Articolul 2 — Domeniu de aplicare (Regulamentul UE privind IA)

Articolul 2 din Regulamentul (UE) 2024/1689 — Domeniu de aplicare. Text oficial, interpretare practică, obligații esențiale și implicații pentru conformitate.

Rezumatul textului oficial

Articolul 2 din Regulamentul (UE) 2024/1689 definește domeniul de aplicare material și teritorial al Regulamentului UE privind IA. Acesta stabilește care actori, sisteme și circumstanțe intră în sfera de aplicare a regulamentului.

Ratione personae, Regulamentul se aplică: (1) furnizorilor care introduc sisteme de IA pe piața Uniunii sau le pun în funcțiune în UE, indiferent de locul lor de stabilire; (2) operatorilor de sisteme de IA care sunt stabiliți sau localizați în UE; (3) furnizorilor și operatorilor stabiliți în țări terțe atunci când rezultatul produs de sistemul de IA este utilizat în Uniune; (4) importatorilor și distribuitorilor de sisteme de IA; și (5) producătorilor de produse care introduc sisteme de IA ca componente de siguranță ale produselor reglementate pe piața Uniunii.

Articolul 2 clarifică în continuare că Regulamentul nu se aplică sistemelor de IA dezvoltate sau utilizate exclusiv în scopuri militare, de securitate națională sau de apărare, nici sistemelor de IA utilizate de autoritățile publice din țări terțe sau de organizațiile internaționale în contextul acordurilor internaționale privind cooperarea în materie de aplicare a legii și cooperarea judiciară. Sistemele de IA care nu au fost încă introduse pe piață și se află încă în faza de cercetare și dezvoltare, înainte de a fi puse la dispoziția utilizatorilor, se situează, de asemenea, în afara domeniului de aplicare.

Atunci când un operator sau furnizor este stabilit în afara UE, dar rezultatul sistemului de IA este utilizat în UE, Regulamentul se aplică în continuare, stabilind o puternică eficacitate extrateritorială comparabilă cu modelul RGPD.

Ce înseamnă aceasta în practică

Articolul 2 determină dacă organizația dvs. trebuie sau nu să respecte Regulamentul UE privind IA — aceasta este întrebarea de prag la care fiecare echipă juridică și de conformitate trebuie să răspundă înainte ca orice obligație să poată fi evaluată.

Pentru companiile cu sediul în UE, analiza este simplă: dacă dezvoltați, implementați, importați, distribuiți sau integrați sisteme de IA în produse sau servicii disponibile în UE, vă aflați în domeniul de aplicare. Aceasta include furnizorii SaaS care oferă funcționalități bazate pe IA, întreprinderile care implementează instrumente de IA în HR, creditare sau asistență medicală, și producătorii care integrează IA în produse fizice supuse legislației UE existente privind siguranța produselor.

Pentru companiile din afara UE, testul esențial este dacă rezultatul sistemului de IA ajunge la sau afectează persoane sau entități din UE. O companie cu sediul în SUA care furnizează un instrument de selecție a candidaților bazat pe IA utilizat de filialele europene ale multinaționalelor, de exemplu, se află în domeniul de aplicare chiar dacă compania în sine nu are nicio prezență în UE. Astfel de furnizori trebuie să desemneze un reprezentant autorizat în Uniune.

Practic, echipele de conformitate ar trebui să cartografieze mai întâi fiecare sistem de IA utilizat sau în curs de dezvoltare, apoi să aplice criteriile Articolului 2 fiecăruia. Sistemele utilizate exclusiv pentru cercetare și dezvoltare internă — care nu sunt implementate pentru utilizatorii finali — pot fi documentate ca aflate în afara domeniului de aplicare, dar acest statut trebuie menținut activ și reevaluat la momentul implementării. Excluderile privind securitatea militară și națională sunt restrânse și nu trebuie presupuse a se aplica sistemelor cu dublă utilizare sau instrumentelor de aplicare a legii fără o analiză juridică atentă.

Furnizorii de modele cu sursă deschisă beneficiază de anumite obligații relaxate, dar rămân în domeniul de aplicare pentru practicile interzise și clasificările cu risc ridicat.

