ES MI akta atbilstības kontrolsaraksts: soli pa solim FAQ ceļvedis

ES MI akta atbilstības kontrolsaraksts jautājumu un atbilžu formā: darbības joma, atlikušie termiņi, riska klasifikācija, aizliegtā prakse, GPAI, augsta riska sistēmu atbilstība un pienākumu sadalījums starp nodrošinātāju un izmantotāju.

Šis ceļvedis atbild uz atbilstības jautājumiem tādā secībā, kādā tie patiešām rodas: vai regula mani sasniedz, kas mani saista jau šodien, kuras manas sistēmas ir augsta riska, kas man jāsagatavo un cik maksā kļūda. Katra atbilde balstīta juridiskā pamatā, ko var citēt iekšējā ziņojumā.

Kam jāiziet cauri šim sarakstam?

Ikvienai organizācijai, kas izstrādā, izmanto, importē vai izplata ES lietotu MI sistēmu — neatkarīgi no reģistrācijas vietas. 2. pants sasniedz trešo valstu nodrošinātājus un izmantotājus, tiklīdz sistēmas radītais iznākums tiek izmantots Savienībā: ASV SaaS piegādātājs ar Eiropas klientiem ietilpst darbības jomā tāpat kā Latvijas banka.

Četri jautājumi nosaka jūsu pienākumu kopumu, un visi četri ir vajadzīgi, pirms saraksts kaut ko nozīmē:

Pēdējā rinda ir tā, kas paslīd garām lielākajai daļai inventarizāciju. Pārredzamības pienākumi skar sistēmas, kas nemaz nav augsta riska: klientu apkalpošanas tērzēšanas robots šodien nes pienākumu, nenesot neko no atbilstības sloga, kuram veltīta pārējā saraksta daļa.

Kas jūs saista jau tagad un kas vēl priekšā?

Pieci piemērošanas datumi ir pagājuši; galvenais atbilstības darbs iekrīt 2027. gada decembrī. Turpmākie datumi seko šīs vietnes publicētajai termiņu datu kopai, kas atspoguļo ar Regulu (ES) 2026/1744 noteiktos atlikumus.

Digitālais omnibuss pārcēla četrus no šiem datumiem un pārrakstīja 4. pantu; pilns reģistrs pirms/pēc publicēts vietnē /changes/. Tas neatcēla nevienu pienākumu un neradīja atbrīvojumus, tāpēc programma, kas veidota pēc sākotnējiem datumiem, joprojām ir pareizā programma — tai vienkārši ir garāks ieskrējiens.

1. solis — vai jūsu MI inventarizācija ir pilnīga?

Bez pilnīgas inventarizācijas nekas no tālākā nav aizstāvams. Izveidojiet reģistru par visām MI sistēmām, kurām organizācija pieskaras:

• Sistēmas, ko izstrādājat un pārdodat vai licencējat (esat nodrošinātājs)
• Sistēmas, ko pērkat vai licencējat un lietojat iekšēji (esat izmantotājs)
• Sistēmas, kas iebūvētas ražojumos, kurus ražojat vai importējat
• Sistēmas, kurām piekļūstat caur trešo pušu API (mākoņa MI, pamatmodeļu API)

Katrai: nosaukums, funkcija, ievad- un izvaddati, izmantošanas konteksts, lēmuma ietekme un skartās personas. Atzīmējiet sistēmas ar neskaidru klasifikāciju — tām vajadzīgs juridisks, nevis inženiertehnisks vērtējums.

Divas kategorijas sistemātiski netiek saskaitītas: MI funkcijas, kas piegādātas SaaS rīkos, par kuriem uzņēmums jau maksā, un modeļi, ko atsevišķas komandas uzbūvējušas ārpus iepirkuma procesa. Pieprasiet finanšu daļai piegādātāju sarakstu un izstrādes daļai modeļu reģistru; abu apvienojums ir tuvāk patiesībai nekā katrs atsevišķi.

2. solis — vai jau nedarbināt kaut ko nelikumīgu?

