Articolul 53 — Obligații pentru furnizorii de modele de IA de uz general cu risc sistemic (Regulamentul UE privind IA)

Articolul 53 din Regulamentul (UE) 2024/1689 — Obligații pentru furnizorii de modele de IA de uz general cu risc sistemic. Textul oficial, interpretare practică, obligații esențiale și implicații pentru conformitate.

Rezumatul Textului Oficial

Articolul 53 din Regulamentul (UE) 2024/1689 stabilește obligații care se aplică exclusiv furnizorilor de modele de IA de uz general (GPAI) clasificate ca prezentând risc sistemic în temeiul Articolului 51. Acestea sunt modele antrenate cu putere de calcul ce depășește 10^25 operații în virgulă mobilă (FLOP) sau modele desemnate de Biroul pentru IA pe baza unei evaluări a capacităților sau a impactului.

Pe lângă obligațiile de bază aplicabile tuturor furnizorilor de modele GPAI în temeiul Articolului 52, furnizorii acoperiți de Articolul 53 trebuie: să efectueze evaluări ale modelelor, inclusiv testare adversarială desfășurată în conformitate cu protocoale standardizate sau metodologii aprobate; să evalueze și să atenueze riscurile sistemice la nivelul Uniunii; să raporteze Biroului pentru IA incidentele grave și funcționările defectuoase fără întârziere nejustificată; să asigure un nivel adecvat de protecție a securității cibernetice pentru model, infrastructura și mediul fizic al acestuia; și să documenteze rezultatele evaluărilor modelelor și să pună aceste rezultate la dispoziția Biroului pentru IA la cerere.

Articolul 53(2) prevede că furnizorii se pot baza pe coduri de conduită adoptate în temeiul Articolului 56 pentru a demonstra conformitatea. Comisia Europeană este împuternicită să emită acte delegate care specifică conținutul și procedurile evaluărilor și să adapteze pragurile pe măsură ce înțelegerea științifică evoluează. Biroul pentru IA monitorizează conformitatea și poate solicita informații suplimentare sau acțiuni corective.

Ce Înseamnă Aceasta în Practică

Articolul 53 creează un nivel distinct de conformitate pentru cele mai capabile și potențial mai impactante modele GPAI de pe piața UE. Orice organizație — indiferent de locul în care este stabilită — care furnizează un astfel de model operatorilor sau utilizatorilor finali din UE trebuie să evalueze dacă depășește pragul riscului sistemic.

Pentru furnizorii care depășesc pragul de calcul de 10^25 FLOP, obligațiile sunt automate. Pentru furnizorii sub acel prag, Biroul pentru IA poate activa în continuare obligațiile Articolului 53 în urma unei evaluări de la caz la caz bazate pe indicatori precum numărul de utilizatori, amploarea capacităților sau integrarea în sectoare critice.

În practică, conformitatea necesită stabilirea unor procese interne solide: un program de evaluare a modelului capabil să desfășoare red-teaming și sondare adversarială înainte și după implementare; un registru al riscurilor sistemice și un plan de atenuare asociat; un cadru de securitate cibernetică care acoperă ponderile modelului, API-urile și infrastructura de antrenament; și o procedură de răspuns la incidente legată de obligația de raportare față de Biroul pentru IA.

Concret, un furnizor al unui model lingvistic de frontieră de mari dimensiuni pus la dispoziție prin API operatorilor cu sediul în UE trebuie să efectueze testare adversarială — cum ar fi tentativele de jailbreak și elicitarea capacităților pentru conținut periculos — să documenteze rezultatele, să le păstreze și să fie capabil să le partajeze cu Biroul pentru IA. Dacă modelul produce rezultate care cauzează sau aproape cauzează vătămare gravă unei persoane sau infrastructurii critice, acel incident trebuie raportat prompt. Participarea la un cod de conduită aprobat de Biroul pentru IA în temeiul Articolului 56 oferă o cale structurată pentru a demonstra conformitatea fără a aștepta standarde armonizate.

