Članak 71. — Baza podataka EU-a za visokorizične AI sustave (EU AI Act)

Članak 71. Uredbe (EU) 2024/1689 — Baza podataka EU-a za visokorizične AI sustave. Službeni tekst, praktično tumačenje, ključne obveze i implikacije za usklađenost.

Sažetak službenog teksta

Članak 71. Uredbe (EU) 2024/1689 uspostavlja bazu podataka EU-a za visokorizične AI sustave, stavljajući odgovornost za njezino uspostavljanje i održavanje na Europsku komisiju. Baza podataka dizajnirana je da služi kao centralizirano, javno dostupno repozitorij koje povećava transparentnost u pogledu visokorizičnih AI sustava prije njihova plasiranja na tržište EU-a ili stavljanja u upotrebu.

Prema članku 71., pružatelji visokorizičnih AI sustava koji potpadaju pod opseg Annex III dužni su registrirati svoje sustave u bazi podataka prije plasiranja na tržište ili stavljanja u upotrebu. U posebnim slučajevima, korisnici sustava iz Annex III također podliježu zahtjevima registracije. Informacije koje se trebaju dostaviti definirane su u Annex VIII i pokrivaju bitne identifikacijske i tehničke pojedinosti sustava, njegovu namjeravanu svrhu, pristup ocjeni sukladnosti koji je primijenjen te reference na EU izjavu o sukladnosti.

Članak uspostavlja dva zasebna odjeljka unutar baze podataka: javno dostupni odjeljak za većinu visokorizičnih AI sustava te ograničeni odjeljak dostupan samo relevantnim tijelima za nadzor tržišta, Komisiji i Uredu za UI, koji pokriva sustave koje koriste javna tijela u osjetljivim domenama poput provedbe zakona, upravljanja granicama, imigracije i azila. Ova dvojna struktura uravnotežuje javni interes za transparentnost s legitimnim zabrinutostima o povjerljivosti u osjetljivim operacijama javnog sektora. Komisija ima zadatak osigurati da je baza podataka funkcionalna, korisnički prihvatljiva i interoperabilna s drugim relevantnim nacionalnim registrima i registrima na razini EU-a.

Što to znači u praksi

Za pružatelje visokorizičnih AI sustava obuhvaćenih Annex III, najneposrednija praktična posljedica članka 71. jest obvezni korak registracije koji se mora dovršiti prije bilo kakvog komercijalnog ili operativnog raspoređivanja. Registracija nije naknadna mjera — to je obvezujuća kontrolna točka koja se mora ispuniti uzvodnog od ulaska na tržište, što znači da procesi usklađenosti moraju biti strukturirani tako da registracija bude dio kontrolnog popisa prije lansiranja.

Pružatelji moraju otvoriti račun na platformi baze podataka EU-a kojom upravlja Komisija i dostaviti propisane informacije iz Annex VIII. To uključuje strukturirani opis AI sustava, njegovu namjeravanu svrhu, provedeni postupak ocjene sukladnosti, referencu na EU izjavu o sukladnosti i, gdje je primjenjivo, EU certifikat o pregledu tipa koji je izdalo prijavljeno tijelo. Potrebne su i reference na plan nadzora nakon stavljanja na tržište.

Na primjer, pružatelj koji razvija AI alat za pregled životopisa koji se koristi u zapošljavanju (kategorija Annex III, Naslov IV) mora registrirati sustav u javnom odjeljku baze podataka prije nego što ga učini dostupnim HR odjelima u državama članicama EU-a. Nasuprot tome, nacionalna policija koja raspoređuje AI sustav za prepoznavanje lica u stvarnom vremenu na javnim mjestima registrirala bi se u ograničenom odjeljku, s pristupom ograničenim na nadzorna tijela.

Korisnici određenih visokorizičnih AI sustava iz Annex III — posebno oni koji djeluju u javnom sektoru ili raspoređuju sustave sa značajnim društvenim utjecajem — moraju također provjeriti jesu li sustavi koje stavljaju u upotrebu odgovarajuće registrirani te sami mogu imati dopunske obveze registracije ovisno o kategoriji sustava. Organizacije bi trebale mapirati svoje AI portfelje prema kategorijama Annex III i ugraditi tijekove registracije u šire postupke upravljanja AI-om.

