Член 99 — Санкции (Закон за ИИ на ЕС)

Член 99 от Регламент (ЕС) 2024/1689 — Санкции. Официален текст, практическа интерпретация, ключови задължения и последици за съответствие.

Резюме на официалния текст

Член 99 от Регламент (ЕС) 2024/1689 установява рамката на административните санкции за нарушения на Закона за ИИ на ЕС. Той определя тристепенна структура на глобите, калибрирана към тежестта на нарушението.

Най-сериозните нарушения — нарушения на забранените практики с ИИ, изброени в член 5 — привличат глоби до 35 милиона евро или 7% от общия световен годишен оборот, в зависимост от това, което е по-голямо. Нарушенията на другите задължения, наложени на доставчиците, ползвателите, вносителите и дистрибуторите — включително тези, свързани със системите с ИИ с висок риск, задълженията за прозрачност и моделите GPAI — подлежат на глоби до 15 милиона евро или 3% от световния годишен оборот. Предоставянето на неверни, непълни или подвеждащи сведения на нотифицирани органи или национални компетентни органи се санкционира с глоби до 7,5 милиона евро или 1% от световния годишен оборот.

За доставчиците на модели GPAI член 99(3) препраща към праговете за глоби, приложими към задълженията по Глава V (членове 53–56), включително задълженията за системен риск за доставчиците на модели GPAI с такъв риск. Когато нарушителят е МСП или стартъп, таванът като процент от оборота се прилага, когато дава по-нисък абсолютен размер от тавана на фиксираната сума. Националните компетентни органи са отговорни за налагането и изпълнението на глобите в рамките на своята юрисдикция, докато Службата по ИИ притежава компетентност за правоприлагане по отношение на доставчиците на модели GPAI на равнище на Съюза.

Какво означава това на практика

Член 99 е гръбнакът на правоприлагането по Закона за ИИ на ЕС. Неговата тристепенна структура пряко оформя начина, по който организациите трябва да приоритизират своите програми за съответствие.

За доставчиците на системи с ИИ с висок риск нивото от 3%/15 милиона евро се прилага за неизпълнения като неадекватни оценки на съответствието, липсваща техническа документация, несъответстващи системи за управление на качеството или неспазване на изискването за регистрация на системите в базата данни на ЕС съгласно член 71. Производител на медицински изделия, внедряващ диагностичен инструмент с помощта на ИИ, без да е завършил изискваната оценка на съответствието съгласно Annex VI, например е изложен на риск в това ниво.

За всеки оператор, внедряващ забранени приложения с ИИ — като биометрична идентификация в реално време на обществени места извън тесните изключения, социално оценяване от публични органи или техники за подсъзнателно манипулиране — се прилага нивото от 7%/35 милиона евро. Това са твърдите забрани на Закона, а нивото на санкциите сигнализира, че никаква бизнес обосновка не може да компенсира нарушение.

За разработчиците и ползвателите на модели GPAI глобите от нивото от 3% се свързват с неизпълнения около техническата документация, прозрачността относно авторското право и — за модели с системен риск — задълженията за докладване на инциденти и тестване при противоборство.

За всички оператори дезинформирането на регулаторите по време на разследвания за пазарен надзор задейства нивото от 1%. Това е оперативно значимо: означава, че вътрешното управление на документи, одитните пътеки и протоколите за сътрудничество с властите трябва да бъдат стабилни, преди регулаторите да се появят.

Факторите за пропорционалност — включително продължителността на нарушението, степента на сътрудничество и предишните нарушения — насочват властите при определяне на действителната глоба в рамките на приложимия таван.

