Transport și Infrastructură Critică — Conformitate cu EU AI Act

Obligațiile EU AI Act pentru IA în vehicule autonome, managementul traficului, aviație, feroviar și infrastructură critică. Acoperă Annex I (NLF) și categoria 2 din Annex III.

De ce transportul este un sector prioritar în EU AI Act

EU AI Act (Regulamentul (UE) 2024/1689) impune cele mai exigente obligații domeniilor în care eșecurile IA au consecințe directe asupra siguranței fizice, continuității serviciilor critice și securității publice. Transportul și infrastructura critică ocupă o poziție centrală în această arhitectură din două motive juridice independente: implementarea extinsă a IA drept componente de siguranță în produsele de transport reglementate (declanșând Art. 6(1) prin intermediul Annex I) și enumerarea explicită a IA de gestionare a infrastructurii critice ca risc ridicat în temeiul Annex III, punctul 2.

Sectorul transporturilor se distinge și prin densitatea și maturitatea cadrelor de reglementare existente. Omologarea de tip a vehiculelor în temeiul Regulamentului privind siguranța generală (UE) 2019/2144, certificarea în aviație în temeiul Regulamentului de bază EASA (UE) 2018/1139, interoperabilitatea și siguranța feroviară în temeiul Regulamentului ERA (UE) 2016/796 și Directivei privind siguranța 2016/798, precum și securitatea cibernetică a infrastructurii critice în temeiul Directivei NIS2 (UE) 2022/2555 creează obligații juridice preexistente care se suprapun cu — și în unele cazuri interacționează structural cu — EU AI Act.

Pentru organizațiile din transport, consecința practică este că conformitatea în materie de IA nu poate fi gestionată ca un flux de lucru de reglementare izolat. Ea trebuie integrată în programele existente de omologare de tip, certificare, gestionare a siguranței și securitate cibernetică. Neatingerea acestei integrări riscă nu numai neconformitatea cu AI Act, ci și neconformitatea cu reglementările sectoriale care au propriile autorități de aplicare și consecințe privind accesul pe piață.

IA ca componentă de siguranță (Annex I) vs. IA de gestionare a infrastructurii critice (Annex III, punctul 2)

EU AI Act creează două căi distincte de risc ridicat relevante pentru transport. Înțelegerea căii aplicabile — și dacă ambele se aplică simultan — este primul pas analitic în orice program de conformitate IA în transport.

Annex I — Componente de siguranță ale produselor reglementate prin NLF

Art. 6(1) din EU AI Act clasifică drept risc ridicat orice sistem IA care este o componentă de siguranță a unui produs reglementat în temeiul legislației Noului Cadru Legislativ (NLF) enumerate în Annex I. Pentru transport, instrumentele NLF cheie sunt:

• Regulamentul privind siguranța generală (UE) 2019/2144 — vehicule rutiere (autoturisme, camioane, motociclete, autobuze)
• Regulamentul de bază EASA (UE) 2018/1139 — aeronave, motoare și echipamente asociate
• Legislația feroviară ERA — inclusiv Regulamentul (UE) 2016/796 (Agenția ERA), Directiva 2016/797 (interoperabilitate) și Directiva 2016/798 (siguranță feroviară)
• Regulamentul privind mașinile (UE) 2023/1230 — relevant pentru IA în echipamentele portuare automatizate, vehiculele industriale și utilajele de construcții care operează în contexte de infrastructură de transport

Un sistem IA este o componentă de siguranță a unui produs de transport dacă defecțiunea sau funcționarea defectuoasă a acestuia ar putea pune în pericol sănătatea sau siguranța persoanelor. Pentru vehiculele rutiere, aceasta include sistemele de frânare automată de urgență, IA de menținere a benzii, controlul adaptiv al vitezei de croazieră la SAE L2 și peste, și toate sistemele de conducere automatizată L3–L5. Pentru aviație, include IA în sistemele de gestionare a zborului, componentele pilotului automat și sistemele de avertizare a apropierii de sol. Pentru feroviar, include IA în protecția automată a trenurilor, semnalizarea asistată de IA și manevra autonomă.

