Artykuł 63 — Odstępstwa od niektórych wymogów mających zastosowanie do systemów AI wysokiego ryzyka dla określonych podmiotów (Akt w sprawie AI UE)

Artykuł 63 rozporządzenia (UE) 2024/1689 — Odstępstwa od niektórych wymogów mających zastosowanie do systemów AI wysokiego ryzyka dla określonych podmiotów. Oficjalny tekst, praktyczna interpretacja, kluczowe obowiązki i implikacje dla zgodności.

Streszczenie tekstu oficjalnego

Artykuł 63 rozporządzenia (UE) 2024/1689 (Akt w sprawie AI UE), usytuowany w tytule VI — Środki wspierające innowacje, ustanawia ukierunkowane odstępstwa od niektórych wymogów rozdziału III, sekcji 2, które w przeciwnym razie w pełni stosowałyby się do dostawców i innych podmiotów obsługujących systemy AI wysokiego ryzyka.

Głównymi beneficjentami są mikroprzedsiębiorstwa w rozumieniu zalecenia Komisji 2003/361/WE (przedsiębiorstwa zatrudniające mniej niż 10 pracowników i których roczny obrót lub suma bilansowa nie przekracza 2 mln EUR). Dla takich dostawców art. 63 zezwala na uproszczone podejście do obowiązków dotyczących systemu zarządzania jakością ustanowionych w art. 17, umożliwiając wdrożenie procedur i polityk w sposób proporcjonalny do wielkości i zdolności operacyjnej podmiotu, a nie poprzez kompleksowy udokumentowany system, który muszą ustanowić więksi dostawcy.

Artykuł 63 odnosi się również do podmiotów publicznych wdrażających systemy AI wysokiego ryzyka, uznając, że ich struktury zamówień i zarządzania mogą istotnie różnić się od podmiotów komercyjnych. Określone obowiązki dokumentacyjne i conformity mogą być dostosowane, gdy podmiot publiczny działa wyłącznie jako podmiot stosujący, a system jest nabywany od zewnętrznego dostawcy, który zachowuje pierwotne obowiązki dostawcy.

Co istotne, artykuł zachowuje materialną podstawę bezpieczeństwa: odstępstwa dotyczą formy proceduralnej i skali, a nie podstawowych wymogów dotyczących dokładności, odporności, cyberbezpieczeństwa, zarządzania danymi, przejrzystości i nadzoru ludzkiego. Wszystkie podmioty, niezależnie od wielkości, muszą nadal zapewniać, że systemy AI wysokiego ryzyka spełniają wymogi techniczne art. 9–15 i pozostają przedmiotem obowiązków w zakresie nadzoru rynku.

Co to oznacza w praktyce

Artykuł 63 jest instrumentem proporcjonalności. Jego praktyczny efekt polega na zmniejszeniu obciążeń administracyjnych dla najmniejszych uczestników rynku i dla niektórych podmiotów stosujących z sektora publicznego bez uszczerbku dla celów bezpieczeństwa rozporządzenia.

Dla dostawców będących mikroprzedsiębiorstwami najistotniejsza ulga dotyczy systemów zarządzania jakością z art. 17. Zamiast utrzymywać w pełni udokumentowany SZJ z wyznaczonymi rolami, procedurami zarządzania zmianami, planami monitorowania po wprowadzeniu do obrotu i systematyczną kontrolą wersji, mikroprzedsiębiorstwo może wdrożyć równoważne zarządzanie poprzez prostsze wewnętrzne procedury — na przykład zwięzły dokument polityki, wyznaczoną osobę odpowiedzialną i podstawowy dziennik incydentów — pod warunkiem że środki te odpowiednio odnoszą się do ryzyka. Obowiązki dokumentacyjne z art. 11 i procedury oceny zgodności z art. 43–44 nadal stosuje się w pełni, podobnie jak obowiązki rejestracyjne w bazie danych UE na podstawie art. 71.

Dla podmiotów publicznych jako podmiotów stosujących art. 63 uznaje, że gdy instytucja zamawiająca nabywa system AI wysokiego ryzyka, pierwotne obowiązki w zakresie zgodności spoczywają na dostawcy. Obowiązki podmiotu stosującego wynikające z art. 26 — w tym oceny wpływu na prawa podstawowe, wyznaczenie nadzoru ludzkiego i rejestrowanie — pozostają niezmienione, ale art. 63 zapewnia kontekstualne wyjaśnienie, że od takich podmiotów nie oczekuje się odtworzenia technicznej dokumentacji po stronie dostawcy, którą nie dysponują.

Przykład praktyczny: Dwuosobowy startup legal-tech wprowadzający na rynek system AI do przeglądu umów (załącznik III, pkt 5(a) — dostęp do pomocy prawnej) musi przeprowadzić ocenę zgodności i zarejestrować system, ale może udokumentować swój proces zarządzania ryzykiem poprzez uproszczoną procedurę wewnętrzną zamiast formalnego SZJ zgodnego z ISO. Duża gmina wdrażająca ten sam system od zewnętrznego dostawcy pozostaje przedmiotem obowiązków podmiotu stosującego, ale nie jest zobowiązana do sporządzenia pliku technicznego dostawcy.

Podmioty powinny dokumentować swoją kwalifikowalność do odstępstw — w szczególności swoją klasyfikację jako mikroprzedsiębiorstwo — jako część swoich akt zgodności, ponieważ organy nadzoru rynku mogą żądać dowodów.

