Artykuł 8 — Zgodność z wymogami (rozporządzenie UE w sprawie AI)

Artykuł 8 rozporządzenia (UE) 2024/1689 — Zgodność z wymogami. Tekst oficjalny, interpretacja praktyczna, kluczowe obowiązki i implikacje dla zgodności.

Podsumowanie tekstu oficjalnego

Artykuł 8 rozporządzenia (UE) 2024/1689, usytuowany w Tytule III (Systemy AI wysokiego ryzyka), Rozdziale 2 (Wymogi dotyczące systemów AI wysokiego ryzyka), ustanawia podstawowy obowiązek zgodności dla dostawców systemów AI wysokiego ryzyka. Na mocy Artykułu 8(1) takie systemy muszą spełniać wszystkie wymogi określone w Artykułach 9–15 tego samego Rozdziału, które obejmują systemy zarządzania ryzykiem, dane i zarządzanie danymi, dokumentację techniczną, prowadzenie rejestrów, przejrzystość i dostarczanie informacji podmiotom stosującym, środki nadzoru człowieka oraz standardy dokładności, solidności i cyberbezpieczeństwa.

Artykuł 8(2) odnosi się do powiązań między regulacją AI a istniejącym prawodawstwem dotyczącym bezpieczeństwa produktów. Jeżeli system AI wysokiego ryzyka jest sam w sobie elementem bezpieczeństwa produktu lub stanowi sam produkt, a produkt ten wchodzi w zakres unijnego prawodawstwa harmonizacyjnego wymienionego w Załączniku I do rozporządzenia, system AI musi spełniać zarówno wymogi Rozdziału 2, jak i mające zastosowanie prawodawstwo z Załącznika I. W takich przypadkach może mieć zastosowanie jedna procedura oceny zgodności, jeżeli unijne prawodawstwo harmonizacyjne na to pozwala, zapewniając, że nakładające się na siebie ramy regulacyjne nie nakładają na dostawców powielonych obciążeń proceduralnych.

Artykuł pełni zatem dwie funkcje: uruchamia pełen zestaw wymogów technicznych i dotyczących zarządzania dla AI wysokiego ryzyka oraz ustanawia regułę koordynacji między rozporządzeniem w sprawie AI a wcześniejszym sektorowym prawodawstwem dotyczącym produktów, zachowując spójność w unijnym krajobrazie regulacyjnym dla technologii krytycznych dla bezpieczeństwa.

Co to oznacza w praktyce

Artykuł 8 jest przepisem bramkowym Rozdziału 2. Sam w sobie nie określa treści poszczególnych wymogów — te są szczegółowo opisane w Artykułach 9–15 — ale czyni spełnienie wszystkich z nich wiążącym obowiązkiem prawnym dla dostawców systemów AI wysokiego ryzyka, zanim jakikolwiek taki system będzie mógł zostać wprowadzony do obrotu, oddany do użytku lub udostępniony.

Dla dostawców produktów wyłącznie AI: Jeżeli rozwijasz i wprowadzasz do obrotu samodzielny system AI wysokiego ryzyka — na przykład narzędzie do preselekcji kandydatów objęte Załącznikiem III, Punkt 4, lub system scoringu kredytowego objęty Punktem 5 — musisz spełnić pełny zestaw wymogów Rozdziału 2. Oznacza to ustanowienie i utrzymanie systemu zarządzania ryzykiem (Artykuł 9), wdrożenie odpowiednich praktyk zarządzania danymi (Artykuł 10), sporządzenie i prowadzenie dokumentacji technicznej (Artykuł 11), umożliwienie automatycznego rejestrowania zdarzeń (Artykuł 12), zapewnienie podmiotom stosującym odpowiednich instrukcji użytkowania (Artykuł 13), projektowanie z uwzględnieniem znaczącego nadzoru człowieka (Artykuł 14) oraz osiągnięcie zwalidowanych poziomów dokładności, solidności i cyberbezpieczeństwa (Artykuł 15).

Dla producentów wbudowujących AI w regulowane produkty: Jeżeli Twój system AI wysokiego ryzyka jest komponentem produktu już podlegającego rozporządzeniu w sprawie maszyn, prawodawstwu dotyczącemu wyrobów medycznych lub innym ramom z Załącznika I, Artykuł 8(2) wymaga podwójnej zgodności. W praktyce oznacza to współpracę z jednostkami notyfikowanymi zaznajomionymi z obydwoma reżimami, a tam gdzie istnieją normy zharmonizowane obejmujące wymogi AI, korzystanie z nich w celu ustanowienia domniemania zgodności i usprawnienia procedur oceny.

Dla importerów i dystrybutorów: Choć Artykuł 8 nakłada podstawowe obowiązki na dostawców, importerzy i dystrybutorzy muszą zweryfikować, że dostawcy spełnili te obowiązki przed udostępnieniem systemów, ponieważ odpowiedzialność niższego szczebla jest powiązana ze statusem zgodności dostawcy.

