Article 72 — Monitorování po uvedení na trh poskytovateli a plán monitorování po uvedení na trh pro vysoce rizikové systémy AI (Akt EU o AI)

Article 72 Nařízení (EU) 2024/1689 — Monitorování po uvedení na trh poskytovateli a plán monitorování po uvedení na trh pro vysoce rizikové systémy AI. Oficiální text, praktický výklad, klíčové povinnosti a důsledky pro dodržování předpisů.

Shrnutí oficiálního znění

Article 72 Nařízení (EU) 2024/1689 zavádí povinné monitorování po uvedení na trh pro poskytovatele vysoce rizikových systémů AI. Poskytovatelé jsou povinni proaktivně shromažďovat, dokumentovat a analyzovat relevantní data o výkonu svých vysoce rizikových systémů AI po celou dobu jejich provozní životnosti poté, co byly uvedeny na trh nebo do provozu.

Článek nařizuje poskytovatelům vypracovat a provádět plán monitorování po uvedení na trh, který musí být přiměřený povaze vysoce rizikové technologie AI a s ní spojeným rizikům. Tento plán musí být součástí technické dokumentace vypracované podle Article 11 a stanovené v souladu s Annex IV. Musí definovat metody a postupy pro systematické shromažďování dat o výkonu, včetně dat získaných od provozovatelů, pokud je to relevantní.

Pokud monitorování odhalí, že vysoce rizikový systém AI již nesplňuje požadavky stanovené v Chapter III, Section 2, musí poskytovatel bez prodlení přijmout odpovídající nápravná opatření. To zahrnuje aktualizaci systému, jeho stažení z trhu nebo odvolání, je-li to nutné.

Article 72 rovněž uznává roli provozovatelů: poskytovatelé musí instruovat provozovatele, aby dodávali relevantní provozní data, která nelze přímo shromažďovat. Povinnost monitorování je průběžná, nikoli jednorázová, což odráží dynamickou povahu výkonu systémů AI a vyvíjející se kontexty, ve kterých jsou tyto systémy nasazovány.

Co to znamená v praxi

Pro organizace, které vyvíjejí nebo dodávají vysoce rizikové systémy AI, zavádí Article 72 strukturovanou průběžnou povinnost dodržování předpisů, která sahá daleko za okamžik uvedení na trh. Poskytovatelé nemohou považovat posouzení shody za jednorázové cvičení. Místo toho musí navrhnout a zprovoznit monitorovací infrastrukturu před uvedením svého systému do provozu.

V praktickém smyslu to znamená předem definovat, jaká data budou shromažďována z nasazených instancí systému, jak budou tato data analyzována a jaké prahové hodnoty výkonu spustí přezkum nebo nápravné opatření. Například poskytovatel diagnostického nástroje pro zdravotnické prostředky s podporou AI musí specifikovat, které ukazatele — jako míra falešně negativních výsledků, rozdíly ve výkonu podle demografických skupin nebo metriky posunu modelu — budou sledovány, jak často a kým.

Poskytovatelé systémů AI zabudovaných do produktů třetích stran čelí dalšímu problému: jsou závislí na provozovatelích, kteří přenášejí provozní data, k nimž poskytovatel nemá přímý přístup. To vyžaduje smluvní ujednání s provozovateli, která jasně definují povinnosti sdílení dat, jak předpokládá kombinované čtení Article 72 a Article 25.

Organizace se stávajícími systémy řízení kvality (QMS) — například ty, které již splňují ISO 13485 pro zdravotnické prostředky nebo ISO 9001 obecněji — naleznou přirozenou shodu s požadavky Article 72. Plán monitorování po uvedení na trh by měl být integrován do širšího QMS zdokumentovaného podle Article 17, spíše než být považován za samostatný dokument.

Menší poskytovatelé a startupy budou muset tuto funkci odpovídajícím způsobem financovat: Article 72 neposkytuje výjimku de minimis na základě velikosti společnosti, i když přiměřenost plánu k úrovni rizika systému je výslovně uznána.