Obligații Esențiale

• Evaluări ale modelelor și testare adversarială: Efectuarea unor evaluări aprofundate, inclusiv red-teaming și testare adversarială, utilizând protocoale standardizate sau aprobate de Biroul pentru IA, înainte și după actualizări semnificative ale modelului.
• Evaluarea și atenuarea riscului sistemic: Identificarea, analizarea și atenuarea riscurilor sistemice potențiale la nivelul Uniunii care pot apărea din dezvoltarea, introducerea pe piață sau utilizarea modelului.
• Raportarea incidentelor grave: Raportarea Biroului pentru IA fără întârziere nejustificată a oricărui incident grav sau funcționări defectuoase legate de modelul GPAI cu risc sistemic, inclusiv informații despre incident și măsurile corective luate.
• Protecția securității cibernetice: Implementarea și menținerea unor măsuri adecvate de securitate cibernetică care să protejeze modelul, infrastructura sa fizică și lanțul de aprovizionare — inclusiv ponderile modelului, API-urile și conductele de antrenament — proporțional cu riscurile identificate.
• Documentare și transparență față de Biroul pentru IA: Păstrarea înregistrărilor rezultatelor evaluărilor, metodologiilor de testare și măsurilor de atenuare a riscurilor; punerea acestora la dispoziția Biroului pentru IA la cerere.
• Calea de conformitate prin coduri de conduită: Demonstrarea conformității cu obligațiile Articolului 53 prin respectarea codurilor de conduită elaborate în temeiul Articolului 56, până la disponibilitatea standardelor armonizate.

Relația cu Alte Articole

Articolul 53 nu poate fi citit izolat. Se bazează direct pe Articolul 51, care definește criteriile și procedurile pentru clasificarea unui model GPAI ca prezentând risc sistemic — inclusiv pragul de calcul de 10^25 FLOP și puterea discreționară de desemnare a Biroului pentru IA. Obligațiile de bază ale Articolului 52 rămân pe deplin aplicabile alături de Articolul 53; acesta din urmă adaugă un nivel suplimentar în loc să îl înlocuiască pe primul.

Articolul 55 reglementează prezumțiile calificate de conformitate, în timp ce Articolul 56 stabilește mecanismul codurilor de conduită la care Articolul 53(2) face referire explicită ca cale de conformitate. Rolul de supraveghere al Biroului pentru IA cu privire la obligațiile Articolului 53 este fundamentat în Articolele 88–90, care stabilesc competențele și procedurile de executare. Pentru furnizorii care sunt și operatori de sisteme de IA cu risc ridicat, cerințele Capitolului III (Articolele 9–16) privind gestionarea riscurilor și documentația tehnică pot suprapune cu activitatea de atenuare a riscului sistemic impusă de Articolul 53, iar coordonarea între echipele de conformitate este recomandabilă pentru a evita duplicarea.

Calendarul de Conformitate

Regulamentul UE privind IA a intrat în vigoare la 1 august 2024 (la douăzeci de zile după publicarea în Jurnalul Oficial la 12 iulie 2024). Articolul 53, ca parte a Titlului V care reglementează modelele de IA de uz general, a devenit aplicabil la 2 august 2025 — la douăsprezece luni după intrarea în vigoare, în conformitate cu Articolul 113(3).

Aceasta înseamnă că furnizorii de modele GPAI cu risc sistemic au fost obligați să aibă programele de evaluare, procedurile de raportare a incidentelor și cadrele de securitate cibernetică operaționale până la acea dată. Calendarul de aplicare în faze pentru referință: practicile de IA interzise în temeiul Articolului 5 s-au aplicat de la 2 februarie 2025 (șase luni); obligațiile privind modelele GPAI, inclusiv Articolul 53, de la 2 august 2025 (douăsprezece luni); obligațiile privind sistemele de IA cu risc ridicat în temeiul Anexei I de la 2 august 2026 (douăzeci și patru de luni); și obligațiile rămase privind sistemele de IA cu risc ridicat de la 2 august 2027 (treizeci și șase de luni). Furnizorii trebuie să monitorizeze, de asemenea, actele delegate ale Comisiei Europene care pot rafina cerințele de evaluare ale Articolului 53 sau pot ajusta pragul de calcul pe măsură ce înțelegerea științifică a capacităților modelelor de frontieră evoluează.