Promet i kritična infrastruktura — usklađenost s EU AI Aktom

Obveze EU AI Akta za AI u autonomnim vozilima, upravljanju prometom, zrakoplovstvu, željeznici i kritičnoj infrastrukturi. Obuhvaća Annex I (NLF) i kategoriju 2 Annexa III.

Zašto je promet prioritetni sektor EU AI Akta

EU AI Akt (Uredba (EU) 2024/1689) nameće svoje najzahtjevnije obveze domenama u kojima kvarovi AI-a imaju izravne posljedice za fizičku sigurnost, kontinuitet kritičnih usluga i javnu sigurnost. Promet i kritična infrastruktura zauzimaju središnje mjesto u ovoj arhitekturi iz dva neovisna pravna razloga: raširena primjena AI-a kao sigurnosnih komponenti u reguliranim prometnim proizvodima (aktiviranje Art. 6(1) putem Annexa I) i izričito navođenje AI-a za upravljanje kritičnom infrastrukturom kao visokorizičnog prema Annexu III, točki 2.

Prometni sektor također se ističe gustoćom i zrelošću svojih postojećih regulatornih okvira. Homologacija vozila prema Uredbi o općoj sigurnosti (EU) 2019/2144, zrakoplovna certifikacija prema EASA Osnovnoj uredbi (EU) 2018/1139, interoperabilnost i sigurnost željeznica prema ERA Uredbi (EU) 2016/796 i Direktivi o sigurnosti 2016/798, te kibernetička sigurnost kritične infrastrukture prema NIS2 Direktivi (EU) 2022/2555 stvaraju prethodeće pravne obveze koje se nadovezuju na — i u nekim slučajevima strukturno međudjeluju s — EU AI Aktom.

Za prometne organizacije praktična posljedica je da se usklađenost s AI propisima ne može upravljati kao izolirani regulatorni tok. Mora biti integrirana u postojeće programe homologacije, certifikacije, upravljanja sigurnošću i kibernetičke sigurnosti. Neuspjeh u postizanju te integracije ne samo da rizikuje neusklađenost s AI Aktom, već i nesukladnost sa sektorskim propisima koji imaju vlastita izvršna tijela i posljedice za pristup tržištu.

AI sigurnosnih komponenti (Annex I) nasuprot AI kritične infrastrukture (Annex III, točka 2)

EU AI Akt stvara dva zasebna visokorizična puta relevantna za promet. Razumijevanje koji se put primjenjuje — i primjenjuju li se oba istovremeno — prvi je analitički korak u svakom programu usklađenosti s prometnim AI-om.

Annex I — Sigurnosne komponente proizvoda reguliranih NLF-om

Art. 6(1) EU AI Akta klasificira kao visokorizičan svaki AI sustav koji je sigurnosna komponenta proizvoda reguliranog zakonodavstvom Novog zakonodavnog okvira (NLF) navedenim u Annexu I. Za promet, ključni NLF instrumenti su:

• Uredba o općoj sigurnosti (EU) 2019/2144 — cestovna vozila (automobili, kamioni, motocikli, autobusi)
• EASA Osnovna uredba (EU) 2018/1139 — zrakoplovi, motori i s njima povezana oprema
• ERA Željezničko zakonodavstvo — uključujući Uredbu (EU) 2016/796 (ERA Agencija), Direktivu 2016/797 (interoperabilnost) i Direktivu 2016/798 (sigurnost željeznica)
• Uredba o strojevima (EU) 2023/1230 — relevantna za AI u automatiziranoj lučkoj opremi, industrijskim vozilima i građevinskim strojevima koji djeluju u kontekstima prometne infrastrukture

AI sustav je sigurnosna komponenta prometnog proizvoda ako bi njegov kvar ili neispravnost mogli ugroziti zdravlje ili sigurnost osoba. Za cestovna vozila to obuhvaća sustave autonomnog hitnog kočenja, AI za zadržavanje u traci, adaptivni tempomat na SAE razini L2 i više, te sve L3–L5 automatizirane sustave vožnje. Za zrakoplovstvo to obuhvaća AI u sustavima upravljanja letom, komponentama autopilota i sustavima upozorenja na blizinu tla. Za željeznice to obuhvaća AI u automatskoj zaštiti vlaka, AI-asistiranoj signalizaciji i autonomnom manevrisanju.

