Asetuksen (EU) 2024/1689 artikla 73 — Vakavien poikkeamien raportointi. Virallinen teksti, käytännön tulkinta, keskeiset velvoitteet ja vaatimustenmukaisuuden vaikutukset.
Virallisen tekstin yhteenveto
Asetuksen (EU) 2024/1689 (EU:n tekoälysäädös) artikla 73 vahvistaa pakollisen vakavan poikkeaman raportointivelvoitteen unionin markkinoilla saataville asetettujen korkean riskin tekoälyjärjestelmien tarjoajille. Tämän säännöksen nojalla tarjoajien on raportoitava kaikista vakavista poikkeamista sen jäsenvaltion markkinavalvontaviranomaiselle, jossa poikkeama on tapahtunut, ilman aiheetonta viivytystä ja artiklan määrittämissä aikatauluissa.
Artikla määrittää tiedot, jotka raportissa on oltava: kuvaus poikkeamasta, asianomaisena oleva korkean riskin tekoälyjärjestelmä, aiheutuneen tai uhanneen haitan luonne, toteutetut tai suunnitellut korjaavat toimenpiteet sekä asiaankuuluva tekninen dokumentaatio. Siellä missä tarjoaja ei ole sijoittautunut unioniin, valtuutettu edustaja ottaa vastuun raportoinnista.
Artikla 73 säätää edelleen, että siellä missä vakava poikkeama kuuluu samanaikaisesti muiden unionin lainsäädäntöinstrumenttien soveltamisalaan — kuten lääkinnällisiä laitteita koskeva asetus (EU) 2017/745 tai lainvalvonnan tietojenkäsittelyä koskeva direktiivi 2016/680 — tarjoaja voi toimittaa yhden ilmoituksen tarkoituksenmukaisimman ilmoituskanavan kautta, edellyttäen että kaikkien sovellettavien instrumenttien kaikki tietovaatimukset täytetään. Markkinavalvontaviranomaisten on jaettava poikkeamatiedot Euroopan tekoälytoimiston ja muiden jäsenvaltioiden viranomaisten kanssa siellä missä samaa järjestelmää käytetään, varmistaen unioninlaajuinen tilannetietoisuus.
Mitä tämä tarkoittaa käytännössä
Jokaiselle organisaatiolle, joka asettaa korkean riskin tekoälyjärjestelmän EU:n markkinoille — oli kyse sitten alkuperäisestä kehittäjästä, maahantuojasta tai valtuutetusta edustajasta — artikla 73 luo elävän operatiivisen velvoitteen, joka aktivoituu heti kun vakava poikkeama havaitaan.
Käytännön vaatimustenmukaisuus edellyttää kolmea rinnakkaista toimintahaaraa. Ensimmäinen on sisäinen havaitseminen: organisaatioilla on oltava valvontajärjestelmät, lokikirjausinfrastruktuuri ja poikkeamien triaasin prosessit, jotka kykenevät tunnistamaan tapahtumat, jotka täyttävät artiklan 3 kohdassa 49 määritellyn vakavan poikkeaman kynnyksen. Luottopisteytykseen käytettävässä tekoälyssä tapahtuva anomalia, joka aiheuttaa syrjivän lainapäätöksen laajassa mittakaavassa, tai tekoälypohjaisen lääketieteellisen diagnostiikkatyökalun toimintahäiriö, joka myötävaikuttaa virheelliseen diagnoosiin, täyttäisivät molemmat todennäköisesti tämän kynnyksen.
Toinen on ilmoittaminen: kun poikkeama on tunnistettu, kello alkaa käydä. 72 tunnin ikkuna koskee tapauksia, joissa henki tai turvallisuus on välittömässä vaarassa; 15 päivän ikkuna koskee muita tapauksia. Organisaatioilla on oltava valmiiksi laaditut ilmoitusmallit, nimetyt raportointiyhdyshenkilöt laadunhallintajärjestelmissään (QMS) sekä selkeys siitä, millä kansallisella markkinavalvontaviranomaisella on toimivalta — yleensä määritetään sen mukaan, missä asianomaisena oleva käyttöönottaja tai käyttäjä on sijoittautunut.
Kolmas on seuranta: alkuperäinen ilmoitus on harvoin lopullinen. Viranomaiset pyytävät täydentäviä tietoja, teknisiä lokeja ja juurisyyanalyysiä. Tarjoajien tulisi ylläpitää poikkeamarekisteriä ja dokumentoida kaikki toteutetut korjaavat toimet.
