Articolul 77 — Competențele autorităților de protecție a drepturilor fundamentale (Regulamentul UE privind IA)

Articolul 77 din Regulamentul (UE) 2024/1689 — Competențele autorităților de protecție a drepturilor fundamentale. Text oficial, interpretare practică, obligații cheie și implicații pentru conformitate.

Rezumatul Textului Oficial

Articolul 77 din Regulamentul (UE) 2024/1689 stabilește competențe specifice pentru autoritățile publice naționale al căror mandat cuprinde protecția drepturilor fundamentale, permițându-le să acționeze ca un nivel suplimentar de supraveghere a sistemelor de IA cu risc ridicat utilizate în jurisdicția lor.

În temeiul Articolului 77(1), oricărei autorități sau organism public național competent pentru supravegherea sau aplicarea obligațiilor referitoare la drepturile fundamentale — inclusiv autorităților de protecție a datelor în temeiul Regulamentului (UE) 2016/679, organismelor pentru egalitate, autorităților de protecție a consumatorilor și agențiilor similare — i se acordă competența de a solicita de la operatorii sistemelor de IA cu risc ridicat accesul la documentația generată și menținută în conformitate cu Regulamentul. În special, aceste autorități pot solicita evaluarea impactului asupra drepturilor fundamentale cerută anumitor operatori în temeiul Articolului 27, jurnalele generate automat de sistemul de IA păstrate în conformitate cu Articolul 26(6) și orice altă documentație relevantă care demonstrează conformitatea.

În temeiul Articolului 77(2), atunci când o astfel de autoritate are motive rezonabile să creadă că un sistem de IA cu risc ridicat prezintă un risc pentru drepturile fundamentale sau pentru sănătatea și siguranța persoanelor, aceasta este obligată să informeze autoritatea de supraveghere a pieței relevantă desemnată în temeiul Articolului 70 și îi poate furniza toate informațiile relevante de care dispune. Autoritatea de supraveghere a pieței este apoi responsabilă de luarea măsurilor investigative și corective adecvate în conformitate cu competențele sale prevăzute în Capitolul VII.

Articolul 77 creează astfel un mecanism de cooperare structurată între organismele sectoriale pentru drepturile fundamentale și infrastructura primară de supraveghere a pieței, fără a conferi acestor autorități competențe directe de aplicare a conformității sistemelor de IA independent de cadrul de supraveghere a pieței stabilit.

Ce Înseamnă Aceasta în Practică

Articolul 77 are consecințe operaționale directe pentru operatorii sistemelor de IA cu risc ridicat — în special pentru cei care operează în domenii sensibile precum ocuparea forței de muncă, educația, accesul la servicii esențiale, aplicarea legii, migrația și administrarea justiției, unde expunerea la drepturile fundamentale este cea mai acută.

Operatorii trebuie să fie pregătiți să răspundă la solicitări de documentație din partea unui grup mai larg de autorități publice decât doar autoritatea primară de supraveghere a pieței. O autoritate de protecție a datelor care efectuează o anchetă privind un instrument de recrutare asistat de IA, un organism pentru egalitate care investighează un sistem automatizat de eligibilitate pentru beneficii sau o agenție de protecție a consumatorilor care analizează o platformă de scoring al creditelor bazată pe IA pot invoca toate Articolul 77 pentru a obține evaluarea impactului asupra drepturilor fundamentale și jurnalele de sistem ale operatorului.

Practic, aceasta înseamnă că operatorii trebuie să se asigure că evaluarea lor a impactului asupra drepturilor fundamentale în temeiul Articolului 27 este finalizată, actualizată și ușor accesibilă înainte de utilizare — și nu tratată ca un exercițiu realizat ulterior. De asemenea, obligațiile de înregistrare în temeiul Articolului 26 trebuie să fie active din punct de vedere operațional, astfel încât înregistrările să poată fi produse la cerere fără întârziere.

Pentru furnizori, Articolul 77 subliniază importanța producerii și menținerii unei documentații tehnice cuprinzătoare în temeiul Articolului 11 și a instrucțiunilor de utilizare în temeiul Articolului 13 care să fie suficient de detaliate pentru a sprijini conformitatea operatorilor. Dacă o autoritate pentru drepturile fundamentale ridică îngrijorări și notifică autoritatea de supraveghere a pieței, documentația furnizorului va fi esențială pentru orice investigație ulterioară.

Organizațiile care utilizează sisteme de IA cu risc ridicat ar trebui să identifice ce autorități pentru drepturile fundamentale au jurisdicție asupra activităților lor și să evalueze proactiv modul în care aceste autorități vor interpreta probabil mandatul lor în legătură cu supravegherea IA.

