Załącznik IV czyta się jako dziewięć gęstych akapitów. To zamienia je w 30 odrębnych elementów, każdy z właścicielem, stanem i miejscem na wskazanie dowodu, dzięki czemu gotowość staje się liczbą.
Bezpieczna płatność przez Stripe. Natychmiastowa dostawa e-mailem, licencja imienna.
Art. 11 mówi, że dokumentacja techniczna musi być sporządzona przed wprowadzeniem systemu do obrotu i utrzymywana w aktualności. Załącznik IV mówi, co ma w niej być.
Załącznik IV to dziewięć akapitów gęstej prozy. Czytany jako proza, produkuje spotkania. Czytany jako lista kontrolna, produkuje dokumentację.
Trzydzieści odrębnych elementów, wyciągniętych z dziewięciu sekcji załącznika IV i wypisanych pojedynczo — od „przeznaczenie, nazwa dostawcy, wersja” przez „procedury walidacji i testowania, zastosowane metryki i dzienniki testów” do „planu monitorowania po wprowadzeniu do obrotu na podstawie art. 72”.
Każdy element nosi stan (brak, szkic, przejrzany, kompletny, nie dotyczy), właściciela i odsyłacz do miejsca, w którym faktycznie znajduje się dowód. Ta ostatnia kolumna zamienia ćwiczenie dokumentacyjne w ścieżkę audytu.
Widok kompletności, który przelicza się dla każdej sekcji, dzięki czemu „czy jesteśmy gotowi” ma procent, a nie opinię — i dzięki czemu sekcja z 0% jest widoczna, zanim znajdzie ją audytor.
Dziennik zmian, bo art. 11 wymaga utrzymywania dokumentacji w aktualności, a dokumentacja bez historii wersji nie może tego wykazać.
Jeśli jesteście dostawcą — wszystko. Jeśli jesteście podmiotem stosującym, dokumentacja z załącznika IV nie jest Waszym obowiązkiem, ale dużej części jej treści będziecie i tak potrzebować, a wydobycie tego od dostawcy to sprawa umowna, którą najlepiej załatwić przed podpisaniem. Pakiet due diligence dostawców to kwestionariusz do tego.
Art. 18 wymaga przechowywania tej dokumentacji przez dziesięć lat od wprowadzenia systemu do obrotu. Osiągnięcie 100% kompletności jest początkiem tego obowiązku, a nie jego końcem.
Czy Państwa organizacja podlega zarówno AI Act, jak i DORA? Oba rozporządzenia spotykają się na odporności operacyjnej finansowych systemów AI. Nasza siostrzana strona regulation-dora.eu omawia DORA szczegółowo — w tym to, co AI Act dodaje do istniejącego programu DORA.
AI Act dla instytucji finansowych ↗ Poznaj regulation-dora.eu ↗Przed wprowadzeniem systemu wysokiego ryzyka do obrotu lub oddaniem go do użytku (art. 11) i musi być potem utrzymywana w aktualności. Art. 18 wymaga następnie przechowywania jej przez dziesięć lat.
Nie, to obowiązek dostawcy. Ale podmiot stosujący potrzebuje dużej części jej treści, aby wypełnić obowiązki z art. 26, i dlatego uzyskanie jej od dostawcy jest kwestią umowną, najlepiej rozstrzygniętą przed podpisaniem.
Załącznik IV § 7 wymaga wykazu zastosowanych norm zharmonizowanych, a tam, gdzie żadna nie ma zastosowania — opisu przyjętych rozwiązań spełniających wymogi. Brak normy nie jest brakiem obowiązku.