Reglamento (ES) 2024/1689 9 straipsnis — Rizikos valdymo sistema. Oficialus tekstas, praktinis aiškinimas, pagrindinės pareigos ir atitikties pasekmės.
Oficialaus Teksto Santrauka
Reglamento (ES) 2024/1689 9 straipsnis nustato privalomą, nuolatinę rizikos valdymo sistemą didelės rizikos DI sistemų tiekėjams visą sistemos gyvavimo ciklą. Nuostata reikalauja, kad rizikos valdymo sistema būtų iteratyvus procesas, integruotas į didelės rizikos DI sistemos kūrimą ir eksploatavimą, reguliariai atnaujinamas atsižvelgiant į naują informaciją, surinktą stebėsenos po pateikimo rinkai metu.
Konkrečiai 9 straipsnis reikalauja, kad tiekėjai: (a) identifikuotų ir analizuotų visas žinomas ir pagrįstai numatomas rizikas, susijusias su didelės rizikos DI sistema; (b) įvertintų ir išanalizuotų rizikas, kurios gali pasireikšti, kai sistema naudojama pagal numatytą paskirtį ir pagrįstai numatomų piktnaudžiavimų sąlygomis; (c) įvertintų rizikas, kylančias iš turimų duomenų ir su sistema sąveikaujančių asmenų elgesio; ir (d) priimtų tinkamas rizikos valdymo priemones, pagrįstas šia analize.
Rizikos valdymo priemonės turi būti tokios, kad kiekviena likutinė rizika, susijusi su kiekvienu pavojumi, taip pat bendra didelės rizikos DI sistemos likutinė rizika, būtų vertinama kaip priimtina. 9 straipsnis taip pat nurodo, kad turi būti atliekamas testavimas siekiant nustatyti tinkamas priemones, ir kad toks testavimas turi būti atliekamas pagal apibrėžtus rodiklius ir tikimybinius slenksčius. Ypatingas dėmesys reikalingas, kai sistema greičiausiai sąveikaus su vaikais ar kitomis pažeidžiamomis grupėmis. Iš naudotojų patirties gaunama informacija turi būti grąžinama į sistemos tiekėjo rizikos valdymo procesą.
Ką Tai Reiškia Praktiškai
9 straipsnis yra vienas iš operaciniu požiūriu reikliausių reikalavimų ES DI akto III antraštinėje dalyje. Jis taikomas bet kuriam juridiniam asmeniui, kuris atitinka didelės rizikos DI sistemos tiekėjo apibrėžimą – tai yra subjektas, kuris kuria sistemą arba liepia ją sukurti ir pateikia ją rinkai arba pradeda naudoti savo vardu arba prekės ženklu.
Praktiškai atitiktis reikalauja sukurti dokumentuotą rizikos valdymo sistemą prieš pateikiant sistemą rinkai. Tai nėra paprastas žymimųjų langelių pildymo pratimas: reglamentas reikalauja iteratyvaus proceso, kuris tęsiasi visą produkto gyvavimo laikotarpį, o tai reiškia, kad rizikos valdymo dokumentacija turi tobulėti, kai sistema atnaujinama, permokyma arba diegiama naujuose kontekstuose.
Atitinkama rizikos valdymo sistema paprastai apims: struktūrizuotą rizikos identifikavimo procedūrą, apimančią tiek numatytą naudojimą, tiek tikėtinus piktnaudžiavimo scenarijus; rizikos vertinimo matricą, vertinančią žalos tikimybę ir sunkumą; švelninimo priemonių katalogą su dokumentuotu jų pasirinkimo pagrindimu; formalų išankstinį rinkos testavimą pagal apibrėžtus rodiklius; ir mechanizmą grįžtamajam ryšiui po pateikimo rinkai – įskaitant naudotojų pateiktus incidentų duomenis – įtraukti į vykdomą rizikos analizę.
