Artykuł 71 — Baza danych UE dla systemów AI wysokiego ryzyka (Akt o AI UE)

Artykuł 71 Rozporządzenia (UE) 2024/1689 — Baza danych UE dla systemów AI wysokiego ryzyka. Oficjalny tekst, praktyczna interpretacja, kluczowe obowiązki i implikacje dla zgodności.

Podsumowanie oficjalnego tekstu

Artykuł 71 Rozporządzenia (UE) 2024/1689 ustanawia bazę danych UE dla systemów AI wysokiego ryzyka, powierzając odpowiedzialność za jej konfigurację i utrzymanie Komisji Europejskiej. Baza danych ma służyć jako scentralizowane, publicznie dostępne repozytorium, które zwiększa przejrzystość w odniesieniu do systemów AI wysokiego ryzyka przed ich wprowadzeniem na rynek UE lub oddaniem do użytku.

Na mocy Artykułu 71 dostawcy systemów AI wysokiego ryzyka wchodzących w zakres Załącznika III są zobowiązani do zarejestrowania swoich systemów w bazie danych przed wprowadzeniem do obrotu lub oddaniem do użytku. W określonych przypadkach podmioty stosujące systemy z Załącznika III podlegają również wymogom rejestracyjnym. Informacje, które należy przekazać, są zdefiniowane w Załączniku VIII i obejmują zasadnicze dane identyfikacyjne i techniczne systemu, jego zamierzone przeznaczenie, zastosowane podejście do oceny zgodności oraz odniesienia do unijnej deklaracji zgodności.

Artykuł ustanawia dwie odrębne sekcje w ramach bazy danych: publicznie dostępną sekcję dla większości systemów AI wysokiego ryzyka oraz sekcję o ograniczonym dostępie, dostępną wyłącznie dla właściwych organów nadzoru rynku, Komisji i Urzędu ds. AI, obejmującą systemy wdrażane przez organy publiczne w wrażliwych dziedzinach, takich jak ściganie przestępstw, zarządzanie granicami, imigracja i azyl. Ta dwutorowa struktura równoważy interes publiczny w zakresie przejrzystości z uzasadnionymi obawami dotyczącymi poufności w wrażliwych operacjach sektora publicznego. Komisja jest zobowiązana do zapewnienia, że baza danych jest funkcjonalna, przyjazna dla użytkownika i interoperacyjna z innymi właściwymi rejestrami krajowymi i na poziomie UE.

Co to oznacza w praktyce

Dla dostawców systemów AI wysokiego ryzyka objętych Załącznikiem III, najważniejszą praktyczną konsekwencją Artykułu 71 jest obowiązkowy krok rejestracyjny, który musi zostać ukończony przed jakimkolwiek komercyjnym lub operacyjnym wdrożeniem. Rejestracja nie jest kwestią drugorzędną — jest obowiązkiem bramkującym, który musi zostać spełniony przed wejściem na rynek, co oznacza, że procesy zapewnienia zgodności muszą być skonstruowane tak, aby rejestracja była częścią listy kontrolnej przed uruchomieniem.

Dostawcy muszą założyć konto na platformie bazy danych UE zarządzanej przez Komisję i przekazać wymagane informacje z Załącznika VIII. Obejmuje to ustrukturyzowany opis systemu AI, jego zamierzone przeznaczenie, zastosowaną procedurę oceny zgodności, odniesienie do unijnej deklaracji zgodności oraz, w stosownych przypadkach, unijny certyfikat badania typu wydany przez jednostkę notyfikowaną. Wymagane są również odniesienia do planu monitorowania po wprowadzeniu do obrotu.

Na przykład dostawca opracowujący narzędzie do przesiewania CV oparte na AI, stosowane w rekrutacji (kategoria Załącznika III, Tytuł IV), musi zarejestrować system w publicznej sekcji bazy danych przed udostępnieniem go działom HR w państwach członkowskich UE. Z kolei krajowa policja wdrażająca system AI do rozpoznawania twarzy w czasie rzeczywistym w przestrzeni publicznej zarejestrowałaby się w sekcji o ograniczonym dostępie, z dostępem ograniczonym do organów nadzorczych.

Podmioty stosujące określone systemy AI wysokiego ryzyka z Załącznika III — w szczególności działające w sektorze publicznym lub wdrażające systemy o znaczącym wpływie społecznym — muszą również weryfikować, czy systemy, które oddają do użytku, są odpowiednio zarejestrowane i mogą same mieć dodatkowe obowiązki rejestracyjne w zależności od kategorii systemu. Organizacje powinny mapować swoje portfolio AI względem kategorii z Załącznika III i wbudowywać przepływy pracy rejestracyjnej w swoje szersze procedury zarządzania AI.

