Članak 72. — Nadzor pružatelja nakon stavljanja na tržište i plan nadzora nakon stavljanja na tržište za visokorizične AI sustave (EU AI Act)

Članak 72. Uredbe (EU) 2024/1689 — Nadzor pružatelja nakon stavljanja na tržište i plan nadzora za visokorizične AI sustave. Službeni tekst, praktično tumačenje, ključne obveze i implikacije za usklađenost.

Sažetak službenog teksta

Članak 72. Uredbe (EU) 2024/1689 uspostavlja obvezni nadzor nakon stavljanja na tržište za pružatelje visokorizičnih AI sustava. Od pružatelja se zahtijeva da proaktivno prikupljaju, dokumentiraju i analiziraju relevantne podatke o učinkovitosti svojih visokorizičnih AI sustava tijekom cijelog operativnog vijeka tih sustava nakon što su plasirani na tržište ili stavljeni u upotrebu.

Članak nalaže pružateljima da izrade i primijene plan nadzora nakon stavljanja na tržište, koji mora biti proporcionalan prirodi visokorizične AI tehnologije i s njom povezanim rizicima. Ovaj plan mora biti dio tehničke dokumentacije uspostavljene prema članku 11. i utvrđene u skladu s Annex IV. Mora definirati metode i postupke za sustavno prikupljanje podataka o učinkovitosti, uključujući podatke dobivene od korisnika gdje je relevantno.

Kada nadzor otkrije da visokorizični AI sustav više ne ispunjava zahtjeve utvrđene u Poglavlju III, Odjeljku 2, pružatelj mora bez odgode poduzeti odgovarajuće korektivne mjere. To uključuje ažuriranje sustava, njegovo povlačenje s tržišta ili opoziv gdje je to potrebno.

Članak 72. također prepoznaje ulogu korisnika: pružatelji moraju uputiti korisnike da dostave relevantne operativne podatke koji se ne mogu prikupiti izravno. Obveza nadzora je kontinuirana, a ne jednokratna, odražavajući dinamičnu prirodu učinkovitosti AI sustava i kontekste koji se mijenjaju u kojima se ti sustavi raspoređuju.

Što to znači u praksi

Za organizacije koje razvijaju ili isporučuju visokorizične AI sustave, članak 72. uvodi strukturiranu, trajnu obvezu usklađenosti koja se proteže daleko izvan trenutka plasiranja na tržište. Pružatelji ne mogu tretirati ocjenu sukladnosti kao jednokratnu vježbu. Umjesto toga, moraju dizajnirati i operacionalizirati infrastrukturu nadzora prije nego što njihov sustav bude pušten u rad.

U praktičnom smislu, to znači da se unaprijed definira koji se podaci prikupljaju od raspoređenih instanci sustava, kako će se ti podaci analizirati i koji pragovi učinkovitosti će pokrenuti pregled ili korektivnu mjeru. Na primjer, pružatelj AI alata za dijagnostiku medicinskih uređaja mora navesti koji su pokazatelji — kao što su stope lažno negativnih rezultata, dispariteti u učinkovitosti prema demografskim skupinama ili metrike zanošenja modela — praćeni, kojom učestalošću i od koga.

Pružatelji AI sustava ugrađenih u proizvode trećih strana suočeni su s dodatnim izazovom: ovise o korisnicima koji prenose operativne podatke kojima pružatelj ne može izravno pristupiti. To zahtijeva ugovorne aranžmane s korisnicima koji jasno definiraju obveze dijeljenja podataka, kako je predviđeno kombiniranim čitanjem članka 72. i članka 25.

Organizacije s postojećim sustavima upravljanja kvalitetom (QMS) — kao što su one koje su već usklađene s ISO 13485 za medicinske uređaje ili ISO 9001 šire — naći će prirodno usklađivanje sa zahtjevima članka 72. Plan nadzora nakon stavljanja na tržište trebao bi biti integriran u širi QMS dokumentiran prema članku 17., a ne tretiran kao samostalni dokument.

Manji pružatelji i startupi morat će adekvatno osigurati resurse za ovu funkciju: članak 72. ne predviđa iznimku de minimis temeljenu na veličini tvrtke, iako je proporcionalnost plana prema razini rizika sustava izričito prepoznata.