Lääketieteellistä kuvantamistekoälyjärjestelmää Saksassa ja Ranskassa käyttöön ottavan yrityksen on oltava valmis ilmoittamaan Bundesnetzagenturille (tai Saksan nimetylle toimivaltaiselle viranomaiselle) ja vastaavalle ranskalaiselle viranomaiselle samanaikaisesti, jos poikkeamia tapahtuu molemmissa lainkäyttöalueissa. Euroopan tekoälytoimisto vastaanottaa konsolidoituja tietoja rajat ylittävien mallien seurantaan.
Keskeiset velvoitteet
- Välitön ilmoitus: Ilmoita vakavista poikkeamista asianomaiselle jäsenvaltion markkinavalvontaviranomaiselle ilman aiheetonta viivytystä — 72 tunnin kuluessa siellä missä henki tai turvallisuus on vaarassa, ja viimeistään 15 päivän kuluessa muissa tapauksissa.
- Raportin aineellinen sisältö: Sisällytä kuvaus poikkeamasta, tekoälyjärjestelmän tunnistaminen, haitan luonne ja laajuus, toteutetut tai suunnitellut korjaavat toimenpiteet sekä viittaukset artiklan 11 nojalla ylläpidettyyn asiaankuuluvaan tekniseen dokumentaatioon.
- Valtuutetun edustajan velvollisuus: Siellä missä tarjoaja on sijoittautunut EU:n ulkopuolelle, artiklan 22 nojalla nimetty valtuutettu edustaja on vastuussa poikkeamailmoituksen toimittamisesta tarjoajan puolesta.
- Instrumenttienvälinenkoordinaatio: Siellä missä poikkeama käynnistää myös raportointivelvoitteet muun unionin lainsäädännön nojalla (esim. MDR, NIS2, DORA), tarjoaja voi konsolidoida ilmoitukset edellyttäen, että kaikkien sääntelyllisten tietovaatimusten täyttäminen on varmistettu kokonaisuudessaan.
- Viranomaisten välinen tiedonjako: Raportin vastaanottavien markkinavalvontaviranomaisten on jaettava se Euroopan tekoälytoimistolle ja ilmoitettava muiden jäsenvaltioiden viranomaisille, joissa samaa järjestelmää käytetään, mahdollistaen koordinoidun unionitason reagoinnin.
- Poikkeamarekisterin ylläpito: Tarjoajien on ylläpidettävä kirjauksia kaikista vakavista poikkeamista ja läheltä piti -tilanteista osana artiklan 72 mukaisia jälkimarkkinaseurantavelvoitteitaan, varmistaen jäljitettävyys ja tarkastusvalmiuden.
Suhde muihin artikloihin
Artiklaa 73 ei voida lukea eristyksissä. Se on ilmoitusmekanismi, joka operationalisoi laajemman artiklassa 72 vahvistetun jälkimarkkinaseurantakehyksen, joka edellyttää tarjoajilta jatkuvien valvontajärjestelmien ja poikkeamalokikirjauksen ylläpitoa osana laadunhallintajärjestelmäänsä. QMS itse on artiklan 17 ohjaama, jossa vahvistetaan dokumentaatio- ja prosessivaatimukset, jotka ovat minkä tahansa uskottavan poikkeamailmoituksen perusta.
Artiklan 3 kohdassa 49 oleva "vakavan poikkeaman" määritelmä on artiklan 73 velvoitteiden kynnystekijä, ja artiklan 6 ja Liitteen III mukainen "korkean riskin tekoälyjärjestelmän" soveltamisala määrittää, mitkä järjestelmät kuuluvat artiklan soveltamisalaan. Artikla 22 sääntelee valtuutettuja edustajia ja siihen viitataan suoraan EU:n ulkopuolisten tarjoajien osalta.
Markkinavalvonnan tasolla artikla 73 syöttää laajempaan artiklojen 74–77 (markkinavalvontavaltuudet, tietoihin pääsy ja korjaavat toimenpiteet) valvonta-arkkitehtuuriin. Artikla 78 sääntelee viranomaisten välillä jaettujen tietojen luottamuksellisuutta. Systeemiriskiä aiheuttaville yleiskäyttöisille tekoälymalleille artikla 55 asettaa rinnakkaiset poikkeamaraportointivelvoitteet, jotka ovat vuorovaikutuksessa artiklan 73 kanssa silloin kun tällaiset mallit on integroitu korkean riskin sovelluksiin.
Vaatimustenmukaisuuden aikataulu
EU:n tekoälysäädös tuli voimaan 1. elokuuta 2024, kaksikymmentä päivää sen jälkeen kun se julkaistiin Euroopan unionin virallisessa lehdessä. Sen säännöksiä sovelletaan kuitenkin vaiheittain:
- 2. helmikuuta 2025: Hyväksymättömän riskin tekoälykäytäntöjen kiellot (II osasto) tulivat sovellettaviksi.
