Articolul 72 — Monitorizarea post-comercializare de către furnizori și planul de monitorizare post-comercializare pentru sistemele de IA cu risc ridicat (Regulamentul UE privind IA)

Articolul 72 din Regulamentul (UE) 2024/1689 — Monitorizarea post-comercializare de către furnizori și planul de monitorizare post-comercializare pentru sistemele de IA cu risc ridicat. Text oficial, interpretare practică, obligații cheie și implicații de conformitate.

Rezumatul Textului Oficial

Articolul 72 din Regulamentul (UE) 2024/1689 stabilește o obligație obligatorie de monitorizare post-comercializare pentru furnizorii de sisteme de IA cu risc ridicat. Furnizorii sunt obligați să colecteze, să documenteze și să analizeze în mod proactiv datele relevante privind performanța sistemelor lor de IA cu risc ridicat pe toată durata de viață operațională a acestor sisteme, după ce au fost introduse pe piață sau puse în funcțiune.

Articolul mandatează ca furnizorii să elaboreze și să implementeze un plan de monitorizare post-comercializare, care trebuie să fie proporțional cu natura tehnologiei de IA cu risc ridicat și cu riscurile asociate acesteia. Acest plan trebuie să facă parte din documentația tehnică stabilită în temeiul Articolului 11 și elaborată în conformitate cu Anexa IV. Trebuie să definească metodele și procedurile pentru colectarea sistematică a datelor de performanță, inclusiv datele provenite de la operatori, unde este relevant.

Atunci când monitorizarea relevă că un sistem de IA cu risc ridicat nu mai respectă cerințele prevăzute în Capitolul III, Secțiunea 2, furnizorul trebuie să ia fără întârziere măsuri corective adecvate. Aceasta include actualizarea sistemului, retragerea acestuia de pe piață sau rechemarea sa, acolo unde este necesar.

Articolul 72 recunoaște, de asemenea, rolul operatorilor: furnizorii trebuie să instruiască operatorii să furnizeze datele operaționale relevante care nu pot fi colectate direct. Obligația de monitorizare este continuă, nu punctuală, reflectând natura dinamică a performanței sistemelor de IA și contextele în continuă evoluție în care aceste sisteme sunt implementate.

Ce Înseamnă Acest Lucru în Practică

Pentru organizațiile care dezvoltă sau furnizează sisteme de IA cu risc ridicat, Articolul 72 introduce o obligație de conformitate structurată și continuă care se extinde cu mult dincolo de momentul plasării pe piață. Furnizorii nu pot trata evaluarea conformității ca pe un exercițiu unic. În schimb, trebuie să proiecteze și să operaționalizeze o infrastructură de monitorizare înainte ca sistemul lor să fie pus în funcțiune.

În termeni practici, aceasta înseamnă definirea în avans a datelor care vor fi colectate din instanțele implementate ale sistemului, a modului în care aceste date vor fi analizate și a pragurilor de performanță care vor declanșa o revizuire sau o acțiune corectivă. De exemplu, un furnizor al unui instrument de diagnosticare a dispozitivelor medicale asistat de IA trebuie să specifice ce indicatori — cum ar fi ratele de fals-negative, disparitățile de performanță demografică sau metricile de derivă a modelului — vor fi urmăriți, cu ce frecvență și de către cine.

Furnizorii de sisteme de IA încorporate în produse ale terților se confruntă cu o provocare suplimentară: depind de operatori pentru a transmite datele operaționale la care furnizorul nu poate accesa direct. Aceasta necesită acorduri contractuale cu operatorii care definesc clar obligațiile de partajare a datelor, astfel cum este prevăzut de lectura combinată a Articolului 72 și a Articolului 25.

Organizațiile cu sisteme existente de management al calității (SMC) — cum ar fi cele deja conforme cu ISO 13485 în dispozitivele medicale sau ISO 9001 mai general — vor găsi o aliniere naturală cu cerințele Articolului 72. Planul de monitorizare post-comercializare trebuie integrat în SMC-ul mai larg documentat în temeiul Articolului 17, în loc să fie tratat ca un document de sine stătător.

Furnizorii mai mici și startup-urile vor trebui să asigure resursele adecvate pentru această funcție: Articolul 72 nu prevede o scutire de minimis bazată pe dimensiunea companiei, deși proporționalitatea planului față de nivelul de risc al sistemului este recunoscută explicit.