Clasificarea în temeiul Art. 6(1) este categorică. Nu impune sistemului IA să demonstreze independent o probabilitate semnificativă de vătămare — desemnarea ca componentă de siguranță este suficientă. Aceasta înseamnă că furnizorii unor astfel de sisteme trebuie să respecte cerințele Capitolului III, Secțiunea 2 (Art. 9–15) privind gestionarea riscurilor, guvernanța datelor, documentația tehnică, înregistrarea automată, transparența, supravegherea umană și acuratețea și robustețea.

Annex III, punctul 2 — Gestionarea infrastructurii critice

Separat de calea componentelor de siguranță, Annex III, punctul 2 enumeră expres drept risc ridicat sistemele IA destinate utilizării ca componente de siguranță în gestionarea și exploatarea infrastructurii critice, în special:

• Infrastructura critică de trafic rutier
• Infrastructura critică de transport pe apă
• Componentele critice ale rețelei electrice (ca infrastructură critică cu profiluri de risc echivalente transportului)

Sistemele IA care se încadrează în această categorie includ: platforme de gestionare a traficului pe autostrăzi care utilizează IA pentru controlul dinamic al vitezei și detectarea incidentelor, sisteme IA bazate pe IA pentru stabilizarea și echilibrarea sarcinii în rețelele inteligente acolo unde o defecțiune a rețelei ar afecta operațiunile de transport, și sisteme IA care gestionează infrastructura portuară la nivelul operării unui serviciu esențial.

Distincția dintre punctul 2 și calea Annex I este că Annex III, punctul 2 se aplică operatorilor de infrastructură, nu numai producătorilor de produse. O autoritate publică sau un concesionar privat care operează un centru de gestionare a traficului bazat pe IA este supus obligațiilor din punctul 2 ca operator sau, dacă a dezvoltat el însuși sistemul IA, ca furnizor.

Clasificarea dublă

Atunci când un sistem IA este atât o componentă de siguranță a unui produs reglementat prin NLF, cât și este implementat în gestionarea infrastructurii critice (de exemplu, un sistem IA integrat într-o platformă de autostradă inteligentă care interfațează și cu sisteme de vehicule), ambele căi se aplică. Obligațiile mai exigente prevalează.

Furnizor vs. operator în contextul transportului — OEM vs. operator de infrastructură

Alocarea obligațiilor între furnizori (Art. 16) și operatori (Art. 26) este deosebit de complexă în transport, unde lanțul de aprovizionare dintre dezvoltatorul IA, integratorul de sistem, OEM, operatorul de infrastructură și flota utilizatorului final poate implica mai multe entități juridice, fiecare purtând responsabilități distincte în temeiul AI Act.

OEM-urile de vehicule ca furnizori

Un OEM care integrează un sistem de conducere IA — indiferent dacă a fost dezvoltat intern sau achiziționat de la un furnizor de nivel 1 sau 2 — și plasează vehiculul pe piața UE sub propriul nume de marcă este furnizorul sistemului IA în temeiul Art. 16. Aceasta este situația chiar și atunci când tehnologia IA a fost inițial dezvoltată de un terț, cu condiția ca OEM-ul să nu fi revândut pur și simplu un sistem neschimbat sub marca terțului. Obligațiile furnizorului includ:

• Instituirea unui sistem de management al calității în temeiul Art. 17
• Pregătirea și menținerea documentației tehnice în temeiul Art. 11 și Annex IV, acoperind scopul intenționat, proiectarea, datele de antrenament, rezultatele validării și planul de monitorizare post-plasare pe piață al sistemului IA
• Realizarea sau comandarea evaluării conformității — care, pentru componentele de siguranță ale vehiculelor, trebuie coordonată cu procedura de omologare de tip în temeiul GSR 2019/2144
• Înregistrarea sistemului IA în baza de date UE pentru sistemele IA de risc ridicat în temeiul Art. 49 înainte de plasarea pe piață
• Furnizarea de instrucțiuni de utilizare operatorilor din aval (operatori de flotă, companii de închiriere) suficient de detaliate pentru a permite o implementare conformă

