Λίστα ελέγχου συμμόρφωσης με τον Κανονισμό ΤΝ της ΕΕ: οδηγός FAQ βήμα προς βήμα

Λίστα ελέγχου συμμόρφωσης με τον Κανονισμό ΤΝ της ΕΕ σε μορφή ερωτήσεων και απαντήσεων: πεδίο εφαρμογής, προθεσμίες που απομένουν, ταξινόμηση κινδύνου, απαγορευμένες πρακτικές, GPAI, συμμόρφωση υψηλού κινδύνου και κατανομή μεταξύ παρόχου και αναπτύσσοντος.

Ο οδηγός αυτός απαντά στα ερωτήματα συμμόρφωσης με τη σειρά που πράγματι προκύπτουν: με φτάνει ο κανονισμός, τι με δεσμεύει ήδη σήμερα, ποια από τα συστήματά μου είναι υψηλού κινδύνου, τι πρέπει να παραγάγω και πόσο κοστίζει το λάθος. Κάθε απάντηση αγκυρώνεται σε νομική βάση που μπορεί να παρατεθεί σε εσωτερικό σημείωμα.

Ποιος πρέπει να διατρέξει αυτή τη λίστα;

Κάθε οργανισμός που αναπτύσσει, χρησιμοποιεί, εισάγει ή διανέμει σύστημα ΤΝ που χρησιμοποιείται στην ΕΕ — ανεξαρτήτως έδρας. Το άρθρο 2 φτάνει παρόχους και αναπτύσσοντες τρίτων χωρών μόλις το παραγόμενο αποτέλεσμα χρησιμοποιηθεί στην Ένωση: ένας αμερικανικός πάροχος SaaS με ευρωπαίους πελάτες εμπίπτει με τους ίδιους όρους όπως μια ελληνική τράπεζα.

Τέσσερα ερωτήματα καθορίζουν το σύνολο των υποχρεώσεών σας, και χρειάζονται και τα τέσσερα για να αποκτήσει νόημα η λίστα:

Η τελευταία γραμμή είναι εκείνη που διαφεύγει από τις περισσότερες απογραφές. Οι υποχρεώσεις διαφάνειας πλήττουν συστήματα που δεν είναι καθόλου υψηλού κινδύνου: ένα chatbot εξυπηρέτησης πελατών φέρει σήμερα υποχρέωση χωρίς να φέρει τίποτε από το βάρος συμμόρφωσης στο οποίο αφιερώνεται το υπόλοιπο της λίστας.

Τι σας δεσμεύει ήδη και τι απομένει;

Πέντε ημερομηνίες εφαρμογής έχουν παρέλθει· ο κύριος όγκος της εργασίας συμμόρφωσης πέφτει τον Δεκέμβριο του 2027. Οι παρακάτω ημερομηνίες ακολουθούν το σύνολο δεδομένων προθεσμιών που δημοσιεύει ο ιστότοπος και το οποίο αποτυπώνει τις αναβολές του κανονισμού (ΕΕ) 2026/1744.

Το Digital Omnibus μετακίνησε τέσσερις από αυτές τις ημερομηνίες και ξαναέγραψε το άρθρο 4· το πλήρες μητρώο πριν/μετά δημοσιεύεται στο /changes/. Δεν κατήργησε καμία υποχρέωση και δεν δημιούργησε εξαιρέσεις, οπότε ένα πρόγραμμα χτισμένο στις αρχικές ημερομηνίες παραμένει το σωστό πρόγραμμα — έχει απλώς μεγαλύτερη φόρα.

Βήμα 1 — Είναι πλήρης η απογραφή ΤΝ;

Χωρίς πλήρη απογραφή τίποτε από όσα ακολουθούν δεν είναι υπερασπίσιμο. Δημιουργήστε μητρώο όλων των συστημάτων ΤΝ που αγγίζει ο οργανισμός:

• Συστήματα που αναπτύσσετε και πουλάτε ή αδειοδοτείτε (είστε ο πάροχος)
• Συστήματα που αγοράζετε ή αδειοδοτείτε και χρησιμοποιείτε εσωτερικά (είστε ο αναπτύσσων)
• Συστήματα ενσωματωμένα σε προϊόντα που κατασκευάζετε ή εισάγετε
• Συστήματα στα οποία έχετε πρόσβαση μέσω API τρίτων (ΤΝ στο νέφος, API θεμελιωδών μοντέλων)

Για καθένα: ονομασία, λειτουργία, δεδομένα εισόδου και εξόδου, πλαίσιο χρήσης, επίπτωση απόφασης και θιγόμενα πρόσωπα. Επισημάνετε τα συστήματα με αβέβαιη ταξινόμηση — αυτά απαιτούν νομική κρίση, όχι μηχανική απάντηση.