Izejiet cauri 5. pantam pirms jebkādas riska klasifikācijas, jo aizliegtu sistēmu nevar salabot līdz atbilstībai. Salīdziniet katru sistēmu ar sarakstu:

• Zemapziņas, manipulatīvi vai maldinoši paņēmieni, kas būtiski izkropļo uzvedību
• Neaizsargātības izmantošana vecuma, invaliditātes vai sociālā un ekonomiskā stāvokļa dēļ
• Sociālā vērtēšana, kas noved pie nelabvēlīgas attieksmes nesaistītos kontekstos
• Nemērķēta sejas attēlu ievākšana atpazīšanas datubāzu veidošanai
• Emociju secināšana darbavietā vai izglītībā
• Biometriskā kategorizēšana sensitīvu iezīmju secināšanai
• Attālināta biometriskā identifikācija reāllaikā publiskās vietās tiesībaizsardzības nolūkos

→ Izņemt no ekspluatācijas vai pārprojektēt no pamatiem. Šie aizliegumi ir spēkā kopš 2025. gada 2. februāra un ietilpst 35 miljonu EUR / 7 % sodu līmenī. Aizliegtās prakses ceļvedis apskata katras šauros izņēmumus.

No 2026. gada 2. decembra pievienojas aizliegums sistēmām, kas ģenerē bērnu seksuālas izmantošanas materiālu vai intīmus attēlus bez piekrišanas.

3. solis — vai esat vispārīga lietojuma modeļa nodrošinātājs?

Ja organizācija izstrādā un publicē pamatmodeli, V nodaļas pienākumi ir spēkā kopš 2025. gada 2. augusta. Trīs pārbaudes:

• Vai modelis tiek apmācīts pašuzraudzītā veidā ievērojamā mērogā?
• Vai tas spēj kompetenti veikt plašu atšķirīgu uzdevumu klāstu?
• Vai tas tiek darīts pieejams citiem, nevis lietots tikai iekšēji?

Ja jā: modeļa dokumentācija MI birojam un lejupējiem nodrošinātājiem, autortiesību politika un pietiekami detalizēts publisks apmācības satura kopsavilkums. Virs 10²⁵ FLOPs apmācības skaitļošanas sistēmiskais risks tiek prezumēts, kas pievieno modeļa novērtēšanu, pretinieka testēšanu, incidentu ziņošanu un kiberdrošību. Sk. GPAI pienākumu ceļvedi.

Kopš 2026. gada 2. augusta šo nodaļu tieši piemēro Komisija — nevis valstu iestādes — ar sodiem līdz 15 miljoniem EUR vai 3 %.

4. solis — kuras jūsu sistēmas ir augsta riska?

Klasificējiet pret III un I pielikumu, piemērojiet 6. panta 3. punkta filtru un rezultātu pierakstiet. III pielikumā uzskaitītas astoņas patstāvīgas kategorijas: biometrija, kritiskā infrastruktūra, izglītība un profesionālā apmācība, nodarbinātība un darbinieku pārvaldība, piekļuve pamatpakalpojumiem privātajā un publiskajā sektorā, tiesībaizsardzība, migrācija un robežkontrole, un tiesu spriešana. I pielikums aptver MI, kas darbojas kā tāda ražojuma drošības sastāvdaļa, kuru jau regulē ES ražojumu drošības tiesības.

6. panta 3. punkta izņēmums atbrīvo sistēmu, kas gan ietilpst III pielikuma kategorijā, bet nerada būtisku risku: šaurs procedurāls uzdevums, pabeigtas cilvēka darbības rezultāta uzlabošana, lēmumu modeļu atklāšana, neaizstājot cilvēka vērtējumu, vai tīri sagatavojošs darbs. Tas nekad nav piemērojams fizisku personu profilēšanas gadījumā. Novērtējums jādokumentē pirms laišanas tirgū, un reģistrācijas pienākums saglabājas.

Klasifikācijas lēmumi ir visbiežāk pārbaudītais šī saraksta artefakts. Pierakstiet izskatīto kategoriju, argumentāciju, pierādījumus, datumu un atbildīgo personu.

5. solis — esat nodrošinātājs vai izmantotājs?