Kluczowe obowiązki

• Wymagana pełna zgodność z Rozdziałem 2: Dostawcy muszą spełniać każdy wymóg z Artykułów 9–15 — zarządzanie ryzykiem, zarządzanie danymi, dokumentacja techniczna, rejestrowanie, przejrzystość, nadzór człowieka, dokładność, solidność i cyberbezpieczeństwo — jako skumulowany i nieodwołalny obowiązek przed wprowadzeniem do obrotu.
• Weryfikacja zgodności przed wprowadzeniem do obrotu: Zgodność musi być ustanowiona i możliwa do wykazania przed wprowadzeniem systemu AI wysokiego ryzyka do obrotu lub oddaniem go do użytku, a nie wstecznie.
• Podwójna zgodność dla produktów z Załącznika I: Jeżeli system AI wysokiego ryzyka jest elementem bezpieczeństwa lub stanowi produkt podlegający unijnemu prawodawstwu harmonizacyjnemu wymienionemu w Załączniku I, dostawca musi jednocześnie spełniać zarówno wymogi Rozdziału 2, jak i mające zastosowanie prawodawstwo sektorowe.
• Zintegrowana ocena zgodności tam, gdzie jest dostępna: Dostawcy produktów z Załącznika I mogą korzystać z jednej procedury oceny zgodności, jeżeli mające zastosowanie unijne prawodawstwo harmonizacyjne pozwala na taką integrację, zmniejszając powielanie procedur.
• Ciągła zgodność, a nie jednorazowa certyfikacja: Wymogi Rozdziału 2 nakładają ciągłe obowiązki — systemy zarządzania ryzykiem muszą być aktualizowane, dzienniki muszą być prowadzone, a dokumentacja techniczna musi pozostawać aktualna przez cały cykl życia systemu.
• Odpowiedzialność dostawcy nawet za komponenty stron trzecich: Jeżeli system AI wysokiego ryzyka jest zbudowany na modelach lub infrastrukturze stron trzecich, dostawca zachowuje odpowiedzialność za zapewnienie, że kompletny system spełnia wszystkie mające zastosowanie wymogi Rozdziału 2.

Relacja do innych artykułów

Artykuł 8 jest nierozerwalnie związany z Artykułami 9–15, które uruchamia i do których wyraźnie się odwołuje. Należy go również czytać w powiązaniu z Artykułem 6 i Załącznikiem III, które definiują, które systemy AI są klasyfikowane jako wysokiego ryzyka, a zatem podlegają reżimowi Rozdziału 2 narzucanemu przez Artykuł 8.

Artykuł 16 (obowiązki dostawców) operacjonalizuje Artykuł 8, określając proceduralne i administracyjne kroki, które dostawcy muszą podjąć w celu wykazania zgodności, w tym sporządzenie dokumentacji technicznej, przejście oceny zgodności, umieszczenie oznakowania CE i zarejestrowanie systemu. Artykuł 43 reguluje procedury oceny zgodności, których wyniki są wymagane dla spełnienia Artykułu 8.

W przypadku systemów objętych prawodawstwem dotyczącym produktów z Załącznika I, Artykuł 8(2) musi być czytany obok mających zastosowanie aktów sektorowych — takich jak rozporządzenie (UE) 2017/745 w sprawie wyrobów medycznych lub dyrektywa 2006/42/WE w sprawie maszyn — w celu ustalenia, w jaki sposób wymogi oddziałują na siebie i która droga oceny zgodności jest dostępna.

Artykuł 9 rozporządzenia UE w sprawie AI jest najbliższym artykułem niższego szczebla, ustanawiającym system zarządzania ryzykiem, który stanowi operacyjny kręgosłup zgodności z Rozdziałem 2.

Harmonogram zgodności

Rozporządzenie UE w sprawie AI weszło w życie 1 sierpnia 2024 r., dwadzieścia dni po publikacji w Dzienniku Urzędowym Unii Europejskiej. Artykuł 8 i szersze wymogi Rozdziału 2 nie mają jednak natychmiastowego zastosowania do wszystkich systemów AI wysokiego ryzyka.

Rozporządzenie ma zastosowanie etapami:

• 2 lutego 2025 r.: Zakazy dotyczące praktyk AI niedopuszczalnego ryzyka (Artykuł 5) stały się stosowane. Artykuł 8 nie obowiązuje jeszcze w tej dacie.
• 2 sierpnia 2025 r.: Zasady dotyczące modeli AI ogólnego przeznaczenia (Tytuł VIII) i przepisy dotyczące zarządzania stały się stosowane. Artykuł 8 pozostaje niestosowany.
• 2 sierpnia 2026 r.: Artykuł 8 i wszystkie wymogi Rozdziału 2 stają się stosowane do systemów AI wysokiego ryzyka wymienionych w Załączniku III (np. identyfikacja biometryczna, infrastruktura krytyczna, zatrudnienie, edukacja, dostęp do usług, egzekwowanie prawa, migracja, wymiar sprawiedliwości).
• 2 sierpnia 2027 r.: Artykuł 8 i wymogi Rozdziału 2 stają się stosowane do systemów AI wysokiego ryzyka będących elementami bezpieczeństwa produktów podlegających unijnemu prawodawstwu harmonizacyjnemu z Załącznika I (np. wyroby medyczne, maszyny, zabawki, wyposażenie lotnictwa cywilnego), biorąc pod uwagę dłuższe cykle oceny zgodności w tych sektorach.

Dostawcy wprowadzający do obrotu systemy wysokiego ryzyka z Załącznika III po 2 sierpnia 2026 r. muszą być w pełni zgodni z Artykułami 8–15 od tej daty. Dostawcy systemów wbudowanych w Załącznik I mają czas do 2 sierpnia 2027 r., ale powinni rozpocząć prace nad zgodnością z odpowiednim wyprzedzeniem, biorąc pod uwagę złożoność oceny w podwójnym reżimie.