Δύο κατηγορίες υποκαταμετρώνται συστηματικά: οι λειτουργίες ΤΝ που περιλαμβάνονται σε εργαλεία SaaS τα οποία η εταιρεία ήδη πληρώνει, και τα μοντέλα που έχτισαν ομάδες εκτός της διαδικασίας προμηθειών. Ζητήστε από το οικονομικό τμήμα τον κατάλογο προμηθευτών και από τη μηχανική το μητρώο μοντέλων· η ένωση των δύο πλησιάζει περισσότερο την αλήθεια από την καθεμία χωριστά.

Βήμα 2 — Λειτουργείτε ήδη κάτι παράνομο;

Περάστε το άρθρο 5 πριν από κάθε ταξινόμηση κινδύνου, γιατί ένα απαγορευμένο σύστημα δεν επιδιορθώνεται προς συμμόρφωση. Αντιπαραβάλετε κάθε σύστημα με τον κατάλογο:

• Υποσυνείδητες, χειραγωγικές ή παραπλανητικές τεχνικές που στρεβλώνουν ουσιωδώς τη συμπεριφορά
• Εκμετάλλευση ευπαθειών λόγω ηλικίας, αναπηρίας ή κοινωνικής/οικονομικής κατάστασης
• Κοινωνική βαθμολόγηση που οδηγεί σε δυσμενή μεταχείριση σε άσχετα πλαίσια
• Μη στοχευμένη συλλογή εικόνων προσώπου για δημιουργία βάσεων αναγνώρισης
• Συναγωγή συναισθημάτων στον χώρο εργασίας ή στην εκπαίδευση
• Βιομετρική κατηγοριοποίηση για συναγωγή ευαίσθητων χαρακτηριστικών
• Εξ αποστάσεως βιομετρική ταυτοποίηση σε πραγματικό χρόνο σε δημόσιους χώρους για επιβολή του νόμου

→ Απόσυρση ή εκ βάθρων επανασχεδιασμός. Οι απαγορεύσεις αυτές ισχύουν από τις 2 Φεβρουαρίου 2025 και εμπίπτουν στο κλιμάκιο των 35 εκατ. ευρώ / 7 %. Ο οδηγός απαγορευμένων πρακτικών πραγματεύεται τις στενές εξαιρέσεις καθεμιάς.

Από τις 2 Δεκεμβρίου 2026 προστίθεται απαγόρευση για συστήματα που παράγουν υλικό σεξουαλικής κακοποίησης παιδιών ή μη συναινετικές προσωπικές εικόνες.

Βήμα 3 — Είστε πάροχος μοντέλου γενικού σκοπού;

Αν ο οργανισμός αναπτύσσει και δημοσιεύει θεμελιώδες μοντέλο, οι υποχρεώσεις του κεφαλαίου V ισχύουν από τις 2 Αυγούστου 2025. Τρία κριτήρια:

• Εκπαιδεύεται το μοντέλο με αυτοεποπτεία σε σημαντική κλίμακα;
• Μπορεί να εκτελεί επαρκώς ευρύ φάσμα διακριτών εργασιών;
• Διατίθεται σε άλλους αντί να χρησιμοποιείται αμιγώς εσωτερικά;

Αν ναι: τεκμηρίωση μοντέλου για το Γραφείο ΤΝ και για τους κατάντη παρόχους, πολιτική πνευματικών δικαιωμάτων και επαρκώς λεπτομερής δημόσια περίληψη του περιεχομένου εκπαίδευσης. Άνω των 10²⁵ FLOPs υπολογιστικής ισχύος εκπαίδευσης τεκμαίρεται συστημικός κίνδυνος, γεγονός που προσθέτει αξιολόγηση μοντέλου, ανταγωνιστικές δοκιμές, αναφορά περιστατικών και κυβερνοασφάλεια. Βλ. οδηγό υποχρεώσεων GPAI.

Από τις 2 Αυγούστου 2026 το κεφάλαιο αυτό εφαρμόζεται απευθείας από την Επιτροπή — όχι από τις εθνικές αρχές — με πρόστιμα έως 15 εκατ. ευρώ ή 3 %.