Loma nosaka apmēram 80 % no slodzes, un iepirkuma līgums to nenostiprina. 25. pants padara jūs par tādas augsta riska sistēmas nodrošinātāju, ko neesat būvējuši, ja uzliekat savu nosaukumu vai zīmi, būtiski to pārveidojat vai pārorientējat tā, ka tā kļūst augsta riska. Ražotāja modeļa pieregulēšana ar saviem datiem un piegāde ar savu zīmolu ir ierastais veids, kā mantot nekad nebudžetētus nodrošinātāja pienākumus.

Nodrošinātāja un izmantotāja ceļvedis apskata robežgadījumus, tostarp importētājus un izplatītājus, kuriem ir pārbaudes, nevis atbilstības pienākumi.

6.–10. solis — ko augsta riska programma faktiski rada?

Seši artefakti atkarības secībā. Katrs ir nākamā ievads, tāpēc programma, kas sākas ar dokumentāciju un atgriežas pie pārvaldības, iestrēgst.

1. Kvalitātes vadības sistēma (17. pants) — politikas, atbildības, izmaiņu pārvaldība, datu pārvaldība, pēctirgus uzraudzība un incidentu procedūras. Tieši to tirgus uzraudzības iestāde prasa pirmo.
2. Riska pārvaldības ieraksti (9. pants) — iteratīvs identificēšanas, novērtēšanas un mazināšanas cikls, uzturēts visā dzīves ciklā, nevis parakstīts vienreiz.
3. Datu pārvaldības pierādījumi (10. pants) — izcelsme, reprezentativitāte, neobjektivitātes pārbaude un mazināšana apmācības, validācijas un testēšanas kopām.
4. IV pielikuma tehniskā lieta — kopums, kas aprakstīts tehniskās dokumentācijas ceļvedī, tostarp testi pret 15. panta precizitātes, robustuma un kiberdrošības prasībām.
5. Atbilstības novērtēšana un deklarācija — pašnovērtējums pēc VI pielikuma vai paziņotā struktūra tur, kur to prasa biometrija vai I pielikuma ražojumu tiesību akti. Sk. atbilstības novērtēšanas ceļvedi.
6. Reģistrācija, CE zīme un uzraudzība — ieraksts ES datubāzē pirms laišanas tirgū, CE zīme uz dokumentācijas, pēc tam pēctirgus uzraudzības plāns un ziņošana par nopietniem incidentiem saskaņā ar 73. pantu.

Tēmējiet uz 2027. gada 2. decembri III pielikuma patstāvīgajām sistēmām un uz 2028. gada 2. augustu I pielikuma iebūvētajām sistēmām. Reāla programma vienai augsta riska sistēmai ilgst 12 līdz 24 mēnešus: sākums 2026. gada beigās ietilpst logā bez rezerves, un paziņoto struktūru jauda sašaurināsies, datumam tuvojoties.

Ko darīt, ja lietojat tikai citu MI?

Esat izmantotājs, un jūsu saraksts ir īss, bet ne tukšs. Šeit atrodas lielākā daļa organizāciju: neviens pašu modelis, kāds ducis MI funkciju caur SaaS un API.

• Pratība (4. pants) ir spēkā tagad, katram izmantotājam un jebkurā riska līmenī.
• Pārredzamība (50. pants) attiecas tagad uz to, ko redz jūsu lietotāji: paziņojums par tērzēšanas robotu, dziļviltojumu marķēšana, sabiedrības informēšanai publicētu ģenerētu tekstu marķēšana.
• Izmantotāja pienākumi (26. pants) būs spēkā no 2027. gada 2. decembra visur, kur lietojuma gadījums ietilpst III pielikuma kategorijā — kandidātu atlase, kredīta lēmumi, darbinieku pārvaldība.
• 25. pants ir slazds: brīdī, kad pārmarķējat vai būtiski pārveidojat, mantojat nodrošinātāja kopumu.

Praktiskā kontrole ir piegādātāja pārbaude: iegūstiet atbilstības deklarāciju, lietošanas instrukciju un informāciju, ko 13. pants uzliek nodrošinātājam sniegt. Trešo pušu MI ceļvedis precizē, ko prasīt līgumā.

