Artikla 60 — Korkeariskisten tekoälyjärjestelmien testaaminen todellisissa olosuhteissa tekoälyn sääntelyhiekkalaatikoiden ulkopuolella (EU:n tekoälylaki)

Asetus (EU) 2024/1689 artikla 60 — Korkeariskisten tekoälyjärjestelmien testaaminen todellisissa olosuhteissa tekoälyn sääntelyhiekkalaatikoiden ulkopuolella. Virallinen teksti, käytännön tulkinta, keskeiset velvoitteet ja vaatimustenmukaisuuden vaikutukset.

Virallisen tekstin yhteenveto

Asetus (EU) 2024/1689 artikla 60 vahvistaa edellytykset, joiden nojalla korkeariskisten tekoälyjärjestelmien tarjoajat ja tulevat tarjoajat voivat suorittaa testausta todellisissa olosuhteissa artiklojen 57–59 mukaisten tekoälyn sääntelyhiekkalaatikoiden jäsennellyn kehyksen ulkopuolella. Tämä säännös tunnustaa, että korkeariskisten tekoälyjärjestelmien mielekäs arviointi edellyttää usein altistumista todellisille toimintaympäristöille, samalla kun ylläpidetään riskejä vastaavia suojatoimia.

Artikla edellyttää, että hiekkalaatikoiden ulkopuolella tapahtuva testaus suoritetaan vain, kun joukko kumulatiivisia edellytyksiä täyttyy. Tarjoajan tai tulevan tarjoajan on toimitettava ilmoitus toimivaltaiselle kansalliselle viranomaiselle vähintään 30 päivää ennen testauksen aloittamista. Ilmoitukseen on sisällyttävä testaussuunnitelma, jossa kuvataan laajuus, kesto, maantieteellinen alue, osallistuvien henkilöiden kategoriat ja käytössä olevat riskinhallintamenettelyt.

Koehenkilöiden tietoinen suostumus on keskeinen vaatimus. Kun tekoälyjärjestelmä on vuorovaikutuksessa tunnistettavien luonnollisten henkilöiden kanssa tai tekee heitä koskevia päätöksiä, näille henkilöille on ilmoitettava osallistumisestaan ja heidän on suostuttava siihen nimenomaisesti, ellei sovellettava alakohtainen lainsäädäntö salli toisin. Testaus ei saa ylittää sitä, mikä on ehdottomasti tarpeen asetettujen tavoitteiden saavuttamiseksi, eikä se saa altistaa koehenkilöitä hyväksymättömälle riskille tai haitalle.

Artikla edellyttää lisäksi, että testaus suoritetaan tarjoajan valvonnassa, tulokset kirjataan ja testauksen aikana ilmenevistä vakavista poikkeamista ilmoitetaan toimivaltaiselle viranomaiselle. Jäsenvaltiot säilyttävät mahdollisuuden sallia tai kieltää testaustoiminta alueellaan ja voivat asettaa lisäedellytyksiä.

Mitä tämä tarkoittaa käytännössä

Artikla 60 koskee ensisijaisesti organisaatioita, jotka kehittävät tai ottavat käyttöön korkeariskisiä tekoälyjärjestelmiä — kuten ne on määritelty asetuksen artiklan 6 ja liitteen III nojalla — ja joiden on validoitava järjestelmän suorituskyky- tai turvallisuusominaisuudet todellisissa toimintaympäristöissä ennen virallista vaatimustenmukaisuuden arviointia tai sen rinnalla. Tähän kuuluu esimerkiksi sairaala, joka pilotoi tekoälyavusteista diagnostiikkatyökalua reaalisessa kliinisessä ympäristössä, tai rahoituslaitos, joka testaa luottokelpoisuusmallia todellisilla hakijoilla valvotun hiekkalaatikon ulkopuolella.

Käytännössä vaatimustenmukaisuus tarkoittaa sisäisen prosessin luomista todellisissa olosuhteissa tehtävien testausten hallintaan siten, että se heijastaa artiklan velvoitteita. Ennen testauksen aloittamista organisaation on laadittava jäsennelty testaussuunnitelma, varmistettava, että kaikki suostumusmekanismit ovat paikallaan, ja toimitettava vaadittava ilmoitus toimivaltaiselle viranomaiselle vähintään 30 päivää etukäteen — jättäen viranomaiselle riittävästi aikaa esittää vastalauseita tai asettaa ehtoja.

Testauksen aikana organisaation on ylläpidettävä aktiivista inhimillistä valvontaa, dokumentoitava kaikki olennaiset poikkeamat ja oltava valmis keskeyttämään testaus välittömästi, jos riskit ylittävät ennakoidun tason. Testauksen aikana kerättyihin tietoihin sovelletaan edelleen sovellettavia GDPR-velvoitteita, ja erityisten henkilötietokategorioiden käsittely edellyttää erityistä oikeusperustaa.

Organisaatioiden on myös varmistettava, että niiden sopimukset käyttöönottajien tai kolmansien osapuolten testausoperaattoreiden kanssa jakavat selkeästi vastuun artiklan 60 ehtojen noudattamisesta, koska velvoite on ensisijaisesti tarjoajalla tai tulevalla tarjoajalla riippumatta siitä, kuka testauksen fyysisesti suorittaa. Sisäiset hallintokehykset — mukaan lukien nimetty vastuuhenkilö ja dokumentoitu riskikirjanpito testausta varten — ovat vahvasti suositeltavia.

