Článok 73 — Hlásenie závažných incidentov (Nariadenie EÚ o umelej inteligencii)

Článok 73 Nariadenia (EÚ) 2024/1689 — Hlásenie závažných incidentov. Oficiálny text, praktická interpretácia, kľúčové povinnosti a dôsledky pre dodržiavanie predpisov.

Zhrnutie oficiálneho textu

Článok 73 Nariadenia (EÚ) 2024/1689 (Nariadenia EÚ o umelej inteligencii) stanovuje povinné hlásenie závažných incidentov pre poskytovateľov systémov umelej inteligencie s vysokým rizikom sprístupnených na trhu Únie. Podľa tohto ustanovenia musia poskytovatelia hlásiť každý závažný incident orgánu dohľadu nad trhom členského štátu, v ktorom k incidentu došlo, bez zbytočného odkladu a v lehotách stanovených článkom.

Článok definuje informácie, ktoré musia byť zahrnuté v správe: popis incidentu, dotknutý systém umelej inteligencie s vysokým rizikom, povahu spôsobenej alebo hroziacej škody, prijaté alebo plánované nápravné opatrenia a akúkoľvek relevantnú technickú dokumentáciu. Ak poskytovateľ nie je usadený v Únii, povinnosť podávania správ preberá oprávnený zástupca.

Článok 73 ďalej stanovuje, že ak závažný incident súčasne patrí do rozsahu iných legislatívnych nástrojov Únie — ako je Nariadenie (EÚ) 2017/745 o zdravotníckych pomôckach alebo Smernica 2016/680 o spracúvaní osobných údajov na účely presadzovania práva — poskytovateľ môže podať jediné oznámenie prostredníctvom najvhodnejšieho kanála na podávanie správ, za predpokladu, že sú splnené všetky požiadavky na informácie podľa každého uplatniteľného nástroja. Orgány dohľadu nad trhom musia zdieľať údaje o incidentoch s Európskym úradom pre umelú inteligenciu a s orgánmi v iných členských štátoch, kde je rovnaký systém nasadený, čím sa zabezpečí situačné povedomie na úrovni Únie.

Čo to znamená v praxi

Pre každú organizáciu, ktorá umiestňuje systém umelej inteligencie s vysokým rizikom na trh EÚ — či už ako pôvodný vývojár, dovozca alebo oprávnený zástupca — Článok 73 vytvára operačnú povinnosť, ktorá sa aktivuje v momente, keď je zaznamenaný závažný incident.

V praktických pojmoch si dodržiavanie predpisov vyžaduje tri paralelné pracovné toky. Po prvé, interná detekcia: organizácie musia mať monitorovacie systémy, infraštruktúru protokolovania a procesy triaže incidentov schopné identifikovať udalosti, ktoré spĺňajú prah závažného incidentu definovaný v Článku 3 ods. 49. Anomália v systéme umelej inteligencie na hodnotenie úverovej schopnosti, ktorá vo veľkom meradle spôsobuje diskriminačné úverové rozhodnutie, alebo porucha lekárskeho diagnostického nástroja na báze umelej inteligencie, ktorá prispieva k nesprávnej diagnóze, by sa pravdepodobne obe kvalifikovali.

Po druhé, notifikácia: po identifikovaní incidentu začínajú bežať hodiny. Lehota 72 hodín sa uplatňuje vtedy, keď je bezprostredne ohrozený život alebo bezpečnosť osôb; v ostatných prípadoch sa uplatňuje lehota 15 dní. Organizácie potrebujú vopred pripravené šablóny notifikácií, určené kontakty na podávanie správ v rámci svojich systémov manažérstva kvality (SMK) a jasnosť v tom, ktorý vnútroštátny orgán dohľadu nad trhom má jurisdikciu — zvyčajne určenú podľa miesta usadenia dotknutého nasadzovateľa alebo používateľa.

Po tretie, následné kroky: prvotná notifikácia je len zriedka koncom. Orgány si vyžiadajú doplňujúce informácie, technické protokoly a analýzy koreňových príčin. Poskytovatelia by mali viesť register incidentov a dokumentovať všetky prijaté nápravné opatrenia.

Spoločnosť zaoberajúca sa lekárskym zobrazovaním, ktorá nasadzuje diagnostický nástroj na báze umelej inteligencie v Nemecku a Francúzsku, musí byť pripravená súčasne notifikovať Bundesnetzagentur (alebo určený príslušný orgán v Nemecku) a zodpovedajúci francúzsky orgán, ak k incidentom dôjde v oboch jurisdikciách. Európsky úrad pre umelú inteligenciu dostáva konsolidované údaje na sledovanie cezhraničných vzorov.