Βήμα 4 — Ποια από τα συστήματά σας είναι υψηλού κινδύνου;

Ταξινομήστε έναντι των παραρτημάτων III και I, εφαρμόστε το φίλτρο του άρθρου 6 παρ. 3 και καταγράψτε το αποτέλεσμα. Το παράρτημα III απαριθμεί οκτώ αυτοτελείς κατηγορίες: βιομετρία, κρίσιμες υποδομές, εκπαίδευση και επαγγελματική κατάρτιση, απασχόληση και διαχείριση εργαζομένων, πρόσβαση σε βασικές ιδιωτικές και δημόσιες υπηρεσίες, επιβολή του νόμου, μετανάστευση και συνοριακοί έλεγχοι, και απονομή δικαιοσύνης. Το παράρτημα I καλύπτει την ΤΝ που λειτουργεί ως κατασκευαστικό στοιχείο ασφάλειας προϊόντος το οποίο ήδη ρυθμίζει το δίκαιο της ΕΕ για την ασφάλεια προϊόντων.

Η εξαίρεση του άρθρου 6 παρ. 3 απελευθερώνει σύστημα που μεν εμπίπτει σε κατηγορία του παραρτήματος III αλλά δεν ενέχει σημαντικό κίνδυνο: στενό διαδικαστικό καθήκον, βελτίωση του αποτελέσματος ολοκληρωμένης ανθρώπινης δραστηριότητας, εντοπισμός προτύπων απόφασης χωρίς υποκατάσταση της ανθρώπινης κρίσης, ή αμιγώς προπαρασκευαστική εργασία. Δεν ισχύει ποτέ σε κατάρτιση προφίλ φυσικών προσώπων. Η αξιολόγηση τεκμηριώνεται πριν από τη διάθεση στην αγορά και η υποχρέωση καταχώρισης παραμένει.

Οι αποφάσεις ταξινόμησης είναι το πιο ελεγχόμενο τεκμήριο αυτής της λίστας. Καταγράψτε την εξεταζόμενη κατηγορία, τη συλλογιστική, τα αποδεικτικά στοιχεία, την ημερομηνία και το υπεύθυνο πρόσωπο.

Βήμα 5 — Είστε πάροχος ή αναπτύσσων;

Ο ρόλος καθορίζει περίπου το 80 % του φόρτου και δεν τον κλειδώνει η σύμβαση προμήθειας. Το άρθρο 25 σας καθιστά πάροχο συστήματος υψηλού κινδύνου που δεν κατασκευάσατε, αν θέσετε το όνομα ή το σήμα σας, το τροποποιήσετε ουσιωδώς ή το αναπροσανατολίσετε ώστε να γίνει υψηλού κινδύνου. Η προσαρμογή του μοντέλου ενός προμηθευτή σε ίδια δεδομένα και η διάθεσή του με ίδιο σήμα είναι ο συνήθης τρόπος να κληρονομήσετε υποχρεώσεις παρόχου που ουδέποτε προϋπολογίσατε.

Ο οδηγός πάροχος έναντι αναπτύσσοντος εξετάζει τις οριακές περιπτώσεις, περιλαμβανομένων εισαγωγέων και διανομέων, που φέρουν υποχρεώσεις επαλήθευσης και όχι συμμόρφωσης.

Βήματα 6 έως 10 — Τι παράγει το πρόγραμμα υψηλού κινδύνου;

Έξι τεκμήρια, με σειρά εξάρτησης. Καθένα τροφοδοτεί το επόμενο, γι' αυτό και ένα πρόγραμμα που ξεκινά από την τεκμηρίωση και επιστρέφει προς τη διακυβέρνηση κολλάει.

1. Σύστημα διαχείρισης ποιότητας (άρθρο 17) — πολιτικές, αρμοδιότητες, διαχείριση αλλαγών, διαχείριση δεδομένων, παρακολούθηση μετά τη διάθεση και διαδικασίες περιστατικών. Αυτό ζητά πρώτο μια αρχή εποπτείας της αγοράς.
2. Αρχεία διαχείρισης κινδύνου (άρθρο 9) — ο επαναληπτικός κύκλος εντοπισμού, εκτίμησης και μετριασμού, που τηρείται σε όλο τον κύκλο ζωής και δεν εγκρίνεται άπαξ.
3. Αποδείξεις διακυβέρνησης δεδομένων (άρθρο 10) — προέλευση, αντιπροσωπευτικότητα, εξέταση και μετριασμός μεροληψίας για τα σύνολα εκπαίδευσης, επικύρωσης και δοκιμής.
4. Τεχνικός φάκελος παραρτήματος IV — το σύνολο που περιγράφεται στον οδηγό τεχνικής τεκμηρίωσης, περιλαμβανομένων των δοκιμών έναντι των απαιτήσεων ακρίβειας, στιβαρότητας και κυβερνοασφάλειας του άρθρου 15.
5. Αξιολόγηση συμμόρφωσης και δήλωση — αυτοαξιολόγηση κατά το παράρτημα VI ή κοινοποιημένος οργανισμός όπου το απαιτούν η βιομετρία ή η νομοθεσία προϊόντων του παραρτήματος I. Βλ. οδηγό αξιολόγησης συμμόρφωσης.
6. Καταχώριση, σήμανση CE και παρακολούθηση — εγγραφή στη βάση δεδομένων της ΕΕ πριν από τη διάθεση, σήμανση CE στην τεκμηρίωση και έπειτα το σχέδιο παρακολούθησης μετά τη διάθεση στην αγορά και η αναφορά σοβαρών περιστατικών κατά το άρθρο 73.