Klasifikacija prema Art. 6(1) je kategorička. Ne zahtijeva da AI sustav samostalno dokaže značajnu vjerojatnost nastanka štete — oznaka sigurnosne komponente dovoljna je. To znači da pružatelji takvih sustava moraju biti usklađeni sa zahtjevima Poglavlja III, Odjeljka 2 (Čl. 9–15) koji pokrivaju upravljanje rizicima, upravljanje podacima, tehničku dokumentaciju, automatsko evidentiranje, transparentnost, ljudski nadzor te točnost i otpornost.

Annex III, točka 2 — Upravljanje kritičnom infrastrukturom

Odvojeno od puta sigurnosnih komponenti, Annex III, točka 2 izričito navodi kao visokorizične AI sustave namijenjene korištenju kao sigurnosne komponente u upravljanju i radu kritične infrastrukture, konkretno:

• Kritična infrastruktura cestovnog prometa
• Kritična infrastruktura vodnog prometa
• Kritične komponente elektroenergetske mreže (kao kritična infrastruktura s prometno jednakovrijednim profilima rizika)

AI sustavi koji spadaju u ovu kategoriju uključuju: platforme za upravljanje prometom na autocestama koje koriste AI za dinamično upravljanje brzinom i detekciju incidenata, AI sustave za stabilnost i balansiranje opterećenja pametnih mreža gdje bi kvar mreže utjecao na prometne operacije, te AI sustave koji upravljaju lučkom infrastrukturom na razini rada ključnih usluga.

Razlika između točke 2 i puta prema Annexu I je u tome što se Annex III, točka 2 primjenjuje na operatere infrastrukture, a ne samo na proizvođače proizvoda. Javno tijelo ili privatni nositelj koncesije koji upravlja centrom za upravljanje prometom vođenim AI-om podliježe obvezama točke 2 kao primatelj ili, ako je sam razvio AI sustav, kao pružatelj.

Dvojna klasifikacija

Kada je AI sustav istovremeno sigurnosna komponenta proizvoda reguliranog NLF-om i raspoređen u upravljanju kritičnom infrastrukturom (npr. AI sustav integriran u platformu pametne autoceste koji također komunicira s vozilnim sustavima), primjenjuju se oba puta. Zahtjevnije obveze su mjerodavne.

Pružatelj nasuprot primatelja u prometnom kontekstu — OEM nasuprot operateru

Raspodjela obveza između pružatelja (Art. 16) i primatelja (Art. 26) posebno je složena u prometu, gdje opskrbni lanac između razvojnog programera AI-a, integratora sustava, OEM-a, operatera infrastrukture i voznog parka krajnjih korisnika može uključivati više pravnih subjekata od kojih svaki snosi zasebne odgovornosti prema AI Aktu.

OEM-i vozila kao pružatelji

OEM koji integrira AI sustav vožnje — razvijen interno ili nabavljen od Tier 1 ili Tier 2 dobavljača — i stavlja vozilo na tržište EU-a pod vlastitim imenom je pružatelj AI sustava prema Art. 16. To je slučaj čak i ako je AI tehnologiju izvorno razvila treća strana, pod uvjetom da OEM nije samo preprodao neizmijenjeni sustav pod brendom treće strane. Obveze pružatelja uključuju:

