Članak 19. — Automatski generirani zapisnici (Akt EU-a o umjetnoj inteligenciji)

Članak 19. Uredbe (EU) 2024/1689 — Automatski generirani zapisnici. Službeni tekst, praktično tumačenje, ključne obveze i implikacije za usklađenost.

Sažetak službenog teksta

Članak 19. Uredbe (EU) 2024/1689 uspostavlja obvezu vođenja zapisnika koja djeluje na dvije razine: obveza u fazi dizajna za pružatelje i operativna obveza za korisnike.

Na strani pružatelja, članak 19. stavak 1. zahtijeva da visokorizični sustavi UI budu tehnički sposobni automatski generirati zapisnike svog rada tijekom cijelog životnog vijeka. Pružatelji moraju ugraditi ovu mogućnost u sustav u mjeri u kojoj je to tehnički izvedivo, osiguravajući da se događaji mogu bilježiti bez ručnog posredovanja. Ovo se izravno povezuje s opsežnijim okvirom transparentnosti i sljedivosti Glave III.

Na strani korisnika, članak 19. stavak 2. zahtijeva da korisnici čuvaju zapisnike automatski generirane visokorizičnim sustavima UI koje upravljaju. Minimalno razdoblje čuvanja je šest mjeseci, osim ako pravo Unije ili primjenjivo pravo države članice ne propisuje dulje razdoblje. Sektorski propisi — primjerice u financijama, zdravstvenoj skrbi ili kritičnoj infrastrukturi — često će zamijeniti ovaj zadani minimum.

Zapisnici koje predviđa članak 19. služe višestrukim svrhama usklađenosti: podupiru praćenje nakon stavljanja na tržište prema članku 72., olakšavaju izvještavanje o incidentima prema članku 73. i pružaju dokaznu osnovu koja je potrebna nacionalnim nadležnim tijelima pri provođenju nadzora tržišta prema Poglavlju VI. Članak sam po sebi ne propisuje točan tehnički format ili granularnost zapisnika, ostavljajući te detalje usklađenim standardima i zahtjevima tehničke dokumentacije iz članka 11. i Priloga IV.

Što to znači u praksi

Za organizacije koje implementiraju visokorizične sustave UI, članak 19. uvodi konkretnu obvezu čuvanja podataka koja mora biti ugrađena u operativne procese od prvog dana implementacije.

Korisnici moraju najprije verificirati da je sustav UI koji koriste tehnički sposoban automatski generirati zapisnike. Ako pružatelj isporuči sustav koji nema tu mogućnost gdje je ona tehnički izvediva, pružatelj krši vlastite obveze — ali korisnik i dalje snosi odgovornost za provođenje odgovarajuće dubinske analize prije implementacije, kako se zahtijeva člankom 26.

U praksi, to znači da korisnici trebaju od pružatelja zatražiti jasnu dokumentaciju kojom se potvrđuje da je funkcionalnost vođenja zapisnika prisutna, opisuje koji se događaji bilježe i specificira format zapisnika. Ova dokumentacija trebala bi biti dio ugovornih aranžmana između pružatelja i korisnika.

Jednom kad je sustav u radu, korisnici moraju implementirati politiku čuvanja zapisnika koja pokriva najmanje šest mjeseci. Za organizacije koje djeluju u reguliranim sektorima, ova osnovna razina gotovo uvijek je produžena: bolnica koja implementira AI-potpomognuti dijagnostički alat mora uskladiti čuvanje zapisnika s propisima o medicinskoj dokumentaciji; banka koja implementira AI sustav kreditnog bodovanja mora uzeti u obzir pravila o čuvanju evidencija u financijskim uslugama, koja često zahtijevaju nekoliko godina čuvanja.

Konkretni operativni koraci uključuju: određivanje odgovornosti za pohranu zapisnika i kontrole pristupa, osiguravanje da su zapisnici otporni na manipulacije i sigurno pohranjeni, uspostavljanje procesa za brzo preuzimanje zapisnika u odgovoru na regulatorni zahtjev ili istragu incidenta te dokumentiranje politike čuvanja unutar šireg okvira upravljanja UI organizacije.

Zapisnici bi trebali sadržavati dovoljno informacija za rekonstrukciju ulaznih podataka dostavljenih sustavu, generiranih izlaznih podataka, verzije modela koja se koristi i vremena operacija — čime se omogućuje smislen naknadni pregled.

