Članak 16. — Obveze pružatelja visokorizičnih sustava UI (Akt EU-a o umjetnoj inteligenciji)

Članak 16. Uredbe (EU) 2024/1689 — Obveze pružatelja visokorizičnih sustava UI. Službeni tekst, praktično tumačenje, ključne obveze i implikacije za usklađenost.

Sažetak službenog teksta

Članak 16. Uredbe (EU) 2024/1689 (Akt EU-a o UI) utvrđuje sveobuhvatan skup obveza koje pružatelji visokorizičnih sustava UI moraju ispuniti prije stavljanja sustava na tržište ili puštanja u upotrebu. Članak funkcionira kao središnje sidrište odgovornosti pružatelja unutar Glave III., Poglavlja 3.

Prema članku 16., pružatelji moraju osigurati da njihovi visokorizični sustavi UI ispunjavaju sve zahtjeve utvrđene u Poglavlju 2. Glave III., koji obuhvaćaju upravljanje rizicima (članak 9.), podatke i upravljanje podacima (članak 10.), tehničku dokumentaciju (članak 11.), vođenje evidencija (članak 12.), transparentnost i pružanje informacija (članak 13.), nadzor od strane čovjeka (članak 14.) te točnost, robusnost i kibersigurnost (članak 15.).

Osim usklađenosti s Poglavljem 2., članak 16. nameće posebne administrativne i proceduralne obveze. Pružatelji moraju uspostaviti sustav upravljanja kvalitetom u skladu s člankom 17., izraditi tehničku dokumentaciju specificiranu u Prilogu IV. i, gdje je primjenjivo, proći postupak ocjenjivanja sukladnosti prije stavljanja CE oznake. Moraju registrirati sustave u bazi podataka EU-a uspostavljenoj prema članku 71. gdje je registracija potrebna, surađivati s nadležnim nacionalnim tijelima na zahtjev i čuvati svu relevantnu dokumentaciju deset godina od stavljanja sustava na tržište ili puštanja u upotrebu. Pružatelji s poslovnim nastanom izvan EU-a moraju imenovati ovlaštenog zastupnika unutar Unije u skladu s člankom 22.

Što to znači u praksi

Za organizacije koje razvijaju ili naručuju visokorizične sustave UI, članak 16. prevodi se u strukturirani program usklađenosti prije stavljanja na tržište koji mora biti dovršen prije bilo koje implementacije ili komercijalnog puštanja.

Developeri i prodavatelji koji grade sustave UI koji spadaju u visokorizične kategorije definirane u Prilogu III. — obuhvaćajući područja poput biometrijske identifikacije, kritične infrastrukture, obrazovanja, zapošljavanja, osnovnih usluga, provedbe zakona, migracija i pravosuđa — moraju tretirati članak 16. kao primarnu listu provjere usklađenosti. Prije lansiranja moraju imati dokumentirani sustav upravljanja kvalitetom, dovršeno ocjenjivanje sukladnosti (samoprocjena ili od treće strane, ovisno o kategoriji), postavljenu CE oznaku i registriran proizvod u bazi podataka Akta EU-a o UI.

Konkretan primjer: softverska tvrtka koja nudi alat za pregled životopisa na temelju UI HR odjelima spada pod Prilog III., točku 4. (upravljanje zapošljavanjem i radnicima). Prije stavljanja tog alata na tržište, tvrtka mora dokumentirati proces upravljanja rizicima, demonstrirati kvalitetu podataka za treniranje, pružiti tehničku dokumentaciju koja regulatorima omogućuje procjenu usklađenosti, implementirati mehanizme nadzora od strane čovjeka i registrirati sustav. Ako je tvrtka smještena izvan EU-a, mora odrediti ovlaštenog zastupnika s poslovnim nastanom u EU-u.

Tekuće obveze nastavljaju se nakon implementacije. Pružatelji moraju održavati evidencije, pratiti performanse nakon stavljanja na tržište prema članku 72., izvještavati o ozbiljnim incidentima prema članku 73. i ažurirati tehničku dokumentaciju kada sustav prolazi kroz bitne izmjene. Usklađenost nije jednokratni događaj, već kontinuirana operativna odgovornost.

Pružatelji koji rade unutar sektora reguliranih proizvoda — poput medicinskih uređaja ili strojeva — moraju dodatno zadovoljiti sektorske zahtjeve sukladnosti koji su u interakciji s Aktom o UI prema Prilogu I.