Operatorii de flotă și concesionarii ca operatori

O companie care operează o flotă de vehicule autonome, o autoritate locală care implementează un sistem IA de gestionare a traficului sau un administrator de infrastructură feroviară care utilizează instrumente de mentenanță asistată de IA este un operator în temeiul Art. 26. Obligațiile operatorului includ:

• Utilizarea sistemului IA în limitele instrucțiunilor de utilizare ale furnizorului — orice utilizare operațională în afara acestui perimetru poate reclasifica operatorul ca furnizor, declanșând setul complet de obligații ale furnizorului
• Implementarea măsurilor de supraveghere umană specificate de furnizor și adecvate contextului operațional
• Menținerea jurnalelor operaționale generate de sistemul IA pentru cel puțin șase luni sau mai mult acolo unde legislația sectorială aplicabilă (NIS2, legislația națională privind siguranța transporturilor) impune o perioadă de păstrare mai lungă
• Raportarea defecțiunilor sau incidentelor grave furnizorului în timp util și autorităților naționale competente în temeiul Art. 73 atunci când sunt implicate siguranța sau drepturile fundamentale
• Efectuarea evaluărilor impactului asupra drepturilor fundamentale (FRIA) în temeiul Art. 27 atunci când sistemul IA este implementat de o autoritate publică sau în contexte care afectează persoane la scară

Interacțiunea cu reglementările sectoriale — EASA, ERA și omologarea de tip

Vehicule rutiere — GSR 2019/2144 și omologarea de tip

Regulamentul privind siguranța generală (UE) 2019/2144 impune includerea unor funcții specifice ADAS și de conducere autonomă în noile tipuri de vehicule și stabilește cerințe tehnice pentru performanța acestora. Omologarea de tip a vehiculelor — realizată de autoritățile naționale de omologare de tip (de exemplu, KBA în Germania, DREAL în Franța, Rijksdienst voor het Wegverkeer în Țările de Jos) — este mecanismul principal de acces pe piață pentru vehiculele rutiere.

EU AI Act nu înlocuiește omologarea de tip. Art. 8(1) din AI Act specifică că, atunci când legislația sectorială specifică impune cerințe de o rigurozitate echivalentă sau mai mare, este posibilă alinierea procedurală, dar obligațiile AI Act rămân. În practică, evaluarea conformității pentru un sistem IA de conducere trebuie să abordeze atât cerințele tehnice GSR (evaluate în cadrul omologării de tip), cât și cerințele AI Act (documentație tehnică, guvernanța datelor, înregistrare, supraveghere umană, monitorizare post-plasare pe piață). OEM-urile ar trebui să planifice o evaluare integrată acoperind ambele cadre pentru a evita efortul duplicativ și eventualele lacune.

Aviație — EASA și foaia de parcurs IA

EASA exercită autoritatea de certificare asupra aeronavelor, motoarelor și pieselor în temeiul Regulamentului (UE) 2018/1139. Foaia de parcurs IA a EASA (publicată în ediții succesive începând din 2020) abordează fiabilitatea IA pentru sistemele IA de la bordul aeronavelor și reprezintă principala referință de certificare pentru IA în aplicații critice pentru zbor.

EU AI Act se aplică IA de aviație terestre (gestionarea traficului, diagnostice de mentenanță, sisteme de management al cabinei) care nu intră în perimetrul de navigabilitate al EASA. Pentru sistemele IA de la bordul aeronavelor certificate de EASA, alinierea în temeiul Art. 8(1) este disponibilă, dar suprapunerea dintre cerințele de navigabilitate EASA și obligațiile AI Act (în special privind înregistrarea și supravegherea umană) trebuie analizată sistem cu sistem. Conceptul EASA de «nivel de asigurare IA» nu se mapează direct pe clasificarea ca risc ridicat sau pe cerințele de evaluare a conformității din EU AI Act.