Kľúčové povinnosti

• Okamžitá notifikácia: Nahláste závažné incidenty príslušnému orgánu dohľadu nad trhom dotknutého členského štátu bez zbytočného odkladu — do 72 hodín, keď je ohrozený život alebo bezpečnosť, a najneskôr do 15 dní v ostatných prípadoch.
• Vecný obsah správy: Zahrňte popis incidentu, identifikáciu systému umelej inteligencie, povahu a rozsah škody, prijaté alebo plánované nápravné opatrenia a odkazy na relevantnú technickú dokumentáciu vedenú podľa Článku 11.
• Povinnosť oprávneného zástupcu: Ak je poskytovateľ usadený mimo EÚ, oprávnený zástupca určený podľa Článku 22 zodpovedá za predloženie správy o incidente v mene poskytovateľa.
• Koordinácia medzi nástrojmi: Ak incident vyvoláva aj povinnosti podávania správ podľa iného práva Únie (napr. MDR, NIS2, DORA), poskytovateľ môže konsolidovať notifikácie za predpokladu, že všetky regulačné požiadavky na informácie sú v plnom rozsahu splnené.
• Výmena informácií orgánmi: Orgány dohľadu nad trhom, ktoré dostanú správu, musia zdieľať ju s Európskym úradom pre umelú inteligenciu a notifikovať orgány v iných členských štátoch, kde je rovnaký systém v prevádzke, čím umožnia koordinovanú reakciu na úrovni Únie.
• Vedenie registra incidentov: Poskytovatelia musia viesť záznamy o všetkých závažných incidentoch a takmer haváriách ako súčasť svojich povinností post-marketingového monitorovania podľa Článku 72, čím sa zabezpečuje sledovateľnosť a pripravenosť na audit.

Vzťah k iným článkom

Článok 73 nemožno čítať izolovane. Je to mechanizmus notifikácie, ktorý operacionalizuje širší rámec post-marketingového monitorovania zavedený v Článku 72, ktorý vyžaduje od poskytovateľov udržiavanie systémov kontinuálneho monitorovania a protokolovania incidentov ako súčasť systému manažérstva kvality. Samotný SMK je riadený Článkom 17, ktorý stanovuje požiadavky na dokumentáciu a procesy, ktoré tvoria základ každej dôveryhodnej správy o incidente.

Definícia „závažného incidentu" v Článku 3 ods. 49 je prahom spúšťajúcim povinnosti Článku 73 a rozsah „systému umelej inteligencie s vysokým rizikom" v Článku 6 a Prílohe III určuje, ktoré systémy patria do pôsobnosti článku. Článok 22 upravuje oprávnených zástupcov a je priamo odkazovaný pre poskytovateľov mimo EÚ.

Na úrovni dohľadu nad trhom Článok 73 zásobuje širšiu dozornú architektúru Článkov 74–77 (právomoci dohľadu nad trhom, prístup k informáciám a nápravné opatrenia). Článok 78 upravuje dôvernosť informácií vymieňaných medzi orgánmi. Pre modely umelej inteligencie na všeobecné účely so systémovým rizikom Článok 55 ukladá paralelné povinnosti hlásenia incidentov, ktoré interagujú s Článkom 73, keď sú takéto modely integrované do aplikácií s vysokým rizikom.

Časový harmonogram dodržiavania predpisov

Nariadenie EÚ o umelej inteligencii nadobudlo účinnosť 1. augusta 2024, dvadsať dní po zverejnení v Úradnom vestníku Európskej únie. Jeho ustanovenia sa však uplatňujú podľa fázového harmonogramu:

• 2. februára 2025: Zákazy týkajúce sa praktík umelej inteligencie s neprijateľným rizikom (Hlava II) sa stali uplatniteľnými.
• 2. augusta 2025: Povinnosti týkajúce sa modelov umelej inteligencie na všeobecné účely (Hlava VIII, vrátane hlásenia systémového rizika podľa Článku 55) sa stali uplatniteľnými. Európsky úrad pre umelú inteligenciu a štruktúry správy sa stali operačnými.
• 2. augusta 2026: Pravidlá uplatniteľné na systémy umelej inteligencie s vysokým rizikom uvedené v Prílohe III, ktoré nie sú bezpečnostnými komponentmi produktov regulovaných existujúcou harmonizačnou legislatívou Únie, sa stanú uplatniteľnými — hlásenie incidentov podľa Článku 73 nadobúda plnú účinnosť pre tieto systémy k tomuto dátumu.
• 2. augusta 2027: Pravidlá pre systémy umelej inteligencie s vysokým rizikom, ktoré sú bezpečnostnými komponentmi produktov, na ktoré sa už vzťahuje harmonizačná legislatíva Únie (napr. zdravotnícke pomôcky, strojové zariadenia), sa stanú uplatniteľnými, čím sa zavŕši fázové zavádzanie.

Organizácie nasadzujúce systémy umelej inteligencie s vysokým rizikom v rozsahu pôsobnosti dátumov december 2026 / august 2027 by mali považovať roky 2025–2026 za obdobie budovania súladu: implementácia infraštruktúry post-marketingového monitorovania, vypracovanie postupov reakcie na incidenty a testovanie pracovných tokov notifikácií v predstihu pred aktiváciou povinností podľa Článku 73.