Doradzając twórcom oprogramowania, często spotykam się z przekonaniem, że uzyskanie zgodności i zakończenie procedury oceny to zamknięcie najważniejszych obowiązków regulacyjnych. Tymczasem AI Act przewiduje również szczegółowe zasady postępowania na wypadek wykrycia niezgodności, awarii lub innych problemów wpływających na bezpieczeństwo systemu. Działania naprawcze należą do podstawowych mechanizmów ochrony użytkowników oraz rynku, ponieważ określają, kiedy dostawca musi zareagować, jakie środki może zastosować i jakie podmioty powinien o tym poinformować. Znaczenie ma tu nie tylko sama reakcja techniczna, ale także sposób oceny ryzyka, właściwe udokumentowanie incydentu oraz prawidłowe wykonanie obowiązków informacyjnych.
Spis treści
Kiedy AI Act wymaga od dostawcy reakcji
Przepisy nie pozwalają dostawcy biernie oczekiwać na formalne skargi, decyzje organów albo skutki nieprawidłowego działania systemu. Obowiązek reakcji powstaje już wtedy, gdy dostawca uważa albo ma uzasadnione podstawy, by uważać, że system AI wysokiego ryzyka nie spełnia wymagań określonych w rozporządzeniu. Oznacza to konieczność stałego monitorowania działania systemu oraz analizowania sygnałów świadczących o możliwych błędach, niezgodnościach lub nieprzewidzianych zagrożeniach. Znaczenie mają więc nie tylko potwierdzone naruszenia, ale również takie okoliczności, które obiektywnie powinny uruchomić dalszą weryfikację i działania po stronie dostawcy. Z perspektywy organizacyjnej wymaga to posiadania procedur pozwalających wcześnie identyfikować nieprawidłowości, oceniać ich wagę i podejmować decyzje zanim problem przełoży się na realną szkodę.
Jakie działania naprawcze przewiduje AI Act
AI Act nie przewiduje jednego sposobu postępowania dla każdego przypadku. Dostawca ma obowiązek podjąć działania niezbędne do usunięcia stwierdzonej niezgodności lub ograniczenia jej skutków, a wybór środka powinien odpowiadać charakterowi i skali zagrożenia. W zależności od sytuacji może to oznaczać doprowadzenie systemu do zgodności, wycofanie go z obrotu, wstrzymanie jego udostępniania albo wycofanie z użycia. Najmniej daleko idące działania będą wystarczające wtedy, gdy problem można skutecznie usunąć bez dalszego narażania użytkowników lub osób, których system dotyczy. W poważniejszych przypadkach konieczne może być czasowe albo trwałe odcięcie systemu od rynku. Kluczowe znaczenie ma tu zachowanie proporcjonalności między przyjętym środkiem a rzeczywistym poziomem ryzyka, przy jednoczesnym zapewnieniu skutecznej ochrony zdrowia, bezpieczeństwa i praw podstawowych.
Kogo dostawca AI musi poinformować o stwierdzonej niezgodności
Podjęcie działań naprawczych nie jest wyłącznie wewnętrzną decyzją dostawcy. Jeżeli system okazuje się niezgodny, zgodnie z art. 20 ust. 1 rozporządzenia AI, dostawca musi niezwłocznie przekazać odpowiednie informacje podmiotom uczestniczącym w jego dystrybucji i udostępnianiu. Dotyczy to w szczególności importerów, dystrybutorów, upoważnionych przedstawicieli, a także podmiotów stosujących system w swojej działalności. Obowiązek ten ma istotne znaczenie praktyczne, ponieważ podmioty korzystające z systemu muszą wiedzieć, czy mogą nadal bezpiecznie i legalnie opierać na nim swoje działania lub decyzje. Szybka i przejrzysta komunikacja pozwala ograniczyć dalsze używanie wadliwego rozwiązania, zmniejszyć ryzyko powstania kolejnych szkód oraz ułatwia wdrożenie środków ochronnych po stronie użytkowników.
