Artykuł 73 — Zgłaszanie poważnych incydentów (Rozporządzenie AI UE)

Artykuł 73 Rozporządzenia (UE) 2024/1689 — Zgłaszanie poważnych incydentów. Oficjalny tekst, praktyczna interpretacja, kluczowe obowiązki i implikacje dla zgodności.

Streszczenie oficjalnego tekstu

Artykuł 73 Rozporządzenia (UE) 2024/1689 (Rozporządzenia AI UE) ustanawia obowiązkowy wymóg zgłaszania poważnych incydentów dla dostawców systemów AI wysokiego ryzyka udostępnionych na rynku Unii. Na mocy tego przepisu dostawcy muszą zgłaszać każdy poważny incydent organowi nadzoru rynku państwa członkowskiego, w którym doszło do incydentu, bez zbędnej zwłoki i w terminach określonych przez artykuł.

Artykuł określa informacje, które muszą być zawarte w zgłoszeniu: opis incydentu, system AI wysokiego ryzyka, którego to dotyczy, charakter spowodowanej lub grożącej szkody, podjęte lub planowane środki naprawcze oraz wszelką odpowiednią dokumentację techniczną. Jeżeli dostawca nie ma siedziby w Unii, obowiązek zgłaszania przejmuje upoważniony przedstawiciel.

Artykuł 73 stanowi ponadto, że w przypadku, gdy poważny incydent jednocześnie podlega zakresowi innych unijnych instrumentów prawnych — takich jak Rozporządzenie (UE) 2017/745 w sprawie wyrobów medycznych lub Dyrektywa 2016/680 w sprawie przetwarzania danych osobowych przez organy ścigania — dostawca może złożyć jedno powiadomienie za pośrednictwem najbardziej odpowiedniego kanału zgłaszania, pod warunkiem że wszystkie wymogi informacyjne wynikające z każdego mającego zastosowanie instrumentu są spełnione. Organy nadzoru rynku muszą udostępniać dane o incydentach Europejskiemu Urzędowi ds. AI oraz organom w innych państwach członkowskich, w których stosowany jest ten sam system, zapewniając świadomość sytuacyjną w całej Unii.

Co to oznacza w praktyce

Dla każdej organizacji, która wprowadza system AI wysokiego ryzyka na rynek UE — niezależnie od tego, czy jest to pierwotny deweloper, importer czy upoważniony przedstawiciel — Artykuł 73 tworzy operacyjny obowiązek, który aktywuje się w momencie wykrycia poważnego incydentu.

W praktyce zgodność wymaga trzech równoległych strumieni pracy. Po pierwsze, wewnętrzne wykrywanie: organizacje muszą posiadać systemy monitorowania, infrastrukturę rejestrowania i procesy triage incydentów zdolne do identyfikowania zdarzeń spełniających próg poważnych incydentów zdefiniowany w Artykule 3(49). Anomalia w AI do oceny zdolności kredytowej, która powoduje dyskryminacyjną decyzję kredytową na dużą skalę, lub nieprawidłowe działanie AI-opartego narzędzia diagnostyki medycznej, które przyczynia się do błędnej diagnozy, mogłyby prawdopodobnie obie kwalifikować się.

Po drugie, powiadomienie: po zidentyfikowaniu incydentu zaczyna biec czas. Termin 72 godzin ma zastosowanie, gdy życie lub bezpieczeństwo osób jest bezpośrednio zagrożone; termin 15 dni ma zastosowanie w innych przypadkach. Organizacje potrzebują wcześniej przygotowanych szablonów powiadomień, wyznaczonych kontaktów ds. zgłaszania w ramach swoich systemów zarządzania jakością (SZJ) oraz jasności co do tego, który krajowy organ nadzoru rynku ma jurysdykcję — zazwyczaj określaną przez miejsce, w którym znajduje się dotknięty podmiot stosujący lub użytkownik.

Po trzecie, działania następcze: wstępne powiadomienie rzadko jest końcem. Organy będą żądać uzupełniających informacji, dzienników technicznych i analizy przyczyn źródłowych. Dostawcy powinni prowadzić rejestr incydentów i dokumentować wszystkie podjęte działania naprawcze.

Firma zajmująca się obrazowaniem medycznym wdrażająca narzędzie diagnostyczne AI w Niemczech i Francji musi być przygotowana do jednoczesnego powiadamiania Bundesnetzagentur (lub wyznaczonego właściwego organu w Niemczech) i odpowiedniego organu francuskiego, jeżeli incydenty mają miejsce w obu jurysdykcjach. Europejski Urząd ds. AI otrzymuje skonsolidowane dane w celu śledzenia wzorców transgranicznych.

