Wdrażanie oprogramowania na rynek unijny wymaga dogłębnego zrozumienia, jak kształtują się obowiązki dostawców systemów AI wysokiego ryzyka. Artykuł 16 rozporządzenia w sprawie sztucznej inteligencji (AI Act) stanowi katalog wymagań prawnych, który musi spełnić każdy podmiot wprowadzający tego typu rozwiązania do obrotu. Dla dostawcy niezbędne jest zrozumienie za co dokładnie odpowiada oraz jakie procedury wewnętrzne musi wdrożyć przed komercyjną premierą swojego produktu.
Spis treści
Odpowiedzialności dostawcy w cyklu życia systemu AI
Obowiązki dostawcy systemu AI wysokiego ryzyka obejmują cały okres jego funkcjonowania, od etapu przygotowania i testowania po jego udostępnienie, monitorowanie oraz ewentualne wycofanie z użycia. Odpowiedzialność ta dotyczy nie tylko samego modelu, ale również jakości danych, dokumentacji, zastosowanych zabezpieczeń, zgodności procedur oraz sposobu reagowania na wykryte nieprawidłowości. Dostawca nie może uchylić się od tych obowiązków przez powołanie się na działania użytkownika końcowego albo zewnętrznego dostawcy usług technicznych. To właśnie na nim spoczywa obowiązek zapewnienia, aby system spełniał wymagania przewidziane dla systemów AI wysokiego ryzyka i pozostawał pod odpowiednią kontrolą także po wprowadzeniu do obrotu. Dla firm technologicznych oznacza to konieczność stałego zarządzania zgodnością, a nie ograniczania jej wyłącznie do momentu wdrożenia produktu.
System zarządzania jakością i unijny obowiązek rejestracji
Aby sprostać tak szerokiej odpowiedzialności, organizacja nie może opierać się na chaotycznych i nieudokumentowanych działaniach. Artykuł 16 lit. c) Aktu o AI nakazuje wdrożenie i utrzymywanie systemu zarządzania jakością, który został szczegółowo opisany w art. 17. Wymaga to od dostawcy działania w ramach ustrukturyzowanych, powtarzalnych procesów, które w swojej konstrukcji mocno przypominają sprawdzone standardy rynkowe, takie jak popularne normy ISO. Dodatkowo, aby zwiększyć ogólną przejrzystość rynku, na twórców nałożono obowiązek rejestracji tworzonych rozwiązań w publicznej bazie danych. Zgodnie z wytycznymi zawartymi w art. 16 lit. i) oraz art. 49 rozporządzenia AI, przed oddaniem do użytku należy wpisać dany produkt do centralnego rejestru Unii Europejskiej.
Znak CE i transparentność danych kontaktowych
Wprowadzenie systemu AI wysokiego ryzyka do obrotu na rynku unijnym wiąże się z obowiązkiem umieszczenia oznakowania CE, które potwierdza przejście wymaganej procedury oceny zgodności. Oznaczenie to ma istotne znaczenie zarówno dla organów nadzoru, jak i dla podmiotów korzystających z systemu, ponieważ wskazuje, że rozwiązanie zostało objęte formalną weryfikacją pod kątem spełnienia wymagań przewidzianych przez przepisy. Równolegle dostawca musi zadbać o transparentność swoich danych identyfikacyjnych. Chodzi w szczególności o zarejestrowaną nazwę handlową oraz adres kontaktowy, które powinny zostać podane w systemie, a jeżeli nie jest to możliwe – w dokumentacji towarzyszącej. Takie rozwiązanie służy zapewnieniu przejrzystości i umożliwia szybkie ustalenie, który podmiot odpowiada za dany system oraz z kim należy się kontaktować w razie kontroli, incydentu lub zastrzeżeń dotyczących zgodności.
Działania naprawcze i współpraca z organami nadzoru
Obowiązki dostawcy systemu AI wysokiego ryzyka nie kończą się w momencie jego wprowadzenia do obrotu. Jeżeli po udostępnieniu systemu okaże się, że nie spełnia on wymagań, stwarza ryzyko dla zdrowia, bezpieczeństwa lub praw podstawowych albo działa w sposób niezgodny z założeniami, dostawca musi niezwłocznie podjąć odpowiednie działania naprawcze. W zależności od charakteru problemu może to oznaczać usunięcie nieprawidłowości, ograniczenie dostępności systemu, czasowe wstrzymanie jego używania albo wycofanie go z rynku. Z obowiązkami tymi wiąże się również konieczność sprawnej współpracy z właściwymi organami nadzoru. Dostawca powinien być przygotowany do przekazania wymaganych informacji, dokumentacji i wyjaśnień potwierdzających zgodność systemu oraz zakres podjętych działań. Oznacza to potrzebę utrzymywania stałej gotowości organizacyjnej, tak aby w razie incydentu lub kontroli możliwe było szybkie ustalenie stanu faktycznego, przedstawienie dowodów i podjęcie dalszych kroków ograniczających ryzyko.
Podsumowanie
Obowiązki dostawców systemów AI wysokiego ryzyka tworzą rozbudowany i wieloetapowy model odpowiedzialności, który obejmuje zarówno przygotowanie systemu do wprowadzenia na rynek, jak i jego dalsze funkcjonowanie po oddaniu do użytku. Dostawca musi zadbać o zgodność techniczną i organizacyjną produktu, prowadzić wymaganą dokumentację, przejść procedurę oceny zgodności, dopełnić obowiązków rejestracyjnych oraz zapewnić możliwość jednoznacznej identyfikacji podmiotu odpowiedzialnego za system. Na tym jednak jego rola się nie kończy, ponieważ przepisy wymagają również gotowości do reagowania na nieprawidłowości, podejmowania działań naprawczych i współpracy z organami nadzoru. W rezultacie zgodność z AI Act nie może być traktowana jako jednorazowy etap poprzedzający premierę produktu, lecz jako stały proces zarządzania ryzykiem, odpowiedzialnością i legalnością działania systemu AI wysokiego ryzyka.