Feroviar — ERA și sistemele de gestionare a siguranței

ERA (Agenția Uniunii Europene pentru Căi Ferate) supraveghează interoperabilitatea feroviară și cadrul comun de siguranță în temeiul Directivelor 2016/797 și 2016/798. Întreprinderile feroviare și administratorii de infrastructură sunt obligați să mențină un Sistem de gestionare a siguranței (SGS) care acoperă evaluarea riscurilor, investigarea accidentelor și îmbunătățirea continuă.

Cerințele de gestionare a riscurilor din EU AI Act în temeiul Art. 9 sunt strâns paralele cu cerințele SGS ale ERA. Organizațiile care dispun de un SGS matur sunt bine poziționate pentru a integra documentația de gestionare a riscurilor din AI Act în cadrul existent. ERA și Comisia Europeană au indicat preferința pentru abordări integrate de conformitate care evită duplicarea între SGS și obligațiile AI Act. Sistemele IA utilizate în operarea automată a trenurilor, componentele IA ale ETCS (Sistemul European de Control al Trenurilor) sau mentenanța predictivă care alimentează decizii critice pentru siguranță sunt de risc ridicat în temeiul Annex I (componentă de siguranță a vehiculelor sau infrastructurii feroviare).

Autorități de aplicare și certificare

Conformitatea IA în transport implică mai multe organisme de aplicare cu jurisdicție parțial suprapusă, în funcție de funcția sistemului IA și de produsul în care este încorporat.

EASA este autoritatea de certificare pentru IA în aeronave și produse aeronautice. Poate desfășura investigații privind defecțiunile sistemelor IA care implică navigabilitatea, iar deciziile sale afectează accesul pe piață în întreaga UE și în jurisdicțiile partenere bilaterale.

ERA supraveghează cadrul comun de siguranță pentru transportul feroviar. Certificatele de siguranță feroviară și autorizațiile de operare sunt condiționate de conformitatea cu SGS, care se intersectează din ce în ce mai mult cu conformitatea AI Act pentru sistemele feroviare cu IA activă.

Autoritățile naționale de omologare de tip a vehiculelor — inclusiv KBA (Germania), organismele delegate de ANFIA (Italia) și Rijksdienst voor het Wegverkeer (Țările de Jos) — emit și pot retrage omologările de tip pentru vehiculele rutiere. Neconformitatea cu cerințele AI Act pentru componentele de siguranță IA poate constitui temei pentru suspendarea omologării de tip sau retragerea de pe piață.

Autoritățile naționale competente NIS2 — desemnate de fiecare stat membru, adesea o agenție națională de securitate cibernetică precum BSI (Germania), ANSSI (Franța) sau NCSC-NL (Țările de Jos) — aplică obligațiile NIS2 pentru operatorii de transport care furnizează servicii esențiale. Aplicarea NIS2 poate conduce la instrucțiuni obligatorii, amenzi și, în cazuri grave, suspendarea operațiunilor.

Autoritățile naționale de supraveghere a IA desemnate în temeiul Art. 70 din EU AI Act vor dispune de competențe generale de supraveghere a pieței, cu mecanisme de coordonare cu autoritățile sectoriale specifice pentru evitarea conflictelor de jurisdicție.

Priorități de conformitate pentru operatorii și furnizorii din transport

Pasul 1: Inventarul și clasificarea sistemelor IA

Realizați un inventar structurat al tuturor sistemelor IA în curs de dezvoltare sau implementare în cadrul portofoliului de produse de transport sau de operațiuni. Pentru fiecare sistem, determinați dacă este o componentă de siguranță a unui produs reglementat prin NLF (calea Art. 6(1)), un sistem IA de gestionare a infrastructurii critice (Annex III, punctul 2) sau ambele. Documentați în scris rațiunea clasificării. Sistemele care nu pot fi excluse definitiv din clasificarea ca risc ridicat ar trebui tratate ca risc ridicat până la o analiză juridică definitivă.

