Articolul 63 — Derogări de la anumite cerințe aplicabile sistemelor de IA cu risc ridicat pentru anumiți operatori (Actul UE privind IA)

Articolul 63 din Regulamentul (UE) 2024/1689 — Derogări de la anumite cerințe aplicabile sistemelor de IA cu risc ridicat pentru anumiți operatori. Text oficial, interpretare practică, obligații esențiale și implicații pentru conformitate.

Rezumatul Textului Oficial

Articolul 63 din Regulamentul (UE) 2024/1689 (Actul UE privind IA), situat în titlul VI — Măsuri de sprijin pentru inovare, stabilește derogări specifice de la anumite cerințe din capitolul III, secțiunea 2, care altfel s-ar aplica integral furnizorilor și altor operatori de sisteme de IA cu risc ridicat.

Principalii beneficiari sunt microîntreprinderile în sensul Recomandării Comisiei 2003/361/CE (întreprinderi cu mai puțin de 10 angajați și al căror cifră de afaceri anuală sau total bilanț nu depășește 2 milioane EUR). Pentru astfel de furnizori, articolul 63 permite o abordare simplificată a obligațiilor privind sistemul de management al calității prevăzute la articolul 17, permițând implementarea procedurilor și politicilor într-un mod proporțional cu dimensiunea și capacitatea operațională a operatorului, în loc de sistemul documentat cuprinzător pe care furnizorii mai mari trebuie să îl stabilească.

Articolul 63 abordează, de asemenea, operatorii care sunt organisme publice ce implementează sisteme de IA cu risc ridicat, recunoscând că structurile lor de achiziții și de guvernanță pot diferit semnificativ față de operatorii comerciali. Anumite obligații de documentare și de conformitate pot fi adaptate atunci când un organism public acționează exclusiv ca utilizator, iar sistemul este achiziționat de la un furnizor extern care păstrează obligațiile principale ale furnizorului.

Articolul păstrează pragul minim de siguranță substanțial: derogările privesc forma procedurală și amploarea, nu cerințele subiacente privind acuratețea, robustețea, securitatea cibernetică, guvernanța datelor, transparența și supravegherea umană. Toți operatorii, indiferent de dimensiune, trebuie să se asigure în continuare că sistemele de IA cu risc ridicat îndeplinesc cerințele tehnice de la articolele 9–15 și rămân supuse obligațiilor de supraveghere a pieței.

Ce Înseamnă Aceasta în Practică

Articolul 63 este un instrument de proporționalitate. Efectul său practic constă în reducerea sarcinii administrative pentru cei mai mici participanți pe piață și pentru anumiți utilizatori din sectorul public, fără a compromite obiectivele de siguranță ale Regulamentului.

Pentru furnizorii care sunt microîntreprinderi, cea mai semnificativă reducere privește sistemele de management al calității de la articolul 17. În loc să mențină un SMC complet documentat cu roluri desemnate, proceduri de gestionare a modificărilor, planuri de monitorizare post-comercializare și control sistematic al versiunilor, o microîntreprindere poate implementa o guvernanță echivalentă prin proceduri interne mai simple — de exemplu, un document de politică concis, o persoană responsabilă desemnată și un registru de bază al incidentelor — cu condiția ca aceste măsuri să abordeze adecvat riscul. Obligațiile privind documentația tehnică de la articolul 11 și procedurile de evaluare a conformității de la articolele 43–44 continuă să se aplice integral, la fel ca obligațiile de înregistrare în baza de date a UE în temeiul articolului 71.

Pentru organismele publice ca utilizatori, articolul 63 recunoaște că atunci când o autoritate contractantă achiziționează un sistem de IA cu risc ridicat, obligațiile principale de conformitate revin furnizorului. Obligațiile utilizatorului în temeiul articolului 26 — inclusiv evaluările impactului asupra drepturilor fundamentale, desemnarea supravegherii umane și înregistrarea — rămân intacte, dar articolul 63 oferă claritate contextuală că astfel de organisme nu sunt așteptate să reproducă documentația tehnică a furnizorului pe care nu o dețin.

Exemplu practic: Un startup de două persoane din domeniul legal-tech care introduce pe piață un sistem de IA pentru revizuirea contractelor (anexa III, punctul 5(a) — acces la asistență juridică) trebuie să efectueze o evaluare a conformității și să înregistreze sistemul, dar poate documenta procesul de gestionare a riscurilor printr-o procedură internă simplificată, în loc de un SMC formal aliniat la standardele ISO. Un municipiu mare care implementează același sistem de la un furnizor terț rămâne supus obligațiilor de utilizator, dar nu este așteptat să producă dosarul tehnic al furnizorului.

Operatorii ar trebui să documenteze eligibilitatea lor pentru derogări — în special clasificarea lor ca microîntreprindere — ca parte a dosarelor lor de conformitate, deoarece autoritățile de supraveghere a pieței pot solicita dovezi.

