8 straipsnis — Reikalavimų laikymasis (ES DI aktas)

Reglamento (ES) 2024/1689 8 straipsnis — Reikalavimų laikymasis. Oficialus tekstas, praktinė interpretacija, pagrindinės prievolės ir atitikties pasekmės.

Oficialaus teksto santrauka

Reglamento (ES) 2024/1689 8 straipsnis, esantis III antraštinėje dalyje (Didelės rizikos DI sistemos), 2 skyriuje (Didelės rizikos DI sistemų reikalavimai), nustato pagrindinę atitikties prievolę didelės rizikos DI sistemų teikėjams. Pagal 8 straipsnio 1 dalį tokios sistemos privalo atitikti visus to paties skyriaus 9–15 straipsniuose nustatytus reikalavimus, apimančius rizikos valdymo sistemas, duomenis ir duomenų valdymą, techninę dokumentaciją, įrašų tvarkymą, skaidrumą ir informacijos teikimą diegėjams, žmogaus priežiūros priemones bei tikslumo, patikimumo ir kibernetinio saugumo standartus.

8 straipsnio 2 dalis nagrinėja DI reguliavimo ir esamos produktų saugos teisės aktų sandūrą. Kai didelės rizikos DI sistema yra produkto saugos komponentas arba pati sudaro produktą, ir tas produktas patenka į Reglamento I priede išvardytų Sąjungos suderinimosi teisės aktų taikymo sritį, DI sistema privalo atitikti tiek 2 skyriaus reikalavimus, tiek taikytinus I priedo teisės aktus. Tokiais atvejais gali būti taikoma viena atitikties vertinimo procedūra, kai tai leidžia Sąjungos suderinimosi teisės aktai, užtikrinant, kad sutampantys reguliavimo pagrindai neuzokia teikėjams dubliuojančios procedūrinės naštos.

Taigi šis straipsnis atlieka dvi funkcijas: suaktyvina visą didelės rizikos DI techninių ir valdymo reikalavimų rinkinį ir nustato koordinavimo taisyklę tarp DI akto ir ankstesnių sektorinių produktų teisės aktų, išsaugodamas DI akto ir bendrojo Sąjungos saugos svarbių technologijų reguliavimo sistemos nuoseklumą.

Ką tai reiškia praktiškai

8 straipsnis yra 2 skyriaus įžangos nuostata. Ji pati nesureguliuoja atskirų reikalavimų turinio — tai nustatoma 9–15 straipsniuose — tačiau didelės rizikos DI sistemų teikėjams ji visus juos paverčia privaloma teisine prievolė, kurią reikia įvykdyti prieš bet kuriai tokiai sistemai išleidžiant į rinką, pradedant ją naudoti arba suteikiant galimybę su ja susipažinti.

DI sistemos teikėjams, siūlantiems vien DI produktus: Jei kuriate ir parduodate savarankišką didelės rizikos DI sistemą — pavyzdžiui, įdarbinimo atrankos įrankį pagal III priedo 4 punktą arba kredito vertinimo sistemą pagal 5 punktą — privalote tenkinti visą 2 skyriaus reikalavimų rinkinį. Tai reiškia rizikos valdymo sistemos sukūrimą ir priežiūrą (9 straipsnis), tinkamų duomenų valdymo praktikų įgyvendinimą (10 straipsnis), techninės dokumentacijos rengimą ir priežiūrą (11 straipsnis), automatinio registravimo užtikrinimą (12 straipsnis), tinkamų naudojimo instrukcijų teikimą diegėjams (13 straipsnis), projektavimą siekiant prasmingos žmogaus priežiūros (14 straipsnis) bei patvirtintų tikslumo, patikimumo ir kibernetinio saugumo lygių pasiekimą (15 straipsnis).

Gamintojams, integruojantiems DI į reglamentuojamus produktus: Jei jūsų didelės rizikos DI sistema yra produkto, kuriam jau taikomas mašinų reglamentas, medicinos prietaisų teisės aktai ar kiti I priedo pagrindai, komponentas, 8 straipsnio 2 dalis reikalauja dvigubo atitikties laikymosi. Praktiškai tai reiškia darbą su notifikuotosiomis įstaigomis, susipažinusiomis su abiem režimais, ir, kai yra suderintieji standartai, apimantys DI reikalavimus, jų naudojimą siekiant nustatyti atitikties prezumpciją ir supaprastinti vertinimo procedūras.

Importuotojams ir platintojams: Nors 8 straipsnis nustato pagrindines prievoles teikėjams, importuotojai ir platintojai prieš leisdami sistemas į rinką privalo patikrinti, ar teikėjai įvykdė šias prievoles, nes tolimesnės atsakomybės galimybė siejama su teikėjo atitikties statusu.

