17 artikla — Laadunhallintajärjestelmä (EU:n tekoälyasetus)

Asetuksen (EU) 2024/1689 17 artikla — Laadunhallintajärjestelmä. Virallinen teksti, käytännön tulkinta, keskeiset velvoitteet ja vaatimustenmukaisuuden vaikutukset.

Virallisen tekstin tiivistelmä

Asetuksen (EU) 2024/1689 17 artikla edellyttää, että korkean riskin tekoälyjärjestelmien tarjoajat ottavat käyttöön laadunhallintajärjestelmän (LHJ) ennen kuin tällaiset järjestelmät saatetaan markkinoille tai otetaan käyttöön. LHJ on dokumentoitava järjestelmällisellä ja asianmukaisella tavalla, ja sen on katettava kaikki tekoälyjärjestelmän elinkaaren vaiheet.

Asetus täsmentää, että LHJ:n on käsiteltävä vähintään: tarjoajan strategia sääntelynoudattamiseksi, mukaan lukien vaatimustenmukaisuuden arviointimenettelyt; tekoälyjärjestelmän suunnitteluun, suunnittelunohjaukseen ja todentamiseen käytetyt tekniikat, menettelyt ja järjestelmälliset toimet; tiedonhallintamenettelyt, jotka kattavat tietojen hankinnan, keräämisen, analysoinnin, merkinnän, tallentamisen, suodatuksen, louhinnan, koostamisen ja säilyttämisen; 9 artiklassa säädetty riskinhallintajärjestelmä; 72 artiklan mukaisen markkinoille saattamisen jälkeisen seurantajärjestelmän perustaminen ja toteuttaminen; 73 artiklan mukaiset vaaratilanneilmoitusmenettelyt; viestinnän hallinta toimivaltaisten viranomaisten, ilmoitettujen laitosten ja muiden asiaankuuluvien toimijoiden kanssa; rekisterin pitämisen järjestelmät ja menettelyt; resurssien hallinta mukaan lukien toimitusketjuun liittyvät toimenpiteet; ja vastuullisuuskehys, joka dokumentoi vastuut koko organisaatiossa.

Kun tarjoajat ovat luonnollisia henkilöitä tai mikroyrityksiä komission suosituksen 2003/361/EY tarkoittamassa mielessä, komissiolla on valtuudet antaa täytäntöönpanosäädöksiä, joilla sallitaan yksinkertaistetut LHJ-järjestelyt, tunnustaen asetuksen läpäisevä suhteellisuusperiaate.

Mitä tämä tarkoittaa käytännössä

Mille tahansa organisaatiolle, joka kehittää tai saattaa EU:n markkinoille korkean riskin tekoälyjärjestelmän, 17 artikla tarkoittaa, että vaatimustenmukaisuus ei voi olla kertaluonteinen harjoitus, joka tehdään julkaisemisen yhteydessä. Sen on oltava sulautettu elävään organisatoriseen järjestelmään, joka hallitsee koko tuotteen elinkaarta — alkuperäisistä suunnittelupäätöksistä käyttöönottoon, seurantaan ja lopulta käytöstä poistamiseen.

Konkreettisesti tarjoajan on pystyttävä osoittamaan, että dokumentoidut menettelyt ovat olemassa ja niitä noudatetaan jokaisessa vaiheessa. Terveydenhuollon tekoälyn tarjoaja ei esimerkiksi voi yksinkertaisesti kouluttaa mallia ja toimittaa se vaatimustenmukaisuuden arviointiin. Organisaation on osoitettava, että tietojen hankinta noudatti dokumentoituja hallintosääntöjä, että suunnitteluratkaisuja tarkasteltiin riskikriteerien suhteen, että valvontavastuut on osoitettu ja kirjattu, ja että on olemassa mekanismi käyttöönottamisen jälkeisten vaaratilanteiden havaitsemiseksi ja ilmoittamiseksi.

LHJ-vaatimus tarkoittaa, että vaatimustenmukaisuus on yhtä lailla organisatorinen ja menettelyllinen haaste kuin tekninen. Yritykset, jotka jo toimivat ISO 9001:n tai toimialakohtaisten hallintokehysten mukaisesti — kuten ISO 13485 lääkinnällisissä laitteissa — löytävät merkittäviä päällekkäisyyksiä, mutta joutuvat silti nimenomaisesti kartoittamaan olemassa olevat järjestelmänsä tekoälylain vaatimuksia vastaan sen sijaan, että olettaisivat vastaavuuden.

Pienemmät tarjoajat hyötyvät suhteellisuussäännöksestä: mikroyritykset voivat saada yksinkertaistettuja järjestelyjä komission antamien täytäntöönpanosäädösten nojalla. Tämä ei kuitenkaan vapauta niitä taustalla olevista aineellisista velvoitteista; se voi vaikuttaa ainoastaan muotoon, jossa nämä velvoitteet dokumentoidaan ja hallitaan.

Käytännössä tarjoajien tulisi kohdella LHJ:tä keskeisenä selkärankana, josta kaikki muut vaatimustenmukaisuuden artefaktit — tekninen dokumentaatio, riskikirjanpito, markkinoille saattamisen jälkeiset seurantasuunnitelmat, vaaratilannelokitiedostot — tuotetaan ja hallitaan.