Στοχεύστε στις 2 Δεκεμβρίου 2027 για τα αυτοτελή συστήματα του παραρτήματος III και στις 2 Αυγούστου 2028 για τα ενσωματωμένα συστήματα του παραρτήματος I. Ένα ρεαλιστικό πρόγραμμα για ένα μόνο σύστημα υψηλού κινδύνου διαρκεί 12 έως 24 μήνες: εκκίνηση στα τέλη του 2026 χωρά στο παράθυρο χωρίς περιθώριο, ενώ η δυναμικότητα των κοινοποιημένων οργανισμών θα στενεύει όσο πλησιάζει η ημερομηνία.

Κι αν χρησιμοποιείτε μόνο ΤΝ άλλων;

Είστε αναπτύσσων, και η λίστα σας είναι σύντομη αλλά όχι κενή. Εδώ βρίσκεται η πλειονότητα των οργανισμών: κανένα δικό τους μοντέλο, καμιά δεκαριά λειτουργίες ΤΝ μέσω SaaS και API.

• Ο γραμματισμός (άρθρο 4) ισχύει τώρα, για κάθε αναπτύσσοντα και σε κάθε επίπεδο κινδύνου.
• Η διαφάνεια (άρθρο 50) ισχύει τώρα για ό,τι βλέπουν οι χρήστες σας: ενημέρωση για chatbot, σήμανση deepfake, επισήμανση παραγόμενων κειμένων που δημοσιεύονται για την ενημέρωση του κοινού.
• Οι υποχρεώσεις αναπτύσσοντος (άρθρο 26) θα ισχύουν από τις 2 Δεκεμβρίου 2027 όπου η περίπτωση χρήσης εμπίπτει σε κατηγορία του παραρτήματος III — διαλογή υποψηφίων, πιστωτικές αποφάσεις, διαχείριση εργαζομένων.
• Το άρθρο 25 είναι η παγίδα: τη στιγμή που επανασημαίνετε ή τροποποιείτε ουσιωδώς, κληρονομείτε το σύνολο του παρόχου.

Ο πρακτικός έλεγχος είναι η δέουσα επιμέλεια προμηθευτή: εξασφαλίστε τη δήλωση συμμόρφωσης, τις οδηγίες χρήσης και τις πληροφορίες που το άρθρο 13 επιβάλλει στον πάροχο να παρέχει. Ο οδηγός ΤΝ τρίτων προσδιορίζει τι πρέπει να απαιτείται συμβατικά.

Τι αλλάζει ανά τομέα;

Οι υποχρεώσεις είναι ίδιες· τα αποτελέσματα ταξινόμησης και τα επικαλυπτόμενα καθεστώτα όχι.