Kluczowe obowiązki

• Natychmiastowe powiadomienie: Zgłoś poważne incydenty właściwemu organowi nadzoru rynku dotkniętego państwa członkowskiego bez zbędnej zwłoki — w ciągu 72 godzin, gdy życie lub bezpieczeństwo jest zagrożone, i nie później niż 15 dni w innych przypadkach.
• Merytoryczna treść zgłoszenia: Należy uwzględnić opis incydentu, identyfikację systemu AI, charakter i zakres szkody, podjęte lub planowane środki naprawcze oraz odniesienia do odpowiedniej dokumentacji technicznej prowadzonej na mocy Artykułu 11.
• Obowiązek upoważnionego przedstawiciela: Jeżeli dostawca ma siedzibę poza UE, upoważniony przedstawiciel wyznaczony na mocy Artykułu 22 jest odpowiedzialny za składanie zgłoszenia incydentu w imieniu dostawcy.
• Koordynacja między instrumentami: Jeżeli incydent uruchamia również obowiązki zgłaszania na mocy innego prawa Unii (np. MDR, NIS2, DORA), dostawca może konsolidować powiadomienia, pod warunkiem że wszystkie regulacyjne wymogi informacyjne są w pełni spełnione.
• Wymiana informacji przez organy: Organy nadzoru rynku, które otrzymają zgłoszenie, muszą udostępnić je Europejskiemu Urzędowi ds. AI i powiadomić organy w innych państwach członkowskich, w których stosowany jest ten sam system, umożliwiając skoordynowaną reakcję na poziomie Unii.
• Prowadzenie rejestru incydentów: Dostawcy muszą prowadzić rejestry wszystkich poważnych incydentów i sytuacji bliskich wypadkowi w ramach swoich obowiązków w zakresie monitorowania pomarketowego na mocy Artykułu 72, zapewniając identyfikowalność i gotowość do audytu.

Relacja z innymi artykułami

Artykuł 73 nie może być czytany w izolacji. Jest to mechanizm powiadamiania, który operacjonalizuje szerszy system monitorowania pomarketowego ustanowiony w Artykule 72, który wymaga od dostawców utrzymywania ciągłych systemów monitorowania i rejestrowania incydentów jako części systemu zarządzania jakością. Sam SZJ jest regulowany przez Artykuł 17, który określa wymogi dotyczące dokumentacji i procesów stanowiących podstawę każdego wiarygodnego zgłoszenia incydentu.

Definicja „poważnego incydentu" w Artykule 3(49) stanowi próg wyzwalający obowiązki Artykułu 73, a zakres „systemu AI wysokiego ryzyka" w Artykule 6 i Załączniku III określa, które systemy podlegają zakresowi artykułu. Artykuł 22 reguluje upoważnionych przedstawicieli i jest bezpośrednio wskazywany w odniesieniu do dostawców spoza UE.

Na poziomie nadzoru rynku Artykuł 73 zasila szerszą architekturę nadzorczą Artykułów 74–77 (uprawnienia do nadzoru rynku, dostęp do informacji i środki naprawcze). Artykuł 78 reguluje poufność informacji wymienianych między organami. W odniesieniu do modeli AI ogólnego przeznaczenia o ryzyku systemowym Artykuł 55 nakłada równoległe obowiązki zgłaszania incydentów, które wchodzą w interakcję z Artykułem 73, gdy takie modele są integrowane z aplikacjami wysokiego ryzyka.

Harmonogram zgodności

Rozporządzenie AI UE weszło w życie 1 sierpnia 2024 r., dwadzieścia dni po publikacji w Dzienniku Urzędowym Unii Europejskiej. Jednak jego przepisy stosuje się zgodnie z fazowym harmonogramem:

• 2 lutego 2025 r.: Zakazy dotyczące praktyk AI o niedopuszczalnym ryzyku (Tytuł II) stały się stosowalne.
• 2 sierpnia 2025 r.: Obowiązki dotyczące modeli AI ogólnego przeznaczenia (Tytuł VIII, w tym zgłaszanie ryzyka systemowego na mocy Artykułu 55) stały się stosowalne. Europejski Urząd ds. AI i struktury zarządzania stały się operacyjne.
• 2 sierpnia 2026 r.: Przepisy mające zastosowanie do systemów AI wysokiego ryzyka wymienionych w Załączniku III, które nie są komponentami bezpieczeństwa produktów regulowanych przez istniejące unijne przepisy harmonizacyjne, stają się stosowalne — zgłaszanie incydentów na mocy Artykułu 73 wchodzi w pełni w życie dla tych systemów w tym dniu.
• 2 sierpnia 2027 r.: Przepisy dotyczące systemów AI wysokiego ryzyka, które są komponentami bezpieczeństwa produktów już objętych unijnymi przepisami harmonizacyjnymi (np. wyroby medyczne, maszyny), stają się stosowalne, co kończy fazowe wdrożenie.

Organizacje wdrażające systemy AI wysokiego ryzyka objęte datami z grudnia 2026 r. / sierpnia 2027 r. powinny traktować lata 2025–2026 jako okres budowania zgodności: wdrożenie infrastruktury monitorowania pomarketowego, opracowanie procedur reagowania na incydenty i testowanie przepływów pracy powiadamiania na długo przed wejściem w życie obowiązków wynikających z Artykułu 73.