на съответствието с правото за поставяне на маркировката CE по член 49.

За доставчици, чиито системи отговарят и на условията за модели с общо предназначение с висок системен риск, взаимодействието с задълженията по Дял VIII трябва да се разгледа наред с член 43.

График за съответствие

Регламент (ЕС) 2024/1689 влезе в сила на 1 август 2024 г., двадесет дни след публикуването му в Официален вестник на Европейския съюз на 12 юли 2024 г.

Член 43 не се прилага незабавно за всички високорискови системи за ИИ. Поетапният график за прилагане, установен с член 113, означава, че:

• 2 февруари 2025 г. — Забраните за практики с ИИ с неприемлив риск (Дял II) станаха приложими. Член 43 все още не беше в сила.
• 2 август 2025 г. — Задълженията за модели за ИИ с общо предназначение (Дял VIII) станаха приложими. Задълженията за оценка на съответствието по член 43 все още не бяха в сила за повечето високорискови системи.
• 2 август 2026 г. — Член 43 става напълно приложим за доставчици на високорискови системи за ИИ, изброени в Annex III (самостоятелни високорискови системи за ИИ в области като биометрия, заетост, образование и критична инфраструктура).
• 2 август 2027 г. — Крайният срок, до който задълженията, включително оценката на съответствието, се прилагат за високорискови системи за ИИ, вградени в продукти по Annex I, вече регулирани от хармонизационното законодателство на Съюза и пуснати на пазара преди август 2026 г.

Доставчиците следва да третират крайния срок от август 2026 г. като оперативната дата за съответствие за целите на вътрешното планиране, като гарантират, че системите за управление на качеството, техническата документация и процедурите за оценка са в действие значително преди тази дата.