Artykuł 60 — Testowanie systemów AI wysokiego ryzyka w rzeczywistych warunkach poza piaskownicami regulacyjnymi AI (Rozporządzenie UE o AI)

Artykuł 60 Rozporządzenia (UE) 2024/1689 — Testowanie systemów AI wysokiego ryzyka w rzeczywistych warunkach poza piaskownicami regulacyjnymi AI. Oficjalny tekst, praktyczna interpretacja, kluczowe obowiązki i implikacje dla zgodności.

Streszczenie tekstu oficjalnego

Artykuł 60 Rozporządzenia (UE) 2024/1689 ustanawia warunki, na jakich dostawcy i potencjalni dostawcy systemów AI wysokiego ryzyka mogą prowadzić testy w rzeczywistych warunkach poza ustrukturyzowanymi ramami piaskownic regulacyjnych AI ustanowionych na mocy Artykułów 57–59. Przepis ten uznaje, że znacząca ocena systemów AI wysokiego ryzyka często wymaga ekspozycji na rzeczywiste środowiska operacyjne, przy jednoczesnym utrzymaniu zabezpieczeń współmiernych do ryzyka.

Artykuł wymaga, aby testy poza piaskownicami były prowadzone wyłącznie w przypadku spełnienia zestawu skumulowanych warunków. Dostawca lub potencjalny dostawca musi złożyć powiadomienie do właściwego organu krajowego co najmniej 30 dni przed rozpoczęciem testów. Powiadomienie musi zawierać plan testów opisujący zakres, czas trwania, obszar geograficzny, kategorie zaangażowanych osób i wdrożone środki ograniczania ryzyka.

Świadoma zgoda osób objętych testami jest centralnym wymogiem. W przypadku gdy system AI wchodzi w interakcję z identyfikowalnymi osobami fizycznymi lub podejmuje dotyczące ich decyzje, osoby te muszą być poinformowane o swoim uczestnictwie i wyrazić wyraźną zgodę, chyba że właściwe prawo sektorowe stanowi inaczej. Testy nie mogą wykraczać poza to, co jest ściśle niezbędne do osiągnięcia wyznaczonych celów i nie mogą narażać osób objętych testami na niedopuszczalne ryzyko lub szkodę.

Artykuł wymaga ponadto, aby testy były prowadzone pod nadzorem dostawcy, wyniki były rejestrowane, a poważne incydenty podczas testów były zgłaszane właściwemu organowi. Państwa członkowskie zachowują możliwość udzielenia lub odmowy zezwolenia na działalność testową na swoim terytorium i mogą nakładać dodatkowe warunki.

Co to oznacza w praktyce

Artykuł 60 dotyczy przede wszystkim organizacji opracowujących lub wdrażających systemy AI wysokiego ryzyka — zdefiniowane w Artykule 6 i Załączniku III Rozporządzenia — które muszą walidować wydajność systemu lub właściwości bezpieczeństwa w rzeczywistych środowiskach operacyjnych przed formalną oceną zgodności lub równolegle z nią. Obejmuje to na przykład szpital testujący narzędzie diagnostyczne wspomagane przez AI w żywym środowisku klinicznym lub instytucję finansową testującą model zdolności kredytowej z prawdziwymi wnioskodawcami poza kontrolowaną piaskownicą.

W praktyce zgodność oznacza ustanowienie wewnętrznego procesu zarządzania testami w rzeczywistych warunkach, który odzwierciedla obowiązki wynikające z artykułu. Przed rozpoczęciem jakiegokolwiek testu organizacja musi przygotować ustrukturyzowany plan testów, zweryfikować, czy wszystkie mechanizmy zgody są wdrożone i złożyć wymagane powiadomienie do właściwego organu co najmniej 30 dni wcześniej — pozostawiając organowi wystarczający czas na zgłoszenie zastrzeżeń lub nałożenie warunków.

Podczas testu organizacja musi utrzymywać aktywny nadzór ludzki, dokumentować wszystkie istotne incydenty i być przygotowana na natychmiastowe zawieszenie testów, jeśli ryzyka przekroczą przewidywane poziomy. Dane zbierane podczas testów pozostają objęte obowiązującymi przepisami RODO, a przetwarzanie szczególnych kategorii danych wymaga szczególnej podstawy prawnej.

Organizacje powinny również zapewnić, że ich umowy z podmiotami stosującymi lub zewnętrznymi operatorami testów wyraźnie przypisują odpowiedzialność za przestrzeganie warunków Artykułu 60, ponieważ obowiązek spoczywa przede wszystkim na dostawcy lub potencjalnym dostawcy, niezależnie od tego, kto fizycznie przeprowadza testy. Wewnętrzne ramy zarządzania — w tym wyznaczona osoba odpowiedzialna i udokumentowany rejestr ryzyk dla testu — są wysoce wskazane.