Pagrindinės prievolės

• Būtinas visiškas 2 skyriaus atitiktis: Teikėjai privalo tenkinti kiekvieną 9–15 straipsnių reikalavimą — rizikos valdymą, duomenų valdymą, techninę dokumentaciją, registravimą, skaidrumą, žmogaus priežiūrą, tikslumą, patikimumą ir kibernetinį saugumą — kaip kaupiamą ir neatšaukiamą prievolę prieš pateikiant į rinką.
• Atitikties patikrinimas prieš pateikiant į rinką: Atitiktis turi būti nustatyta ir pagrindžiama prieš pateikiant didelės rizikos DI sistemą į rinką arba pradedant ją naudoti, o ne retrospektyviai.
• Dviguba atitiktis I priedo produktams: Kai didelės rizikos DI sistema yra saugos komponentas arba sudaro produktą, kuriam taikomi I priede išvardyti Sąjungos suderinimosi teisės aktai, teikėjas privalo vienu metu laikytis tiek 2 skyriaus reikalavimų, tiek taikytinų sektorinių teisės aktų.
• Integruotas atitikties vertinimas, kai taikoma: I priedo produktų teikėjai, kai taikytini Sąjungos suderinimosi teisės aktai tai leidžia, gali naudoti vieną atitikties vertinimo procedūrą, mažinant procedūrinį dubliavimą.
• Nuolatinė atitiktis, ne vienkartinis sertifikavimas: 2 skyriaus reikalavimai nustato nuolatines prievoles — rizikos valdymo sistemos turi būti atnaujinamos, žurnalai tvarkomi, o techninė dokumentacija turi išlikti aktuali per visą sistemos gyvavimo ciklą.
• Teikėjo atsakomybė net naudojant trečiųjų šalių komponentus: Kai didelės rizikos DI sistema sukurta naudojant trečiųjų šalių modelius ar infrastruktūrą, teikėjas išlaiko atsakomybę už tai, kad visa sistema atitiktų visus taikytinus 2 skyriaus reikalavimus.

Ryšys su kitais straipsniais

8 straipsnis yra neatsiejamas nuo 9–15 straipsnių, kuriuos jis suaktyvina ir į kuriuos tiesiogiai nukreipia. Jį taip pat reikia skaityti kartu su 6 straipsniu ir III priedu, kurie apibrėžia, kurios DI sistemos klasifikuojamos kaip didelės rizikos ir todėl patenka į 8 straipsnio įpareigojamą 2 skyriaus režimą.

16 straipsnis (teikėjų prievolės) įgyvendina 8 straipsnį, nurodydamas procedūrinius ir administracinius veiksmus, kuriuos teikėjai privalo atlikti atitikčiai pagrįsti, įskaitant techninės dokumentacijos parengimą, atitikties vertinimo atlikimą, CE ženklo uždėjimą ir sistemos registravimą. 43 straipsnis reglamentuoja atitikties vertinimo procedūras, kurių rezultatai reikalingi 8 straipsnio atitikčiai.

Sistemoms, kurioms taikomi I priedo produktų teisės aktai, 8 straipsnio 2 dalį reikia skaityti kartu su taikytinais sektoriniais aktais — pavyzdžiui, Reglamentu (ES) 2017/745 dėl medicinos prietaisų ar Direktyva 2006/42/EB dėl mašinų — siekiant nustatyti, kaip sąveikauja reikalavimai ir koks atitikties vertinimo kelias yra prieinamas.

ES DI akto 9 straipsnis yra tiesioginis kito lygmens straipsnis, nustatantis rizikos valdymo sistemą, kuri sudaro operatyvinį 2 skyriaus atitikties pagrindą.

Atitikties tvarkaraštis

ES DI aktas įsigaliojo 2024 m. rugpjūčio 1 d., dvidešimt dienų po jo paskelbimo Europos Sąjungos oficialiajame leidinyje. Tačiau 8 straipsnis ir platesni 2 skyriaus reikalavimai iš karto netaikomi visoms didelės rizikos DI sistemoms.

Reglamentas taikomas etapais:

• 2025 m. vasario 2 d.: Taikomi draudimai dėl nepriimtinos rizikos DI praktikų (5 straipsnis). 8 straipsnis šią datą dar netaikomas.
• 2025 m. rugpjūčio 2 d.: Taikomi bendrosios paskirties DI modelių taisyklių (VIII antraštinė dalis) ir valdymo nuostatos. 8 straipsnis vis dar netaikomas.
• 2026 m. rugpjūčio 2 d.: 8 straipsnis ir visi 2 skyriaus reikalavimai pradedami taikyti III priede išvardytoms didelės rizikos DI sistemoms (pvz., biometrinė identifikacija, kritinė infrastruktūra, užimtumas, švietimas, prieiga prie paslaugų, teisėsauga, migracija, teisingumo vykdymas).
• 2027 m. rugpjūčio 2 d.: 8 straipsnis ir 2 skyriaus reikalavimai pradedami taikyti didelės rizikos DI sistemoms, kurios yra I priedo Sąjungos suderinimosi teisės aktais (pvz., medicinos prietaisai, mašinos, žaislai, civilinės aviacijos įranga) reglamentuojamų produktų saugos komponentai, atsižvelgiant į ilgesnius tų sektorių atitikties vertinimo ciklus.

Teikėjai, pateikiantys III priedo didelės rizikos sistemas rinkai po 2026 m. rugpjūčio 2 d., nuo tos dienos privalo visiškai laikytis 8–15 straipsnių. I priedo įterptinių sistemų teikėjai turi laiko iki 2027 m. rugpjūčio 2 d., tačiau turėtų pradėti atitikties darbus gerokai iš anksto, atsižvelgiant į dvigubo režimo vertinimo sudėtingumą.