Pasul 2: Planificarea rutei de evaluare a conformității

Pentru sistemele IA care sunt componente de siguranță ale vehiculelor, aeronavelor sau produselor feroviare, identificați procedura de certificare sectorială aplicabilă și mapați-o pe cerințele de evaluare a conformității din AI Act. Determinați dacă este necesar un organism notificat (Art. 43(3)) sau dacă o autoevaluare cu audit tehnic terț este suficientă. Coordonați calendarul evaluării conformității AI Act cu programul de omologare de tip sau certificare pentru a evita întârzierile privind accesul pe piață.

Pasul 3: Documentația tehnică și guvernanța datelor

Pregătiți documentația tehnică în temeiul Annex IV pentru fiecare sistem IA de risc ridicat. Pentru IA în transport, aceasta trebuie să includă: scopul intenționat cu o precizie suficientă pentru a susține atât clasificarea AI Act, cât și cea din reglementările sectoriale; proveniența datelor de antrenament, inclusiv orice date din conducerea reală, operaționale sau de senzori utilizate; descrierile mediului de simulare pentru sistemele IA validate prin testare virtuală; și planuri de monitorizare post-plasare pe piață aliniate cu obligațiile de raportare sectoriale specifice.

Pasul 4: Integrarea NIS2 pentru operatorii de infrastructură critică

Operatorii de transport care furnizează servicii esențiale trebuie să integreze cerințele de securitate cibernetică din AI Act în temeiul Art. 15 cu obligațiile de gestionare a riscurilor de securitate cibernetică din NIS2. Stabiliți un singur proces de evaluare a riscurilor de securitate care acoperă ambele cadre. Asigurați-vă că furnizorii de software IA — inclusiv dezvoltatorii de modele IA și furnizorii de date — sunt supuși cerințelor de securitate a lanțului de aprovizionare în conformitate cu Art. 21(2)(d) NIS2 și Art. 25 din AI Act (obligații privind instrumentele terțe).

Pasul 5: Supravegherea umană în contexte operaționale

Proiectați mecanisme de supraveghere umană în temeiul Art. 14 care să fie viabile din punct de vedere operațional în mediile de transport. Pentru sistemele de conducere autonomă, definiți condițiile în care conducătorul auto trebuie să poată prelua controlul (L3) sau un operator la distanță trebuie să poată interveni (L4). Pentru IA de management al traficului aerian, specificați punctele din fluxul de lucru în care un controlor trebuie să revizuiască și să aprobe instrucțiunile generate de IA. Pentru IA de mentenanță feroviară, definiți protocoalele de escaladare atunci când sistemul semnalează anomalii critice pentru siguranță. Mecanismele de supraveghere trebuie documentate în documentația tehnică și reflectate în instrucțiunile de utilizare furnizate operatorilor.

Pasul 6: Monitorizarea post-plasare pe piață și raportarea incidentelor

Stabiliți sisteme de monitorizare post-plasare pe piață care satisfac atât cerințele Art. 72 din AI Act, cât și obligațiile sectoriale specifice de raportare a siguranței (raportarea accidentelor ERA, raportarea evenimentelor EASA în temeiul Regulamentului (UE) 376/2014, notificarea incidentelor NIS2). Incidentele grave care implică sisteme IA de risc ridicat trebuie raportate autorității naționale de supraveghere a IA în temeiul Art. 73 în termen de 15 zile lucrătoare de la data la care au luat cunoștință. Acest termen trebuie reconciliat cu cerința NIS2 de notificare inițială în 24 de ore pentru incidentele semnificative de securitate cibernetică, care poate acoperi același eveniment dacă defecțiunea IA este atribuibilă unei breșe de securitate cibernetică.