Obligații Cheie

• Operatorii trebuie să furnizeze documentație la cerere: La cererea unei autorități competente pentru drepturile fundamentale, operatorii sistemelor de IA cu risc ridicat trebuie să furnizeze accesul la evaluarea impactului asupra drepturilor fundamentale (Articolul 27), jurnalele generate automat (Articolul 26(6)) și orice altă documentație relevantă pentru evaluarea autorității.
• Autoritățile pentru drepturile fundamentale trebuie să notifice autoritățile de supraveghere a pieței: Atunci când o autoritate pentru drepturile fundamentale are motive rezonabile să creadă că un sistem de IA cu risc ridicat prezintă riscuri pentru drepturile fundamentale sau pentru sănătate și siguranță, aceasta este obligată să informeze autoritatea de supraveghere a pieței relevantă desemnată în temeiul Articolului 70 și să partajeze toate informațiile relevante.
• Evaluările impactului asupra drepturilor fundamentale trebuie să fie actuale și accesibile: Deoarece Articolul 77 creează un drept activ de solicitare a documentației, operatorii supuși Articolului 27 nu pot amâna sau neglija evaluarea impactului — aceasta trebuie să existe și să fie recuperabilă atunci când o autoritate își exercită competențele.
• Retenția jurnalelor trebuie să fie operațională înainte de utilizare: Operatorii trebuie să se asigure că mecanismele de înregistrare necesare în temeiul Articolului 26(6) sunt active și că înregistrările sunt păstrate într-un mod care permite producerea lor în timp util autorităților care invocă Articolul 77.
• Este necesară cooperarea între diferite autorități: Operatorii și furnizorii trebuie să fie pregătiți să interacționeze simultan cu mai multe organisme competente — autoritatea pentru drepturile fundamentale care inițiază ancheta și autoritatea de supraveghere a pieței căreia îi raportează — fără a crea contradicții în informațiile furnizate fiecăruia.

Relația cu Alte Articole

Articolul 77 se situează la intersecția cadrului de monitorizare post-comercializare (Capitolul IX) și a arhitecturii mai largi de supraveghere a pieței (Capitolul VII) și trebuie citit în coroborare cu mai multe alte dispoziții.

Articolul 26 (Obligațiile operatorilor) stabilește obligațiile fundamentale de monitorizare și înregistrare care produc documentația la care autoritățile Articolului 77 sunt împuternicite să acceseze. Articolul 27 (Evaluarea impactului asupra drepturilor fundamentale pentru sistemele de IA cu risc ridicat) creează documentul principal pe care autoritățile pentru drepturile fundamentale îl vor solicita; cele două articole sunt operațional cuplate.

Articolul 70 (Desemnarea autorităților naționale competente și a punctelor unice de contact) identifică autoritățile de supraveghere a pieței cărora organismele pentru drepturile fundamentale trebuie să le raporteze în temeiul Articolului 77(2). Articolele 74 și 75 definesc competențele investigative și corective pe care aceste autorități de supraveghere a pieței le pot exercita ulterior notificării.

Articolul 13 (Transparența și furnizarea de informații operatorilor) și Articolul 11 (Documentația tehnică) sunt relevante deoarece adecvarea documentației furnizate de furnizor condiționează direct capacitatea unui operator de a răspunde la solicitările în temeiul Articolului 77. Articolul 9 (Sistemul de gestionare a riscurilor) furnizează cadrul analitic din amonte care ar trebui să informeze evaluarea impactului asupra drepturilor fundamentale menționată în Articolul 77.

Pentru organizațiile supuse RGPD, Articolul 77 trebuie citit și alături de Articolele 35 și 51–59 din Regulamentul (UE) 2016/679, care reglementează evaluările impactului asupra protecției datelor și competențele autorităților de supraveghere — competențe care se suprapun substanțial cu cadrul Articolului 77 în implementările de IA care implică prelucrarea datelor cu caracter personal.

Calendarul de Conformitate

Regulamentul UE privind IA a intrat în vigoare la 1 august 2024, la douăzeci de zile după publicarea în Jurnalul Oficial al Uniunii Europene.

Calendarul de aplicare etapizată este următorul:

• 2 februarie 2025: Interdicția privind practicile de IA cu risc inacceptabil (Articolul 5) a devenit aplicabilă.
• 2 august 2025: Normele privind modelele de IA de uz general (Titlul VIII, Articolele 51–56) și obligațiile de guvernanță (Titlul VII) au devenit aplicabile.
• 2 august 2026: Articolul 77, împreună cu cadrul complet pentru sistemele de IA cu risc ridicat enumerate în Anexa III (inclusiv aplicații în domeniile ocupării forței de muncă, educației, serviciilor esențiale, aplicării legii, migrației și justiției), devine aplicabil. Acesta este termenul principal de conformitate pentru majoritatea operatorilor care vor trebui să facă față solicitărilor în temeiul Articolului 77 din partea autorităților pentru drepturile fundamentale.
• 2 august 2027: Cadrul Articolului 77 — și obligațiile mai largi privind sistemele de IA cu risc ridicat — devine aplicabil sistemelor de IA reglementate de legislația de armonizare a Uniunii enumerate în Anexa I (inclusiv dispozitive medicale, mașini, aviație civilă și componente ale autovehiculelor).

Operatorii care utilizează sisteme de IA cu risc ridicat în domenii sensibile din perspectiva drepturilor fundamentale ar trebui să finalizeze evaluările impactului asupra drepturilor fundamentale în temeiul Articolului 27 și să verifice că infrastructura lor de înregistrare în temeiul Articolului 26 este operațională cu mult înainte de termenul de 2 august 2026.