Pavyzdžiui, pagal III priedą kaip didelės rizikos klasifikuojamo DI pagrindu veikiančio kredito vertinimo įrankio tiekėjas turi dokumentuoti, kaip modelis galėtų produkuoti diskriminacinius rezultatus, kokios techninės ir organizacinės priemonės mažina tą riziką ir kaip realaus veikimo duomenys paskatins pakartotinį vertinimą. DI sistema, naudojama medicininiame kontekste, taip pat turi spręsti padidintą rūpestingumo pareigą, kai dalyvauja pažeidžiami naudotojai. Rizikos valdymo rezultatai tiesiogiai maitina techninę dokumentaciją, kurios reikalauja 11 straipsnis, ir atitikties vertinimą pagal 43–44 straipsnius.
Pagrindinės Pareigos
- Sukurti ir prižiūrėti nuolatinę rizikos valdymo sistemą, apimančią visą didelės rizikos DI sistemos gyvavimo ciklą, nuo projektavimo iki išjungimo, atnaujintą atsižvelgiant į stebėsenos po pateikimo rinkai duomenis.
- Identifikuoti visas žinomas ir pagrįstai numatomas rizikas, įskaitant rizikas, kylančias iš pagrįstai numatomų piktnaudžiavimų, sąveikos su kitomis sistemomis ir diegimo sociotechninio konteksto.
- Įvertinti ir išanalizuoti rizikas atsižvelgiant į jų atsiradimo tikimybę ir galimos žalos sunkumą, atsižvelgiant į numatytą paskirtį ir asmenų kategorijas, kuriems greičiausiai bus paveiktos, įskaitant pažeidžiamas grupes ir vaikus.
- Priimti rizikos valdymo priemones, mažinančias identifikuotas rizikas iki priimtino likutinio lygio; kai techninių priemonių nepakanka, jas turi papildyti organizacinės arba informacinės priemonės.
- Atlikti išankstinį rinkos testavimą naudojant apibrėžtus rodiklius ir tikimybinius slenksčius, tinkamus numatytam tikslui, siekiant patvirtinti, kad pasirinktos priemonės yra veiksmingos ir kad likutinė rizika yra priimtina.
- Integruoti stebėsenos po pateikimo rinkai grįžtamąjį ryšį iš naudotojų ir galutinių vartotojų į vykdomą rizikos valdymo procesą, užtikrinant, kad sistema išliktų reaguojanti į realius žalos ar beveik nelaimingų atsitikimų įrodymų.
Ryšys su Kitais Straipsniais
9 straipsnis yra 2 skyriaus reikalavimų sistemos centre ir struktūriškai susijęs su keliomis kitomis nuostatomis. Savo taikymo srities atžvilgiu jis priklauso nuo 6 straipsnio ir III priedo: jo pareigoms pavaldžios tik didelės rizikos sistemos. 9 straipsnio proceso rezultatai tiesiogiai maitina 11 straipsnį (techninė dokumentacija), kuris reikalauja, kad tiekėjai įrodytų, jog egzistuoja atitinkama rizikos valdymo sistema ir ji buvo taikoma.
9 straipsnis taip pat glaudžiai susijęs su 10 straipsniu (duomenys ir duomenų valdymas), nes mokymo, patvirtinimo ir testavimo duomenų kokybė iš esmės veikia rizikos profilį, kurį reikia valdyti. 13 straipsnis (skaidrumas ir informacijos teikimas) reikalauja, kad tam tikra su rizika susijusi informacija būtų perduota naudotojams, o 14 straipsnis (žmogaus vykdoma priežiūra) nurodo priemones, kurios dažnai tarnauja kaip pirmosios linijos rizikos švelninimo priemonės pagal 9 straipsnį. 26 straipsnis nustato žemupyje esančias pareigas naudotojams stebėti realų naudojimą ir grąžinti atitinkamą informaciją tiekėjams, uždarant grįžtamojo ryšio ciklą, kurio reikalauja 9 straipsnis. Galiausiai 72 straipsnis (stebėsena po pateikimo rinkai) formalizuoja duomenų rinkimo mechanizmus, palaikančius iteratyvų rizikos valdymo procesą laikui bėgant.
