Παρακολούθηση Μετά τη Διάθεση Κανονισμού ΤΝ ΕΕ (Art. 72): Υποχρεώσεις για Παρόχους ΤΝ Υψηλού Κινδύνου

Η συμμόρφωση δεν τελειώνει με την είσοδο στην αγορά. Το Art. 72 απαιτεί από παρόχους συστημάτων ΤΝ υψηλού κινδύνου να διατηρούν ενεργό σύστημα παρακολούθησης μετά τη διάθεση, να συλλέγουν δεδομένα απόδοσης και να αναφέρουν σοβαρά περιστατικά. Εδώ τι πρέπει να κάνετε — και πότε.

Τι Είναι η Παρακολούθηση Μετά τη Διάθεση;

Η αξιολόγηση συμμόρφωσης και η CE marking είναι το εισιτήριο εισόδου στην αγορά ΕΕ για ένα σύστημα ΤΝ υψηλού κινδύνου — όχι το τέλος της διαδικασίας. Το Art. 72 του Κανονισμού ΤΝ ΕΕ επιβάλλει συνεχή υποχρέωση: οι πάροχοι πρέπει να εγκαθιδρύουν και να λειτουργούν ένα σύστημα παρακολούθησης μετά τη διάθεση (ΠΜΔ) που συλλέγει, αναλύει και ενεργεί βάσει δεδομένων πραγματικής απόδοσης καθ' όλη τη διάρκεια λειτουργίας του συστήματος.

Η λογική είναι απλή. Ένα σύστημα ΤΝ επικυρωμένο σε σταθερό σύνολο δεδομένων μπορεί να αποκλίνει καθώς αλλάζουν οι πραγματικές εισροές, ο πληθυσμός χρηστών ή το περιβάλλον λειτουργίας. Οι στατικές στιγμιαίες αξιολογήσεις συμμόρφωσης δεν μπορούν να αποτυπώσουν αυτό. Η ΠΜΔ είναι ο μηχανισμός που μετατρέπει τη συμμόρφωση σε συνεχή διαδικασία αντί εφάπαξ γεγονός.

Το σύστημα ΠΜΔ πρέπει να είναι ανάλογο με τη φύση και τους κινδύνους του εκάστοτε συστήματος ΤΝ υψηλού κινδύνου. Ένα μοντέλο αξιολόγησης πιστοληπτικής ικανότητας που αναπτύσσεται σε κλίμακα για εκατομμύρια καταναλωτές θα απαιτεί εντατικότερη παρακολούθηση από ένα στενό εργαλείο ταξινόμησης εγγράφων χρησιμοποιούμενο εσωτερικά από ρυθμιζόμενη εταιρεία.

Ποιοι Πρέπει να Εγκαθιδρύσουν Σύστημα ΠΜΔ;

Υποχρεωτικό για:

• Παρόχους αυτόνομων συστημάτων ΤΝ υψηλού κινδύνου Παραρτήματος III — συστήματα του Παραρτήματος III που δεν αποτελούν στοιχεία ασφάλειας προϊόντος (π.χ. ΤΝ χρησιμοποιούμενη σε αποφάσεις εργοδοσίας, πρόσβαση στην εκπαίδευση, επιβολή του νόμου, αξιολόγηση πιστοληπτικής ικανότητας, διαχείριση κρίσιμων υποδομών)
• Παρόχους ενσωματωμένων συστημάτων ΤΝ υψηλού κινδύνου Παραρτήματος I — στοιχεία ασφάλειας ΤΝ ενσωματωμένα σε προϊόντα καλυπτόμενα από υφιστάμενη εναρμονισμένη νομοθεσία ΕΕ (ιατρικές συσκευές, μηχανήματα, οχήματα)

Δεν απαιτείται για:

• Παρόχους συστημάτων ΤΝ ελάχιστου κινδύνου (χωρίς επίσημη υποχρέωση ΠΜΔ, αν και η ορθή πρακτική ισχύει)
• Παρόχους συστημάτων ΤΝ μόνο-διαφάνειας (οι υποχρεώσεις Art. 50 δεν εκτείνονται στην ΠΜΔ)
• Παρόχους μοντέλων GPAI — υπόκεινται σε χωριστό καθεστώς βάσει Art. 61-62, που περιλαμβάνει αναφορά περιστατικών για μοντέλα συστημικού κινδύνου αλλά δομείται διαφορετικά από ΠΜΔ Art. 72

Ο ρόλος του αναπτύσσοντος είναι υποστηρικτικός αλλά όχι προαιρετικός. Οι αναπτύσσοντες πρέπει να λειτουργούν το σύστημα ΤΝ σύμφωνα με τις οδηγίες του παρόχου, να ενεργοποιούν και να διατηρούν τη λειτουργικότητα καταγραφής ενσωματωμένη στο σύστημα, και — κρίσιμα — να αναφέρουν τυχόν σοβαρά περιστατικά που γνωρίζουν στον πάροχο χωρίς αδικαιολόγητη καθυστέρηση.