- 2. elokuuta 2025: Yleiskäyttöisiä tekoälymalleja koskevat velvoitteet (VIII osasto, mukaan lukien artiklan 55 systeemiriskiraportointivelvoitteet) tulivat sovellettaviksi. Euroopan tekoälytoimisto ja hallintarakenteet tulivat toiminnallisiksi.
- 2. elokuuta 2026: Liitteessä III lueteltuihin korkean riskin tekoälyjärjestelmiin sovellettavat säännöt, jotka eivät ole olemassa olevan unionin yhdenmukaistamislainsäädännön sääntelemien tuotteiden turvakomponentteja, tulevat sovellettaviksi — Artiklan 73 poikkeamaraportointi tulee täysin voimaan näille järjestelmille tänä päivänä.
- 2. elokuuta 2027: Korkean riskin tekoälyjärjestelmiä koskevat säännöt, jotka ovat jo olemassa olevan unionin yhdenmukaistamislainsäädännön (esim. lääkinnälliset laitteet, koneet) kattamien tuotteiden turvakomponentteja, tulevat sovellettaviksi, saattaen päätökseen vaiheittaisen käyttöönoton.
Organisaatioiden, jotka ottavat käyttöön korkean riskin tekoälyjärjestelmiä joulukuun 2026 / elokuun 2027 päivämäärien soveltamisalassa, tulisi kohdella vuosia 2025–2026 vaatimustenmukaisuuden rakentamisajanjaksona: jälkimarkkinaseurantainfrastruktuurin toteuttaminen, poikkeamavastausmenettelyjen luonnostelu sekä ilmoitustyönkulkujen stressitestaaminen hyvissä ajoin ennen artiklan 73 velvoitteiden aktivoitumista.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
EU:n markkinoille saatettavien korkean riskin tekoälyjärjestelmien tarjoajat ovat ensisijaisia raportointivelvollisia artiklan 73 nojalla. Siellä missä tarjoaja on sijoittautunut EU:n ulkopuolelle, valtuutettu edustaja kantaa raportointivelvollisuuden tarjoajan puolesta. Julkisina viranomaisina tai unionin instituutioina toimivat käyttöönottajat voivat myös olla raportointivelvollisia, jos he saavat tietää vakavasta poikkeamasta.
Vakava poikkeama on määritelty asetuksen (EU) 2024/1689 artiklan 3 kohdassa 49 poikkeamaksi tai korkean riskin tekoälyjärjestelmän toimintahäiriöksi, joka johtaa suoraan tai välillisesti henkilön kuolemaan tai vakavaan vahinkoon henkilön terveydelle, omaisuudelle tai ympäristölle, taikka kriittisen infrastruktuurin vakavaan ja peruuttamattomaan häiriöön. Myös läheltä piti -tilanteet, jotka olisivat voineet johtaa tällaisiin seurauksiin, voivat käynnistää raportoinnin riippuen kansallisen markkinavalvontaviranomaisen ohjeistuksesta.
Tarjoajien on ilmoitettava asiaankuuluvalle markkinavalvontaviranomaiselle välittömästi saatuaan tietää vakavasta poikkeamasta ja viimeistään 15 päivän kuluessa siitä kun he ovat ensimmäisen kerran saaneet tietää asiasta. Siellä missä poikkeama aiheuttaa riskin henkilöiden hengelle tai turvallisuudelle, ilmoitus on tehtävä ilman aiheetonta viivytystä ja mahdollisuuksien mukaan viimeistään 72 tunnin kuluessa siitä kun tarjoaja on saanut tietää asiasta.
Raportti on toimitettava sen jäsenvaltion markkinavalvontaviranomaiselle, jossa poikkeama on tapahtunut tai jossa vaikutuksen kohteena oleva käyttäjä on sijoittautunut. Euroopan unionin kyberturvallisuusvirasto (ENISA) toimii tiettyjä infrastruktuuriin liittyviä poikkeamia koskevana keskustietovarantona, ja Euroopan tekoälytoimisto koordinoi tiedonkulkua unionin tasolla.
Ei. Artiklaa 73 sovelletaan erityisesti artiklan 6 mukaisiin korkean riskin tekoälyjärjestelmiin ja Liitteessä III lueteltuihin järjestelmiin sekä systeemiriskiä aiheuttaviin yleiskäyttöisiin tekoälymalleihin siltä osin kuin vakavat poikkeamat johtuvat niiden integraatiosta korkean riskin sovelluksiin. Matalan riskin ja minimaalisen riskin tekoälyjärjestelmiä ei koske tämän artiklan mukainen poikkeamaraportointivelvollisuus.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.