Член 60 — Тестване на системи за ИИ с висок риск в реални условия извън регулаторните пясъчници за ИИ (Закон за ИИ на ЕС)

Член 60 от Регламент (ЕС) 2024/1689 — Тестване на системи за ИИ с висок риск в реални условия извън регулаторните пясъчници за ИИ. Официален текст, практическа интерпретация, основни задължения и последици за съответствието.

Резюме на официалния текст

Член 60 от Регламент (ЕС) 2024/1689 установява условията, при които доставчиците и бъдещите доставчици на системи за ИИ с висок риск могат да провеждат тестване в реални условия извън структурираната рамка на регулаторните пясъчници за ИИ, създадени съгласно членове 57 до 59. Тази разпоредба признава, че смисленото оценяване на системите за ИИ с висок риск често изисква излагане на реални оперативни среди, като същевременно се поддържат защитни мерки, съразмерни с рисковете.

Членът изисква тестването извън пясъчниците да се провежда само когато е изпълнен съвкупност от кумулативни условия. Доставчикът или бъдещият доставчик трябва да подаде уведомление до компетентния национален орган най-малко 30 дни преди началото на тестването. Уведомлението трябва да включва план за тестване, описващ обхвата, продължителността, географската зона, категориите засегнати лица и въведените мерки за намаляване на риска.

Информираното съгласие на субектите е централно изискване. Когато системата за ИИ взаимодейства с или взема решения, засягащи идентифицируеми физически лица, тези лица трябва да бъдат информирани за участието им и трябва да дадат изрично съгласие, освен ако приложимото секторно законодателство предвижда друго. Тестването не трябва да надхвърля строго необходимото за постигане на заявените цели и не трябва да излага субектите на неприемлив риск или вреда.

Членът допълнително изисква тестването да се провежда под надзора на доставчика, резултатите да се записват, а сериозните инциденти, настъпили по време на тестването, да се докладват на компетентния орган. Държавите членки запазват правото да разрешат или откажат дейности по тестване на тяхна територия и могат да налагат допълнителни условия.

Какво означава това на практика

Член 60 е от значение предимно за организациите, разработващи или внедряващи системи за ИИ с висок риск — съгласно определението по член 6 и Annex III от регламента — които трябва да валидират характеристиките на производителността или безопасността на системата в реални оперативни условия преди или паралелно с официалната оценка на съответствието. Това включва, например, болница, изпитваща диагностичен инструмент с помощта на ИИ в реална клинична среда, или финансова институция, тестваща модел за кредитоспособност с реални кандидати извън контролиран пясъчник.

На практика спазването означава установяване на вътрешен процес за управление на тестове в реални условия, отразяващ задълженията на члена. Преди началото на всеки тест организацията трябва да изготви структуриран план за тестване, да провери, че всички механизми за съгласие са налице, и да подаде изисканото уведомление до компетентния орган най-малко 30 дни предварително — оставяйки достатъчно време за органа да повдигне възражения или да наложи условия.

По време на теста организацията трябва да поддържа активен човешки надзор, да документира всички съществени инциденти и да е готова незабавно да преустанови тестването, ако рисковете надхвърлят очакваните нива. Данните, събрани по време на тестването, остават предмет на приложимите задължения по GDPR, а обработването на специални категории данни изисква специфична правна основа.

Организациите следва също да гарантират, че договорите им с разпространителите или операторите на трети страни за тестване ясно разпределят отговорността за спазване на условията по член 60, тъй като задължението лежи предимно върху доставчика или бъдещия доставчик, независимо кой физически провежда теста. Вътрешните рамки за управление — включително определено отговорно лице и документиран регистър на рисковете за теста — са силно препоръчителни.

Основни задължения

• Предварително уведомление: Представете план за тестване на съответния национален компетентен орган най-малко 30 дни преди началото на тестването в реални условия, обхващащ обхвата, продължителността, местоположението, категориите субекти и мерките за намаляване на риска.
• Информирано съгласие: Получете изрично информирано съгласие от всички физически лица, участващи или засегнати от тестването, и ги информирайте за безусловното им право да се оттеглят по всяко време без неблагоприятни последици.
• Пропорционалност на риска: Гарантирайте, че дейностите по тестване не надхвърлят строго необходимото за заявената цел и не излагат субектите или трети страни на рискове, надхвърлящи очакваните ползи.
• Надзор и документация: Поддържайте активен надзор на теста, водете записи на плана за тестване, резултатите и всички отклонения или инциденти, настъпили по времето на тестването.
• Докладване на инциденти: Докладвайте без ненужно забавяне всеки сериозен инцидент, настъпил по време на тестването в реални условия, на компетентния орган и предприемайте незабавни коригиращи действия за намаляване на вредата.
• Регистрация в базата данни на ЕС: Регистрирайте дейността по тестване в реални условия в базата данни на ЕС за системи за ИИ с висок риск, създадена съгласно член 71, преди началото на тестването.

Връзка с други членове

Член 60 е част от Дял VI (Мерки в подкрепа на иновациите) и трябва да се чете заедно с членове 57 до 59, които установяват основната рамка за регулаторните пясъчници за ИИ. Член 60 функционира като допълващ път за тестване, което не се провежда в официален пясъчник, но не замества и не намалява съществените задължения за безопасност и прозрачност, приложими за системите за ИИ с висок риск съгласно Дял III (по-специално членове 8 до 15 относно задълженията на доставчиците, управлението на риска и техническата документация).

Изискванията за съгласие и защита на данните по член 60 се пресичат пряко с Регламент (ЕС) 2016/679 (GDPR), по-специално членове 6, 9 и 22 относно законното обработване и автоматизираното вземане на решения. Член 60 се свързва и с член 71 за базата данни на ЕС, който урежда задълженията за регистрация, и с член 73 за пазарния надзор, тъй като компетентните органи могат да инспектират тестовете в реални условия. Доставчиците следва допълнително да вземат предвид член 26 относно задълженията на разпространителите, тъй като тестването в реални условия често включва инфраструктура и данни на разпространителите.

График за съответствие

Законът за ИИ на ЕС влезе в сила на 1 август 2024 г., двадесет дни след публикуването му в Официален вестник на Европейския съюз. Неговите разпоредби се прилагат на етапи:

• 2 февруари 2025 г. — Забраните за практики с ИИ с неприемлив риск (член 5) станаха приложими.
• 2 август 2025 г. — Разпоредбите за модели с общо предназначение (Дял III, Глава 3, членове 51 до 56) и задълженията за управление (Дял VI и VIII отчасти) станаха приложими. Рамката за регулаторен пясъчник съгласно членове 57 до 59 също стана приложима от тази дата.
• 2 август 2026 г. — Общата дата на прилагане за повечето останали разпоредби, включително член 60. От тази дата доставчиците и бъдещите доставчици на системи за ИИ с висок риск, желаещи да провеждат тестване в реални условия извън пясъчниците, трябва да спазват изцяло задълженията за уведомление, съгласие, документация и докладване на инциденти, установени от настоящия член.
• 2 август 2027 г. — Разширен краен срок за системи за ИИ с висок риск, попадащи под Annex III, точка 2 (системи за ИИ в съществуващи продукти, вече предмет на хармонизационното законодателство на Съюза, изброено в Annex I), предоставящ на засегнатите сектори допълнително време за привеждане в съответствие с изискванията за оценка на съответствието и оперативните изисквания.

Организациите, планиращи програми за тестване в реални условия, следва да започнат проектирането на рамки за управление на тестове, съответстващи на изискванията, и процедури за уведомление значително преди датата 2 август 2026 г., за да избегнат закъснения, когато задължението стане изпълнимо.