Artikla 43 — Vaatimustenmukaisuuden arviointi (EU:n tekoälylaki)

Asetuksen (EU) 2024/1689 artikla 43 — Vaatimustenmukaisuuden arviointi. Virallinen teksti, käytännön tulkinta, keskeiset velvoitteet ja vaatimustenmukaisuuden vaikutukset.

Virallisen tekstin yhteenveto

Asetuksen (EU) 2024/1689 artikla 43 vahvistaa vaatimustenmukaisuuden arviointimenettelyt, joita korkean riskin tekoälyjärjestelmien tarjoajien on noudatettava ennen järjestelmän markkinoille saattamista tai käyttöön ottamista Euroopan unionissa.

Liitteessä I lueteltujen unionin yhdenmukaistamislainsäädännön alaisten korkean riskin tekoälyjärjestelmien osalta — kuten konedirektiivin, lääkinnällisiä laitteita koskevan asetuksen tai siviili-ilmailun turvallisuussääntöjen alaisten tuotteiden osalta — sovelletaan kyseisen alakohtaisen lainsäädännön mukaista vaatimustenmukaisuuden arviointimenettelyä, täydennettynä tekoälylain osaston III luvun 2 vaatimuksilla. Jos alakohtainen lainsäädäntö ei edellytä kolmannen osapuolen osallistumista, tarjoajan on noudatettava tekoälylain liitteessä VI säädettyä sisäistä valvontamenettelyä.

Liitteessä III lueteltujen korkean riskin tekoälyjärjestelmien osalta artikla 43 tarjoaa kaksi vaihtoehtoa. Oletuksena tarjoajat noudattavat liitteen VI sisäistä valvontamenettelyä. Jos järjestelmä kuitenkin käsittää luonnollisten henkilöiden reaaliaikaisen tai jälkikäteisen etäbiometrisen tunnistamisen (lukuun ottamatta niitä, jotka on suljettu pois artiklan 6(3) nojalla), tai jos yhtään kaikkia asiaa koskevia vaatimuksia kattavaa yhdenmukaistettua standardia ei ole olemassa eikä yhteistä eritelmää ole hyväksytty, arvioinnin on suoritettava ilmoitettu laitos liitteen VII mukaisesti.

Kaikki korkean riskin tekoälyjärjestelmät, jotka läpikäyvät olennaisen muutoksen EU:n vaatimustenmukaisuusvakuutuksen tai sertifikaatin saamisen jälkeen, on alistettava uudelle vaatimustenmukaisuuden arvioinnille. Artiklassa vahvistetaan myös, että ilmoitetut laitokset on ilmoitettava komissiolle ja jäsenvaltioiden viranomaisille ennen arviointien suorittamista, ja myönnetyt sertifikaatit pysyvät voimassa, ellei niitä peruuteta.

Käytännön merkitys

Useimmille liitteessä III lueteltujen korkean riskin tekoälyjärjestelmien tarjoajille — jotka kattavat muun muassa työnhakijoiden seulonnan, koulutuksen, luottoluokituksen, kriittisen infrastruktuurin hallinnan ja oikeudenhoidon — artikla 43 tarkoittaa, että sisäinen itsearviointi on oletus vaatimustenmukaisuusreittinä. Tarjoajan laadunhallintajärjestelmän, teknisen dokumentaation ja vaatimustenmukaisuustietueiden on oltava kunnossa ennen vaatimustenmukaisuusvakuutuksen allekirjoittamista ja CE-merkinnän kiinnittämistä. Ulkoista tarkastajaa ei tarvita, ellei järjestelmä kuulu johonkin niistä luokista, jotka edellyttävät ilmoitetun laitoksen osallistumista.