Obligații Esențiale

• Stabiliți proceduri de management al calității proporționale: Furnizorii care sunt microîntreprinderi trebuie să implementeze proceduri interne care să acopere substanța obligațiilor de la articolul 17 — gestionarea riscurilor, guvernanța datelor, documentarea, monitorizarea post-comercializare — dimensionate corespunzător față de dimensiunea lor și profilul de risc al sistemului de IA, chiar dacă nu printr-un SMC formal documentat.
• Mențineți documentația tehnică completă: Derogările de la articolul 63 nu reduc cerințele de documentare tehnică prevăzute la articolul 11 și în anexa IV. Furnizorii trebuie să producă în continuare, să mențină și să pună la dispoziție documentația care demonstrează conformitatea.
• Finalizați evaluarea aplicabilă a conformității: Toți furnizorii de sisteme de IA cu risc ridicat, inclusiv microîntreprinderile, trebuie să finalizeze procedura de evaluare a conformității în temeiul articolului 43 înainte de a introduce un sistem pe piață sau de a-l pune în funcțiune.
• Înregistrați-vă în baza de date a Actului UE privind IA: Obligațiile de înregistrare în temeiul articolului 71 se aplică indiferent de dimensiunea operatorului; microîntreprinderile trebuie să înregistreze sistemele de IA cu risc ridicat în baza de date publică a UE menținută de Comisie.
• Păstrați supravegherea umană și cerințele de siguranță: Cerințele tehnice prevăzute la articolele 9–15 (gestionarea riscurilor, guvernanța datelor, transparența, acuratețea, robustețea, securitatea cibernetică și supravegherea umană) nu fac obiectul derogărilor și trebuie îndeplinite integral de toți furnizorii, indiferent de dimensiune.
• Documentați eligibilitatea pentru derogare: Operatorii care se bazează pe derogările de la articolul 63 ar trebui să păstreze înregistrări care să demonstreze statutul lor de calificare (de ex., clasificarea ca microîntreprindere sau statutul de organism public ca utilizator) pentru a justifica abordarea lor de conformitate față de autoritățile naționale de supraveghere a pieței.

Relația cu Alte Articole

Articolul 63 funcționează ca un modificator de proporționalitate în cadrul mai larg al conformității pentru sistemele de IA cu risc ridicat și trebuie citit în coroborare cu mai multe alte dispoziții.

Articolul 17 (Sistemele de management al calității) este articolul principal din care sunt extrase derogările pentru microîntreprinderi; articolul 63 condiționează și limitează acele derogări. Articolele 9–15 stabilesc pragul tehnic nederogabil pe care articolul 63 îl păstrează în mod expres. Articolul 26 reglementează obligațiile utilizatorilor și este relevant pentru dispozițiile de derogare pentru organismele publice. Articolul 11 și anexa IV definesc cerințele de documentare tehnică care rămân pe deplin aplicabile.

În titlul VI, articolul 63 se situează alături de articolele 57–62 (medii de testare reglementare pentru IA) și articolele 64–68 (măsuri de sprijin pentru IMM-uri și testare), formând un cadru coerent de sprijin pentru IMM-uri. Articolul 9 din titlul I (obligația generală de proporționalitate aplicabilă tuturor furnizorilor) furnizează rațiunea de reglementare care stă la baza măsurilor de reducere specifice de la articolul 63. Articolul 71 (baza de date a UE) și articolul 43 (evaluarea conformității) stabilesc obligații pe care articolul 63 nu le modifică.

Calendarul de Conformitate

Actul UE privind IA a intrat în vigoare la 1 august 2024, la douăzeci de zile după publicarea în Jurnalul Oficial.

Calendarul de aplicare etapizată relevant pentru articolul 63 este după cum urmează:

• 2 februarie 2025 — Interdicțiile privind practicile de IA cu risc inacceptabil (articolul 5) au devenit aplicabile. Articolul 63 nu este relevant în această etapă.
• 2 august 2025 — Obligațiile privind modelele de IA de uz general (titlul III, capitolul V) și dispozițiile de guvernanță au devenit aplicabile. Derogările de la articolul 63 nu se aplică furnizorilor de GPAI.
• 2 august 2026 — Cadrul complet pentru sistemele de IA cu risc ridicat în temeiul titlului III, capitolului III, secțiunea 2 — inclusiv cerințele de la care articolul 63 prevede derogări — devine aplicabil sistemelor enumerate în anexa III (sisteme de IA cu risc ridicat autonome, inclusiv cazuri de utilizare legate de biometrie, infrastructură critică, educație, ocuparea forței de muncă, servicii esențiale, aplicarea legii, migrație și administrarea justiției). Derogările de la articolul 63 devin operaționale de la această dată pentru operatorii care se califică.
• 2 august 2027 — Sistemele de IA cu risc ridicat încorporate în produse reglementate de legislația armonizată din anexa I (mașini, dispozitive medicale, aviație civilă, autovehicule etc.) devin supuse cadrului complet. Derogările de la articolul 63 se extind la operatorii care se califică în acele sectoare de produse începând cu această dată.

Operatorii care intenționează să invoce derogările de la articolul 63 ar trebui să înceapă evaluările interne ale eligibilității și planificarea conformității proporționale cu mult înainte de data aplicabilă pentru categoria lor de sisteme.