Článok 53 — Povinnosti poskytovateľov modelov AI na všeobecné účely so systémovým rizikom (Nariadenie EÚ o umelej inteligencii)

Článok 53 nariadenia (EÚ) 2024/1689 — Povinnosti poskytovateľov modelov AI na všeobecné účely so systémovým rizikom. Oficiálny text, praktická interpretácia, kľúčové povinnosti a dôsledky pre dodržiavanie súladu.

Zhrnutie oficiálneho textu

Článok 53 nariadenia (EÚ) 2024/1689 stanovuje povinnosti, ktoré sa vzťahujú výlučne na poskytovateľov modelov AI na všeobecné účely (GPAI) klasifikovaných ako predstavujúcich systémové riziko podľa Článku 51. Ide o modely trénované s výpočtovým výkonom presahujúcim 10^25 operácií s pohyblivou rádovou čiarkou (FLOP) alebo modely označené Úradom pre AI na základe posúdenia spôsobilostí alebo vplyvu.

Okrem základných povinností uplatniteľných na všetkých poskytovateľov modelov GPAI podľa Článku 52, poskytovatelia zahrnutí Článkom 53 musia: vykonávať hodnotenia modelov vrátane adversariálneho testovania vykonávaného v súlade so štandardizovanými protokolmi alebo schválenými metodikami; posudzovať a zmierňovať systémové riziká na úrovni Únie; bez zbytočného odkladu hlásiť Úradu pre AI závažné incidenty a poruchy; zabezpečiť primeranú úroveň ochrany kybernetickej bezpečnosti modelu, jeho infraštruktúry a fyzického prostredia; a dokumentovať výsledky hodnotení modelov a sprístupniť tieto výsledky Úradu pre AI na požiadanie.

Článok 53(2) stanovuje, že poskytovatelia môžu na preukázanie súladu využiť kódexy správania prijaté podľa Článku 56. Európska komisia je splnomocnená vydávať delegované akty, ktoré špecifikujú obsah a postupy hodnotení, a prispôsobovať prahové hodnoty tak, ako sa vyvíja vedecké poznanie. Úrad pre AI monitoruje súlad a môže požadovať ďalšie informácie alebo nápravné opatrenia.

Čo to znamená v praxi

Článok 53 vytvára odlišnú úroveň súladu pre najschopnejšie a potenciálne najvplyvnejšie modely GPAI na trhu EÚ. Každá organizácia — bez ohľadu na to, kde je usadená — ktorá poskytuje takýto model prevádzkovateľom alebo koncovým používateľom v EÚ, musí posúdiť, či prekračuje prah systémového rizika.

Pre poskytovateľov nad prahom výpočtového výkonu 10^25 FLOP sú povinnosti automatické. Pre poskytovateľov pod týmto prahom môže Úrad pre AI napriek tomu aktivovať povinnosti podľa Článku 53 po posúdení prípad od prípadu na základe ukazovateľov, ako je počet používateľov, šírka spôsobilostí alebo integrácia do kritických odvetví.

V praxi súlad vyžaduje zavedenie robustných interných procesov: program hodnotenia modelu schopný vykonávať red-teaming a adversariálne sondovanie pred a po nasadení; register systémových rizík a súvisiaci plán zmierňovania; rámec kybernetickej bezpečnosti pokrývajúci váhy modelu, API a tréningovú infraštruktúru; a postup reakcie na incidenty spojený s povinnosťou hlásiť Úradu pre AI.

Konkrétne, poskytovateľ hraničného veľkého jazykového modelu sprístupneného prostredníctvom API prevádzkovateľom so sídlom v EÚ musí vykonávať adversariálne testovanie — ako napríklad pokusy o jailbreak a elicitáciu spôsobilostí pre nebezpečný obsah — dokumentovať výsledky, uchovávať ich a byť schopný ich zdieľať s Úradom pre AI. Ak model produkuje výstupy, ktoré spôsobujú alebo takmer spôsobujú závažnú ujmu osobe alebo kritickej infraštruktúre, tento incident musí byť bezodkladne ohlásený. Účasť na kódexe správania schválenom Úradom pre AI podľa Článku 56 poskytuje štruktúrovanú cestu na preukázanie súladu bez čakania na harmonizované normy.

