18. cikk — Dokumentációmegőrzés (EU MI-rendelet)

Az (EU) 2024/1689 rendelet 18. cikke — Dokumentációmegőrzés. Hivatalos szöveg, gyakorlati értelmezés, főbb kötelezettségek és megfelelési következmények.

A hivatalos szöveg összefoglalása

Az (EU) 2024/1689 rendelet 18. cikke kötelező dokumentációmegőrzési kötelezettségeket állapít meg a III. melléklet alapján besorolt vagy a III. cím, 2. fejezet rendelkezései szerint kifejlesztett nagy kockázatú MI-rendszerek szolgáltatói számára. A cikk előírja, hogy a szolgáltatók a nagy kockázatú MI-rendszer forgalomba hozatalától vagy üzembe helyezésétől számított tíz éves időszakra őrizzék meg a rendelet betartását alátámasztó dokumentumok és nyilvántartások egy meghatározott körét.

A megőrzendő dokumentáció magában foglalja: a 11. cikk és a IV. melléklet alapján elkészített műszaki dokumentációt; a 17. cikk által megkövetelt minőségirányítási rendszer dokumentációját; a 47. cikk alapján kiadott EU-megfelelőségi nyilatkozatot; ahol alkalmazható, a 43. cikk szerinti megfelelőségértékelést követően bejelentett szervek által kiadott dokumentációt és tanúsítványokat; valamint a 72. cikk szerinti piacra helyezés utáni nyomon követési terveket és az összegyűjtött adatokat.

Ha a szolgáltató az Európai Unión kívül rendelkezik székhellyel, a hozzáférhető dokumentáció fenntartásának kötelezettsége közösen terheli a szolgáltatót és a 22. cikk alapján kijelölt, EU-ban letelepedett meghatalmazott képviselőt. A cikk továbbá pontosítja, hogy ha az ágazati uniós jog — például az (EU) 2017/745 orvostechnikai eszközökről szóló rendelet vagy az (EU) 2023/1230 gépekről szóló rendelet — hosszabb megőrzési időszakot ír elő az egyenértékű műszaki nyilvántartásokra vonatkozóan, a szigorúbb ágazati követelmény alkalmazandó, biztosítva a szabályozási keretek közötti koherenciát.

Amit ez a gyakorlatban jelent

A megfelelési csapatok és termékfelelősök számára a 18. cikk egy konkrét nyilvántartáskezelési programot jelent, amelyet még azelőtt kell megtervezni, hogy a nagy kockázatú MI-rendszer eléri a piacot, nem pedig utólag kell hozzáigazítani.

Kire vonatkozik. A 3. cikk (3) bekezdése szerint „szolgáltatónak" minősülő bármely jogi személy — jellemzően az a szervezet, amely fejleszti vagy fejlesztet nagy kockázatú MI-rendszert, és saját neve vagy védjegye alatt hozza forgalomba — viseli az elsődleges kötelezettséget. A harmadik féltől származó forgalmazók és importőrök nem tartoznak közvetlenül a 18. cikk hatálya alá, de egyenértékű kötelezettségeket válthatnak ki, ha a 25. cikk alapján lényegesen módosítanak egy rendszert.

Mit kell megőrizni. A kötelezettség a teljes dokumentációs életciklust lefedi: a tervezési fázis műszaki dokumentációját (architektúra, betanítási adatkészletek, kockázatértékelés), a minőségirányítási rendszer nyilvántartásait, beleértve a belső ellenőrzési nyomvonalakat, az aláírt megfelelőségi nyilatkozatot, az esetleges bejelentett szervi tanúsítványokat, valamint a folyamatosan bővülő piacra helyezés utáni nyomon követési nyilvántartást. A verziókövetés implicit módon szükséges, mivel a lényeges módosítást alkotó frissítések nullázzák a megfelelési kötelezettségeket, és ezzel a dokumentációs ciklust is.

Gyakorlati példák. Egy fintech vállalat, amely nagy kockázatúnak minősített hitelminősítési modellt alkalmaz, tíz évig köteles archiválni a modellkártyát, az elfogultsági vizsgálati jelentéseket, a megfelelőségi nyilatkozatot és az üzembe helyezés utáni összes incidensnapló-bejegyzést. Az MDR hatálya alá már tartozó, MI-alapú diagnosztikai eszközt integráló orvostechnikai eszköz gyártójának ellenőriznie kell, hogy az MDR 15 éves megőrzési szabálya alkalmazandó-e, amely esetben az a hosszabb időszak az irányadó.

Operatív ajánlás. A szolgáltatóknak dokumentumkezelő rendszert (DMS) kell bevezetniük szerepalapú hozzáféréssel, a piacra helyezési dátumokhoz kötött automatizált megőrzési ütemtervekkel, valamint a nyilvántartásokhoz hozzáférő vagy azokat módosító személyek ellenőrzési nyomvonalával — mindezek a 74. cikk szerinti piacfelügyeleti ellenőrzésekre való felkészültséget is támogatják.