Ključne obveze

• Osiguranje usklađenosti s Poglavljem 2.: Verifikacija da visokorizični sustav UI ispunjava sve tehničke i upravljačke zahtjeve (članci 8.–15.) prije stavljanja na tržište, uključujući upravljanje rizicima, upravljanje podacima, transparentnost, nadzor od strane čovjeka i robusnost.
• Uspostavljanje sustava upravljanja kvalitetom: Implementacija dokumentiranog SUK-a u skladu s člankom 17., koji obuhvaća politike, procedure, ocjenjivanje sukladnosti, praćenje nakon stavljanja na tržište i tijekove rada za izvještavanje o incidentima.
• Izrada i održavanje tehničke dokumentacije: Priprema i ažuriranje tehničke dokumentacije specificirane u Prilogu IV., kojom se nadležnim nacionalnim tijelima i prijavljenim tijelima demonstrira usklađenost na zahtjev.
• Provedba ocjenjivanja sukladnosti i stavljanje CE oznake: Dovršetak primjenjivog postupka ocjenjivanja sukladnosti (samoprocjena ili od treće strane) i stavljanje CE oznake prije stavljanja sustava na tržište ili puštanja u upotrebu u EU-u.
• Registracija u bazi podataka EU-a: Unos sustava u bazu podataka za visokorizične sustave UI uspostavljenu prema članku 71., gdje je registracija obvezna za relevantnu kategoriju.
• Čuvanje evidencija deset godina i suradnja s tijelima: Čuvanje sve tehničke dokumentacije, izjava o sukladnosti i primjenjivih zapisnika najmanje deset godina; odgovaranje na zahtjeve za informacijama od nacionalnih nadzornih tijela i tijela za nadzor tržišta; imenovanje ovlaštenog zastupnika EU-a ako pružatelj nema poslovni nastan u Uniji.

Odnos prema ostalim člancima

Članak 16. ne može se čitati izolirano. On je pristupna obveza koja aktivira i upućuje na gotovo sve ostale zahtjeve koji se suočavaju s pružateljima u Glavi III.

Materijalni tehnički zahtjevi koje članak 16. zahtijeva da pružatelji ispune nalaze se u člancima 8. do 15. (Poglavlje 2.). Sustav upravljanja kvalitetom koji on nalaže razrađen je u članku 17.. Specifikacije tehničke dokumentacije pojavljuju se u Prilogu IV., na koji upućuje članak 11.. Postupci ocjenjivanja sukladnosti koje aktivira članak 16. detaljno su opisani u članku 43., s pravilima o izjavi o sukladnosti u članku 47. i pravilima o CE oznaci u članku 48.

Obveze praćenja nakon stavljanja na tržište koje proširuju doseg članka 16. izvan početnog stavljanja na tržište utvrđene su u članku 72., s izvještavanjem o ozbiljnim incidentima u članku 73.. Ovlašteni zastupnici — potrebni za pružatelje iz trećih zemalja prema članku 16. — uređeni su člankom 22.. Okolnosti u kojima uvoznici i distributeri preuzimaju obveze pružatelja specificirane su u članku 24.. Konačno, zahtjev za registracijom u bazi podataka EU-a povezuje se s člankom 71.. Nacionalna nadležna tijela koja provode obveze iz članka 16. djeluju u okviru uspostavljenom u člancima 70. i 74.

Vremenski okvir usklađenosti

Akt EU-a o UI stupio je na snagu 1. kolovoza 2024., dvadeset dana nakon objave u Službenom listu. Međutim, njegove odredbe primjenjuju se postupno:

• 2. veljače 2025.: Zabrane praksi UI neprihvatljivog rizika (članak 5.) postale su primjenjive.
• 2. kolovoza 2025.: Obveze u vezi s modelima UI opće namjene (Glava VIII., članci 51.–56.) postale su primjenjive.
• 2. kolovoza 2026.: Obveze iz članka 16. postaju primjenjive za visokorizične sustave UI navedene u Prilogu III. (samostalni sustavi UI u područjima poput zapošljavanja, obrazovanja, osnovnih usluga, biometrije i provedbe zakona).
• 2. kolovoza 2027.: Obveze iz članka 16. postaju primjenjive za visokorizične sustave UI obuhvaćene Prilogom I. (sigurnosne komponente proizvoda već reguliranih postojećim sektorskim zakonodavstvom EU-a, poput medicinskih uređaja, strojeva i civilnog zrakoplovstva).

Pružatelji ne bi trebali čekati do datuma provedbe da bi počeli s pripremama. Izgradnja sustava upravljanja kvalitetom, prikupljanje tehničke dokumentacije i dovršavanje ocjenjivanja sukladnosti su procesi koji intenzivno troše resurse. Organizacijama koje stavljaju sustave Priloga III. na tržište savjetuje se da budu operativno usklađene najkasnije sredinom 2026., s analizama nedostataka i programima sanacije pokrenutima najkasnije početkom 2025.