Klíčové povinnosti

• Vypracovat plán monitorování po uvedení na trh, který je přiměřený úrovni rizika a povaze vysoce rizikového systému AI, zdokumentovaný jako součást technické dokumentace podle Article 11 a Annex IV.
• Aktivně shromažďovat a analyzovat data po uvedení na trh o výkonu systému po celou dobu provozní životnosti, včetně dat od provozovatelů tam, kde přímý sběr není možný.
• Předem definovat ukazatele výkonu a prahové hodnoty pro nápravná opatření, specifikovat, jaká úroveň degradace nebo nesouladu spouští formální přezkum nebo nápravnou reakci.
• Bez prodlení přijmout nápravná opatření, když monitorování odhalí, že systém již nesplňuje vysoce rizikové požadavky Chapter III, Section 2, což může zahrnovat aktualizaci, odvolání nebo stažení systému.
• Integrovat výsledky monitorování do systému řízení kvality zavedeného podle Article 17, čímž se zajistí, že zjištění zpětně ovlivní zlepšování produktu, aktualizace dokumentace a procesy opětovného posouzení.
• Instruovat provozovatele, aby poskytovali operačně relevantní data a spolupracovali na procesu monitorování po uvedení na trh, podpořeno vhodným smluvním nebo technickým uspořádáním.

Vztah k ostatním článkům

Article 72 se nachází ve středu skupiny vzájemně propojených povinností. Přímo napájí Article 73, který upravuje hlášení závažných incidentů a poruch vnitrostátním příslušným orgánům: monitorovací systém zavedený podle Article 72 je detekčním mechanismem pro události, které Article 73 vyžaduje hlásit.

Article 17 (systémy řízení kvality) poskytuje organizační rámec, do nějž musí být plán monitorování po uvedení na trh zabudován. Article 11 a Annex IV definují požadavky na technickou dokumentaci, jejíž součástí musí plán monitorování být.

Article 25 rozděluje odpovědnosti mezi poskytovatele a provozovatele a je zásadní pro pochopení toho, jak mohou poskytovatelé získávat provozní data od koncových uživatelů. Article 26 to doplňuje podrobným popisem povinností provozovatelů, včetně povinnosti monitorovat používání systému a hlásit anomálie poskytovateli.

Pro vysoce rizikové systémy AI, které jsou bezpečnostními komponenty produktů zahrnutých v harmonizačních předpisech Unie uvedených v Annex I, musí být Article 72 vykládán spolu s povinnostmi dohledu po uvedení na trh v příslušném odvětvovém nařízení, jako je Nařízení o zdravotnických prostředcích (EU) 2017/745 nebo Nařízení o strojních zařízeních (EU) 2023/1230, aby bylo zajištěno koherentní a neduplicitní dodržování předpisů.

Časová osa dodržování předpisů

Akt EU o AI vstoupil v platnost dne 1. srpna 2024 po zveřejnění v Úředním věstníku Evropské unie. Nařízení se uplatňuje postupně v různých kategoriích povinností.

Article 72, jako součást Title IX upravujícího monitorování po uvedení na trh a dohled nad trhem, se vztahuje na poskytovatele vysoce rizikových systémů AI uvedených v Annex III (obecné vysoce rizikové kategorie, jako je biometrie, zaměstnanost, vzdělávání a přístup k základním službám) od 2. srpna 2027. Vysoce rizikové systémy AI zahrnuté v Annex I — ty, které jsou bezpečnostními komponenty produktů již regulovaných podle stávajících harmonizačních předpisů Unie — podléhají také plným povinnostem, včetně Article 72, od 2. srpna 2027 ve většině případů, v souladu s obecným datem použití pro vysoké riziko.

Poskytovatelé by měli vzít na vědomí, že dřívější termíny — únor 2025 pro zakázané praktiky AI a srpen 2025 pro povinnosti modelů AI pro obecné účely — přímo neupravují Article 72, ale základy monitorovací infrastruktury by měly být položeny výrazně před termínem 2027. Organizacím, které dnes vyvíjejí vysoce rizikové systémy AI, se doporučuje začít navrhovat své plány monitorování po uvedení na trh jako součást procesu přípravy na posouzení shody, spíše než je zpětně doplňovat v okamžiku použití.