Keskeiset velvoitteet

• Perustaa dokumentoitu laadunhallintajärjestelmä ennen korkean riskin tekoälyjärjestelmän markkinoille saattamista tai käyttöönottoa kattaen kaikki elinkaaren vaiheet.
• Integroida 9 artiklan edellyttämät riskinhallintamenettelyt LHJ:hen varmistaen, että riskien tunnistaminen, arviointi ja vähentäminen ovat järjestelmällistä ja jäljitettävissä.
• Dokumentoida tiedonhallintakäytännöt, jotka kattavat hankinnan, merkinnän, käsittelyn, tallentamisen ja säilyttämisen, johdonmukaisesti 10 artiklan tietojen hallintavaatimusten kanssa.
• Ylläpitää 11 artiklassa ja liitteessä IV täsmennettyä teknistä dokumentaatiota LHJ:n tuotoksena pitäen se ajan tasalla ja saatavilla vaatimustenmukaisuuden arvioinnin ja markkinavalvonnan tarkoituksiin.
• Toteuttaa markkinoille saattamisen jälkeisen seurannan ja vaaratilanneilmoitusten menettelyt LHJ-kehyksessä, linjassa 72 ja 73 artiklan kanssa.
• Määritellä ja dokumentoida vastuurakenteet, roolit ja vastuut koko organisaatiossa, mukaan lukien toimitusketjun valvonta, kun kolmansien osapuolten komponentit osallistuvat tekoälyjärjestelmään.

Suhde muihin artikloihin

17 artikla toimii III osaston 3 luvussa perustetun korkean riskin tekoälyjärjestelmien vaatimustenmukaisuusjärjestelmän organisatorisena selkärankana. Se johtaa aineellisen sisältönsä useista toisiinsa kytkeytyvistä velvoitteista: 9 artiklan riskinhallintajärjestelmä, 10 artiklan tietojen ja tietojen hallinnan vaatimukset sekä 11 artiklan teknistä dokumentaatiota koskeva järjestelmä syöttävät suoraan sitä, mitä LHJ:n on katettava ja tuotettava.

LHJ:n on myös tuettava 43 ja 44 artiklassa säädettyjä vaatimustenmukaisuuden arviointimenettelyjä, sillä sen tuottama dokumentaatio muodostaa ensisijaisen todistusaineiston, jonka ilmoitetut laitokset tai itsearviointiprosessit tarkastavat. Käyttöönoton jälkeiset velvoitteet 72 artiklan (markkinoille saattamisen jälkeinen seuranta) ja 73 artiklan (vakavista vaaratilanteista ilmoittaminen) nojalla on sisällytettävä LHJ-menettelyihin eikä niitä saa hallita erillisinä ad hoc -toimintoina.

26 artikla asettaa käyttöönottajille velvoitteita, jotka ovat erillisiä mutta täydentäviä tarjoajien LHJ-velvoitteisiin nähden. Kun tarjoajat ja käyttöönottajat ovat päällekkäisiä — esimerkiksi kun organisaatio sekä kehittää että ottaa käyttöön korkean riskin tekoälyjärjestelmän sisäisesti — 17 artiklan LHJ:tä on luettava yhdessä 26 artiklan käyttöönottajavelvoitteiden kanssa täydellisen kattavuuden varmistamiseksi.

Vaatimustenmukaisuuden aikataulu

EU:n tekoälyasetus tuli voimaan 1. elokuuta 2024 sen jälkeen, kun se julkaistiin Euroopan unionin virallisessa lehdessä. Sen säännösten soveltaminen on vaiheistettu:

• Helmikuu 2025 — Hyväksymättömän riskin tekoälykäytäntöjen kiellot (5 artikla) tulivat sovellettaviksi.
• Elokuu 2025 — Yleiskäyttöisiä tekoälymalleja koskevat velvoitteet (VIII osasto) tulivat sovellettaviksi.
• 2. elokuuta 2026 — 17 artikla tulee sovellettavaksi liitteessä III lueteltujen korkean riskin tekoälyjärjestelmien tarjoajiin (järjestelmät muun muassa biometrian, kriittisen infrastruktuurin, koulutuksen, työllistymisen, välttämättömien palvelujen, lainvalvonnan, maahanmuuton ja lainkäytön aloilla).
• 2. elokuuta 2027 — 17 artikla tulee sovellettavaksi liitteen I (tekoälykomponentit tuotteissa, joihin jo sovelletaan unionin yhdenmukaistamislainsäädäntöä, kuten lääkinnälliset laitteet, koneet ja ilmailulaitteet) soveltamisalaan kuuluvien korkean riskin tekoälyjärjestelmien tarjoajiin.

Tarjoajat, joiden järjestelmät ovat jo markkinoilla ennen näitä päivämääriä, hyötyvät 111 artiklan siirtymäjärjestelyistä, jotka voivat lykätä täydelliset LHJ-vaatimustenmukaisuusvelvoitteet merkittäviin muutoksiin ja meneillään oleviin vaatimustenmukaisuuden arviointisykleihin liittyvien ehtojen mukaisesti. Organisaatioiden tulisi aloittaa LHJ:n suunnittelu ja puutearvioinnit hyvissä ajoin ennen sovellettavaa määräaikaa, jotta sisäinen validointi, ilmoitetun laitoksen osallistuminen tarvittaessa ja iteratiivinen tarkentaminen olisivat mahdollisia ennen velvoitteen voimaantuloa.