Kľúčové povinnosti

• Hodnotenia modelov a adversariálne testovanie: Vykonávanie dôkladných hodnotení vrátane red-teamingu a adversariálneho testovania s použitím štandardizovaných protokolov alebo tých schválených Úradom pre AI, pred a po významných aktualizáciách modelu.
• Posúdenie a zmierňovanie systémového rizika: Identifikovanie, analyzovanie a zmierňovanie potenciálnych systémových rizík na úrovni Únie, ktoré môžu vzniknúť z vývoja, uvádzania na trh alebo používania modelu.
• Hlásenie závažných incidentov: Hlásiť Úradu pre AI bez zbytočného odkladu každý závažný incident alebo poruchu spojené s modelom GPAI so systémovým rizikom vrátane informácií o incidente a prijatých nápravných opatreniach.
• Ochrana kybernetickej bezpečnosti: Implementovať a udržiavať primerané opatrenia kybernetickej bezpečnosti chrániace model, jeho fyzickú infraštruktúru a dodávateľský reťazec — vrátane váh modelu, API a tréningových kanálov — primerané identifikovaným rizikám.
• Dokumentácia a transparentnosť voči Úradu pre AI: Uchovávanie záznamov o výsledkoch hodnotení, metodikách testovania a opatreniach na zmierňovanie rizík; ich sprístupnenie Úradu pre AI na požiadanie.
• Cesta súladu prostredníctvom kódexov správania: Preukázanie zhody s povinnosťami Článku 53 dodržiavaním kódexov správania vypracovaných podľa Článku 56, kým nie sú k dispozícii harmonizované normy.

Vzťah k iným článkom

Článok 53 nemožno čítať izolovane. Priamo nadväzuje na Článok 51, ktorý definuje kritériá a postupy klasifikácie modelu GPAI ako predstavujúceho systémové riziko — vrátane prahov výpočtového výkonu 10^25 FLOP a diskrečnej právomoci Úradu pre AI označovať. Základné povinnosti Článku 52 zostávajú plne uplatniteľné popri Článku 53; ten druhý pridáva ďalšiu vrstvu namiesto toho, aby nahradil ten prvý.

Článok 55 upravuje kvalifikované domienky zhody, zatiaľ čo Článok 56 ustanovuje mechanizmus kódexov správania, na ktorý Článok 53(2) výslovne odkazuje ako na cestu súladu. Dozorná úloha Úradu pre AI v súvislosti s povinnosťami Článku 53 je zakotvená v Článkoch 88 až 90, ktoré stanovujú právomoci a postupy presadzovania. Pre poskytovateľov, ktorí sú zároveň prevádzkovateľmi vysoko rizikových systémov AI, sa požiadavky Kapitoly III (Články 9–16) o riadení rizík a technickej dokumentácii môžu prekrývať s prácou na zmierňovaní systémového rizika požadovanou Článkom 53, a koordinácia medzi tímami zodpovednými za súlad je vhodná na zabránenie duplicite.

Harmonogram súladu

Nariadenie EÚ o umelej inteligencii nadobudlo účinnosť 1. augusta 2024 (dvadsať dní po uverejnení v Úradnom vestníku 12. júla 2024). Článok 53, ako súčasť Hlavy V upravujúcej modely AI na všeobecné účely, sa stal uplatniteľným 2. augusta 2025 — dvanásť mesiacov po nadobudnutí účinnosti, v súlade s Článkom 113(3).

To znamená, že poskytovatelia modelov GPAI so systémovým rizikom boli povinní mať do tohto dátumu funkčné programy hodnotenia, postupy hlásenia incidentov a rámce kybernetickej bezpečnosti. Harmonogram postupného uplatňovania pre informáciu: zakázané praktiky AI podľa Článku 5 sa uplatňovali od 2. februára 2025 (šesť mesiacov); povinnosti týkajúce sa modelov GPAI vrátane Článku 53 od 2. augusta 2025 (dvanásť mesiacov); povinnosti týkajúce sa vysoko rizikových systémov AI podľa Prílohy I od 2. augusta 2026 (dvadsaťštyri mesiacov); a zostávajúce povinnosti týkajúce sa vysoko rizikových systémov AI od 2. augusta 2027 (tridsaťšesť mesiacov). Poskytovatelia by mali tiež monitorovať delegované akty Európskej komisie, ktoré môžu upresniť požiadavky na hodnotenie podľa Článku 53 alebo prispôsobiť prahový výpočtový výkon tak, ako sa vyvíja vedecké pochopenie spôsobilostí hraničných modelov.