Kluczowe obowiązki

• Ustanów proporcjonalne procedury zarządzania jakością: Dostawcy będący mikroprzedsiębiorstwami muszą wdrożyć wewnętrzne procedury obejmujące treść obowiązków z art. 17 — zarządzanie ryzykiem, zarządzanie danymi, dokumentacja, monitorowanie po wprowadzeniu do obrotu — odpowiednio dostosowane do ich wielkości i profilu ryzyka systemu AI, nawet jeśli nie za pośrednictwem formalnego udokumentowanego SZJ.
• Utrzymuj pełną dokumentację techniczną: Odstępstwa z art. 63 nie zmniejszają wymogów dokumentacji technicznej wynikających z art. 11 i załącznika IV. Dostawcy muszą nadal sporządzać, utrzymywać i udostępniać dokumentację potwierdzającą zgodność.
• Ukończ właściwą ocenę zgodności: Wszyscy dostawcy systemów AI wysokiego ryzyka, w tym mikroprzedsiębiorstwa, muszą ukończyć procedurę oceny zgodności na podstawie art. 43 przed wprowadzeniem systemu na rynek lub oddaniem go do użytku.
• Zarejestruj się w bazie danych Aktu w sprawie AI UE: Obowiązki rejestracyjne wynikające z art. 71 mają zastosowanie niezależnie od wielkości podmiotu; mikroprzedsiębiorstwa muszą rejestrować systemy AI wysokiego ryzyka w publicznej bazie danych UE prowadzonej przez Komisję.
• Zachowaj nadzór ludzki i wymogi bezpieczeństwa: Wymogi techniczne wynikające z art. 9–15 (zarządzanie ryzykiem, zarządzanie danymi, przejrzystość, dokładność, odporność, cyberbezpieczeństwo i nadzór ludzki) nie podlegają odstępstwom i muszą być w pełni spełnione przez wszystkich dostawców niezależnie od wielkości.
• Dokumentuj kwalifikowalność do odstępstwa: Podmioty powołujące się na odstępstwa z art. 63 powinny prowadzić rejestry wykazujące ich status kwalifikujący (np. klasyfikacja jako mikroprzedsiębiorstwo lub status podmiotu publicznego jako podmiotu stosującego) w celu uzasadnienia swojego podejścia do zgodności przed krajowymi organami nadzoru rynku.

Związek z innymi artykułami

Artykuł 63 działa jako modyfikator proporcjonalności w ramach szerszego systemu zgodności dotyczącego systemów AI wysokiego ryzyka i musi być odczytywany w powiązaniu z kilkoma innymi przepisami.

Artykuł 17 (Systemy zarządzania jakością) jest głównym artykułem, z którego czerpane są odstępstwa dla mikroprzedsiębiorstw; art. 63 warunkowo określa i ogranicza te odstępstwa. Artykuły 9–15 ustanawiają nieodstępną podstawę techniczną, którą art. 63 wyraźnie zachowuje. Artykuł 26 reguluje obowiązki podmiotów stosujących i ma znaczenie dla przepisów dotyczących odstępstw dla podmiotów publicznych. Artykuł 11 i załącznik IV definiują wymogi dokumentacji technicznej, które pozostają w pełni mające zastosowanie.

W tytule VI art. 63 sąsiaduje z art. 57–62 (piaskownice regulacyjne AI) i art. 64–68 (środki wsparcia dla MŚP i testy), tworząc spójne ramy wsparcia dla MŚP. Artykuł 9 tytułu I (ogólny obowiązek proporcjonalności mający zastosowanie do wszystkich dostawców) dostarcza uzasadnienia regulacyjnego leżącego u podstaw szczegółowych środków ulgi z art. 63. Artykuł 71 (baza danych UE) i art. 43 (ocena zgodności) ustanawiają obowiązki, których art. 63 nie modyfikuje.

Harmonogram zgodności

Akt w sprawie AI UE wszedł w życie 1 sierpnia 2024 r., dwadzieścia dni po publikacji w Dzienniku Urzędowym.

Harmonogram stosowania etapowego istotny dla art. 63 jest następujący:

• 2 lutego 2025 r. — Zakazy dotyczące niedopuszczalnych praktyk AI (art. 5) stały się mające zastosowanie. Artykuł 63 nie jest istotny na tym etapie.
• 2 sierpnia 2025 r. — Obowiązki dotyczące modeli AI ogólnego przeznaczenia (tytuł III, rozdział V) i przepisy dotyczące zarządzania stały się mające zastosowanie. Odstępstwa z art. 63 nie mają zastosowania do dostawców GPAI.
• 2 sierpnia 2026 r. — Pełne ramy dotyczące systemów AI wysokiego ryzyka w tytule III, rozdziale III, sekcji 2 — w tym wymogi, od których art. 63 przewiduje odstępstwa — stają się mające zastosowanie do systemów wymienionych w załączniku III (samodzielne systemy AI wysokiego ryzyka, w tym biometria, infrastruktura krytyczna, edukacja, zatrudnienie, usługi podstawowe, organy ścigania, migracja i wymiar sprawiedliwości). Odstępstwa z art. 63 stają się operacyjne od tej daty dla kwalifikujących się podmiotów.
• 2 sierpnia 2027 r. — Systemy AI wysokiego ryzyka wbudowane w produkty objęte zharmonizowanym prawodawstwem załącznika I (maszyny, wyroby medyczne, lotnictwo cywilne, pojazdy silnikowe itp.) zostają poddane pełnym ramom. Odstępstwa z art. 63 zostają rozszerzone na kwalifikujące się podmioty w tych sektorach produktów od tej daty.

Podmioty zamierzające powoływać się na odstępstwa z art. 63 powinny z dużym wyprzedzeniem przed obowiązującą datą dla swojej kategorii systemów rozpocząć wewnętrzne oceny kwalifikowalności i proporcjonalne planowanie zgodności.