Ключови задължения

• Избягване на забранени практики (член 5): Всяко внедряване или пускане на пазара на системи с ИИ, ангажиращи се в практики, изброени в член 5 — включително дистанционна биометрична идентификация в реално време на публично достъпни места (извън изброените изключения), социално оценяване, подсъзнателно манипулиране и експлоатация на уязвимости — излага оператора на най-високото ниво на санкции.
• Изпълнение на задълженията на доставчиците за системи с ИИ с висок риск: Доставчиците трябва да поддържат оценки на съответствието, техническа документация, системи за управление на качеството и мониторинг след пускането на пазара. Неизпълненията в тези области подлежат на глоба от средното ниво.
• Спазване на задълженията за модели GPAI (Глава V): Доставчиците на модели с общо предназначение трябва да спазват задълженията за прозрачност, документация и авторско право; доставчиците на модели GPAI с системен риск са изправени пред допълнителни изисквания около докладването на инциденти, оценките на модели и мерките за киберсигурност.
• Предоставяне на точна информация на властите: Всички оператори трябва да сътрудничат на националните органи за пазарен надзор и на Службата по ИИ, и не трябва да предоставят неверни или подвеждащи сведения по време на разследвания или процедури за съответствие.
• Осигуряване на пропорционално съответствие за МСП: Въпреки че МСП се ползват от разглеждане на пропорционалността при определяне на глобите, те не са освободени от съществени задължения — те все пак трябва да спазват приложимите изисквания и подлежат на правоприлагане.
• Поддържане на вътрешни одитни пътеки: Тъй като глобите могат да бъдат модулирани от степента на сътрудничество и предприетите коригиращи действия, организациите следва да поддържат доказателства за стъпките за съответствие, процедурите за реакция при инциденти и добросъвестното ангажиране с регулаторите.

Връзка с други членове

Член 99 не може да се чете изолирано — той е изразът на правоприлагане на задълженията, определени в целия Регламент.

Най-преките връзки са с член 5 (забранени практики, задействащ най-високото ниво на санкции) и членове 8–15 (изисквания за системи с ИИ с висок риск, основният източник на нарушения от средното ниво). Членове 53–56 (задължения GPAI) са в основата на структурата на санкциите за доставчиците на фундаментални модели. Член 71 (база данни на ЕС за системи с ИИ с висок риск) е задължение за регистрация, чието нарушение попада в средното ниво.

Член 100 е паралелната разпоредба за институциите и органите на Съюза, прилагаща паралелен режим на санкции, администриран от Европейския надзорен орган по защита на данните, а не от националните органи.

Член 98 (санкции за неспазване от страна на нотифицирани органи) и член 101 (делегиране на правомощия относно глобите за доставчиците на GPAI) стоят непосредствено до него в главата за санкциите и следва да се четат заедно с член 99 за пълна картина на архитектурата на правоприлагане на Закона. Членове 74–79 (пазарен надзор и правоприлагане) определят процедурната рамка, в рамките на която се налагат глобите по член 99.

График за съответствие

Законът за ИИ на ЕС влезе в сила на 2 август 2024 г. (двадесет дни след публикуването в Официален вестник). Самият член 99 стана приложим на 2 август 2025 г., след дванадесетмесечния преходен период по член 113(2).

Поетапният график за прилагане е критичен контекст за разбирането на това кога санкционната отговорност се прилага за различните задължения:

• 2 февруари 2025 г. — Разпоредбите за забрани (член 5) станаха приложими, което означава, че нарушенията на забранените практики с ИИ подлежат на глобата от 7%/35 милиона евро от тази дата.
• 2 август 2025 г. — Обща дата на приложимост за по-голямата част от Закона, включително самия член 99, задълженията за модели GPAI (Глава V) и рамката за управление. Нивата на глобите от 3%/15 милиона евро и 1%/7,5 милиона евро станаха оперативни от тази дата.
• 2 декември 2026 г. — Системите с ИИ с висок риск, обхванати от Annex I (съществуващото законодателство на Съюза за хармонизиране), трябва да спазват пълните изисквания за висок риск, правейки задълженията на доставчиците по членове 8–15 изпълними със санкционна отговорност.
• 2 август 2027 г. — Системите с ИИ с висок риск, изброени в Annex III, които вече са били на пазара преди 2 август 2024 г., трябва да са в съответствие, завършвайки поетапното въвеждане за съществуващите внедрявания с висок риск.

Организациите следва да съпоставят своето портфолио от ИИ с тези дати, за да определят настоящата и бъдещата санкционна отговорност съгласно член 99.