Artykuł 6 — Zasady klasyfikacji systemów AI wysokiego ryzyka (Akt w sprawie AI UE)

Artykuł 6 Rozporządzenia (UE) 2024/1689 — Zasady klasyfikacji systemów AI wysokiego ryzyka. Oficjalny tekst, praktyczna interpretacja, kluczowe obowiązki i implikacje dla zgodności.

Podsumowanie tekstu oficjalnego

Artykuł 6 Rozporządzenia (UE) 2024/1689 ustanawia dwutorowy mechanizm klasyfikacji, który określa, kiedy system AI podlega rygorystycznym obowiązkom mającym zastosowanie do systemów wysokiego ryzyka na podstawie Tytułu III, Rozdziału 2.

Pierwszy tor, określony w Artykule 6(1), obejmuje systemy AI, które są elementami bezpieczeństwa produktów już regulowanych przez unijne prawodawstwo harmonizacyjne wymienione w Załączniku I — w tym Rozporządzenie w sprawie maszyn, Rozporządzenie w sprawie wyrobów medycznych, Rozporządzenie w sprawie wyrobów medycznych do diagnostyki in vitro, Dyrektywę w sprawie urządzeń radiowych i kilka innych. W przypadku gdy dany produkt sam musi przejść ocenę zgodności przez stronę trzecią na mocy mającego zastosowanie prawodawstwa sektorowego, system AI pełniący funkcję jego elementu bezpieczeństwa jest automatycznie klasyfikowany jako wysokiego ryzyka.

Drugi tor, określony w Artykule 6(2), obejmuje samodzielne systemy AI wymienione w Załączniku III. Ten załącznik wymienia osiem obszarów — identyfikacja i kategoryzacja biometryczna; zarządzanie infrastrukturą krytyczną; edukacja i szkolenie zawodowe; zatrudnienie i zarządzanie pracownikami; dostęp do podstawowych usług prywatnych i publicznych; egzekwowanie prawa; migracja, azyl i kontrola graniczna; oraz wymiar sprawiedliwości i procesy demokratyczne.

Artykuł 6(3) wprowadza wyjątek oparty na samoocenie: dostawca może ustalić, że system z Załącznika III nie stwarza znacznego ryzyka, jeżeli nie profiluje osób fizycznych i spełnia określone warunki, przy czym ustalenie jest dokumentowane i przekazywane organom krajowym. Komisja zachowuje delegowane uprawnienia do zmiany Załącznika III i publikowania wytycznych wyjaśniających stosowanie kryteriów samooceny.

Co to oznacza w praktyce

Artykuł 6 jest bramą do zgodności dla całego systemu wysokiego ryzyka. Zanim powstanie jakikolwiek obowiązek oceny zgodności, oznakowania CE lub rejestracji, dostawca musi najpierw ustalić, czy jego system przekracza próg Artykułu 6.

Dla twórców i dostawców wbudowanej AI: Jeżeli Twój system AI steruje, monitoruje lub wspomaga funkcję bezpieczeństwa w produkcie posiadającym oznakowanie CE na podstawie przepisów Załącznika I — chirurgiczny robot, pojazd autonomiczny, prasa przemysłowa — musisz traktować go jako wysokiego ryzyka od momentu projektowania. Dotyczy to niezależnie od tego, czy Twoja organizacja jest producentem produktu końcowego, czy dostawcą podkomponentu; obowiązek wynika z funkcji bezpieczeństwa, a nie ze struktury korporacyjnej.

Dla dostawców samodzielnych aplikacji AI: Musisz odwzorować zamierzone zastosowanie względem każdej kategorii w Załączniku III. Model scoringowy kredytów używany przez bank do decydowania o dostępie do podstawowych usług finansowych podlega punktowi 5(b) Załącznika III. Narzędzie AI używane przez pracodawcę do selekcji CV podlega punktowi 4. Kluczowe słowo w całym Załączniku III to „zamierzony cel": klasyfikacja wynika z tego, do czego zaprojektowałeś i udokumentowałeś system, a nie z tego, jak wdrażający decyduje się go używać po wdrożeniu.

Samoocena na podstawie Artykułu 6(3): Jeżeli uważasz, że Twój system z Załącznika III kwalifikuje się do wyjątku — na przykład wąsko zdefiniowane narzędzie AI wspomagające ludzi bez jakiejkolwiek funkcji profilowania — musisz sporządzić pisemną ocenę, przechowywać ją i powiadomić właściwy organ nadzoru rynku. Nie jest to ogólne zwolnienie; organy regulacyjne mogą kwestionować to ustalenie.

Praktyczny pierwszy krok: Przeprowadź audyt klasyfikacyjny mapujący każdy system AI w Twoim portfelu względem kategorii produktów z Załącznika I oraz wszystkich ośmiu obszarów Załącznika III przed datą stosowania sierpień 2026 r.

