Άρθρο 19 — Αυτόματα παραγόμενα αρχεία καταγραφής (EU AI Act)

Άρθρο 19 του Κανονισμού (ΕΕ) 2024/1689 — Αυτόματα παραγόμενα αρχεία καταγραφής. Επίσημο κείμενο, πρακτική ερμηνεία, βασικές υποχρεώσεις και επιπτώσεις συμμόρφωσης.

Σύνοψη Επίσημου Κειμένου

Το Άρθρο 19 του Κανονισμού (ΕΕ) 2024/1689 θεσπίζει υποχρέωση καταγραφής που λειτουργεί σε δύο επίπεδα: υποχρέωση σχεδιασμού στους παρόχους και επιχειρησιακή υποχρέωση στους φορείς εκμετάλλευσης.

Από πλευράς παρόχου, το Άρθρο 19(1) απαιτεί τα συστήματα ΤΝ υψηλού κινδύνου να είναι τεχνικά ικανά να παράγουν αυτόματα αρχεία καταγραφής της λειτουργίας τους καθ' όλη τη διάρκεια της ζωής τους. Οι πάροχοι πρέπει να ενσωματώνουν αυτή τη δυνατότητα στο σύστημα στον βαθμό που είναι τεχνικά εφικτό, διασφαλίζοντας ότι τα γεγονότα μπορούν να καταγράφονται χωρίς χειροκίνητη παρέμβαση. Αυτό συνδέεται άμεσα με το ευρύτερο πλαίσιο διαφάνειας και ιχνηλασιμότητας του Τίτλου III.

Από πλευράς φορέα εκμετάλλευσης, το Άρθρο 19(2) απαιτεί οι φορείς εκμετάλλευσης να διατηρούν τα αρχεία καταγραφής που παράγονται αυτόματα από τα συστήματα ΤΝ υψηλού κινδύνου που λειτουργούν. Η ελάχιστη περίοδος διατήρησης είναι έξι μήνες, εκτός εάν ενωσιακή νομοθεσία ή εφαρμοστέο κρατικό δίκαιο ορίζει μεγαλύτερη περίοδο. Η τομεακή ρύθμιση — για παράδειγμα στα χρηματοοικονομικά, την υγειονομική περίθαλψη ή τις κρίσιμες υποδομές — θα υπερισχύει συχνά αυτής της προεπιλεγμένης ελάχιστης τιμής.

Τα αρχεία καταγραφής που προβλέπει το Άρθρο 19 εξυπηρετούν πολλαπλούς σκοπούς συμμόρφωσης: υποστηρίζουν την παρακολούθηση μετά τη διάθεση στην αγορά βάσει του Άρθρου 72, διευκολύνουν την αναφορά συμβάντων βάσει του Άρθρου 73, και παρέχουν το αποδεικτικό υπόβαθρο που χρειάζονται οι εθνικές αρμόδιες αρχές κατά τη διενέργεια εποπτείας αγοράς βάσει του Κεφαλαίου VI. Το άρθρο δεν προσδιορίζει αυτό καθ' εαυτό την ακριβή τεχνική μορφή ή λεπτομέρεια των αρχείων, αφήνοντας αυτές τις λεπτομέρειες να αντιμετωπιστούν μέσω εναρμονισμένων προτύπων και των απαιτήσεων τεχνικής τεκμηρίωσης των Άρθρων 11 και Παραρτήματος IV.

Τι Σημαίνει Αυτό στην Πράξη

Για οργανισμούς που αναπτύσσουν συστήματα ΤΝ υψηλού κινδύνου, το Άρθρο 19 εισάγει συγκεκριμένη υποχρέωση διατήρησης δεδομένων που πρέπει να ενσωματωθεί στις επιχειρησιακές διαδικασίες από την πρώτη ημέρα ανάπτυξης.

Οι φορείς εκμετάλλευσης πρέπει πρώτα να επαληθεύσουν ότι το σύστημα ΤΝ που χρησιμοποιούν είναι τεχνικά ικανό να παράγει αρχεία καταγραφής αυτόματα. Εάν ένας πάροχος παραδώσει σύστημα που στερείται αυτής της δυνατότητας ενώ είναι τεχνικά εφικτή, ο πάροχος παραβαίνει τις δικές του υποχρεώσεις — αλλά ο φορέας εκμετάλλευσης εξακολουθεί να φέρει ευθύνη για τη διεξαγωγή επαρκούς δέουσας επιμέλειας πριν από την ανάπτυξη, όπως απαιτείται από το Άρθρο 26.

Στην πράξη, αυτό σημαίνει ότι οι φορείς εκμετάλλευσης θα πρέπει να ζητούν από τους παρόχους σαφή τεκμηρίωση που να επιβεβαιώνει ότι η λειτουργία καταγραφής υπάρχει, να περιγράφει ποια γεγονότα καταγράφονται, και να προσδιορίζει τη μορφή των αρχείων. Αυτή η τεκμηρίωση θα πρέπει να αποτελεί μέρος των συμβατικών ρυθμίσεων μεταξύ παρόχου και φορέα εκμετάλλευσης.