Tarjoajille, joiden järjestelmät kuuluvat liitteen I alakohtaisen lainsäädännön soveltamisalaan — esimerkiksi luokan IIb lääkinnälliseen laitteeseen sisällytetyn tai turvallisuuskriittisessä ilmailulaitteistossa käytettävän tekoälyjärjestelmän osalta — tekoälylain vaatimustenmukaisuuden arviointi kerrostuu jo sovellettavan alakohtaisen menettelyn päälle. Käytännössä tämä tarkoittaa yhteistyötä lääkinnällisiä laitteita koskevan asetuksen nojalla jo nimetyn ilmoitetun laitoksen tai asiaankuuluvan ilmailuviranomaisen kanssa, varmistaen että kyseinen laitos on pätevä arvioimaan myös tekoälykohtaisia vaatimuksia.

Artiklan 43 tärkein operatiivinen käynnistin on vaatimus toistaa vaatimustenmukaisuuden arviointi olennaisen muutoksen jälkeen. Kehitystiimien ja tuotepäälliköiden on siksi sisällytettävä virallinen muutostenhallintaportaali tekoälyn kehityselinkaareen: jokainen päivitys, joka muuttaa järjestelmän käyttötarkoitusta, suorituskykyominaisuuksia tai riskiprofiilia, on arvioitava olennaisen muutoksen määritelmää vasten ennen käyttöönottoa.

Maahantuojat ja jakelijat eivät itse ole vastuussa vaatimustenmukaisuuden arvioinnin suorittamisesta, mutta niiden on varmistettava, että tarjoaja on suorittanut menettelyn ja että dokumentaatio on saatavilla. Säännellyillä sektoreilla toimivien käyttäjien tulisi pyytää vahvistus sovellettavasta arviointireitistä osana toimittajan due diligence -prosessia.

Keskeiset velvoitteet

• Valitse oikea arviointireitti: Tarjoajien on määritettävä, kuuluuko heidän korkean riskin tekoälyjärjestelmänsä liitteen I alakohtaisen lainsäädännön vai liitteen III soveltamisalaan, ja sovellettava vastaavaa menettelyä (sisäinen valvonta liitteen VI nojalla tai ilmoitetun laitoksen arviointi liitteen VII nojalla, jos vaaditaan).
• Suorita arviointi ennen markkinoille saattamista: Vaatimustenmukaisuuden arviointi on suoritettava loppuun ja EU:n vaatimustenmukaisuusvakuutus allekirjoitettava ennen kuin järjestelmä saatetaan unionin markkinoille tai otetaan käyttöön — ei jälkikäteen.
• Ota mukaan ilmoitettu laitos tarvittaessa: Järjestelmät, joihin liittyy reaaliaikainen etäbiometrinen tunnistaminen lainvalvontaa varten, tai joiden osalta ei ole olemassa sovellettavaa yhdenmukaistettua standardia eikä yhteinen eritelmä kata kaikkia vaatimuksia, edellyttävät akkreditoidun ilmoitetun laitoksen suorittamaa kolmannen osapuolen arviointia.
• Yhdennetään tekoälyarviointi alakohtaisiin menettelyihin: Liitteen I tuotteiden osalta tekoälykohtainen vaatimustenmukaisuuden arviointi on sovitettava yhteen — ja mahdollisuuksien mukaan sisällytettävä — olemassa olevaan alakohtaiseen vaatimustenmukaisuuden arviointiin käyttäen samaa ilmoitettua laitosta, jos se on pätevä.
• Uudelleenarviointi olennaisen muutoksen jälkeen: Jokainen olennainen muutos korkean riskin tekoälyjärjestelmään, joka on jo läpäissyt vaatimustenmukaisuuden arvioinnin, käynnistää pakollisen uuden arvioinnin ennen kuin muutettua järjestelmää voidaan ottaa käyttöön tai saattaa markkinoille.
• Ylläpidä dokumentaatiota jälkimarkkinavalvontaa varten: Tarjoajien on säilytettävä tekninen dokumentaatio, laadunhallintaa koskevat tietueet ja vaatimustenmukaisuusvakuutus kymmenen vuoden ajan järjestelmän markkinoille saattamisesta, ja asetettava ne kansallisten toimivaltaisten viranomaisten saataville pyynnöstä.