Kluczowe obowiązki

• Wcześniejsze powiadomienie: Złożenie planu testów do właściwego krajowego organu kompetentnego co najmniej 30 dni przed rozpoczęciem testów w rzeczywistych warunkach, obejmującego zakres, czas trwania, lokalizację, kategorie osób objętych testami i środki ograniczania ryzyka.
• Świadoma zgoda: Uzyskanie wyraźnej świadomej zgody od wszystkich osób fizycznych biorących udział w testach lub na nie narażonych oraz poinformowanie ich o bezwarunkowym prawie do wycofania się w dowolnym momencie bez uszczerbku.
• Proporcjonalność ryzyka: Zapewnienie, że działalność testowa nie wykracza poza to, co jest ściśle niezbędne dla określonego celu i nie naraża osób objętych testami ani osób trzecich na ryzyko przewyższające oczekiwane korzyści.
• Nadzór i dokumentacja: Utrzymywanie aktywnego nadzoru nad testem, przechowywanie zapisów planu testów, wyników i wszelkich odchyleń lub incydentów napotkanych w trakcie okresu testowego.
• Zgłaszanie incydentów: Zgłaszanie bez zbędnej zwłoki każdego poważnego incydentu mającego miejsce podczas testów w rzeczywistych warunkach do właściwego organu oraz podjęcie natychmiastowych działań naprawczych w celu ograniczenia szkody.
• Rejestracja w bazie danych UE: Rejestracja działalności testowej w rzeczywistych warunkach w bazie danych UE dla systemów AI wysokiego ryzyka ustanowionej na mocy Artykułu 71, przed rozpoczęciem testów.

Związek z innymi artykułami

Artykuł 60 stanowi część Tytułu VI (Środki wspierające innowacje) i należy go czytać łącznie z Artykułami 57–59, które ustanawiają główne ramy piaskownic regulacyjnych AI. Artykuł 60 funkcjonuje jako uzupełniająca ścieżka testowania, które nie odbywa się w formalnej piaskownicy, ale nie zastępuje ani nie obniża merytorycznych obowiązków w zakresie bezpieczeństwa i przejrzystości mających zastosowanie do systemów AI wysokiego ryzyka na mocy Tytułu III (w szczególności Artykułów 8–15 dotyczących obowiązków dostawców, zarządzania ryzykiem i dokumentacji technicznej).

Wymogi dotyczące zgody i ochrony danych z Artykułu 60 bezpośrednio przecinają się z Rozporządzeniem (UE) 2016/679 (RODO), w szczególności Artykułami 6, 9 i 22 dotyczącymi zgodnego z prawem przetwarzania i zautomatyzowanego podejmowania decyzji. Artykuł 60 łączy się również z Artykułem 71 dotyczącym bazy danych UE, który reguluje obowiązki rejestracyjne, oraz z Artykułem 73 dotyczącym nadzoru rynkowego, ponieważ właściwe organy mogą kontrolować testy w rzeczywistych warunkach. Dostawcy powinni ponadto rozważyć Artykuł 26 dotyczący obowiązków podmiotów stosujących, ponieważ testy w rzeczywistych warunkach często angażują infrastrukturę i dane po stronie podmiotu stosującego.

Harmonogram zgodności

Rozporządzenie UE o AI weszło w życie 1 sierpnia 2024 r., dwadzieścia dni po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej. Jego przepisy stosowane są etapami:

• 2 lutego 2025 r. — Zakazy dotyczące praktyk AI niedopuszczalnego ryzyka (Artykuł 5) stały się stosowane.
• 2 sierpnia 2025 r. — Przepisy dotyczące modeli AI ogólnego przeznaczenia (Tytuł III, Rozdział 3, Artykuły 51–56) i obowiązki w zakresie zarządzania (Tytuł VI i VIII częściowo) stały się stosowane. Ramy piaskownic regulacyjnych na mocy Artykułów 57–59 stały się stosowane również od tej daty.
• 2 sierpnia 2026 r. — Ogólna data stosowania dla większości pozostałych przepisów, w tym Artykułu 60. Od tej daty dostawcy i potencjalni dostawcy systemów AI wysokiego ryzyka pragnący przeprowadzać testy w rzeczywistych warunkach poza piaskownicami muszą w pełni przestrzegać obowiązków dotyczących powiadomienia, zgody, dokumentacji i zgłaszania incydentów ustanowionych przez ten artykuł.
• 2 sierpnia 2027 r. — Wydłużony termin dla systemów AI wysokiego ryzyka objętych Załącznikiem III, pkt 2 (systemy AI w istniejących produktach już podlegających unijnym przepisom harmonizacyjnym wymienionym w Załączniku I), dający dotkniętym sektorom dodatkowy czas na dostosowanie się do wymogów oceny zgodności i operacyjnych.

Organizacje planujące programy testów w rzeczywistych warunkach powinny z wyprzedzeniem, na długo przed datą 2 sierpnia 2026 r., rozpocząć projektowanie zgodnych ram zarządzania testami i procedur powiadamiania, aby uniknąć opóźnień, gdy obowiązek stanie się egzekwowany.