Μόλις τεθεί σε λειτουργία, οι φορείς εκμετάλλευσης πρέπει να εφαρμόζουν πολιτική διατήρησης αρχείων που να καλύπτει τουλάχιστον έξι μήνες. Για οργανισμούς που λειτουργούν σε ρυθμιζόμενους τομείς, αυτό το κατώτατο όριο επεκτείνεται σχεδόν πάντα: ένα νοσοκομείο που αναπτύσσει εργαλείο διαγνωστικής βοήθειας βασισμένο σε ΤΝ θα πρέπει να ευθυγραμμίζει τη διατήρηση αρχείων με τη νομοθεσία ιατρικών αρχείων· μια τράπεζα που αναπτύσσει σύστημα ΤΝ πιστολη πτικής βαθμολόγησης πρέπει να λαμβάνει υπόψη τους κανόνες τήρησης αρχείων χρηματοπιστωτικών υπηρεσιών, που συχνά απαιτούν διατήρηση για αρκετά χρόνια.

Συγκεκριμένα επιχειρησιακά βήματα περιλαμβάνουν: ορισμό ευθύνης για αποθήκευση αρχείων και ελέγχους πρόσβασης, διασφάλιση ότι τα αρχεία είναι προστατευμένα από παρεμβολές και αποθηκεύονται με ασφάλεια, θέσπιση διαδικασιών ανάκτησης αρχείων εγκαίρως ανταποκρινόμενων σε ρυθμιστικό αίτημα ή έρευνα συμβάντος, και τεκμηρίωση της πολιτικής διατήρησης εντός του ευρύτερου πλαισίου διακυβέρνησης ΤΝ του οργανισμού.

Τα αρχεία καταγραφής θα πρέπει να καταγράφουν επαρκείς πληροφορίες ώστε να ανακατασκευαστούν οι είσοδοι που δόθηκαν στο σύστημα, τα παραγόμενα αποτελέσματα, η έκδοση του μοντέλου που χρησιμοποιείται και ο χρόνος των λειτουργιών — επιτρέποντας ουσιαστική εκ των υστέρων επανεξέταση.

Βασικές Υποχρεώσεις

• Οι πάροχοι πρέπει να σχεδιάζουν και να κατασκευάζουν συστήματα ΤΝ υψηλού κινδύνου ώστε να είναι τεχνικά ικανά να παράγουν αυτόματα αρχεία καταγραφής της λειτουργίας τους, στον βαθμό που είναι τεχνικά εφικτό, για τη διάρκεια της επιχειρησιακής ζωής του συστήματος.
• Οι φορείς εκμετάλλευσης πρέπει να διατηρούν τα αυτόματα παραγόμενα αρχεία καταγραφής που παράγουν τα συστήματα ΤΝ υψηλού κινδύνου που λειτουργούν για ελάχιστο διάστημα έξι μηνών από την ημερομηνία δημιουργίας τους, ή για μεγαλύτερο διάστημα εάν απαιτείται από εφαρμοστέα ενωσιακή ή κρατική νομοθεσία.
• Οι φορείς εκμετάλλευσης πρέπει να διασφαλίζουν ότι τα τηρούμενα αρχεία καταγραφής είναι προσβάσιμα, ασφαλή και μπορούν να παρέχονται σε εθνικές αρμόδιες αρχές κατ' αίτηση κατά τη διάρκεια εποπτείας αγοράς ή ερευνών συμβάντων.
• Οι πάροχοι πρέπει να τεκμηριώνουν τη δυνατότητα καταγραφής του συστήματός τους — συμπεριλαμβανομένου τι καταγράφεται, της μορφής αρχείων καταγραφής και τυχόν γνωστών τεχνικών περιορισμών — ως μέρος της τεχνικής τεκμηρίωσης που απαιτείται βάσει του Άρθρου 11 και του Παραρτήματος IV.
• Όπου τομεακή ρύθμιση επιβάλλει αυστηρότερες ή μεγαλύτερες απαιτήσεις διατήρησης, οι φορείς εκμετάλλευσης πρέπει να εφαρμόζουν αυτές τις απαιτήσεις επιπλέον και αντί της βασικής τιμής των έξι μηνών.
• Οι φορείς εκμετάλλευσης πρέπει να διασφαλίζουν ότι η υποδομή καταγραφής διατηρείται καθ' όλη την περίοδο χρήσης του συστήματος ΤΝ υψηλού κινδύνου, και ότι η ακεραιότητα των αρχείων καταγραφής προστατεύεται από παρεμβολές ή ακούσια διαγραφή.

Σχέση με Άλλα Άρθρα

Το Άρθρο 19 εντάσσεται στο Κεφάλαιο 3 του Τίτλου III και πρέπει να διαβαστεί ως μέρος ενός ολοκληρωμένου πλαισίου ιχνηλασιμότητας και όχι ως μεμονωμένη υποχρέωση.

