Artikla 40 — Yhdenmukaistetut standardit ja standardointisuoritukset (EU:n tekoälylaki)

Asetuksen (EU) 2024/1689 artikla 40 — Yhdenmukaistetut standardit ja standardointisuoritukset. Virallinen teksti, käytännön tulkinta, keskeiset velvoitteet ja vaatimustenmukaisuusvaikutukset.

Virallisen tekstin yhteenveto

Asetuksen (EU) 2024/1689 artikla 40 vahvistaa yhdenmukaistettujen standardien roolin vaatimustenmukaisuuden osoittamisessa EU:n tekoälylain mukaisten suuririskisiin tekoälyjärjestelmiin sovellettavien vaatimusten suhteen. Kun suuririskisten tekoälyjärjestelmien palveluntarjoajat soveltavat yhdenmukaistettuja standardeja — tai niiden asiaankuuluvia osia — joiden viitteet on julkaistu Euroopan unionin virallisessa lehdessä, kyseisten järjestelmien oletetaan olevan osaston III luvun 3 vaatimusten mukaisia siltä osin kuin kyseiset vaatimukset kattavat sovellettavat yhdenmukaistetut standardit.

Artikla antaa Euroopan komissiolle valtuudet antaa standardointitoimeksiantoja eurooppalaisille standardointiorganisaatioille (CEN, CENELEC ja ETSI) Euroopan standardoinnista annetun asetuksen (EU) N:o 1025/2012 mukaisesti. Nämä toimeksiannot ohjaavat ESO:ja kehittämään yhdenmukaistettuja standardeja, jotka operationalisoivat lain aineelliset vaatimukset.

Artikla 40 käsittelee myös tilanteita, joissa yhdenmukaistettuja standardeja ei vielä ole tai niiden viitteitä ei ole julkaistu. Tällaisissa tapauksissa komissio voi hyväksyä yhteiset eriteltyihin vaatimukset artiklan 41 nojalla, varmistaen, että palveluntarjoajilla on selkeä tekninen polku vaatimustenmukaisuuden osoittamiseen myös muodollisten yhdenmukaistettujen standardien puuttuessa.

Säännös tekee selkeän eron standardien vapaaehtoisen soveltamisen ja taustalla olevien oikeudellisten vaatimusten pakollisen noudattamisen välillä. Yhdenmukaistetun standardin soveltaminen ei ole pakollista, mutta se luo kumottavissa olevan olettaman vaatimustenmukaisuudesta, mikä vähentää palveluntarjoajien todistustaakkaa artiklojen 43 ja 44 mukaisesti suoritetuissa vaatimustenmukaisuuden arviointimenettelyissä.

Mitä tämä tarkoittaa käytännössä

Suuririskisten tekoälyjärjestelmien palveluntarjoajille artikla 40 on keskeinen vaatimustenmukaisuusväline. Sen sijaan, että rakennettaisiin täysin räätälöity tekninen perustelu kullekin oikeudelliselle vaatimukselle vastaamisesta, palveluntarjoajat voivat sovittaa järjestelmänsä julkaistuihin yhdenmukaistettuihin standardeihin ja hyötyä vaatimustenmukaisuusolettamasta. Tämä yksinkertaistaa merkittävästi vaatimustenmukaisuuden arviointiprosessia, erityisesti järjestelmien osalta, jotka ovat tarkastuslaitosten suorittamien kolmansien osapuolten arviointien kohteena.

Käytännössä palveluntarjoaja, joka kehittää tekoälypohjaista lääkinnällistä laitetta, joka kuuluu lain liitteen I soveltamisalaan, tutustuu viralliseen lehteen tunnistaakseen, mitkä yhdenmukaistetut standardit on julkaistu asiaankuuluvia vaatimuksia varten — esimerkiksi riskienhallintaa, tietojen laatua tai kyberturvallisuutta koskevat standardit. Näiden standardien toteuttaminen osana järjestelmän suunnittelua ja laadunhallintaprosessia mahdollistaa palveluntarjoajalle vaatimustenmukaisuuden vakuuttamisen vastaavien laissa määriteltyjen artiklojen suhteen ilman, että tarkastuslaitoksen on tarkistettava vaatimustenmukaisuus perusperiaatteista lähtien.

