Članak 55. Uredbe (EU) 2024/1689 — Evaluacija i adversarno testiranje modela AI opće namjene sa sistemskim rizikom. Službeni tekst, praktična interpretacija, ključne obveze i implikacije usklađenosti.
Sažetak službenog teksta
Članak 55. Uredbe (EU) 2024/1689 uspostavlja specifične obveze evaluacije i adversarnog testiranja za pružatelje modela AI opće namjene (GPAI) koji predstavljaju sistemski rizik. Nadograđujući se na širi skup obveza utvrđenih u članku 53. i kriterijima klasifikacije sistemskog rizika u članku 51., članak 55. zahtijeva da takvi pružatelji provode evaluacije modela u skladu s normiranim protokolima i provode adversarno testiranje — koje se uobičajeno naziva red-teaming — na redovitoj osnovi.
Evaluacije zahtijevane prema stavku 1. točki (a) moraju slijediti normirane protokole i alate koji odražavaju najsuvremenija dostignuća, uključujući one razvijene ili odobrene od strane Ureda za AI. Gdje ne postoje normirani protokoli, pružatelji moraju osmisliti i primijeniti odgovarajuće metodologije za identifikaciju i procjenu prirode i opsega sistemskih rizika.
Stavak 1. točka (b) nalaže adversarno testiranje koje se provodi interno ili angažiranjem akreditiranih vanjskih stručnjaka, s ciljem identificiranja rizika koje standardni postupci evaluacije ne bilježe. Pružatelji moraju dokumentirati metodologiju, opseg i ishode evaluacija i adversarnih testnih vježbi te izvještavati Ured za AI o značajnim nalazima. Sam Ured za AI zadržava ovlast prema stavku 2. da organizira ili naruči neovisno adversarno testiranje u bilo koje vrijeme. Članak također obvezuje pružatelje da nadležnim tijelima na zahtjev dostave rezultate evaluacija i izvješća o testiranjima.
Što to znači u praksi
Za organizacije koje razvijaju ili implementiraju granične GPAI modele, članak 55. nameće strukturiran i dokumentiran proces osiguranja kvalitete koji se posebno fokusira na identifikaciju sistemskih šteta. U praksi to znači da prije puštanja kvalificiranog modela — i na kontinuiranoj osnovi nakon puštanja — pružatelji moraju provoditi i standardiziranu evaluaciju sposobnosti i ciljane adversarne vježbe osmišljene za otkrivanje katastrofalnih ili raširenih rizika poput masovne manipulacije, generiranja sadržaja vezanog za oružje, velikih kibernetičkih napada ili poremećaja kritične infrastrukture.
S operativnog stajališta, usklađenost zahtijeva sastavljanje ili ugovaranje multidisciplinarnih kapaciteta red-teama sa stručnošću koja pokriva sigurnost AI, kibernetičku sigurnost, dezinformacije, biosigurnost i druge relevantne domene. Evaluacije moraju biti provedene prema referentnim vrijednostima i protokolima koji odražavaju trenutno stanje tehnike; pružatelji se ne mogu oslanjati isključivo na vlasnički, neobjavljeni metodologije ako postoje normirane alternative.
Dokumentacija je ključna. Pružatelji moraju voditi detaljne zapise svakog ciklusa evaluacije — uključujući opseg, sastav tima, testirane scenarije, promatrane rezultate i primijenjene mjere ublažavanja — i moraju biti u mogućnosti dostaviti te zapise Uredu za AI na zahtjev. Gdje testiranje otkrije nove ili pogoršane sistemske rizike, pružatelji su obvezni implementirati korektivne mjere i, gdje je rizik ozbiljan, obavijestiti Ured za AI bez nepotrebnog odlaganja.
Na primjer, pružatelj koji pušta veliki multimodalni model koji premašuje prag treninga od 10^25 FLOPs trebao bi zakazati red-team vježbe prije lansiranja koje pokrivaju minimalno: elicitaciju dvojne upotrebe znanstvenih znanja, generiranje uvjerljivog sadržaja u velikom obimu i olakšavanje automatiziranih kibernetičkih napada. Nakon lansiranja, te vježbe moraju se ponavljati kad god model prolazi kroz značajno fino podešavanje ili ažuriranja sposobnosti.
Ključne obveze
- Normirane evaluacije: Provoditi evaluacije modela korištenjem najsuvremenijih normiranih protokola i alata, uključujući one razvijene ili odobrene od strane Ureda za AI, prije plasiranja na tržište i na kontinuiranoj osnovi.
- Adversarno testiranje (red-teaming): Provoditi strukturirane adversarne testne vježbe — interno ili putem kvalificiranih vanjskih trećih strana — osmišljene da otkriju sistemske rizike koji nisu identificirani standardnom evaluacijom.
- Dokumentacija i vođenje evidencije: Voditi detaljne zapise metodologije evaluacije, opsega, testiranih scenarija, ishoda i svih poduzetih korektivnih mjera, pri čemu su zapisi dostupni Uredu za AI na zahtjev.
- Izvještavanje o značajnim nalazima: Obavještavati Ured za AI o ozbiljnim ili novootkrivenim sistemskim rizicima otkrivenim putem evaluacija ili adversarnog testiranja bez nepotrebnog odlaganja.