• Uspostavljanje sustava upravljanja kvalitetom prema Art. 17
• Pripremu i održavanje tehničke dokumentacije prema Art. 11 i Annexu IV, koja pokriva namijenjenu svrhu, dizajn, podatke za obuku, rezultate validacije i plan praćenja nakon stavljanja na tržište AI sustava
• Provođenje ili naručivanje ocjene sukladnosti — koja za sigurnosne komponente vozila mora biti koordinirana s postupkom homologacije prema GSR 2019/2144
• Registraciju AI sustava u bazi podataka EU-a za visokorizične AI sustave prema Art. 49 prije stavljanja na tržište
• Pružanje uputa za korištenje nizvodnim primateljima (operaterima voznih parkova, tvrtkama za iznajmljivanje) koje su dostatne za omogućavanje sukladnog raspoređivanja

Operateri voznih parkova i nositelji koncesija kao primatelji

Tvrtka koja upravlja voznim parkom autonomnih vozila, lokalna vlast koja raspoređuje AI sustav za upravljanje prometom ili upravitelj željezničke infrastrukture koji koristi AI-asistirana alata za održavanje je primatelj prema Art. 26. Obveze primatelja uključuju:

• Korištenje AI sustava u okviru uputa za korištenje pružatelja — svaka operativna upotreba izvan tog okvira može presvrstati primatelja u pružatelja, aktivirajući puni skup obveza pružatelja
• Provedbu mjera ljudskog nadzora kako je specificirano od strane pružatelja i primjereno operativnom kontekstu
• Čuvanje operativnih zapisa generiranih od strane AI sustava najmanje šest mjeseci, ili dulje gdje primjenjivo sektorsko zakonodavstvo (NIS2, nacionalno zakonodavstvo o sigurnosti prometa) zahtijeva dulje čuvanje
• Promptno prijavljivanje kvarova ili ozbiljnih incidenata pružatelju, te nacionalnim nadležnim tijelima prema Art. 73 gdje je sigurnost ili osnovna prava ugrožena
• Provođenje procjena utjecaja na temeljna prava (FRIA) prema Art. 27 gdje AI sustav raspoređuje javno tijelo ili u kontekstima koji pogađaju pojedince u velikom opsegu

Interakcija sa sektorskim propisima — EASA, ERA i homologacija

Cestovna vozila — GSR 2019/2144 i homologacija

Uredba o općoj sigurnosti (EU) 2019/2144 nalaže uključivanje specifičnih ADAS i autonomnih vozilnih funkcija u nove tipove vozila i uspostavlja tehničke zahtjeve za njihovo funkcioniranje. Homologacija vozila — koju provode nacionalna tijela za homologaciju (npr. KBA u Njemačkoj, DREAL u Francuskoj, Rijksdienst voor het Wegverkeer u Nizozemskoj) — primarni je mehanizam pristupa tržištu za cestovna vozila.

EU AI Akt ne zamjenjuje homologaciju. Art. 8(1) AI Akta specificira da gdje sektorsko zakonodavstvo nameće jednakovrijedne ili strože zahtjeve, moguće je postupovno usklađivanje, ali obveze AI Akta ostaju. U praksi, ocjena sukladnosti za AI sustav vožnje mora obuhvatiti i GSR tehničke zahtjeve (ocijenjene kao dio homologacije) i zahtjeve AI Akta (tehničku dokumentaciju, upravljanje podacima, evidentiranje, ljudski nadzor, praćenje nakon stavljanja na tržište). OEM-i trebaju planirati integrirani postupak ocjene koji pokriva oba okvira kako bi se izbjegao duplicirani napor i potencijalne praznine.

Zrakoplovstvo — EASA i plan za AI

EASA obnaša certifikacijsku nadležnost nad zrakoplovima, motorima i dijelovima prema Uredbi (EU) 2018/1139. EASA-in plan za AI (objavljen u uzastopnim izdanjima od 2020.) bavi se pouzdanosti AI-a za zrakoplovne AI sustave i primarni je certifikacijski referentni okvir za AI u kritičnim primjenama leta.

