Articolul 7 — Modificări ale Anexei III (Regulamentul UE privind IA)

Articolul 7 din Regulamentul (UE) 2024/1689 — Modificări ale Anexei III. Text oficial, interpretare practică, obligații principale și implicații pentru conformitate.

Rezumatul textului oficial

Articolul 7 din Regulamentul (UE) 2024/1689 conferă Comisiei Europene competența de a modifica Anexa III — lista categoriilor de sisteme IA cu risc ridicat — prin intermediul actelor delegate adoptate în temeiul articolului 97. Acest mecanism permite ca perimetrul de reglementare al Titlului III să se extindă sau să se restrângă ca răspuns la dovezi empirice, fără a fi necesară o procedură legislativă completă de codecizie.

Atunci când evaluează dacă să adauge o nouă categorie de sisteme IA în Anexa III, Comisia este obligată să aplice un set structurat de criterii. Acestea includ: gravitatea și ireversibilitatea prejudiciului pe care sistemul îl poate cauza sănătății, siguranței sau drepturilor fundamentale; numărul persoanelor potențial afectate și gradul lor de vulnerabilitate; măsura în care sistemul a fost deja implementat și prejudiciile reale observate; gradul de supraveghere umană păstrat asupra rezultatelor automatizate; și dacă dreptul Uniunii sau al statelor membre aplicabil oferă deja un nivel adecvat de protecție împotriva riscurilor identificate.

Invers, Comisia poate elimina o categorie din Anexa III atunci când baza de dovezi demonstrează că riscul rezidual nu mai îndeplinește pragul care justifică clasificarea drept risc ridicat sau când garanții echivalente au fost stabilite prin alte instrumente obligatorii ale Uniunii.

Orice act delegat adoptat în temeiul articolului 7 este supus procedurii de control parlamentar prevăzute la articolul 97, acordând Parlamentului European și Consiliului dreptul de a formula obiecții înainte ca actul să intre în vigoare. Aceasta asigură supravegherea democratică a evoluției reglementare, păstrând în același timp agilitatea de care Comisia are nevoie pentru a ține pasul cu capacitățile IA în dezvoltare rapidă.

Ce înseamnă acest lucru în practică

Articolul 7 funcționează ca mecanismul adaptiv al Regulamentului UE privind IA pentru clasificarea cu risc ridicat. În practică, aceasta înseamnă că limita dintre sistemele IA supuse regimului complet de conformitate cu risc ridicat și cele care nu sunt supuse acestuia nu este stabilită definitiv la data intrării în vigoare. Prin urmare, furnizorii și operatorii trebuie să monitorizeze continuu actele delegate ale Comisiei, nu doar în momentul dezvoltării inițiale a produsului.

Pentru organizațiile care construiesc sau implementează sisteme IA în sectoare adiacente Anexei III — de exemplu, instrumente IA utilizate în gestionarea forței de muncă, scoringul de credit sau prestarea serviciilor publice — articolul 7 creează un risc la orizontul de conformitate: un sistem care astăzi nu intră în domeniul de aplicare ar putea intra în domeniu în urma unei modificări a Comisiei. Organizațiile prudente ar trebui să efectueze o evaluare preliminară a riscului ridicat chiar și pentru sistemele de frontieră și să proiecteze arhitectura de guvernanță astfel încât să poată fi actualizată.

Pentru organizațiile care operează deja în categoriile Anexei III, articolul 7 consolidează necesitatea monitorizării continue a conformității. O modificare care restrânge definiția unei categorii listate ar putea reduce anumite obligații, dar organizațiile nu ar trebui să presupună reducerea fără o analiză juridică formală a domeniului de aplicare a actului delegat.

Concret, un furnizor al unui instrument asistat de IA care clasifică solicitanții de locuri de muncă în contextul recrutării în sectorul public se află în prezent în domeniul de aplicare al punctului 4 din Anexa III. Dacă Comisia, pe baza datelor de supraveghere post-comercializare colectate în temeiul articolului 72, stabilește că sistemele IA utilizate în recrutarea din sectorul privat la întreprinderile mici prezintă riscuri echivalente, ar putea extinde acel punct prin articolul 7. Lanțul de aprovizionare al acelui furnizor, cerințele privind documentația tehnică și obligațiile de evaluare a conformității s-ar aplica atunci unui număr mai larg de clienți.