Poważne ryzyko a obowiązki naprawcze dostawcy AI
Szczególne znaczenie obowiązki naprawcze zyskują wtedy, gdy niezgodność systemu wiąże się z ryzykiem dla zdrowia, bezpieczeństwa albo praw podstawowych osób fizycznych. W takim przypadku reakcja dostawcy nie może ograniczać się do standardowej korekty technicznej. Konieczne staje się niezwłoczne uruchomienie działań odpowiadających wadze zagrożenia, tak aby realnie ograniczyć jego skutki i zapobiec dalszym naruszeniom. Z punktu widzenia zgodności oznacza to potrzebę szybkiej oceny, czy problem ma charakter jednostkowy, czy systemowy, oraz czy może prowadzić do naruszenia zakazu dyskryminacji, błędnych decyzji wobec osób fizycznych albo innych poważnych konsekwencji. Właściwe rozróżnienie stopnia zagrożenia ma tu zasadnicze znaczenie dla doboru środków naprawczych i dalszych obowiązków informacyjnych.
Jak ustalić źródło problemu i udokumentować niezgodność systemu
Ustalenie technicznej przyczyny niezgodności systemu
W przypadku poważnych nieprawidłowości sam fakt wdrożenia działań naprawczych nie jest wystarczający. Dostawca powinien również ustalić przyczyny problemu i udokumentować, z czego wynikała niezgodność systemu. Wymaga to przeprowadzenia rzetelnej analizy technicznej obejmującej zarówno samo działanie modelu, jak i dane, konfigurację, sposób wdrożenia oraz okoliczności, w których wystąpił incydent. Tylko w ten sposób można ocenić, czy problem miał charakter jednostkowy, czy wynika z głębszej wady systemu. Istotną rolę odgrywają tu rejestry zdarzeń, dokumentacja techniczna i informacje pozyskiwane od podmiotów stosujących, ponieważ bez tych materiałów ustalenie źródła nieprawidłowości może okazać się niepełne albo niemożliwe. Z perspektywy prawnej analiza przyczyn stanowi ważny element wykazania, że dostawca nie ograniczył się do doraźnej reakcji, lecz podjął rzeczywiste działania zmierzające do usunięcia problemu u źródła.
Współpraca z organami nadzoru i jednostkami notyfikowanymi
Jeżeli niezgodność systemu wiąże się z poważnym ryzykiem, po stronie dostawcy powstają również obowiązki wobec właściwych organów i innych uczestników systemu oceny zgodności. Konieczne może być przekazanie informacji organom nadzoru rynku właściwym dla danego państwa członkowskiego, a w określonych przypadkach także jednostce notyfikowanej uczestniczącej wcześniej w procedurze oceny zgodności. Przekazywane informacje powinny obejmować charakter niezgodności, poziom ryzyka oraz środki już podjęte przez dostawcę w celu usunięcia problemu albo ograniczenia jego skutków. Taka współpraca stanowi element obowiązkowego modelu reagowania przewidzianego przez AI Act. Z punktu widzenia organizacji oznacza to konieczność utrzymywania gotowości do szybkiego przekazania dokumentów, wyjaśnień i danych potrzebnych do oceny sytuacji przez właściwe instytucje.
Podsumowanie
AI Act wyraźnie pokazuje, że obowiązki dostawcy nie kończą się wraz z oceną zgodności i wprowadzeniem systemu na rynek. Jeżeli pojawia się niezgodność albo uzasadnione podejrzenie jej wystąpienia, dostawca musi szybko podjąć odpowiednie działania naprawcze, poinformować właściwe podmioty oraz, w razie poważnego ryzyka, współpracować także z organami nadzoru. Kluczowe znaczenie ma nie tylko sama korekta systemu, ale również właściwa ocena skali zagrożenia, ustalenie przyczyny problemu i udokumentowanie procesu. W ten sposób dostawca może realnie wykazać, że działa zgodnie z wymogami rozporządzenia.