Suhde muihin artikloihin

Artiklaa 43 ei voida lukea erillään. Se on artikloissa 8–15 (osaston III luku 2) asetettujen aineellisten vaatimusten menettelyllinen ilmaus, jotka määrittelevät tekniset ja hallinnolliset standardit, jotka korkean riskin tekoälyjärjestelmien on täytettävä — mukaan lukien riskienhallinta, tiedon hallinta, avoimuus, ihmisten valvonta, tarkkuus ja kyberturvallisuuden kestävyys. Mitä korkean riskin tekoälyjärjestelmän käsite pitää sisällään — ja mikä siten käynnistää artiklan 43 — määritellään artiklassa 6 yhdessä liitteiden I ja III kanssa.

Artiklassa 43 viitattu sisäinen valvontamenettely on kuvattu yksityiskohtaisesti liitteessä VI, kun taas ilmoitetun laitoksen menettely on esitetty liitteessä VII. Artikla 44 koskee ilmoitettujen laitosten liitteen VII arvioinnin jälkeen myöntämiä sertifikaatteja, mukaan lukien keskeyttämis- ja peruuttamisehdot. Artikla 45 käsittelee ilmoitettujen laitosten velvoitteita arvioinnin aikana. Artikla 47 kattaa EU:n vaatimustenmukaisuusvakuutuksen, joka tarjoajien on laadittava menettelyn suorittamisen jälkeen. Artikla 48 kytkee vaatimustenmukaisuuden arvioinnin suorittamisen oikeuteen kiinnittää CE-merkintä artiklan 49 nojalla.

Tarjoajien, joiden järjestelmät myös täyttävät systeemistä riskiä aiheuttavien yleiskäyttöisten tekoälymallien kriteerit, on harkittava osaston VIII velvoitteiden vuorovaikutusta artiklan 43 kanssa.

Vaatimustenmukaisuuden aikataulu

Asetus (EU) 2024/1689 tuli voimaan 1. elokuuta 2024, kaksikymmentä päivää sen jälkeen kun se julkaistiin Euroopan unionin virallisessa lehdessä 12. heinäkuuta 2024.

Artikla 43 ei tule sovellettavaksi välittömästi kaikkiin korkean riskin tekoälyjärjestelmiin. Artiklan 113 mukainen vaiheistettu soveltamisaikataulu tarkoittaa, että:

• 2. helmikuuta 2025 — Kiellettyihin tekoälykäytäntöihin (osasto II) kohdistuvat kiellot tulivat sovellettaviksi. Artikla 43 ei ollut vielä voimassa.
• 2. elokuuta 2025 — Yleiskäyttöisten tekoälymallien velvoitteet (osasto VIII) tulivat sovellettaviksi. Artiklan 43 mukaiset vaatimustenmukaisuuden arviointivelvoitteet eivät olleet vielä voimassa useimmille korkean riskin järjestelmille.
• 2. elokuuta 2026 — Artikla 43 tulee täysimääräisesti sovellettavaksi liitteessä III lueteltujen korkean riskin tekoälyjärjestelmien tarjoajiin (itsenäiset korkean riskin tekoälyjärjestelmät muun muassa biometriikan, työllistymisen, koulutuksen ja kriittisen infrastruktuurin aloilla).
• 2. elokuuta 2027 — Määräaika, johon mennessä velvoitteet, mukaan lukien vaatimustenmukaisuuden arviointi, koskevat liitteessä I oleviin tuotteisiin sisällytettyjä korkean riskin tekoälyjärjestelmiä, joihin sovelletaan unionin yhdenmukaistamislainsäädäntöä ja jotka on saatettu markkinoille ennen elokuuta 2026.

Tarjoajien tulisi käsitellä elokuun 2026 määräaikaa operatiivisena vaatimustenmukaisuuspäivänä sisäistä suunnittelua varten, varmistaen että laadunhallintajärjestelmät, tekninen dokumentaatio ja arviointimenettelyt ovat toiminnassa hyvissä ajoin ennen sitä.