Főbb kötelezettségek

• A 11. cikk és a IV. melléklet alapján összeállított műszaki dokumentáció megőrzése a nagy kockázatú MI-rendszer forgalomba hozatalától vagy üzembe helyezésétől számított legalább 10 évig.
• A 17. cikk által megkövetelt minőségirányítási rendszer dokumentációjának megőrzése, beleértve a belső ellenőrzések nyilvántartásait, a vizsgálati eredményeket és a korrekciós intézkedéseket, ugyanolyan 10 éves időszakra.
• A 47. cikk alapján kiadott EU-megfelelőségi nyilatkozat megőrzése, és ahol a 43. cikk szerinti megfelelőségértékelést bejelentett szerv végezte, az érintett szerv által kiadott valamennyi tanúsítvány és kapcsolódó levelezés megőrzése.
• A 72. cikk által megkövetelt terv alapján összegyűjtött piacra helyezés utáni nyomon követési nyilvántartások fenntartása, beleértve az incidensjelentéseket és a 73. cikk alapján benyújtott súlyos incidensekre vonatkozó értesítéseket.
• Annak biztosítása, hogy a dokumentáció tárolása lehetővé tegye a nemzeti piacfelügyeleti hatóságok számára való azonnali bemutatást kérésre a teljes megőrzési időszak alatt.
• Ha a 22. cikk alapján meghatalmazott képviselőt jelölnek ki, az képviselőnek rendelkeznie kell a dokumentáció másolatával, és fel kell hatalmazottnak lennie arra, hogy azt az illetékes hatóságok részére a szolgáltató nevében rendelkezésre bocsássa.

Kapcsolat más cikkekkel

A 18. cikk a nagy kockázatú MI megfelelési keretrendszer archívumi gerincét alkotja, és nem értelmezhető önmagában.

A 11. cikk (műszaki dokumentáció) és a IV. melléklet alatti, amelyek meghatározzák, hogy mit kell létrehozni; a 18. cikk ezt követően szabályozza, hogy meddig kell azt megőrizni. A 17. cikktől (minőségirányítási rendszer) függ, mivel az általa előírt MIR-nyilvántartásokat meg kell őrizni. Hivatkozik a 47. cikkre (EU-megfelelőségi nyilatkozat) és a 43. cikkre (megfelelőségértékelés), amelyek eredményei az őrzött dosszié részét képezik.

A 72. cikk (piacra helyezés utáni nyomon követési terv) és a 73. cikk (súlyos incidensek bejelentése) szerinti piacra helyezés utáni kötelezettségek folyamatosan táplálják a dokumentumarchívumot a rendszer teljes működési élettartama alatt. A 74. cikk (piacfelügyelet) és a 75. cikk (hozzáférés adatokhoz és dokumentációhoz) a végrehajtási megfelelők: az e cikkek alapján hatáskört gyakorló felügyelők hozzáférést kérnek majd pontosan azokhoz a nyilvántartásokhoz, amelyek megőrzését a 18. cikk előírja.

Az EU-n kívüli szolgáltatók esetében a meghatalmazott képviselőkre vonatkozó 22. cikket a 18. cikkel együtt kell olvasni annak meghatározásához, hogy melyik szervezet őrzi a fizikai vagy elektronikus nyilvántartásokat az Unión belül.

Megfelelési ütemterv

Az EU MI-rendelete 2024. augusztus 1-jén lépett hatályba, megkezdve a fokozatos alkalmazási ütemtervet.

A 18. cikk a III. cím, 3. fejezetébe tartozik, amely a III. mellékletben felsorolt nagy kockázatú MI-rendszerek szolgáltatóinak és üzembe helyezőinek kötelezettségeit szabályozza. Ezek a rendelkezések 2026. augusztus 2-től alkalmazandók — ez az általános nagy kockázatú MI-alkalmazási dátum, a hatálybalépéstől számított 24 hónappal.

Az I. mellékletben felsorolt ágazati jogszabályok által érintett nagy kockázatú MI-rendszerek esetében (pl. gépek, orvostechnikai eszközök, polgári repülés) a határidő 2027. augusztus 2-ig meghosszabbodik, a hatálybalépéstől számított 36 hónappal, elismerve a meglévő ágazati megfelelési keretrendszerekkel való összehangolás szükségességét.

A szolgáltatóknak tudniuk kell, hogy a 10 éves megőrzési óra az adott alkalmazási dátumon vagy röviddel azt követően — attól a pillanattól indul, amikor a rendszert forgalomba hozzák vagy üzembe helyezik. A dokumentációs kötelezettségek ezért de facto ugyanazon a napon lépnek életbe, amikor a nagy kockázatú kötelezettségek egésze végrehajthatóvá válik. Azoknak a szervezeteknek, amelyek a rendszerek 2026 augusztusával egyidejű vagy ahhoz közeli forgalomba hozatalát tervezik, nyilvántartáskezelési infrastruktúrájuknak jóval előre működőképesnek kell lennie, mivel a 11. cikk szerinti műszaki dokumentációnak még a megfelelőségértékelés befejezése előtt léteznie kell.