Keskeiset velvoitteet

• Ennakkoilmoitus: Toimita testaussuunnitelma asianomaiselle kansalliselle toimivaltaiselle viranomaiselle vähintään 30 päivää ennen todellisissa olosuhteissa tehtävän testauksen aloittamista, kattaen laajuuden, keston, sijainnin, koehenkilöiden kategoriat ja riskinhallintamenettelyt.
• Tietoinen suostumus: Hanki nimenomainen tietoinen suostumus kaikilta testaukseen osallistuvilta tai siitä vaikutusten alaisiksi joutuvista luonnollisista henkilöistä ja ilmoita heille heidän ehdottomasta oikeudestaan vetäytyä milloin tahansa ilman haittaa.
• Riskin suhteellisuus: Varmista, että testaustoiminta ei ylitä sitä, mikä on ehdottomasti tarpeen asetetun tavoitteen saavuttamiseksi, eikä altista koehenkilöitä tai kolmansia osapuolia riskeille, jotka ylittävät odotetut hyödyt.
• Valvonta ja dokumentaatio: Ylläpidä aktiivista valvontaa testauksen suhteen, pidä kirjaa testaussuunnitelmasta, tuloksista sekä kaikista poikkeamista tai tapahtumista testausjakson aikana.
• Poikkeamista ilmoittaminen: Ilmoita ilman aiheetonta viivytystä kaikista vakavista poikkeamista, jotka ilmenevät todellisissa olosuhteissa tehtävän testauksen aikana, toimivaltaiselle viranomaiselle ja ryhdy välittömiin korjaaviin toimenpiteisiin vahingon lieventämiseksi.
• EU:n tietokantaan rekisteröinti: Rekisteröi todellisissa olosuhteissa tehtävä testaustoimi artiklan 71 nojalla perustetussa EU:n korkeariskisiä tekoälyjärjestelmiä koskevassa tietokannassa ennen testauksen aloittamista.

Suhde muihin artikloihin

Artikla 60 on osa VI osastoa (Innovaatiota tukevat toimenpiteet) ja se on luettava yhdessä artiklojen 57–59 kanssa, jotka luovat ensisijaisen kehyksen tekoälyn sääntelyhiekkalaatikoille. Artikla 60 toimii täydentävänä väylänä testaukselle, joka ei tapahdu virallisen hiekkalaatikon puitteissa, mutta se ei korvaa eikä alenna III osaston mukaisia aineellisia turvallisuus- ja avoimuusvelvoitteita, joita sovelletaan korkeariskisiin tekoälyjärjestelmiin (erityisesti artiklat 8–15 tarjoajan velvoitteista, riskienhallinnasta ja teknisestä dokumentaatiosta).

Artiklan 60 suostumusta ja tietosuojaa koskevat vaatimukset liittyvät suoraan asetukseen (EU) 2016/679 (GDPR), erityisesti artikloihin 6, 9 ja 22 lainmukaisesta käsittelystä ja automatisoidusta päätöksenteosta. Artikla 60 liittyy myös artiklaan 71 EU:n tietokannasta, joka säätelee rekisteröintivelvoitteita, sekä artiklaan 73 markkinavalvonnasta, koska toimivaltaiset viranomaiset voivat tarkastaa todellisissa olosuhteissa tehtäviä testauksia. Tarjoajien on lisäksi otettava huomioon artikla 26 käyttöönottajien velvoitteista, koska todellisissa olosuhteissa tehtävään testaukseen liittyy usein käyttöönottajan puolen infrastruktuuria ja tietoja.

Vaatimustenmukaisuuden aikataulu

EU:n tekoälylaki tuli voimaan 1. elokuuta 2024, kaksikymmentä päivää sen julkaisemisen jälkeen Euroopan unionin virallisessa lehdessä. Sen säännöksiä sovelletaan vaiheistettuna:

• 2. helmikuuta 2025 — Hyväksymättömän riskin tekoälykäytäntöjä koskevat kiellot (artikla 5) tulivat sovellettaviksi.
• 2. elokuuta 2025 — Yleiskäyttöisiä tekoälymalleja koskevat säännökset (III osasto, 3 luku, artiklat 51–56) ja hallintavelvoitteet (VI ja VIII osasto osittain) tulivat sovellettaviksi. Myös artiklojen 57–59 mukainen sääntelyhiekkalaatikkokehys tuli sovellettavaksi tästä päivästä lähtien.
• 2. elokuuta 2026 — Useimpien jäljellä olevien säännösten, mukaan lukien artiklan 60, yleinen soveltamispäivä. Tästä päivästä lähtien korkeariskisten tekoälyjärjestelmien tarjoajien ja tulevien tarjoajien, jotka haluavat suorittaa todellisissa olosuhteissa tehtävää testausta hiekkalaatikoiden ulkopuolella, on noudatettava täysimääräisesti tämän artiklan mukaisia ilmoitus-, suostumus-, dokumentaatio- ja poikkeamailmoitusvelvoitteita.
• 2. elokuuta 2027 — Pidennetty määräaika korkeariskisille tekoälyjärjestelmille, jotka kuuluvat liitteen III 2 kohdan piiriin (tekoälyjärjestelmät olemassa olevissa tuotteissa, joihin sovelletaan jo liitteessä I lueteltua unionin yhdenmukaistamislainsäädäntöä), antaen asianomaisille aloille lisäaikaa vaatimustenmukaisuuden arviointi- ja toimintavaatimusten täyttämiseen.

Organisaatioiden, jotka suunnittelevat todellisissa olosuhteissa tehtäviä testausohjelmia, on ryhdyttävä suunnittelemaan vaatimustenmukaisia testauksen hallintakehyksiä ja ilmoitusmenettelyjä hyvissä ajoin ennen 2. elokuuta 2026, jotta vältytään viivästyksiltä velvoitteen tullessa täytäntöönpanokelpoiseksi.