Ključne obveze

• Pružatelji moraju dizajnirati i izgraditi visokorizične sustave UI tako da budu tehnički sposobni automatski generirati zapisnike svog rada, u mjeri u kojoj je to tehnički izvedivo, za trajanje operativnog životnog vijeka sustava.
• Korisnici moraju čuvati automatski generirane zapisnike koje proizvode visokorizični sustavi UI kojima upravljaju najmanje šest mjeseci od datuma generiranja, ili dulje ako to zahtijeva primjenjivo pravo Unije ili pravo države članice.
• Korisnici moraju osigurati da su čuvani zapisnici dostupni, sigurni i da se mogu dostaviti nacionalnim nadležnim tijelima na zahtjev tijekom nadzora tržišta ili istrage incidenta.
• Pružatelji moraju dokumentirati mogućnost vođenja zapisnika svojeg sustava — uključujući što se bilježi, format zapisnika i eventualna poznata tehnička ograničenja — kao dio tehničke dokumentacije koja se zahtijeva prema članku 11. i Prilogu IV.
• Tamo gdje sektorski propisi nameću strože ili dulje zahtjeve čuvanja, korisnici moraju primijeniti te zahtjeve uz, i umjesto, šestomjesečne osnove.
• Korisnici moraju osigurati da infrastruktura za vođenje zapisnika bude održavana tijekom cijelog razdoblja korištenja visokorizičnog sustava UI te da je integritet zapisnika zaštićen od manipulacije ili nenamjernog brisanja.

Odnos prema ostalim člancima

Članak 19. nalazi se u Poglavlju 3. Glave III. i mora se čitati kao dio integriranog okvira sljedivosti, a ne kao izolirana obveza.

Izravno se povezuje s člankom 12. (Vođenje evidencija), koji zahtijeva da visokorizični sustavi UI budu dizajnirani kako bi omogućili vođenje evidencija o svom radu, te s člankom 11. i Prilogom IV., koji specificiraju tehničku dokumentaciju koju pružatelji moraju održavati, uključujući opise mogućnosti vođenja zapisnika.

Članak 19. hrani članak 72. (Praćenje nakon stavljanja na tržište), koji zahtijeva od pružatelja da aktivno prate performanse sustava na terenu — zapisnici su primarni izvor podataka za ovo praćenje. Također podupire članak 73. (Izvještavanje o ozbiljnim incidentima), gdje zapisnici pružaju dokaznu osnovu za razumijevanje što se dogodilo tijekom incidenta.

Zapisnici čuvani prema članku 19. su među evidencijama koje nacionalna nadležna tijela mogu zatražiti pri vršenju ovlasti nadzora tržišta prema člancima 74. i 75. Konačno, raspodjela odgovornosti između pružatelja i korisnika artikulirana u članku 19. odražava širi okvir uspostavljen člankom 25. (Odgovornosti u lancu vrijednosti) i člankom 26. (Obveze korisnika).

Vremenski okvir usklađenosti

Akt EU-a o UI stupio je na snagu 1. kolovoza 2024., pokrećući fazni raspored primjene.

Članak 19. spada u Glavu III., Poglavlje 3., koje uređuje obveze za pružatelje i korisnike visokorizičnih sustava UI. Opći datum primjene za obveze visokorizičnih sustava UI — uključujući članak 19. — je 2. kolovoza 2026. za sustave navedene u Prilogu III. (visokorizične primjene u područjima poput obrazovanja, zapošljavanja, osnovnih usluga i provedbe zakona). Za visokorizične sustave UI obuhvaćene Prilogom I. (sigurnosne komponente proizvoda reguliranih postojećim zakonodavstvom Unije o usklađivanju), obveze se primjenjuju od 2. kolovoza 2027., usklađene s obnovom ili prvim izdavanjem relevantnih ocjenjivanja sukladnosti proizvoda.

Raniji ključni datumi primjene uključuju zabranu praksi UI neprihvatljivog rizika (članak 5.), koja je primijenjena od 2. veljače 2025., i obveze u vezi s modelima UI opće namjene (Glava VII.), koje su primijenjene od 2. kolovoza 2025.

Organizacije koje implementiraju visokorizične sustave UI trebaju tretirati datum 2. kolovoza 2026. kao čvrsti rok usklađenosti za obveze iz članka 19., ali bi trebale početi dizajnirati politike čuvanja zapisnika, pregledavati ugovore s pružateljima i usklađivati se sa sektorskim zakonima o čuvanju znatno unaprijed — složenost korporativnog upravljanja podacima čini usklađenost u posljednjem trenutku strukturalno teškom.