Kluczowe obowiązki

• Ustal klasyfikację przed wprowadzeniem na rynek: Dostawcy muszą ocenić, czy każdy system AI spełnia kryterium elementu bezpieczeństwa z Artykułu 6(1) lub należy do jakiejkolwiek kategorii Załącznika III, przed wprowadzeniem systemu na rynek lub oddaniem go do użytku.
• Zastosuj pełne ramy zgodności wysokiego ryzyka w przypadku klasyfikacji: Pozytywna klasyfikacja na podstawie Artykułu 6(1) lub 6(2) uruchamia wszystkie obowiązki na podstawie Tytułu III, Rozdziału 2 — w tym zarządzanie ryzykiem (Artykuł 9), zarządzanie danymi (Artykuł 10), dokumentację techniczną (Artykuł 11), rejestrowanie (Artykuł 12), przejrzystość (Artykuł 13), nadzór ludzki (Artykuł 14) oraz wymagania dotyczące dokładności i niezawodności (Artykuł 15).
• Dokumentuj i zgłaszaj wyjątki na podstawie samooceny: W przypadku gdy dostawca powołuje się na wyjątek z Artykułu 6(3) w celu uniknięcia klasyfikacji wysokiego ryzyka dla systemu z Załącznika III, ustalenie musi być udokumentowane na piśmie, włączone do dokumentacji technicznej i przekazane właściwemu organowi krajowemu przed wprowadzeniem na rynek.
• Monitoruj Załącznik III pod kątem aktualizacji Komisji: Komisja może zmienić Załącznik III poprzez akty delegowane na podstawie Artykułu 97. Dostawcy muszą śledzić takie zmiany i w razie potrzeby reklasyfikować istniejące systemy, nawet po początkowym wprowadzeniu na rynek.
• Przestrzegaj interakcji z prawem sektorowym dla produktów z Załącznika I: W przypadku systemów podlegających Artykułowi 6(1), procedury i harmonogramy oceny zgodności są regulowane przez mające zastosowanie prawodawstwo sektorowe wymienione w Załączniku I, a zgodność z tym prawodawstwem jest warunkiem wstępnym zgodności z Aktem w sprawie AI — oba systemy są kumulatywne, a nie alternatywne.
• Prawidłowo stosuj przepisy przejściowe: Dostawcy muszą ustalić, czy którykolwiek z ich systemów wysokiego ryzyka korzysta z systemu przejściowego i odnotować podstawę tego ustalenia, ponieważ „istotna zmiana" systemu zakończy przejście i spowoduje natychmiastową pełną zgodność.

Związek z innymi artykułami

Artykuł 6 jest punktem wejścia do systemu wysokiego ryzyka i musi być odczytywany jako warunek wstępny dla całego Rozdziału 2 Tytułu III. Pozytywna klasyfikacja na podstawie Artykułu 6 natychmiast uruchamia Artykuł 9 (system zarządzania ryzykiem), Artykuł 10 (zarządzanie danymi szkoleniowymi), Artykuł 11 (dokumentację techniczną zgodnie z Załącznikiem IV), Artykuł 12 (automatyczne rejestrowanie), Artykuł 13 (przejrzystość i instrukcje użytkowania), Artykuł 14 (środki nadzoru ludzkiego) i Artykuł 15 (dokładność, niezawodność i cyberbezpieczeństwo).

Artykuł 43 reguluje, która procedura oceny zgodności ma zastosowanie po klasyfikacji systemu jako wysokiego ryzyka: systemy z Artykułu 6(1) generalnie stosują procedurę sektorową, podczas gdy systemy z Artykułu 6(2) mogą stosować procedurę kontroli wewnętrznej z Załącznika VI, chyba że określona kategoria Załącznika III wymaga udziału strony trzeciej. Artykuł 47 wymaga od dostawców sporządzenia deklaracji zgodności UE, a Artykuł 49 wymaga oznakowania CE — oba uzależnione od klasyfikacji na podstawie Artykułu 6. Artykuł 5 (praktyki zakazane) ma zastosowanie niezależnie i wcześniej niż Artykuł 6: system może być jednocześnie zakazany i wysokiego ryzyka, w którym to przypadku Artykuł 5 przeważa bezwzględnie.

Harmonogram zgodności

2 sierpnia 2024 r. — Rozporządzenie (UE) 2024/1689 weszło w życie (20 dni po publikacji w Dzienniku Urzędowym 12 lipca 2024 r.).

2 lutego 2025 r. — Zakazane praktyki AI na podstawie Artykułu 5 stały się egzekwowalne. Klasyfikacje z Artykułu 6 jeszcze nie mają zastosowania, ale dostawcom zaleca się rozpoczęcie mapowania portfela na tym etapie.

2 sierpnia 2025 r. — Zasady dotyczące modeli AI ogólnego przeznaczenia (Tytuł VIII) i obowiązki w zakresie zarządzania stały się stosowane. Artykuł 6 wciąż nie obowiązuje, ale oczekuje się, że Komisja opublikuje wytyczne dotyczące kryteriów samooceny z Artykułu 6(3) w tym okresie.

2 sierpnia 2026 r. — Artykuł 6 i pełne obowiązki wysokiego ryzyka na podstawie Tytułu III, Rozdziału 2 stają się egzekwowalne dla systemów AI wymienionych w Załączniku III. Jest to główny termin zgodności dla większości samodzielnych systemów AI wysokiego ryzyka.

2 sierpnia 2027 r. — Przedłużony termin przejściowy dla systemów AI, które są elementami bezpieczeństwa produktów z Załącznika I i były już wprowadzone na rynek lub oddane do użytku przed 2 sierpnia 2026 r. na podstawie obowiązującego prawa sektorowego, pod warunkiem że nie nastąpiła żadna istotna zmiana.

Dostawcy powinni planować wstecz od 2 sierpnia 2026 r., przeznaczając 12–18 miesięcy na ocenę zgodności, dokumentację techniczną i rejestrację w bazie danych UE na podstawie Artykułu 71.