Obligații principale

• Monitorizarea actelor delegate ale Comisiei: Furnizorii și operatorii trebuie să urmărească orice acte delegate adoptate în temeiul articolului 7 care modifică Anexa III, deoarece modificările pot altera statutul lor de conformitate fără perioade de tranziție, în afara celor specificate în actul însuși.
• Menținerea unei documentații de risc adaptabile: Documentația tehnică și înregistrările evaluării conformității ar trebui structurate astfel încât să poată fi actualizate pentru a reflecta orice reclasificare a unui sistem IA din non-risc ridicat în risc ridicat, sau invers.
• Efectuarea de evaluări de orizont pentru sistemele de frontieră: Organizațiile care operează sisteme IA în sectoare adiacente Anexei III ar trebui să evalueze periodic dacă orientările evolutive ale Comisiei sau constatările supravegherii pieței indică o viitoare modificare care ar putea afecta produsele lor.
• Participarea la procesele de consultare publică: Procedura actului delegat include consultări cu părțile interesate relevante; furnizorii și asociațiile din industrie ar trebui să participe pentru a se asigura că dovezile specifice sectorului sunt luate în considerare înainte ca Comisia să finalizeze modificările.
• Revizuirea obligațiilor față de clienți și din lanțul de aprovizionare în caz de modificare: Atunci când o modificare extinde Anexa III, furnizorii trebuie să transmită obligațiile contractuale și tehnice actualizate operatorilor și organismelor notificate fără întârzieri nejustificate.
• Urmărirea eliminării categoriilor: Atunci când Comisia elimină o categorie, organizațiile ar trebui să evalueze dacă pot reduce costurile de conformitate, dar trebuie să păstreze înregistrările care demonstrează conformitatea anterioară pentru perioadele în care s-a aplicat statutul de risc ridicat.

Relația cu alte articole

Articolul 7 nu poate fi citit izolat față de alte câteva dispoziții. Acesta este direct subordonat articolului 97, care reglementează exercitarea competenței delegate, inclusiv durata delegării, condițiile de revocare și procedura de obiecție parlamentară.

Criteriile pe care articolul 7 le prevede pentru adăugarea categoriilor în Anexa III oglindesc direct cadrul de evaluare a riscurilor care stă la baza articolului 9 (sistemul de gestionare a riscurilor), ceea ce înseamnă că aceleași întrebări de fapt care informează o modificare a Comisiei informează și obligațiile interne de gestionare a riscurilor ale unui furnizor.

Articolul 6 definește regula primară de clasificare a riscului ridicat, iar articolul 7 funcționează ca complementul său dinamic: împreună, acestea determină care sisteme IA intră sub incidența obligațiilor Titlului III prevăzute la articolele 8 până la 49.

Datele de supraveghere post-comercializare colectate în temeiul articolului 72 și rapoartele de incidente grave în temeiul articolului 73 alimentează direct baza de dovezi pe care Comisia o utilizează atunci când ia în considerare modificările în temeiul articolului 7, creând o buclă de feedback între supravegherea pieței și clasificarea de reglementare. În cele din urmă, Anexa III în sine este textul operativ pe care articolul 7 îl modifică; orice analiză de conformitate trebuie efectuată în raport cu versiunea Anexei III în vigoare la momentul activității relevante, nu cu versiunea în vigoare la orice dată anterioară.

Calendarul de conformitate

2 august 2024 — Regulamentul (UE) 2024/1689 a intrat în vigoare. Articolul 7, inclusiv competența delegată a Comisiei de a modifica Anexa III, a devenit operațional de la această dată. Perioada de delegare se derulează pe cinci ani de la intrarea în vigoare, reînnoibilă prin prelungire tacită în temeiul articolului 97.

2 februarie 2025 — Practicile IA interzise în temeiul articolului 5 au devenit aplicabile. Modificările în temeiul articolului 7 nu pot anula interdicțiile; niciun sistem care intră sub incidența articolului 5 nu poate fi reabilitat prin reclasificare.

2 august 2025 — Normele privind modelele IA de uz general (Titlul VIII) au devenit aplicabile. Infrastructura de supraveghere post-comercializare a Comisiei a început să producă date care pot informa viitoarele modificări în temeiul articolului 7.

2 august 2026 — Sistemele IA cu risc ridicat acoperite de legislația armonizată a Uniunii enumerate în Anexa I, Secțiunea A au devenit supuse regimului complet al Titlului III. Modificările în temeiul articolului 7 care afectează aceste sectoare interacționează cu legislația existentă privind siguranța produselor.

2 august 2027 — Sistemele IA cu risc ridicat enumerate în Anexa III (altele decât cele deja supuse unor date anterioare) devin pe deplin supuse obligațiilor Titlului III. Aceasta este data limită principală de conformitate pentru majoritatea organizațiilor afectate de clasificările Anexei III, inclusiv orice viitoare modificări efectuate în temeiul articolului 7 înainte de această dată. Modificările adoptate după 2 august 2027 vor specifica propriile date de aplicare în conformitate cu procedura actului delegat.