Kontrolni seznam za skladnost z Aktom EU o UI: Postopna ocena

Praktičen postopen kontrolni seznam za skladnost z Aktom EU o UI. Ocenite vaše sisteme UI glede na obseg, klasifikacijo tveganja, prepovedane prakse, obveznosti GPAI in zahteve visokotveganostne UI. Posodobljeno za roke omnibusa 2026.

Kako oceniti skladnost z Aktom EU o UI: 10 korakov

Ta kontrolni seznam je zasnovan za pravne, ekipe za skladnost in tehnološke ekipe, ki izvajajo začetno oceno Akta o UI. Sledite korakom po vrstnem redu — vsak gradi na prejšnjem.

Kontrolni seznam velja za vse organizacije, ki razvijajo, uvajajo, uvažajo ali distribuirajo sisteme UI v EU. Zajema vse nivoje tveganja, od preverjanja prepovedanih praks do polnega ugotavljanja skladnosti za visokotveganostne.

1. korak — Zgradite inventar UI

Začnite tukaj: brez popolnega inventarja UI ni nič drugega mogoče. Ustvarite register vsakega sistema UI, s katerim se vaša organizacija ukvarja:

• Sistemi UI, ki jih razvijate in prodajate ali licencirate (ste ponudnik)
• Sistemi UI, ki jih kupujete ali licencirate in interno uporabljate (ste izvajalec)
• Sistemi UI, vgrajeni v produkte, ki jih izdelujete ali uvažate
• Sistemi UI, do katerih dostopate prek API od tretjih oseb (oblačna UI, API-ji temeljnih modelov)

Za vsak: dokumentirajte ime sistema, funkcijo, vnose in izhode podatkov, kontekst uporabe, vpliv odločitve in prizadeto populacijo. Označite sisteme, kjer niste prepričani o klasifikaciji — ti potrebujejo pravno pregled.

2. korak — Najprej preverite prepovedane prakse

Prednostno preverjanje: ali so kateri sistemi že nezakoniti? Ocenite vsak sistem v primerjavi s čl. 5 pred katero koli klasifikacijo ravni tveganja. Če kateri koli sistem:

• Uporablja prikrite ali podzavestne tehnike manipuliranja
• Izkorišča specifične ranljivosti skupin (otroci, starejši, prikrajšani)
• Izvaja socialno točkovanje (samo javni organi)
• Izvaja daljinsko biometrično identifikacijo v realnem času v javnih prostorih (kazenski pregon)
• Izvaja prepoznavanje čustev na delovnem mestu ali v izobraževalnih kontekstih
• Kategorizira posameznike z biometričnimi podatki za sklepanje na občutljive značilnosti
• Ustvarja NCII ali CSAM

→ Takoj dekomisionirajte ali temeljito redesignajte. Te prepovedi veljajo od 2. februarja 2025.

3. korak — Preverjanje modela GPAI

Če vaša organizacija razvija in objavlja temeljni model ali model UI v velikem obsegu, se od 2. avgusta 2025 uporabljajo obveznosti GPAI po Poglavju 5. Preverite:

• Ali je model usposobljen s samo-nadzorom v znatnem obsegu?
• Ali je sposoben izvajati širok nabor nalog?
• Ali je na voljo drugim razvijalcem ali uporabnikom (ne zgolj interno)?

Če da → Obveznosti ponudnika GPAI od 2. avgusta 2025. Če računanje za usposabljanje presega 10²⁵ FLOPs → Obveznosti sistemskega tveganja.

Koraki 4–10 — Program skladnosti visokotveganostne UI

Za vsak sistem, ki ni izključen s 2. korakom in ni zajet v 3. koraku, klasificirajte v primerjavi z Annex III in Annex I. Nato sledite korakom 4–10 kot programski track, ki cilja na rok 2. decembra 2027 za sisteme Annex III in 2. avgusta 2028 za vgrajene sisteme Annex I.

Ne čakajte do leta 2027. Realistični program skladnosti za en visokotveganostni sistem UI traja 12–24 mesecev. Začnite z ocenjevanjem vrzeli in oblikovanjem SVK v letu 2026, da se izognete zadnjega trenu pritisku — in da se izognete ozkim grlom zmogljivosti pri priglašenih organih, ko se bo bližal december 2027.

Kartiranje med uredbami

Če je vaša organizacija prav tako zavezana DORA ali NIS2, je vaš program skladnosti z Aktom o UI mogoče integrirati z obstoječimi okviri upravljanja IKT tveganj, odzivanja na incidente in upravljanja tretjih oseb. Za predloge dvojnega kartiranja glejte naš vodnik konvergence Akta o UI vs. DORA vs. NIS2 →.