Määruse (EL) 2024/1689 artikkel 9 — Riskijuhtimissüsteem. Ametlik tekst, praktiline tõlgendus, põhikohustused ja vastavuse tagamise mõjud.
Ametliku Teksti Kokkuvõte
Määruse (EL) 2024/1689 artikkel 9 kehtestab kõrge riskiga tehisintellektisüsteemide pakkujatele kohustusliku ja pideva riskijuhtimissüsteemi kogu süsteemi elutsükli jooksul. Säte nõuab, et riskijuhtimissüsteem koosneks iteratiivsest protsessist, mis on integreeritud kõrge riskiga tehisintellektisüsteemi arendamisse ja toimimisse ning mida uuendatakse regulaarselt turustamisjärgse seire käigus kogutud uue teabe valguses.
Konkreetselt nõuab artikkel 9 pakkujatelt: a) tuvastada ja analüüsida kõiki kõrge riskiga tehisintellektisüsteemiga seotud teadaolevaid ja mõistlikult ettenähtavaid riske; b) hinnata riske, mis võivad materialiseeruda, kui süsteemi kasutatakse vastavalt kavandatud otstarbele ja mõistlikult ettenähtava väärkasutuse tingimustes; c) hinnata riske, mis tulenevad olemasolevatest andmetest ja süsteemiga suhtlevate isikute käitumisest; ning d) võtta selle analüüsi põhjal sobivad riskijuhtimismeetmed.
Riskijuhtimismeetmed peavad olema sellised, et iga ohuga seotud jääkrisk ning kõrge riskiga tehisintellektisüsteemi üldine jääkrisk on hinnatud aktsepteeritavaks. Artikkel 9 täpsustab samuti, et asjakohaste meetmete tuvastamiseks tuleb läbi viia testimine ning see testimine peab toimuma kindlaksmääratud mõõdikute ja tõenäosuslike lävendite alusel. Erilist tähelepanu nõutakse, kui süsteem tõenäoliselt suhtleb laste või muude haavatavate rühmadega. Kasutuselevõtjate kogemusest saadud teave tuleb tagasisidena integreerida süsteemi pakkuja riskijuhtimisprotsessi.
Mida See Praktikas Tähendab
Artikkel 9 on üks kõige operatiivselt nõudlikumaid nõudeid EL tehisintellekti määruse III jaotises. See kehtib kõikidele juriidilistele isikutele, kes kvalifitseeruvad kõrge riskiga tehisintellektisüsteemi pakkujateks — see tähendab, et üksus, kes arendab süsteemi või laseb selle arendada ning laseb selle turule või võtab kasutusele oma nime või kaubamärgi all.
Praktikas nõuab vastavuse tagamine dokumenteeritud riskijuhtimisraamistiku loomist enne süsteemi turule laskmist. See ei ole formaalne harjutus: määrus nõuab iteratiivset protsessi, mis kestab kogu toote eluea jooksul, mis tähendab, et riskijuhtimise dokumentatsioon peab arenema koos süsteemi uuendamise, ümberõpetamise või uutes kontekstides kasutuselevõtuga.
Nõuetele vastav riskijuhtimissüsteem hõlmab tavaliselt: struktureeritud riskituvastamise protseduuri, mis katab nii kavandatud kasutuse kui ka usutavad väärkasutuse stsenaariumid; riskihinnangu maatriksi, mis hindab kahju tõenäosust ja raskust; leevendusmeetmete kataloogi koos dokumenteeritud põhjendustega nende valiku kohta; ametlikku turustamiseelset testimist kindlaksmääratud mõõdikute alusel; ning mehhanismi turustamisjärgse tagasiside — sealhulgas kasutuselevõtjate esitatud intsidentiandmete — integreerimiseks pidevasse riskianalüüsi.
Näiteks peab III lisa alusel kõrge riskiga süsteemiks liigitatud tehisintellektipõhise krediidiskoorimise tööriista pakkuja dokumenteerima, kuidas mudel võib toota diskrimineerivaid tulemusi, millised tehnilised ja organisatsioonilised meetmed vähendavad seda riski ning kuidas reaalsed tulemuslikkuse andmed käivitavad ümberhinnangu. Meditsiinilises kontekstis kasutatav tehisintellektisüsteem peab lisaks käsitlema kõrgendatud hoolitsuskohustust, kus on kaasatud haavatavad kasutajad. Riskijuhtimise väljundid sisestatakse otse artikliga 11 nõutavasse tehnilistesse dokumentidesse ning artiklite 43–44 kohasesse vastavushindamisse.
Põhikohustused
- Luua ja säilitada pidev riskijuhtimissüsteem, mis hõlmab kõrge riskiga tehisintellektisüsteemi kogu elutsüklit alates projekteerimisest kuni kasutusest kõrvaldamiseni, uuendatuna turustamisjärgse seire andmete valguses.
- Tuvastada kõik teadaolevad ja mõistlikult ettenähtavad riskid, sealhulgas mõistlikult ettenähtavast väärkasutusest, muude süsteemidega suhtlemisest ning kasutuselevõtu sotsiotehnilistest kontekstidest tulenevad riskid.
- Hinnata riske nende esinemise tõenäosuse ja võimaliku kahju raskuse osas, võttes arvesse kavandatud otstarvet ja tõenäoliselt mõjutatud isikute kategooriaid, sealhulgas haavatavaid rühmi ja lapsi.
- Võtta riskijuhtimismeetmeid, mis vähendavad tuvastatud riskid aktsepteeritava jääktasemeni; kui tehnilistest meetmetest ei piisa, peavad neid täiendama organisatsioonilised või teabeandmismeetmed.