EU AI Akt primjenjuje se na zemaljski zrakoplovni AI (upravljanje prometom, dijagnostika održavanja, sustavi upravljanja kabinam) koji pada izvan granice plovidbenosti EASA-e. Za zrakoplovne AI sustave certificirane od strane EASA-e, dostupno je usklađivanje prema Art. 8(1), ali preklapanje između EASA zahtjeva plovidbenosti i obveza AI Akta (posebno u pogledu evidentiranja i ljudskog nadzora) mora se analizirati sustav po sustav. EASA-in koncept "razine AI jamstva" ne preslikava se izravno na klasifikaciju visokog rizika AI Akta ili zahtjeve ocjene sukladnosti.

Željeznice — ERA i sustavi upravljanja sigurnošću

ERA (Agencija Europske unije za željeznice) nadzire željezničku interoperabilnost i zajednički sigurnosni okvir prema Direktivama 2016/797 i 2016/798. Željeznički prijevoznici i upravitelji infrastrukture dužni su održavati Sustav upravljanja sigurnošću (SMS) koji pokriva procjenu rizika, istragu nesreća i kontinuirano poboljšanje.

Zahtjevi upravljanja rizicima AI Akta prema Art. 9 usko su usporedivi s ERA SMS zahtjevima. Organizacije koje imaju zreli SMS dobro su pozicionirane za integriranje dokumentacije upravljanja rizicima prema AI Aktu u postojeći okvir. ERA i Europska komisija izrazile su prednost za integrirane pristupe usklađivanju koji izbjegavaju dupliciranje između SMS-a i obveza AI Akta. AI sustavi koji se koriste u automatskoj željezničkoj operaciji, AI komponente ETCS-a (Europski sustav upravljanja vlakovnim prometom) ili prediktivno održavanje koje utječe na sigurnosno kritične odluke visokorizični su prema Annexu I (sigurnosna komponenta željezničkih vozila ili infrastrukture).

Tijela za izvršavanje i certifikaciju

Usklađenost AI-a u prometu uključuje više tijela za izvršavanje s djelomično preklapajućom nadležnošću, ovisno o funkciji AI sustava i proizvodu u koji je ugrađen.

EASA je certifikacijsko tijelo za AI u zrakoplovima i zrakoplovnim proizvodima. Može provoditi istrage o kvarovima AI sustava koji utječu na plovidbenost, a njezine odluke utječu na pristup tržištu diljem EU-a i partnerskim jurisdikcijama prema bilateralnim sporazumima.

ERA nadzire zajednički sigurnosni okvir za željeznice. Sigurnosni certifikati željeznica i odobrenja za rad uvjetovani su sukladnošću SMS-a, koja sve više presijecaju s usklađenošću prema AI Aktu za AI-aktivirane željezničke sustave.

Nacionalna tijela za homologaciju vozila — uključujući KBA (Njemačka), tijela koja je delegirala ANFIA (Italija) i Rijksdienst voor het Wegverkeer (Nizozemska) — izdaju i mogu povući homologacije za cestovna vozila. Nesukladnost sa zahtjevima AI Akta za AI sigurnosne komponente može biti osnova za suspenziju ili opoziv homologacije.

Nacionalna nadležna tijela za NIS2 — koja imenuje svaka država članica, često nacionalna agencija za kibernetičku sigurnost poput BSI (Njemačka), ANSSI (Francuska) ili NCSC-NL (Nizozemska) — izvršavaju NIS2 obveze za prometne operatere ključnih usluga. Izvršavanje NIS2 može rezultirati obvezujućim uputama, novčanim kaznama i u ozbiljnim slučajevima suspenzijom operacija.

Nacionalna nadzorna tijela za AI imenovana prema Art. 70 EU AI Akta imat će opće ovlasti tržišnog nadzora, s mehanizmima koordinacije za sektorska tijela kako bi se izbjegli jurisdikcijski sukobi.

Prioriteti usklađivanja za prometne operatere i pružatelje

Korak 1: Inventar AI sustava i klasifikacija

Provedite strukturirani inventar svih AI sustava u razvoju ili raspoređivanju u prometnom proizvodu ili operativnom portfelju. Za svaki sustav odredite je li sigurnosna komponenta proizvoda reguliranog NLF-om (put Art. 6(1)), AI za upravljanje kritičnom infrastrukturom (Annex III, točka 2) ili oboje. Dokumentirajte razloge klasifikacije u pisanom obliku. Sustavi koji se ne mogu odlučno isključiti iz klasifikacije visokog rizika trebaju se tretirati kao visokorizični do zaključnog pravnog mišljenja.

