Artikel 60 — Testning av högrisk-AI-system under verkliga förhållanden utanför AI-tillsynssandlådor (EU:s AI-förordning)

Artikel 60 i förordning (EU) 2024/1689 — Testning av högrisk-AI-system under verkliga förhållanden utanför AI-tillsynssandlådor. Officiell text, praktisk tolkning, viktiga skyldigheter och efterlevnadskonsekvenser.

Sammanfattning av den officiella texten

Artikel 60 i förordning (EU) 2024/1689 fastställer de villkor under vilka leverantörer och presumtiva leverantörer av högrisk-AI-system kan genomföra testning under verkliga förhållanden utanför det strukturerade ramverket för AI-tillsynssandlådor som inrättats enligt Artiklarna 57–59. Denna bestämmelse erkänner att en meningsfull utvärdering av högrisk-AI-system ofta kräver exponering för verkliga driftsmiljöer, samtidigt som skyddsåtgärder som är proportionerliga mot de berörda riskerna upprätthålls.

Artikeln kräver att testning utanför sandlådor endast genomförs om en uppsättning kumulativa villkor är uppfyllda. Leverantören eller den presumtiva leverantören måste lämna in en anmälan till den behöriga nationella myndigheten minst 30 dagar innan testningen påbörjas. Anmälan måste innehålla en testplan som beskriver räckvidd, varaktighet, geografiskt område, kategorier av berörda personer och de riskreducerande åtgärder som finns på plats.

Informerat samtycke från försökspersonerna är ett centralt krav. När AI-systemet interagerar med eller fattar beslut som påverkar identifierbara fysiska personer, ska dessa personer informeras om sitt deltagande och måste samtycka uttryckligen, utom när tillämplig sektorslagstiftning anger annat. Testningen får inte överstiga vad som är absolut nödvändigt för att uppnå de angivna målen och får inte utsätta försökspersonerna för oacceptabla risker eller skador.

Artikeln kräver vidare att testningen genomförs under leverantörens tillsyn, att resultaten registreras och att allvarliga incidenter som inträffar under testningen rapporteras till den behöriga myndigheten. Medlemsstaterna behåller möjligheten att godkänna eller avslå testningsaktiviteter på deras territorium och kan ålägga ytterligare villkor.

Vad detta innebär i praktiken

Artikel 60 är primärt relevant för organisationer som utvecklar eller driftsätter högrisk-AI-system — enligt definitionen i Artikel 6 och Bilaga III till förordningen — som behöver validera systemets prestanda eller säkerhetsegenskaper i verkliga driftsmiljöer före eller parallellt med den formella överensstämmelsebedömningen. Detta inkluderar exempelvis ett sjukhus som pilottestare ett AI-stöttat diagnostikverktyg i en levande klinisk miljö, eller ett finansinstitut som testar en kreditvärdighetsbedömningsmodell med verkliga sökanden utanför en kontrollerad sandlåda.

I praktiken innebär efterlevnad att ett internt förfarande upprättas för hantering av verklighetstestning som återspeglar artiklars skyldigheter. Innan en testning påbörjas måste organisationen förbereda en strukturerad testplan, kontrollera att alla samtyckesmekanismer är på plats och lämna in den nödvändiga anmälan till den behöriga myndigheten minst 30 dagar i förväg — vilket lämnar tillräcklig tid för myndigheten att framföra invändningar eller ålägga villkor.

Under testningen måste organisationen upprätthålla aktiv mänsklig tillsyn, dokumentera alla väsentliga incidenter och vara beredd att omedelbart avbryta testningen om riskerna överstiger förväntade nivåer. Data som samlas in under testningen förblir föremål för tillämpliga GDPR-skyldigheter, och behandling av särskilda kategorier av uppgifter kräver en specifik rättslig grund.

Organisationer bör även se till att deras avtal med driftsättare eller tredjepartstestoperatörer tydligt fördelar ansvaret för efterlevnad av villkoren i Artikel 60, eftersom skyldigheten primärt vilar på leverantören eller den presumtiva leverantören oavsett vem som fysiskt genomför testningen. Interna styrningsramar — inklusive en utsedd ansvarig person och ett dokumenterat riskregister för testningen — rekommenderas starkt.