Atitikties Tvarkaraštis
ES DI aktas įsigaliojo 2024 m. rugpjūčio 1 d. 9 straipsnis, kaip pagrindinis 2 skyriaus reikalavimas, taikomas didelės rizikos DI sistemoms, laikosi bendro III antraštinės dalies pareigų atitikties tvarkaraščio:
- 2024 m. rugpjūčio 1 d. — Reglamentas įsigalioja; daugumai didelės rizikos pareigų pradedamas 24 mėnesių pereinamasis laikotarpis.
- 2025 m. vasario 2 d. — Taikomi draudimai dėl nepriimtinos rizikos DI praktikų (5 straipsnis). 9 straipsnis dar netaikomas.
- 2025 m. rugpjūčio 2 d. — Taikomi bendrosios paskirties DI modelių taisyklės (VIII antraštinė dalis). 9 straipsnis dar nėra privalomas daugumai didelės rizikos sistemų.
- 2026 m. gruodžio 2 d. — 9 straipsnis tampa visiškai taikomas didelės rizikos DI sistemoms, išvardytoms III priede (DI sistemos tokiose srityse kaip švietimas, užimtumas, esminės paslaugos, teisėsauga, migracija ir teisingumo administravimas). Iki šios datos tiekėjai privalo turėti atitinkamą rizikos valdymo sistemą.
- 2027 m. rugpjūčio 2 d. — Pratęstas terminas didelės rizikos DI sistemoms, kurios yra produktų, jau aprėptų I priede išvardytais esamais Sąjungos derinamaisiais teisės aktais (pvz., mašinos, medicinos prietaisai, civilinė aviacija), saugos komponentais.
Tiekėjai, kurie kuria ar įsigyja didelės rizikos DI sistemas, turėtų 2026 m. gruodžio 2 d. laikyti savo griežtu terminu pasirengimui atitikčiai pagal 9 straipsnį, integruodami rizikos valdymo sistemas į savo kūrimo procesus iš anksto, kad liktų laiko testavimui, dokumentavimui ir atitikties vertinimui.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Didelės rizikos DI sistemų, kaip apibrėžta Reglamento (ES) 2024/1689 6 straipsnyje ir III priede, tiekėjai privalo sukurti ir prižiūrėti rizikos valdymo sistemą prieš pateikdami savo sistemą rinkai arba pradėdami ją naudoti.
Sistema turi identifikuoti ir analizuoti žinomus bei pagrįstai numatomas rizikas, įvertinti rizikas, kurios gali atsirasti naudojant, priimti tinkamas rizikos valdymo priemones ir užtikrinti, kad likutinės rizikos būtų vertinamos kaip priimtinos pagal reglamentą.
Ne. 9 straipsnis reikalauja nuolatinio, pasikartojančio proceso, kuris vyksta per visą didelės rizikos DI sistemos gyvavimo ciklą, įskaitant stebėseną po pateikimo rinkai. Sistema turi būti atnaujinama, kai atsiranda nauja informacija apie rizikas.
9 straipsnis aiškiai reikalauja, kad tiekėjai atsižvelgtų į rizikas, kylančias dėl pagrįstai numatomų piktnaudžiavimų – ne tik numatyto naudojimo. Tai reiškia, kad tiekėjai turi analizuoti tikėtinus būdus, kuriais sistema galėtų būti naudojama neteisingai ar nesąžiningai, ir atitinkamai sušvelninti tas rizikas.
9 straipsnio 7 dalis reikalauja, kad būtų apibrėžtos ir vykdomos testavimo procedūros siekiant nustatyti tinkamiausias rizikos valdymo priemones. Testavimas turi būti atliekamas pagal iš anksto apibrėžtus rodiklius ir tikimybinius slenksčius, tinkamus numatytam tikslui, ir turi būti atliekamas prieš pateikiant rinkai.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.