Obligații esențiale

• Determinarea domeniului de aplicare: Organizațiile trebuie să stabilească afirmativ dacă se încadrează într-una din categoriile definite de actori (furnizor, operator, importator, distribuitor sau producător de produse) înainte de a evalua ce nivel de obligații li se aplică.
• Conformitate extrateritorială: Furnizorii din afara UE ai căror sisteme de IA produc rezultate utilizate în Uniune trebuie să respecte Regulamentul și să desemneze un reprezentant autorizat stabilit în UE.
• Claritatea rolurilor: Atunci când aceeași organizație acționează simultan ca furnizor și operator, ambele seturi de obligații se aplică cumulativ; organizațiile trebuie să documenteze și să gestioneze fiecare rol separat.
• Documentarea limitei de cercetare-dezvoltare: Organizațiile care se bazează pe scutirea privind cercetarea și dezvoltarea trebuie să mențină evidențe clare care să demonstreze că sistemul nu a fost introdus pe piață sau pus în funcțiune și trebuie să reevalueze domeniul de aplicare în fiecare etapă a dezvoltării.
• Interpretarea restrictivă a excluderilor: Excluderile militare, de securitate națională și de apărare trebuie aplicate strict; sistemele de IA cu dublă utilizare sau cele utilizate în contextele generale de aplicare a legii nu se califică automat pentru excludere.
• Desemnarea reprezentantului autorizat: Furnizorii din țări terțe care se află în domeniul de aplicare trebuie să desemneze și să documenteze formal un reprezentant autorizat în UE ca parte a infrastructurii lor de conformitate.

Relația cu alte articole

Articolul 2 reprezintă punctul de intrare în întregul cadru de reglementare și trebuie citit alături de mai multe dispoziții fundamentale. Articolul 3 (Definiții) este esențial pentru interpretarea termenilor-cheie utilizați în Articolul 2, în special definițiile de „sistem de IA", „furnizor" și „operator", care determină domeniul de aplicare. Articolul 5 (Practici interzise de IA) se aplică tuturor actorilor din domeniul de aplicare indiferent de nivelul de risc, ceea ce face ca determinarea corectă a domeniului de aplicare în temeiul Articolului 2 să fie o condiție prealabilă pentru evaluarea celor mai grave obligații. Articolul 6 (Clasificarea sistemelor de IA cu risc ridicat) și Articolul 51 (Clasificarea modelelor GPAI) devin relevante numai după ce domeniul de aplicare al Articolului 2 este confirmat. Pentru organizațiile care utilizează calea furnizorului din țara terță, Articolul 2 se conectează direct cu Articolul 25 (Obligațiile importatorilor) și Articolul 26 (Obligațiile distribuitorilor). Eficacitatea extrateritorială stabilită în Articolul 2 reflectă logica Articolului 3 din RGPD, iar autoritățile de reglementare au confirmat că aceste dispoziții ar trebui interpretate în mod consecvent.

Calendarul conformității

Articolul 2 a intrat în vigoare la 1 august 2024, la douăzeci de zile de la publicarea Regulamentului în Jurnalul Oficial al UE. Cu toate acestea, obligațiile sale practice se activează în conformitate cu calendarul fazat de aplicare a Regulamentului:

• 2 februarie 2025: Domeniul de aplicare al Articolului 2 se aplică pe deplin în ceea ce privește practicile interzise de IA în temeiul Articolului 5 — organizațiile trebuia să fi finalizat determinarea domeniului lor de aplicare până la această dată pentru a evalua dacă vreunul dintre sistemele lor se încadrează în categorii interzise.
• 2 august 2025: Domeniul de aplicare se aplică furnizorilor de modele de IA de uz general (GPAI) în temeiul Titlului VIII (Articolele 51–56), inclusiv evaluărilor riscului sistemic și obligațiilor de transparență.
• 2 august 2026: Obligațiile pentru instituțiile și organele UE care utilizează sisteme de IA în temeiul Articolului 2 alineatul (1) litera (h) devin aplicabile.
• 2 decembrie 2026: Domeniul de aplicare al Articolului 2 se aplică sistemelor de IA cu risc ridicat enumerate în Anexa I (componente de siguranță ale produselor reglementate).
• 2 august 2027: Aplicare deplină la sistemele de IA cu risc ridicat enumerate în Anexa III (aplicații autonome cu risc ridicat în domenii precum ocuparea forței de muncă, educația, infrastructura critică și aplicarea legii).

Organizațiile ar trebui să considere august 2024 ca data de la care ar fi trebuit să înceapă exercițiile de cartografiere a domeniului de aplicare, fiecare termen ulterior declanșând un flux de lucru de conformitate corespunzător.