• Χρηματοοικονομικές υπηρεσίες — η πιστοληπτική βαθμολόγηση και η ασφαλιστική τιμολόγηση εμπίπτουν στο παράρτημα III, και εκεί ο αναπτύσσων οφείλει εκτίμηση επιπτώσεων κατά το άρθρο 27. Η διαχείριση κινδύνου ΤΠΕ του DORA ικανοποιεί εν μέρει το άρθρο διαχείρισης κινδύνου, δεν καλύπτει όμως τη διακυβέρνηση δεδομένων που αφορά ειδικά την ΤΝ ούτε την ανθρώπινη εποπτεία. Σχεδιάστε ενιαία ροή αναφοράς που ικανοποιεί μαζί το άρθρο 19 του DORA και το άρθρο 73 του AI Act. Βλ. οδηγό χρηματοπιστωτικού τομέα και οδηγό σύγκλισης DORA / NIS2.
• Υγεία και ιατροτεχνολογικά προϊόντα — η ΤΝ ως κατασκευαστικό στοιχείο ασφάλειας προϊόντος MDR/IVDR εμπίπτει στο παράρτημα I, εφαρμοστέο από τις 2 Αυγούστου 2028. Ο υφιστάμενος τεχνικός φάκελος και το σύστημα ποιότητας ISO 13485 αποτελούν τη βάση και πρέπει να επεκταθούν στις απαιτήσεις του κεφαλαίου III· ο κοινοποιημένος οργανισμός σας χρειάζεται χωριστό ορισμό βάσει του AI Act.
• Ανθρώπινο δυναμικό και προσλήψεις — κατηγορία απασχόλησης του παραρτήματος III. Η εξέταση μεροληψίας κατά το άρθρο 10 είναι η κύρια έκθεση, η διαφάνεια προς τους υποψηφίους υποχρέωση του αναπτύσσοντος, και καμία τελική απόφαση απασχόλησης δεν μπορεί να στηρίζεται στο σύστημα χωρίς άνθρωπο ικανό να την ανατρέψει.
• Δημόσιος τομέας — η εκτίμηση επιπτώσεων είναι υποχρεωτική, και οι αναπτύσσοντες καταχωρίζουν τη χρήση συστημάτων του παραρτήματος III στη βάση δεδομένων της ΕΕ.

Οι τομεακοί οδηγοί πραγματεύονται εννέα κλάδους με την ίδια δομή.

Πόσο κοστίζει η μη συμμόρφωση;

Τρία κλιμάκια, και για μια συνήθη επιχείρηση σημασία έχει κυρίως το μεσαίο. Το άρθρο 99 ορίζει 35 εκατ. ευρώ ή 7 % του παγκόσμιου κύκλου εργασιών για τις απαγορεύσεις του άρθρου 5, 15 εκατ. ή 3 % για τις περισσότερες λοιπές υποχρεώσεις — περιλαμβανομένης της διαφάνειας του άρθρου 50 και ολόκληρου του μπλοκ υψηλού κινδύνου — και 7,5 εκατ. ή 1 % για παραπλανητικές πληροφορίες προς τις αρχές. Οι ΜΜΕ περιορίζονται στο χαμηλότερο ποσό.

Το τρίτο κλιμάκιο αξίζει προσοχή δυσανάλογη προς το ύψος του: τιμωρεί μια κακή απάντηση προς την αρχή ανεξάρτητα από οποιαδήποτε υποκείμενη παράβαση. Η τεκμηρίωση είναι εκείνη που μετατρέπει μια υπερασπίσιμη θέση σε αποδείξιμη. Ο οδηγός κυρώσεων αναπτύσσει τον υπολογισμό της έκθεσης.

Τι να κάνετε τις επόμενες 90 ημέρες

1. Κλείστε το κενό απογραφής — κατάλογος προμηθευτών του οικονομικού ∪ μητρώο μοντέλων της μηχανικής.
2. Περάστε όλο το χαρτοφυλάκιο από το φίλτρο του άρθρου 5. Είναι το μόνο βήμα με ήδη ισχύον κλιμάκιο 7 %.
3. Ενεργοποιήστε τις ενημερώσεις του άρθρου 50 σε ό,τι βλέπει ο χρήστης· η υποχρέωση ισχύει, δεν επίκειται.
4. Τεκμηριώστε τον γραμματισμό του άρθρου 4: ποιος εκπαιδεύτηκε, σε τι, πότε. Ο οδηγός γραμματισμού στην ΤΝ διευκρινίζει τι απαιτεί το αναδιατυπωμένο άρθρο.
5. Ταξινομήστε τους υποψηφίους του παραρτήματος III και καταγράψτε τη συλλογιστική, περιλαμβανομένων των κρίσεων κατά το άρθρο 6 παρ. 3.
6. Για κάθε επιβεβαιωμένο σύστημα υψηλού κινδύνου ξεκινήστε το σύστημα διαχείρισης ποιότητας. Ο Δεκέμβριος του 2027 είναι ο περιορισμός, και η ουρά στους κοινοποιημένους οργανισμούς βρίσκεται μπροστά σας, όχι πίσω.

Πρότυπα εργασίας για απογραφή, μητρώο κινδύνων, τεχνικό φάκελο και δέουσα επιμέλεια προμηθευτών υπάρχουν στα εργαλειοθήκες συμμόρφωσης· η Ακαδημία AI Act καλύπτει το ίδιο πεδίο ως δομημένη κατάρτιση με πιστοποίηση.