Palveluntarjoajille, jotka eivät halua soveltaa yhdenmukaistettuja standardeja — tai joissa sovellettavaa standardia ei vielä ole — todistustaakka lankeaa heille itselleen dokumentoida teknisten tiedostojen ja vaatimustenmukaisuuden arviointitodisteiden avulla, kuinka vastaava suojelun taso saavutetaan. Tämä on toteuttamiskelpoinen mutta vaativampi polku, joka edellyttää tiivistä yhteistyötä tarkastuslaitoksen kanssa sekä mahdollisesti laajempaa testausta ja dokumentaatiota.

Maahantuojien ja käyttöönottajien tulisi tarkistaa, että palveluntarjoajat, joiden järjestelmiä he saattavat markkinoille tai ottavat käyttöön, ovat oikein tunnistaneet ja soveltaneet asiaankuuluvia standardeja, sillä tämä vaikuttaa EU-vaatimustenmukaisuusvakuutuksen ja CE-merkinnän pätevyyteen.

Artiklan 40 käytännön vaikutus kasvaa asteittain standardointiprosessin kypsyessä. Lain soveltamisen alkuvaiheessa saatavilla on rajallisesti yhdenmukaistettuja standardeja, mikä lisää yhteisten eriteltyjen vaatimusten ja räätälöityjen teknisten arviointien merkitystä.

Keskeiset velvoitteet

• Tunnista sovellettavat yhdenmukaistetut standardit: Suuririskisten tekoälyjärjestelmien palveluntarjoajien on seurattava Euroopan unionin virallista lehteä julkaistujen viitteiden osalta yhdenmukaistettuihin standardeihin, jotka ovat relevantteja heidän järjestelmänsä ja osaston III luvun 3 vaatimusten kannalta.
• Sovella standardeja vaatimustenmukaisuusolettaman käynnistämiseksi: Kun palveluntarjoaja päättää tukeutua vaatimustenmukaisuusolettamaan, yhdenmukaistettua standardia on sovellettava täysimääräisesti niiden vaatimusten osalta, jotka se kattaa; osittainen soveltaminen ei ulota olettamaa kattamattomiin elementteihin.
• Dokumentoi standardien soveltaminen teknisessä dokumentaatiossa: Artiklan 11 ja liitteen IV mukaisen teknisen dokumentaation on selkeästi yksilöitävä, mitä yhdenmukaistettuja standardeja on sovellettu ja miten ne vastaavat vastaavia oikeudellisia vaatimuksia.
• Käsittele puutteet, joissa standardeja ei ole: Kun yhdenmukaistettu standardi ei kata tiettyä vaatimusta, palveluntarjoajien on osoitettava vaatimustenmukaisuus vaihtoehtoisin keinoin, mukaan lukien artiklan 41 mukaisesti hyväksytyt yhteiset eriteltyihin vaatimukset tai itsenäiset tekniset todisteet, ja dokumentoitava tämä lähestymistapa vaatimustenmukaisuuden arviointitiedostossaan.
• Ylläpidä tietoisuutta päivitetyistä tai perututuista standardeista: Kun yhdenmukaistettua standardia tarkistetaan tai sen viite poistetaan virallisesta lehdestä, palveluntarjoajien on arvioitava, pysyykö olemassa oleva vaatimustenmukaisuusdokumentaatio pätevänä, ja päivitettävä järjestelmiään ja teknisiä tiedostojaan vastaavasti.
• Osallistu standardointiprosesseihin: Palveluntarjoajien, erityisesti niiden, jotka toimivat aloilla, joilla tekoälysovellukset kehittyvät nopeasti, tulisi osallistua asiaankuuluviin standardointiorganisaatioihin ja toimialan työryhmiin varmistaakseen, että kehittyvät standardit heijastavat todellista teknistä käytäntöä ja tukevat merkityksellisiä vaatimustenmukaisuuspolkuja.