- Suradnja s testiranjem naručenim od Ureda za AI: Olakšavati i surađivati s neovisnim adversarnim testiranjem organiziranim ili naručenim izravno od strane Ureda za AI u okviru njegovih nadzornih ovlasti.
- Kontinuirana usklađenost nakon puštanja: Ponavljati evaluacije i adversarno testiranje nakon značajnih ažuriranja modela, finog podešavanja ili promjena namijenjenih slučajeva upotrebe koji mogu promijeniti profil rizika modela.
Odnos prema drugim člancima
Članak 55. funkcionira kao operativni pandant klasifikaciji sistemskog rizika uspostavljenoj u članku 51. i općim GPAI obvezama utvrđenim u članku 53. Treba ga čitati zajedno s člankom 52., koji definira prag i kriterije za oznaku sistemskog rizika, i člankom 54., koji se bavi obvezama vezanim uz tehničku dokumentaciju za GPAI modele sistemskog rizika. Dužnost izvještavanja o incidentima iz članka 73. prekriva se s člankom 55. gdje adversarno testiranje otkrije ozbiljan incident ili gotovo-incident koji zahtijeva obavješćivanje. Na nadzornoj razini, ovlast Ureda za AI da naruči testiranje prema članku 55. stavku 2. utemeljena je na širim nadzornim ovlastima dodijeljenim člancima 88. i 89. Pružatelji bi također trebali konzultirati Uvodnu izjavu 110., koja pojašnjava obrazloženje za razlikovanje modela sistemskog rizika i važnost evaluacije sigurnosti prije plasiranja na tržište kao dopune stalnom praćenju.
Vremenski okvir usklađenosti
- 1. kolovoza 2024. — Uredba (EU) 2024/1689 stupila je na snagu, pokrenuvši fazni sat primjene.
- 2. veljače 2025. — Zabranjene prakse AI (Glava II) postale su primjenjive.
- 2. kolovoza 2025. — Odredbe Glave V koje uređuju modele AI opće namjene, uključujući članak 55., postale su u potpunosti primjenjive. Pružatelji kvalificiranih GPAI modela koji su već bili na tržištu morali su postići usklađenost do ovog datuma.
- 2. prosinca 2026. — Obveze visokorizičnih AI sustava prema Prilogu I (sustavi sigurnosnih komponenti) postaju primjenjive.
- 2. kolovoza 2027. — Preostale obveze visokorizičnih AI sustava (sustavi iz Priloga III) postaju primjenjive.
Članak 55. je stoga već na snazi. Pružatelji GPAI modela sa sistemskim rizikom koji još nisu uspostavili programe evaluacije i adversarnog testiranja krše trenutne obveze i trebaju tretirati sanaciju kao neposredni prioritet.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth.
Explore regulation-dora.eu ↗Frequently Asked Questions
Adversarno testiranje, poznato i kao red-teaming, odnosi se na strukturirana ocjenjivanja u kojima stručnjaci pokušavaju izvući štetne, pristrane ili na drugi način nepoželjne rezultate iz modela AI opće namjene. Članak 55. zahtijeva da pružatelji GPAI modela sa sistemskim rizikom provedu takvo testiranje prije plasiranja modela na tržište i na kontinuiranoj osnovi nakon toga, kako bi identificirali i ublažili ozbiljne rizike prije nego što prouzroče štetu.
Članak 55. primjenjuje se isključivo na pružatelje modela AI opće namjene (GPAI) za koje je utvrđeno da predstavljaju sistemski rizik — oznaka koja se aktivira, prema članku 51., kada je model treniran korištenjem ukupnog računanja od više od 10^25 FLOPs-a, ili kada Europska komisija drugim sredstvima zaključi da model predstavlja sistemski rizik. Pružatelji GPAI modela ispod ovog praga nisu podvrgnuti članku 55.
Članak 55. omogućuje pružateljima provedbu adversarnog testiranja korištenjem internih resursa ili angažiranjem kvalificiranih vanjskih trećih strana. Primjetno je da članak ovlašćuje Ured za AI da organizira i koordinira neovisno adversarno testiranje GPAI modela sa sistemskim rizikom, uključujući naručivanje takvog testiranja od pouzdanih tijela. Rezultati i metodologije moraju biti dokumentirani i dostavljeni Uredu za AI na zahtjev.
Odredbe koje uređuju modele AI opće namjene, uključujući članak 55., postale su primjenjive 2. kolovoza 2025., dvanaest mjeseci nakon što je Uredba stupila na snagu 1. kolovoza 2024. Pružatelji koji su kvalificirani GPAI model plasirali na tržište prije tog datuma morali su postići usklađenost s obvezama sistemskog rizika do 2. kolovoza 2025.
Neusklađenost s obvezama za GPAI modele sa sistemskim rizikom — uključujući zahtjev adversarnog testiranja u članku 55. — može dovesti do administrativnih kazni do 3% globalnog godišnjeg prihoda ili 15 milijuna EUR, ovisno o tome što je više. Ured za AI, koji ima primarnu nadzornu nadležnost nad pružateljima GPAI, može također izdati korektivne mjere, zatražiti dodatnu dokumentaciju ili suspendirati pristup tržištu u ozbiljnim slučajevima.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.