- Viia läbi turustamiseelne testimine kindlaksmääratud mõõdikute ja kavandatud otstarbele vastavate tõenäosuslike lävendite abil, et valideerida valitud meetmete tõhusust ja jääkriski aktsepteeritavust.
- Integreerida turustamisjärgse seire tagasiside kasutuselevõtjatelt ja lõppkasutajatelt pideva riskijuhtimisprotsessi, tagades, et süsteem reageerib reaalsele tõendusele kahju või peaaegu juhtunud sündmuste kohta.
Seosed Teiste Artiklitega
Artikkel 9 asub peatüki 2 nõuete raamistiku keskel ja on struktuurselt seotud mitme teise sättega. See sõltub ulatuse osas artiklist 6 ja III lisast: ainult kõrge riskiga süsteemid on selle kohustuste subjektid. Artikli 9 protsessi väljundid sisestatakse otse artiklisse 11 (tehniline dokumentatsioon), mis nõuab, et pakkujad tõendaksid nõuetele vastava riskijuhtimissüsteemi olemasolu ja rakendamist.
Artikkel 9 on tihedalt seotud ka artikliga 10 (andmed ja andmehaldus), kuna koolitus-, valideerimis- ja testandmete kvaliteet mõjutab oluliselt hallatavat riskiprofiili. Artikkel 13 (läbipaistvus ja teabe andmine) nõuab, et teatud riskiga seotud teave edastataks kasutuselevõtjatele, ning artikkel 14 (inimjärelevalve) täpsustab meetmeid, mis toimivad sageli artikli 9 alusel esimese taseme riskimaandamise vahenditena. Artikkel 26 kohustab kasutuselevõtjaid allpool jälgima reaalseid kasutusi ja edastama asjakohase teabe tagasi pakkujatele, sulgedes tagasiside ahela, mida artikkel 9 nõuab. Lõpuks formaliseerib artikkel 72 (turustamisjärgne seire) andmete kogumise mehhanismid, mis toetavad iteratiivset riskijuhtimisprotsessi ajas.
Vastavuse Ajakava
EL tehisintellekti määrus jõustus 1. augustil 2024. Artikkel 9 kui III jaotise kõrge riskiga tehisintellektisüsteemidele kohaldatav põhinõue järgib III jaotise kohustuste üldist vastavuse ajakava:
- 1. august 2024 — Määrus jõustub; enamiku kõrge riskiga kohustuste puhul algab 24-kuuline üleminekuperiood.
- 2. veebruar 2025 — Vastuvõetamatu riskiga tehisintellektitavade keelud (artikkel 5) muutuvad kohaldatavaks. Artikkel 9 ei kehti veel.
- 2. august 2025 — Üldotstarbeliste tehisintellektimudelite reeglid (VIII jaotis) muutuvad kohaldatavaks. Artikkel 9 ei ole enamiku kõrge riskiga süsteemide jaoks veel kohustuslik.
- 2. detsember 2026 — Artikkel 9 muutub täielikult kohaldatavaks III lisas loetletud kõrge riskiga tehisintellektisüsteemide suhtes (tehisintellektisüsteemid sellistes valdkondades nagu haridus, tööhõive, olulised teenused, õiguskaitse, ränne ja õigusemõistmine). Pakkujad peavad selleks kuupäevaks omama nõuetele vastavat riskijuhtimissüsteemi.
- 2. august 2027 — Pikendatud tähtaeg kõrge riskiga tehisintellektisüsteemidele, mis on I lisas loetletud olemasoleva liidu ühtlustamisõigusaktidega (nt masinad, meditsiiniseadmed, tsiviillennundus) juba hõlmatud toodete ohutusekomponendid.
Kõrge riskiga tehisintellektisüsteeme arendavad või hangivad pakkujad peaksid käsitlema 2. detsembrit 2026 kui artikli 9 vastavusvalmisoleku lõpptähtaega, ehitades riskijuhtimisraamistikud oma arendusprotsessidesse piisavalt varakult, et jätta aega testimiseks, dokumenteerimiseks ja vastavushindamiseks.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Kõrge riskiga tehisintellektisüsteemide pakkujad, kes on määratletud määruse (EL) 2024/1689 artiklis 6 ja III lisas, on kohustatud enne süsteemi turule laskmist või kasutuselevõttu looma ja säilitama riskijuhtimissüsteemi.
Süsteem peab tuvastama ja analüüsima teadaolevaid ja mõistlikult ettenähtavaid riske, hindama kasutamise käigus tekkida võivaid riske, võtma asjakohaseid riskijuhtimismeetmeid ning tagama, et jääkriskid on määruse kohaselt aktsepteeritavad.
Ei. Artikkel 9 nõuab pidevat ja iteratiivset protsessi, mis kestab kogu kõrge riskiga tehisintellektisüsteemi elutsükli jooksul, sealhulgas turustamisjärgse seire ajal. Süsteemi tuleb uuendada, kui ilmneb uut teavet riskide kohta.
Artikkel 9 nõuab selgesõnaliselt, et pakkujad arvestaksid mõistlikult ettenähtavast väärkasutusest tulenevate riskidega — mitte ainult kavandatud kasutusega. See tähendab, et pakkujad peavad analüüsima usaldusväärseid viise, kuidas süsteemi võidakse valesti või pahatahtlikult kasutada, ja leevendama neid riske vastavalt.
Artikli 9 lõige 7 nõuab, et testimisprotseduurid oleksid määratletud ja läbi viidud, et tuvastada kõige sobivamad riskijuhtimismeetmed. Testimine peab toimuma eelnevalt kindlaks määratud mõõdikute ja kavandatud otstarbele vastavate tõenäosuslike lävendite alusel ning peab toimuma enne turule laskmist.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.