Obligații Cheie

• Stabilirea unui plan de monitorizare post-comercializare care să fie proporțional cu nivelul de risc și natura sistemului de IA cu risc ridicat, documentat ca parte a documentației tehnice în temeiul Articolului 11 și al Anexei IV.
• Colectarea și analizarea activă a datelor post-comercializare privind performanța sistemului pe tot parcursul ciclului de viață operațional, inclusiv datele de la operatori atunci când colectarea directă nu este posibilă.
• Definirea indicatorilor de performanță și a pragurilor de acțiune corectivă în avans, specificând ce nivel de degradare sau neconformitate declanșează o revizuire formală sau un răspuns remedial.
• Luarea de acțiuni corective fără întârziere atunci când monitorizarea relevă că sistemul nu mai satisface cerințele cu risc ridicat din Capitolul III, Secțiunea 2, ceea ce poate include actualizarea, rechemarea sau retragerea sistemului.
• Integrarea rezultatelor monitorizării în sistemul de management al calității stabilit în temeiul Articolului 17, asigurând că constatările sunt retroalimentate în procesul de îmbunătățire a produsului, actualizările documentației și procesele de reevaluare.
• Instruirea operatorilor să furnizeze date relevante din punct de vedere operațional și să coopereze cu procesul de monitorizare post-comercializare, susținuți de acorduri contractuale sau tehnice adecvate.

Relația cu Alte Articole

Articolul 72 se află în centrul unui grup de obligații interconectate. Alimentează direct Articolul 73, care reglementează raportarea incidentelor grave și a defecțiunilor către autoritățile naționale competente: sistemul de monitorizare stabilit în temeiul Articolului 72 este mecanismul de detecție a evenimentelor pe care Articolul 73 impune să fie raportate.

Articolul 17 (sisteme de management al calității) oferă cadrul organizațional în care trebuie încorporat planul de monitorizare post-comercializare. Articolul 11 și Anexa IV definesc cerințele privind documentația tehnică din care trebuie să facă parte planul de monitorizare.

Articolul 25 alocă responsabilitățile între furnizori și operatori și este esențial pentru înțelegerea modului în care furnizorii pot obține date operaționale de la utilizatorii din aval. Articolul 26 completează acest lucru prin detalierea obligațiilor operatorilor, inclusiv datoria de a monitoriza utilizarea sistemului și de a raporta anomalii furnizorului.

Pentru sistemele de IA cu risc ridicat care sunt componente de siguranță în produse acoperite de legislația de armonizare a Uniunii enumerată în Anexa I, Articolul 72 trebuie citit împreună cu obligațiile de supraveghere post-comercializare din regulamentul sectorial aplicabil, cum ar fi Regulamentul privind Dispozitivele Medicale (UE) 2017/745 sau Regulamentul privind Mașinile (UE) 2023/1230, asigurând o conformitate coerentă și neduplicată.

Calendarul de Conformitate

Regulamentul UE privind IA a intrat în vigoare la 1 august 2024, în urma publicării sale în Jurnalul Oficial al Uniunii Europene. Regulamentul se aplică în mod etapizat pentru diferite categorii de obligații.

Articolul 72, ca parte a Titlului IX care reglementează monitorizarea post-comercializare și supravegherea pieței, se aplică furnizorilor de sisteme de IA cu risc ridicat enumerate în Anexa III (categorii generale cu risc ridicat, cum ar fi biometria, ocuparea forței de muncă, educația și accesul la servicii esențiale) începând cu 2 august 2027. Sistemele de IA cu risc ridicat acoperite de Anexa I — care sunt componente de siguranță ale produselor deja reglementate în temeiul legislației existente de armonizare a Uniunii — sunt, de asemenea, supuse obligațiilor depline, inclusiv Articolului 72, începând cu 2 august 2027 în majoritatea cazurilor, aliniate cu data generală de aplicare pentru risc ridicat.

Furnizorii trebuie să observe că termenele anterioare — februarie 2025 pentru practicile de IA interzise și august 2025 pentru obligațiile privind modelele de IA de uz general — nu reglementează direct Articolul 72, dar fundamentele pentru infrastructura de monitorizare trebuie puse cu mult înainte de termenul din 2027. Organizațiilor care dezvoltă astăzi sisteme de IA cu risc ridicat li se recomandă să înceapă proiectarea planurilor de monitorizare post-comercializare ca parte a procesului de pregătire a conformității, mai degrabă decât să le adapteze retrospectiv la momentul aplicării.