Kas mainās pa nozarēm?

Pienākumi ir vienādi; klasifikācijas iznākumi un pārklājošies režīmi — nē.

• Finanšu pakalpojumi — kredītvērtēšana un apdrošināšanas cenu noteikšana ietilpst III pielikumā, un tur izmantotājam pienākas ietekmes novērtējums saskaņā ar 27. pantu. DORA IKT riska pārvaldība daļēji izpilda riska pārvaldības pantu, bet neaptver MI specifisko datu pārvaldību un cilvēka virsvadību. Projektējiet vienu ziņošanas plūsmu, kas izpilda gan DORA 19. pantu, gan MI akta 73. pantu. Sk. finanšu nozares ceļvedi un DORA / NIS2 konverģences ceļvedi.
• Veselības aprūpe un medicīniskās ierīces — MI kā MDR/IVDR ierīces drošības sastāvdaļa ietilpst I pielikumā, piemērojamā no 2028. gada 2. augusta. Esošā tehniskā lieta un ISO 13485 kvalitātes sistēma ir pamats, un tās jāpaplašina ar III nodaļas prasībām; jūsu paziņotajai struktūrai vajadzīga atsevišķa izraudzīšanās saskaņā ar MI aktu.
• Personāls un darbā pieņemšana — III pielikuma nodarbinātības kategorija. Neobjektivitātes pārbaude saskaņā ar 10. pantu ir galvenā ekspozīcija, pārredzamība pret kandidātiem ir izmantotāja pienākums, un neviens galīgs nodarbinātības lēmums nedrīkst balstīties uz sistēmu bez cilvēka, kas to var atcelt.
• Publiskais sektors — ietekmes novērtējums ir obligāts, un izmantotāji savu III pielikuma sistēmu lietojumu reģistrē ES datubāzē.

Nozaru ceļveži aplūko deviņas nozares tajā pašā struktūrā.

Cik maksā neatbilstība?

Trīs līmeņi, un parastam uzņēmumam vissvarīgākais ir vidējais. 99. pants nosaka 35 miljonus EUR vai 7 % no pasaules apgrozījuma par 5. panta aizliegumiem, 15 miljonus vai 3 % par lielāko daļu citu pienākumu — tostarp 50. panta pārredzamību un visu augsta riska bloku — un 7,5 miljonus vai 1 % par maldinošu informāciju iestādēm. MVU ierobežo zemākā summa.

Trešais līmenis pelna uzmanību, kas nesamērīga ar tā apmēru: tas soda par sliktu atbildi uzraudzības iestādei neatkarīgi no jebkāda pamatā esoša pārkāpuma. Tieši dokumentācija pārvērš aizstāvamu nostāju pierādāmā. Sodu ceļvedis izvērš ekspozīcijas aprēķinu.

Ko darīt tuvākajās 90 dienās

1. Aizvērt inventarizācijas plaisu — finanšu daļas piegādātāju saraksts ∪ izstrādes modeļu reģistrs.
2. Izlaist visu parku caur 5. panta filtru. Tas ir vienīgais solis ar jau spēkā esošu 7 % līmeni.
3. Ieviest 50. panta paziņojumus visam, kas vērsts pret lietotāju; pienākums ir spēkā, nevis gaidāms.
4. Pierādīt 4. panta pratību: kurš, par ko un kad ir apmācīts. MI pratības ceļvedis precizē, ko prasa pārrakstītais pants.
5. Klasificēt III pielikuma kandidātus un pierakstīt argumentāciju, tostarp lēmumus pēc 6. panta 3. punkta.
6. Katrai apstiprinātai augsta riska sistēmai palaist kvalitātes vadības sistēmu. 2027. gada decembris ir ierobežojums, un rinda pie paziņotajām struktūrām ir jūsu priekšā, nevis aiz muguras.

Darba veidnes inventarizācijai, riska reģistram, tehniskajai lietai un piegādātāju pārbaudei atrodamas atbilstības rīkkopās; MI akta akadēmija aptver to pašu lauku kā strukturēta apmācība ar sertifikāciju.