Ključne obveze

• Uspostavljanje plana nadzora nakon stavljanja na tržište koji je proporcionalan razini rizika i prirodi visokorizičnog AI sustava, dokumentiran kao dio tehničke dokumentacije prema članku 11. i Annex IV.
• Aktivno prikupljanje i analiza podataka nakon stavljanja na tržište o učinkovitosti sustava tijekom cijelog operativnog životnog ciklusa, uključujući podatke od korisnika gdje izravno prikupljanje nije moguće.
• Definiranje pokazatelja učinkovitosti i pragova za korektivne mjere unaprijed, preciziranjem razine degradacije ili nesukladnosti koja pokreće formalni pregled ili mjeru saniranja.
• Poduzimanje korektivnih mjera bez odgode kada nadzor otkrije da sustav više ne zadovoljava visokorizične zahtjeve Poglavlja III, Odjeljka 2, što može uključivati ažuriranje, opoziv ili povlačenje sustava.
• Integriranje rezultata nadzora u sustav upravljanja kvalitetom uspostavljen prema članku 17., osiguravajući da se nalazi vrate u poboljšanje proizvoda, ažuriranja dokumentacije i procese ponovne ocjene.
• Upućivanje korisnika da dostave operativno relevantne podatke i surađuju s procesom nadzora nakon stavljanja na tržište, uz podršku odgovarajućih ugovornih ili tehničkih aranžmana.

Odnos prema ostalim člancima

Članak 72. nalazi se u središtu skupa međusobno povezanih obveza. Izravno se nadovezuje na članak 73., koji uređuje izvještavanje o ozbiljnim incidentima i kvarovima nacionalnim nadležnim tijelima: sustav nadzora uspostavljen prema članku 72. mehanizam je detekcije za događaje koje članak 73. zahtijeva da budu prijavljeni.

Članak 17. (sustavi upravljanja kvalitetom) pruža organizacijski okvir unutar kojeg plan nadzora nakon stavljanja na tržište mora biti ugrađen. Članak 11. i Annex IV definiraju zahtjeve tehničke dokumentacije čiji plan nadzora mora biti dio.

Članak 25. raspoređuje odgovornosti između pružatelja i korisnika i ključan je za razumijevanje kako pružatelji mogu dobiti operativne podatke od korisnika nizvodno. Članak 26. to nadopunjuje detaljiziranjem obveza korisnika, uključujući dužnost nadzora korištenja sustava i izvještavanja o anomalijama pružatelju.

Za visokorizične AI sustave koji su sigurnosne komponente u proizvodima obuhvaćenim zakonodavstvom Unije o usklađivanju navedenim u Annex I, članak 72. mora se čitati zajedno s obvezama nadzora nakon stavljanja na tržište u primjenjivom sektorskom propisu, kao što je Uredba o medicinskim uređajima (EU) 2017/745 ili Uredba o strojevima (EU) 2023/1230, osiguravajući koherentnu i nedupliciranu usklađenost.

Vremenski okvir usklađenosti

EU Akt o UI-u stupio je na snagu 1. kolovoza 2024., nakon objave u Službenom listu Europske unije. Uredba se primjenjuje na fazni način u različitim kategorijama obveza.

Članak 72., kao dio Naslova IX koji uređuje nadzor nakon stavljanja na tržište i nadzor tržišta, primjenjuje se na pružatelje visokorizičnih AI sustava navedenih u Annex III (opće visokorizične kategorije kao što su biometrija, zapošljavanje, obrazovanje i pristup osnovnim uslugama) od 2. kolovoza 2027. Visokorizični AI sustavi obuhvaćeni Annex I — oni koji su sigurnosne komponente proizvoda koji su već regulirani prema postojećem zakonodavstvu Unije o usklađivanju — također podliježu punim obvezama, uključujući članak 72., od 2. kolovoza 2027. u većini slučajeva, usklađeno s općim datumom primjene za visoki rizik.

Pružatelji trebaju primijetiti da raniji rokovi — veljača 2025. za zabranjene prakse AI-a i kolovoz 2025. za obveze modela AI-a opće namjene — ne uređuju izravno članak 72., ali temelj za infrastrukturu nadzora trebao bi biti postavljen s dovoljnom prednošću u odnosu na rok iz 2027. Organizacijama koje danas razvijaju visokorizične AI sustave savjetuje se da počnu dizajnirati planove nadzora nakon stavljanja na tržište kao dio procesa pripreme sukladnosti, umjesto da ih naknadno prilagođavaju u trenutku primjene.