Το Πλάνο Παρακολούθησης Μετά τη Διάθεση (Παράρτημα IV, Σημείο 12)

Το πλάνο ΠΜΔ είναι υποχρεωτικό στοιχείο της τεχνικής τεκμηρίωσης (Παράρτημα IV). Δεν μπορεί να είναι γενικό έγγραφο: πρέπει να είναι ειδικό για το σύστημα, το πλαίσιο ανάπτυξης και τους εντοπισμένους κινδύνους. Ελάχιστα, πρέπει να ορίζει:

1. Συλλογή δεδομένων — ποιες μετρικές απόδοσης καταγράφονται (ακρίβεια, ποσοστά σφαλμάτων, αποτελέσματα αποφάσεων), πώς συλλέγονται δεδομένα (αυτοματοποιημένη τηλεμετρία, αναφορές αναπτυσσόντων, ανατροφοδότηση χρηστών) και με ποια συχνότητα
2. Βρόχοι ανατροφοδότησης — ο μηχανισμός μέσω του οποίου οι αναπτύσσοντες μπορούν να αναφέρουν ζητήματα απόδοσης, ανωμαλίες ή περιστατικά στον πάροχο με δομημένο και έγκαιρο τρόπο
3. Παρακολούθηση ακρίβειας — πώς παρακολουθείται η απόδοση του συστήματος έναντι του επικυρωμένου σημείου αναφοράς που χρησιμοποιήθηκε κατά την αξιολόγηση συμμόρφωσης, συμπεριλαμβανομένης οποιασδήποτε μεθοδολογίας ανίχνευσης απόκλισης
4. Παρακολούθηση προκατάληψης — για συστήματα όπου τα δημογραφικά αποτελέσματα είναι ουσιώδη (πρόσληψη, πίστωση, επιβολή νόμου), συνεχής παρακολούθηση στατιστικών ανισοτήτων μεταξύ προστατευόμενων ομάδων, με καθορισμένη μεθοδολογία και κατώφλια
5. Ενεργοποιητές ενημέρωσης — τα συγκεκριμένα ποσοτικά ή ποιοτικά κατώφλια που ενεργοποιούν διορθωτική δράση, συμπεριλαμβανομένης επανεκπαίδευσης μοντέλου, ρύθμισης παραμέτρων ή αναστολής ανάπτυξης
6. Πρόγραμμα επανεξέτασης — πόσο συχνά επανεξετάζεται και ενημερώνεται το ίδιο το πλάνο ΠΜΔ, διασφαλίζοντας ότι παραμένει κατάλληλο καθώς εξελίσσεται το πλαίσιο ανάπτυξης

Αναφορά Σοβαρών Περιστατικών (Art. 73)

Τι συνιστά σοβαρό περιστατικό;

Το Art. 73 ορίζει σοβαρό περιστατικό ως οποιοδήποτε περιστατικό ή δυσλειτουργία συστήματος ΤΝ υψηλού κινδύνου που οδηγεί άμεσα ή έμμεσα σε:

• Θάνατο ή σοβαρή βλάβη στην υγεία (σωματική ή ψυχολογική)
• Σοβαρή και ανεπανόρθωτη διαταραχή της διαχείρισης ή λειτουργίας κρίσιμων υποδομών
• Σοβαρή παραβίαση θεμελιωδών δικαιωμάτων (ιδιωτικότητα, μη-διάκριση, δικαιοσύνη)
• Κατάσταση στην οποία άτομο μόλις απέφυγε κάτι από τα παραπάνω

Χρονοδιαγράμματα αναφοράς

Τι πρέπει να περιέχει αναφορά περιστατικού

Συμμορφούμενη αναφορά περιστατικού στην εθνική αρχή εποπτείας αγοράς πρέπει να περιλαμβάνει:

• Ταυτοποίηση συστήματος: ονομασία, έκδοση, αριθμός εγγραφής βάσης δεδομένων ΤΝ ΕΕ
• Περιγραφή περιστατικού: τι συνέβη, ποια βλάβη επήλθε ή μόλις αποφεύχθηκε, ημερομηνία και τοποθεσία
• Θιγόμενα πρόσωπα: αριθμός και κατηγορίες θιγόμενων χρηστών ή τρίτων (ανωνυμοποιημένα όπου απαιτείται βάσει ΓΚΠΔ)
• Προκαταρκτική αιτιολογική ανάλυση: η τρέχουσα κατανόηση του παρόχου για το πώς προέκυψε το περιστατικό, σαφώς χαρακτηρισμένη ως προκαταρκτική
• Άμεσα διορθωτικά ή μέτρα ασφάλειας: τυχόν βήματα που έχουν ήδη ληφθεί για περιορισμό περαιτέρω βλάβης ή κινδύνου
• Σημείο επαφής: το πρόσωπο ή η ομάδα υπεύθυνη για συνέχεια αλληλογραφίας με την αρχή

Υποχρεωτική Καταγραφή (Art. 12)

Το Art. 12 απαιτεί τα συστήματα ΤΝ υψηλού κινδύνου να σχεδιάζονται και κατασκευάζονται με δυνατότητα αυτόματης δημιουργίας αρχείων καταγραφής σε επίπεδο λεπτομέρειας επαρκές για:

• Παρακολούθηση μετά τη διάθεση βάσει Art. 72
• Ιχνηλασιμότητα γεγονότων που οδήγησαν σε σοβαρό περιστατικό
• Έρευνα από εθνικές αρχές

Αυτή είναι απαίτηση σχεδιασμού επιβαλλόμενη στον πάροχο. Ο πάροχος πρέπει να ενσωματώνει τη δυνατότητα καταγραφής στο σύστημα πριν αυτό διατεθεί στην αγορά.