Ključne obveze

• Registracija pružatelja prije plasiranja na tržište: Pružatelji visokorizičnih AI sustava iz Annex III moraju registrirati sustav u bazi podataka EU-a prije njegova plasiranja na tržište ili stavljanja u upotrebu unutar EU-a.
• Dostavljanje informacija iz Annex VIII: Registracija zahtijeva potpuno i točno dostavljanje svih informacijskih polja propisanih u Annex VIII, uključujući opis sustava, namjeravanu svrhu, pojedinosti o ocjeni sukladnosti te reference na izjavu o sukladnosti.
• Registracija korisnika u navedenim slučajevima: Korisnici određenih visokorizičnih AI sustava iz Annex III (posebno korisnici iz javnog sektora) imaju vlastite obveze registracije te moraju unijeti relevantne informacije prije stavljanja sustava u upotrebu.
• Registracija u ograničenom odjeljku za osjetljive domene: AI sustavi koje koriste javna tijela u provedbi zakona, nadzoru granica, imigraciji i azilu moraju se registrirati u nejavnom, ograničenom odjeljku baze podataka, a ne u općem javnom odjeljku, s pristupom koji je sukladno tome kontroliran.
• Ažuriranje registracijskih informacija: Pružatelji i korisnici moraju osigurati da registrirane informacije ostanu točne i ažurne tijekom cijelog životnog ciklusa sustava, ažurirajući unose kada dođe do relevantnih promjena (npr. supstancijalnih izmjena koje pokreću novu ocjenu sukladnosti).
• Održavanje i interoperabilnost od strane Komisije: Europska komisija obvezna je uspostaviti, održavati i čuvati bazu podataka operativnom, korisnički prihvatljivom i interoperabilnom s drugim relevantnim registrima, osiguravajući njezinu dugoročnu dostupnost javnosti i nadležnim tijelima.

Odnos prema ostalim člancima

Članak 71. funkcionira kao praktični instrument putem kojeg dokumentacijske i obveze transparentnosti uspostavljene drugdje u Uredbi postaju javno vidljive. Usko se povezuje s člankom 48. (EU izjava o sukladnosti) i člankom 47. (ovlašteni predstavnici), budući da je referenca na izjavu o sukladnosti obvezno polje baze podataka. Postupci ocjene sukladnosti utvrđeni u člancima 43. i 44. izravno se nadovezuju na ono što pružatelji moraju otkriti pri registraciji.

Članak 71. također radi u sprezi s člankom 49. (obveze registracije kao zasebni članak u Naslovu VI), koji unakrsno upućuje na bazu podataka kao mehanizam za ispunjavanje tih dužnosti. Zahtjevi za informacijama iz Annex VIII neodvojivi su od obveza tehničke dokumentacije u Annex IV (članci 11. i 12.). Za nadzor nakon stavljanja na tržište, članak 71. podupire okvir za nadzor tržišta u člancima 74. i 75., budući da nacionalna tijela i Ured za UI mogu koristiti unose u bazi podataka kao polazište za aktivnosti praćenja i provedbe. Konačno, članak 78. (povjerljivost) uređuje kako nadležna tijela moraju postupati s osjetljivim informacijama dostavljenim u bazu podataka, posebno u ograničenom odjeljku.

Vremenski okvir usklađenosti

EU Akt o UI-u stupio je na snagu 1. kolovoza 2024., pokrenuvši fazni raspored primjene utvrđen u članku 113.

• 1. kolovoza 2024. — Uredba stupa na snagu; Komisija počinje s pripremnim radovima za uspostavu infrastrukture baze podataka EU-a.
• 2. veljače 2025. — Zabranjene prakse AI-a (članak 5.) postaju primjenjive; još nisu aktivne obveze registracije prema članku 71.
• 2. kolovoza 2025. — Obveze modela GPAI i odredbe upravljanja (Naslov III, Poglavlje III i Naslov V) postaju primjenjive; baza podataka prema članku 71. još nije operativna za te kategorije.
• 2. kolovoza 2026. — Obveze registracije prema članku 71. postaju primjenjive za pružatelje i korisnike visokorizičnih AI sustava iz Annex III (isključujući one koji su već obuhvaćeni zakonodavstvom Unije o usklađivanju navedenim u Annex I). Ovo je primarni datum aktivacije baze podataka EU-a za većinu sustava u opsegu.
• 2. kolovoza 2027. — Visokorizični AI sustavi obuhvaćeni zakonodavstvom o sigurnosti proizvoda iz Annex I (npr. medicinski uređaji, strojevi) koji su već bili na tržištu prije 2. kolovoza 2024. moraju ispuniti sve primjenjive obveze uključujući registraciju, pod uvjetom da su pretrpjeli supstancijalnu izmjenu.

Organizacije koje razvijaju ili raspoređuju AI sustave iz Annex III trebale bi tretirati rok u kolovozu 2026. kao čvrsti operativni cilj za spremnost registracije u bazi podataka, ugrađujući tokove registracije u svoje programe usklađenosti s dovoljnom prednošću.