Korak 2: Planiranje puta ocjene sukladnosti

Za AI sustave koji su sigurnosne komponente vozila, zrakoplova ili željezničkih proizvoda, identificirajte primjenjivi sektorski postupak certifikacije i usporedite ga sa zahtjevima ocjene sukladnosti prema AI Aktu. Odredite je li potrebno prijavljeno tijelo (Art. 43(3)) ili je dovoljna samoprocjena s tehničkom revizijom treće strane. Koordinirajte vremenski okvir ocjene sukladnosti prema AI Aktu s programom homologacije ili certifikacije kako biste izbjegli kašnjenja u pristupu tržištu.

Korak 3: Tehnička dokumentacija i upravljanje podacima

Pripremite tehničku dokumentaciju prema Annexu IV za svaki visokorizični AI sustav. Za AI u prometu to mora uključivati: namijenjenu svrhu s dovoljnom preciznošću za podršku klasifikaciji prema AI Aktu i sektorskim propisima; podrijetlo podataka za obuku, uključujući sve stvarne podatke iz vožnje, operativne ili senzorske podatke koji su korišteni; opise simulacijskih okruženja za AI sustave validirane virtualnim testiranjem; te planove praćenja nakon stavljanja na tržište usklađene sa sektorski specifičnim obvezama izvještavanja.

Korak 4: Integracija NIS2 za operatere kritične infrastrukture

Prometni operateri ključnih usluga moraju integrirati zahtjeve kibernetičke sigurnosti AI Akta prema Art. 15 s obvezama upravljanja rizicima kibernetičke sigurnosti prema NIS2. Uspostavite jedinstveni proces procjene sigurnosnih rizika koji pokriva oba okvira. Osigurajte da dobavljači AI softvera — uključujući razvojne programere AI modela i davatelje podataka — podliježu zahtjevima sigurnosti opskrbnog lanca koji su dosljedni NIS2 Art. 21(2)(d) i Art. 25 AI Akta (obveze alata trećih strana).

Korak 5: Ljudski nadzor u operativnim kontekstima

Dizajnirajte mehanizme ljudskog nadzora prema Art. 14 koji su operativno izvedivi u prometnim okruženjima. Za sustave autonomne vožnje, definirajte uvjete pod kojima vozač mora moći preuzeti kontrolu (L3) ili udaljeni operater mora moći intervenirati (L4). Za AI za upravljanje zračnim prometom, specificite točke u tijeku rada na kojima kontrolor mora pregledati i odobriti AI-generirana uputstva. Za AI za održavanje željeznica, definirajte protokole eskalacije kada sustav označi sigurnosno kritične anomalije. Mehanizmi nadzora moraju biti dokumentirani u tehničkoj dokumentaciji i odraženi u uputama za korištenje koje se dostavljaju primateljima.

Korak 6: Praćenje nakon stavljanja na tržište i izvještavanje o incidentima

Uspostavite sustave praćenja nakon stavljanja na tržište koji zadovoljavaju i zahtjeve Art. 72 AI Akta i sektorski specifične obveze izvještavanja o sigurnosti (ERA izvještavanje o nesrećama, EASA izvještavanje o događajima prema Uredbi (EU) 376/2014, NIS2 obavijesti o incidentima). Ozbiljne incidente koji uključuju visokorizične AI sustave mora se prijaviti nacionalnom nadzornom tijelu za AI prema Art. 73 u roku 15 radnih dana od saznanja. Taj vremenski rok mora biti usklađen s NIS2 zahtjevom početne obavijesti od 24 sata za značajne incidente kibernetičke sigurnosti, koji mogu pokrivati isti događaj ako je kvar AI sustava pripisiv povredi kibernetičke sigurnosti.