Η υποχρέωση ενεργοποίησης και διατήρησης αυτών των αρχείων βαρύνει τον αναπτύσσοντα. Οι αναπτύσσοντες δεν πρέπει να απενεργοποιούν τη λειτουργικότητα καταγραφής και πρέπει να διατηρούν αρχεία για την περίοδο που καθορίζεται στις οδηγίες και τεχνική τεκμηρίωση του παρόχου.

Ουσιαστικές Τροποποιήσεις και Επαναξιολόγηση

Δεν ενεργοποιεί κάθε αλλαγή σε αναπτυγμένο σύστημα ΤΝ νέα αξιολόγηση συμμόρφωσης. Ο Κανονισμός διακρίνει μεταξύ μικρών ενημερώσεων και ουσιαστικών τροποποιήσεων.

Μια τροποποίηση είναι ουσιαστική — και απαιτεί νέα αξιολόγηση συμμόρφωσης και ενημερωμένη τεχνική τεκμηρίωση — όταν:

• Αλλάζει τον προβλεπόμενο σκοπό του συστήματος (έστω και μερικώς)
• Συνεπάγεται σημαντική αλλαγή στην αρχιτεκτονική ή τη μεθοδολογία εκπαίδευσης
• Χρησιμοποιεί νέα δεδομένα εκπαίδευσης που επηρεάζουν ουσιαστικά την απόδοση του συστήματος με τρόπους που μπορεί να επηρεάσουν τη συμπεριφορά σχετική με συμμόρφωση
• Υποβαθμίζει απόδοση πέρα από κατώφλια ορισμένα στα έγγραφα διαχείρισης κινδύνου με τρόπους που επηρεάζουν ασφάλεια ή θεμελιώδη δικαιώματα

Μικρές ενημερώσεις — patches ασφάλειας, διορθώσεις σφαλμάτων που διορθώνουν σαφώς εντοπισμένα ελαττώματα χωρίς αλλαγή συμπεριφοράς σχετικής με συμμόρφωση, αισθητικές αλλαγές διεπαφής — δεν απαιτούν πλήρη επαναξιολόγηση. Ωστόσο, πρέπει να τεκμηριώνονται, και ο πάροχος πρέπει να διατηρεί γραπτή αξιολόγηση που επιβεβαιώνει ότι η τροποποίηση δεν συνιστά ουσιαστική τροποποίηση.

Πρακτική Λίστα Ελέγχου Εφαρμογής

Η ακόλουθη λίστα ελέγχου αντικατοπτρίζει τις ελάχιστες λειτουργικές απαιτήσεις βάσει Art. 72, Art. 73 και Art. 12.

• [ ] Πλάνο ΠΜΔ τεκμηριωμένο στον τεχνικό φάκελο (Παράρτημα IV, σημείο 12), ειδικό για το σύστημα και το πλαίσιο ανάπτυξης
• [ ] Αυτοματοποιημένη δυνατότητα καταγραφής σχεδιασμένη και ενσωματωμένη στο σύστημα πριν από τη διάθεση στην αγορά
• [ ] Οδηγίες αναπτύσσοντος περιλαμβάνουν σαφή, γραπτή διαδικασία αναφοράς περιστατικών με στοιχεία επαφής κλιμάκωσης
• [ ] Εσωτερικό σημείο επαφής αναφοράς περιστατικών εγκαθιδρυμένο και γνωστοποιημένο στη σχετική εθνική αρχή εποπτείας αγοράς
• [ ] Διαδικασίες ή dashboards παρακολούθησης προκατάληψης και ακρίβειας ορισμένα, με τεκμηριωμένη μεθοδολογία και κατώφλια
• [ ] Κατώφλια κλιμάκωσης για διορθωτική δράση τεκμηριωμένα και συνδεδεμένα με το σύστημα διαχείρισης κινδύνου
• [ ] Διαδικασία αξιολόγησης ουσιαστικής τροποποίησης εγκατεστημένη, με πρότυπο αρχείου απόφασης για κάθε ενημέρωση
• [ ] Πολιτική διατήρησης αρχείων καταγραφής ορισμένη, κοινοποιημένη σε αναπτύσσοντες και ευθυγραμμισμένη με τομεακούς κανόνες διατήρησης

Διασταυρώσεις: Τεχνική Τεκμηρίωση — Συστήματα ΤΝ Υψηλού Κινδύνου Παραρτήματος III — Πάροχοι vs. Αναπτύσσοντες