Kluczowe obowiązki

• Rejestracja dostawcy przed wprowadzeniem do obrotu: Dostawcy systemów AI wysokiego ryzyka z Załącznika III muszą zarejestrować system w bazie danych UE przed jego wprowadzeniem do obrotu lub oddaniem do użytku na terenie UE.
• Przekazanie informacji z Załącznika VIII: Rejestracja wymaga kompletnego i dokładnego przekazania wszystkich pól informacyjnych przewidzianych w Załączniku VIII, w tym opisu systemu, zamierzonego przeznaczenia, szczegółów oceny zgodności oraz odniesień do deklaracji zgodności.
• Rejestracja podmiotu stosującego w określonych przypadkach: Podmioty stosujące określone systemy AI wysokiego ryzyka z Załącznika III (w szczególności podmioty stosujące z sektora publicznego) ponoszą własne obowiązki rejestracyjne i muszą wprowadzić odpowiednie informacje przed oddaniem systemu do użytku.
• Rejestracja w sekcji o ograniczonym dostępie dla wrażliwych dziedzin: Systemy AI używane przez organy publiczne w ściganiu przestępstw, kontroli granicznej, imigracji i azylu muszą być rejestrowane w niepublicznej, ograniczonej sekcji bazy danych, a nie w ogólnej sekcji publicznej, z odpowiednio kontrolowanym dostępem.
• Aktualizowanie informacji rejestracyjnych: Dostawcy i podmioty stosujące muszą zapewnić, że zarejestrowane informacje pozostają dokładne i aktualne przez cały cykl życia systemu, aktualizując wpisy w przypadku wystąpienia istotnych zmian (np. istotnych modyfikacji powodujących nową ocenę zgodności).
• Utrzymanie i interoperacyjność przez Komisję: Komisja Europejska jest zobowiązana do ustanowienia, utrzymania i zapewnienia, że baza danych jest operacyjna, przyjazna dla użytkownika i interoperacyjna z innymi właściwymi rejestrami, zapewniając jej długoterminową dostępność dla publiczności i właściwych organów.

Związek z innymi artykułami

Artykuł 71 stanowi praktyczny instrument, za pomocą którego obowiązki dokumentacyjne i przejrzystości ustanowione w innych miejscach Rozporządzenia są upubliczniane. Łączy się ściśle z Artykułem 48 (unijna deklaracja zgodności) i Artykułem 47 (upoważnieni przedstawiciele), ponieważ odniesienie do deklaracji zgodności jest obowiązkowym polem bazy danych. Procedury oceny zgodności określone w Artykułach 43 i 44 bezpośrednio wpływają na to, co dostawcy muszą ujawnić przy rejestracji.

Artykuł 71 działa również w połączeniu z Artykułem 49 (obowiązki rejestracyjne jako samodzielny artykuł w Tytule VI), który odsyła do bazy danych jako mechanizmu realizacji tych obowiązków. Wymogi informacyjne z Załącznika VIII są nierozerwalnie związane z obowiązkami dokumentacji technicznej w Załączniku IV (Artykuły 11 i 12). W zakresie nadzoru po wprowadzeniu do obrotu Artykuł 71 wspiera ramy nadzoru rynkowego w Artykułach 74 i 75, ponieważ organy krajowe i Urząd ds. AI mogą używać wpisów w bazie danych jako punktu wyjścia dla działań monitoringowych i egzekucyjnych. Wreszcie Artykuł 78 (poufność) reguluje sposób, w jaki wrażliwe informacje przekazywane do bazy danych, w szczególności w sekcji o ograniczonym dostępie, muszą być traktowane przez właściwe organy.

Harmonogram zgodności

Akt o AI UE wszedł w życie 1 sierpnia 2024 r., uruchamiając harmonogram stopniowego stosowania określony w Artykule 113.

• 1 sierpnia 2024 r. — Rozporządzenie wchodzi w życie; Komisja rozpoczyna prace przygotowawcze nad ustanowieniem infrastruktury bazy danych UE.
• 2 lutego 2025 r. — Zakazane praktyki AI (Artykuł 5) stają się stosowalne; obowiązki rejestracyjne z Artykułu 71 jeszcze nieaktywne.
• 2 sierpnia 2025 r. — Obowiązki dotyczące modeli GPAI i przepisy dotyczące zarządzania (Tytuł III, Rozdział III i Tytuł V) stają się stosowalne; baza danych z Artykułu 71 nie jest jeszcze operacyjna dla tych kategorii.
• 2 sierpnia 2026 r. — Obowiązki rejestracyjne z Artykułu 71 stają się stosowalne dla dostawców i podmiotów stosujących systemy AI wysokiego ryzyka z Załącznika III (z wyłączeniem tych już objętych unijnym prawodawstwem harmonizacyjnym wymienionym w Załączniku I). Jest to główna data aktywacji bazy danych UE dla większości systemów objętych zakresem stosowania.
• 2 sierpnia 2027 r. — Systemy AI wysokiego ryzyka objęte przepisami bezpieczeństwa produktów z Załącznika I (np. wyroby medyczne, maszyny), które znajdowały się już na rynku przed 2 sierpnia 2024 r., muszą spełnić wszystkie mające zastosowanie obowiązki, w tym rejestrację, pod warunkiem że przeszły istotną modyfikację.

Organizacje opracowujące lub wdrażające systemy AI z Załącznika III powinny traktować termin sierpień 2026 r. jako wiążący cel operacyjny dla gotowości rejestracji w bazie danych, wbudowując przepływy pracy rejestracyjnej w swoje programy zgodności z odpowiednim wyprzedzeniem.