Συνδέεται άμεσα με το Άρθρο 12 (Τήρηση αρχείων), το οποίο απαιτεί τα συστήματα ΤΝ υψηλού κινδύνου να σχεδιάζονται ώστε να επιτρέπουν την τήρηση αρχείων της λειτουργίας τους, και με το Άρθρο 11 και το Παράρτημα IV, που προσδιορίζουν ποια τεχνική τεκμηρίωση πρέπει να τηρούν οι πάροχοι, συμπεριλαμβανομένων περιγραφών της δυνατότητας καταγραφής.

Το Άρθρο 19 τροφοδοτεί το Άρθρο 72 (Παρακολούθηση μετά τη διάθεση στην αγορά), το οποίο απαιτεί από τους παρόχους να παρακολουθούν ενεργά την απόδοση του συστήματος στο πεδίο — τα αρχεία καταγραφής αποτελούν την κύρια πηγή δεδομένων για αυτή την παρακολούθηση. Υποστηρίζει επίσης το Άρθρο 73 (Αναφορά σοβαρών συμβάντων), όπου τα αρχεία καταγραφής παρέχουν το αποδεικτικό υπόβαθρο για την κατανόηση του τι συνέβη κατά τη διάρκεια ενός συμβάντος.

Τα αρχεία καταγραφής που διατηρούνται βάσει του Άρθρου 19 είναι μεταξύ των εγγραφών που μπορούν να ζητήσουν εθνικές αρμόδιες αρχές κατά την άσκηση των αρμοδιοτήτων εποπτείας αγοράς τους βάσει των Άρθρων 74 και 75. Τέλος, η κατανομή ευθυνών μεταξύ παρόχων και φορέων εκμετάλλευσης που αποτυπώνεται στο Άρθρο 19 αντανακλά το ευρύτερο πλαίσιο που θεσπίζεται από το Άρθρο 25 (Ευθύνες κατά μήκος της αλυσίδας αξίας) και το Άρθρο 26 (Υποχρεώσεις φορέων εκμετάλλευσης).

Χρονοδιάγραμμα Συμμόρφωσης

Ο EU AI Act τέθηκε σε ισχύ την 1η Αυγούστου 2024, εκκινώντας ένα σταδιακό χρονοδιάγραμμα εφαρμογής.

Το Άρθρο 19 εντάσσεται στον Τίτλο III, Κεφάλαιο 3, που διέπει τις υποχρεώσεις για παρόχους και φορείς εκμετάλλευσης συστημάτων ΤΝ υψηλού κινδύνου. Η γενική ημερομηνία εφαρμογής για τις υποχρεώσεις συστημάτων ΤΝ υψηλού κινδύνου — συμπεριλαμβανομένου του Άρθρου 19 — είναι η 2η Αυγούστου 2026 για συστήματα που απαριθμούνται στο Παράρτημα III (εφαρμογές υψηλού κινδύνου σε τομείς όπως εκπαίδευση, απασχόληση, βασικές υπηρεσίες και επιβολή νόμου). Για συστήματα ΤΝ υψηλού κινδύνου που καλύπτονται από το Παράρτημα I (στοιχεία ασφάλειας προϊόντων που ρυθμίζονται από υπάρχουσα ενωσιακή εναρμονισμένη νομοθεσία), οι υποχρεώσεις εφαρμόζονται από τις 2 Αυγούστου 2027, ευθυγραμμισμένες με την ανανέωση ή πρώτη έκδοση σχετικών αξιολογήσεων συμμόρφωσης προϊόντων.

Προηγούμενα ορόσημα εφαρμογής περιλαμβάνουν την απαγόρευση πρακτικών ΤΝ απαράδεκτου κινδύνου (Άρθρο 5), που εφαρμόστηκε από τις 2 Φεβρουαρίου 2025, και τις υποχρεώσεις σχετικά με τα μοντέλα ΤΝ γενικού σκοπού (Τίτλος VII), που εφαρμόστηκαν από τις 2 Αυγούστου 2025.

Οι οργανισμοί που αναπτύσσουν συστήματα ΤΝ υψηλού κινδύνου θα πρέπει να αντιμετωπίζουν την ημερομηνία της 2ας Αυγούστου 2026 ως τη σκληρή προθεσμία συμμόρφωσης για τις υποχρεώσεις του Άρθρου 19, αλλά θα πρέπει να αρχίσουν να σχεδιάζουν πολιτικές διατήρησης αρχείων, να επανεξετάζουν συμβόλαια παρόχων και να ευθυγραμμίζονται με τομεακούς νόμους διατήρησης πολύ νωρίτερα — η πολυπλοκότητα της εταιρικής διακυβέρνησης δεδομένων καθιστά τη συμμόρφωση της τελευταίας στιγμής δομικά δύσκολη.