Suhde muihin artikloihin

Artikla 40 toimii menettelyllisenä siltana osaston III luvun 3 aineellisten vaatimusten (artiklat 9–15 ja 17) ja luvun 5 vaatimustenmukaisuuden arviointimenettelyjen välillä. Sitä tulisi lukea yhdessä artiklan 41 kanssa, joka mahdollistaa komission hyväksymät yhteiset eriteltyihin vaatimukset vaihtoehtona silloin, kun yhdenmukaistetut standardit puuttuvat tai ovat riittämättömiä. Artikla 43 säätelee vaatimustenmukaisuuden arviointimenettelyjä, joissa artiklan 40 luomaa olettamaa sovelletaan, ja artikla 44 kattaa tarkastuslaitosten roolin kolmansien osapuolten arvioinneissa.

Artikla liittyy myös artiklaan 11 ja liitteeseen IV teknisestä dokumentaatiosta, koska todisteet standardin soveltamisesta on sisällytettävä tekniseen tiedostoon, sekä artiklaan 17 laadunhallintajärjestelmistä, joihin on sisällytettävä prosessit asiaankuuluvien standardien tunnistamiseksi ja soveltamiseksi. Artikla 48, joka kattaa EU-vaatimustenmukaisuusvakuutuksen, on alavirtainen väline, jolla palveluntarjoaja muodollisesti vakuuttaa artiklan 40 mukaisen vaatimustenmukaisuusolettaman. GPAI-mallien palveluntarjoajille standardointi käsitellään erikseen osaston VIII mukaisesti; artikla 40 koskee erityisesti osaston III mukaisia suuririskisiä tekoälyjärjestelmiä.

Vaatimustenmukaisuuden aikataulu

Artikla 40 tuli voimaan 1. elokuuta 2024, jolloin EU:n tekoälylaki julkaistiin Euroopan unionin virallisessa lehdessä ja siitä tuli sitova laki. Sen käytännön soveltaminen on kuitenkin sidottu velvoitteiden vaiheistettuun käyttöönottoon:

• Elokuu 2024: Laki tulee voimaan; standardointitoimeksiannot CENille, CENELECille ja ETSIlle alkavat tai kiihtyvät.
• Helmikuu 2025: Artiklan 5 mukaiset kielletyt tekoälykäytännöt tulevat sovellettaviksi; artikla 40 ei ole suoraan mukana tässä vaiheessa.
• Elokuu 2025: Osaston VIII mukaiset GPAI-mallien velvoitteet tulevat sovellettaviksi; artikla 40 koskee edelleen erityisesti suuririskisiä tekoälyjärjestelmiä eikä koske GPAI-standardeja.
• Joulukuu 2026: Liitteessä III lueteltujen suuririskisten tekoälyjärjestelmien (muiden kuin liitteen I tuotelainsäädännön kattamien) on noudatettava osaston III vaatimuksia. Palveluntarjoajien tulisi olla tunnistaneet ja soveltaneet asiaankuuluvia yhdenmukaistettuja standardeja tähän päivämäärään mennessä; kun julkaistuja standardeja on saatavilla, niihin perustuvat vaatimustenmukaisuuden arvioinnit on saatettava päätökseen.
• Elokuu 2027: Liitteen I alakohtaisen lainsäädännön (lääkinnälliset laitteet, koneet, ilmailu jne.) piiriin kuuluviin tuotteisiin sisällytettyjen suuririskisten tekoälyjärjestelmien on noudatettava vaatimuksia. Yhdenmukaistettujen standardien täyden kattavuuden odotetaan olevan kehittyneempi tähän päivämäärään mennessä, vaikka palveluntarjoajien ei pidä olettaa täydellistä kattavuutta ja heidän on suunniteltava puutteiden varalta.

Palveluntarjoajia kehotetaan vahvasti seuraamaan komission standardointipyyntöjä ja CEN-CENELECin yhteisen teknisen komitean JTC 21 (tekoälystandardoinnin yhteinen tekninen komitea) työohjelmia ennakoiden, mitkä standardit ovat saatavilla ja milloin, jotta vaatimustenmukaisuuden aikataulut voidaan suunnitella vastaavasti.