Viktigaste skyldigheter

• Förhandsanmälan: Lämna in en testplan till den relevanta nationella behöriga myndigheten minst 30 dagar innan verklighetstestningen påbörjas, med täckning av räckvidd, varaktighet, plats, försökspersonskategorier och riskreducerande åtgärder.
• Informerat samtycke: Inhämta uttryckligt informerat samtycke från alla fysiska personer som deltar i eller påverkas av testningen, och informera dem om deras ovillkorliga rätt att dra sig ur när som helst utan nackdel.
• Riskproportionalitet: Säkerställa att testningsaktiviteterna inte överskrider vad som är absolut nödvändigt för det angivna syftet och inte utsätter försökspersoner eller tredje part för risker som överväger de förväntade fördelarna.
• Tillsyn och dokumentation: Upprätthålla aktiv tillsyn av testningen, föra register över testplanen, resultaten och eventuella avvikelser eller incidenter som uppstått under testningsperioden.
• Incidentrapportering: Rapportera utan onödigt dröjsmål varje allvarlig incident som inträffar under verklighetstestningen till den behöriga myndigheten och vidta omedelbara korrigerande åtgärder för att minska skador.
• Registrering i EU:s databas: Registrera verklighetstestningsaktiviteten i EU:s databas för högrisk-AI-system som inrättats enligt Artikel 71, innan testningen påbörjas.

Förhållande till andra artiklar

Artikel 60 ingår i Avdelning VI (Åtgärder till stöd för innovation) och bör läsas tillsammans med Artiklarna 57–59, som fastställer det primära ramverket för AI-tillsynssandlådor. Artikel 60 fungerar som en kompletterande väg för testning som inte sker inom en formell sandlåda, men den ersätter eller sänker inte de substantiella säkerhets- och transparensskyldigheterna som gäller högrisk-AI-system enligt Avdelning III (särskilt Artiklarna 8–15 om leverantörers skyldigheter, riskhantering och teknisk dokumentation).

Samtyckes- och dataskyddskraven i Artikel 60 skär direkt igenom förordning (EU) 2016/679 (GDPR), särskilt Artiklarna 6, 9 och 22 om laglig behandling och automatiserat beslutsfattande. Artikel 60 kopplar även till Artikel 71 om EU:s databas, som reglerar registreringsskyldigheter, och till Artikel 73 om marknadstillsyn, eftersom behöriga myndigheter kan inspektera verklighetstestning. Leverantörer bör dessutom beakta Artikel 26 om driftsättares skyldigheter, eftersom verklighetstestning ofta involverar driftsättarens infrastruktur och data.

Tidsplan för efterlevnad

EU:s AI-förordning trädde i kraft den 1 augusti 2024, tjugo dagar efter dess offentliggörande i Europeiska unionens officiella tidning. Dess bestämmelser tillämpas i faser:

• 2 februari 2025 — Förbuden mot AI-praxis med oacceptabel risk (Artikel 5) började tillämpas.
• 2 augusti 2025 — Bestämmelserna om AI-modeller för allmänt ändamål (Avdelning III, Kapitel 3, Artiklarna 51–56) och styrningsskyldigheter (Avdelning VI och VIII delvis) började tillämpas. Sandlåderamverket enligt Artiklarna 57–59 började också tillämpas från detta datum.
• 2 augusti 2026 — Det allmänna tillämpningsdatumet för de flesta återstående bestämmelserna, inklusive Artikel 60. Från detta datum måste leverantörer och presumtiva leverantörer av högrisk-AI-system som vill genomföra verklighetstestning utanför sandlådor till fullo uppfylla de anmälnings-, samtyckes-, dokumentations- och incidentrapporteringsskyldigheter som fastställs av denna artikel.
• 2 augusti 2027 — Förlängd tidsgräns för högrisk-AI-system som faller under Bilaga III, punkt 2 (AI-system i befintliga produkter som redan omfattas av unionens harmoniseringslagstiftning som förtecknas i Bilaga I), vilket ger berörda sektorer ytterligare tid att anpassa sig till krav på överensstämmelsebedömning och operativa krav.

Organisationer som planerar program för verklighetstestning bör i god tid innan den 2 augusti 2026 börja utforma ändamålsenliga styrningsramar för testning och anmälningsförfaranden för att undvika förseningar när skyldigheten blir verkställbar.