Jako prawnik na co dzień wspierający branżę technologiczną pomagam klientom poruszać się w złożonych europejskich regulacjach cyfrowych. Jednym z najważniejszych, a zarazem najbardziej kosztownych etapów wdrażania oprogramowania wysokiego ryzyka jest urzędowa procedura oceny zgodności. Artykuły 43 i 47 rozporządzenia w sprawie sztucznej inteligencji (AI Act) szczegółowo określają sposób wykazania, że dany system jest bezpieczny i zgodny z prawem. Kluczowe znaczenie ma tu ustalenie, kiedy wystarczająca jest kontrola wewnętrzna, a kiedy konieczne staje się zaangażowanie zewnętrznej jednostki notyfikowanej. Istotnym elementem procedury pozostają również zasady sporządzania deklaracji zgodności UE oraz właściwe zaprojektowanie procesu dla systemów, które stale uczą się na nowych danych. Wczesne zrozumienie tych wymogów pozwala lepiej zaplanować budżet projektu i ograniczyć ryzyko kosztownych opóźnień przed rynkowym wdrożeniem produktu.
Spis treści
Kontrola wewnętrzna a udział jednostki notyfikowanej
Wprowadzenie systemu AI wysokiego ryzyka do komercyjnego obrotu wymaga wcześniejszego przeprowadzenia oceny zgodności z wymogami prawa europejskiego. Zgodnie z artykułem 43 Aktu o AI unijny prawodawca przewidział dwa podstawowe tryby weryfikacji oprogramowania. Pierwszym z nich jest procedura oparta wyłącznie na kontroli wewnętrznej, która jest znacznie szybsza i relatywnie tańsza. Drugi tryb wymaga już zaangażowania zewnętrznej, autoryzowanej przez państwo instytucji, czyli tak zwanej jednostki notyfikowanej, co wyraźnie zwiększa koszty i wydłuża harmonogram wdrożenia. Wybór właściwej ścieżki audytowej zależy bezpośrednio od klasyfikacji Twojego rozwiązania oraz od tego, czy korzysta ono z uznanych standardów technicznych. Dla większości systemów wymienionych w załączniku III, takich jak narzędzia HR czy aplikacje edukacyjne, rozporządzenie pozwala na samodzielną kontrolę wewnętrzną. Natomiast w przypadku ryzykownych systemów biometrycznych obecność zewnętrznego audytora z ramienia państwa jest nieunikniona. Prawidłowe zakwalifikowanie wdrażanego produktu już na bardzo wczesnym etapie ma kluczowe znaczenie dla powodzenia inwestycji.
Rola standardów technicznych w ocenie zgodności AI
Europejski prawodawca stworzył system zachęt dla organizacji, które decydują się projektować oprogramowanie zgodnie z uznanymi i sprawdzonymi standardami. Wdrożenie tych wytycznych w kodzie i procedurach technicznych, otwiera drogę do łagodniejszego podejścia ze strony prawa. W wielu przypadkach takie oparcie się na normach zharmonizowanych pozwala przeprowadzić wyłącznie wewnętrzną ocenę zgodności, bez potrzeby angażowania kosztownej jednostki notyfikowanej. Jeżeli jednak takich oficjalnych standardów jeszcze nie ma albo świadomie z nich rezygnujesz na rzecz własnych rozwiązań, procedura certyfikacyjna staje się trudniejsza. Organ nadzoru najczęściej zażąda wtedy zewnętrznego audytu systemu zarządzania jakością, aby państwo mogło uzyskać pewność co do bezpieczeństwa danej architektury. Wczesne połączenie pracy programistów z dostępnymi unijnymi normami technicznymi to dziś najbardziej opłacalna i bezpieczna strategia biznesowa.
Zmiany w systemie AI a obowiązek ponownej oceny zgodności
Wdrażanie nowoczesnych algorytmów opiera się na ich ciągłym udoskonalaniu, co naturalnie rodzi po stronie twórców obawy o konieczność ponownego przechodzenia certyfikacji po każdej aktualizacji. Podstawowa zasada wyrażona w artykule 43 ust. 4 rozporządzenia wskazuje, że każda istotna zmiana w architekturze powoduje obowiązek przeprowadzenia nowej oceny zgodności. Na szczęście ustawodawca europejski wykazał w tym obszarze spore zrozumienie dla specyfiki uczenia maszynowego, wprowadzając wyjątek prawny. Jeżeli dany algorytm stale ewoluuje po wprowadzeniu na rynek, nie oznacza to, że musisz co miesiąc przechodzić od nowa pełną procedurę. Kluczowe znaczenie ma wcześniejsze zaplanowanie i opisanie kierunków tych zmian w dokumentacji technicznej na etapie początkowej oceny. Jeżeli proces ciągłego uczenia się algorytmu mieści się w z góry zadeklarowanych ramach, Twój system może legalnie pozostać w obrocie cyfrowym. Takie pragmatyczne i elastyczne podejście prawa skutecznie chroni innowacyjne startupy przed paraliżem biurokratycznym.
Znaczenie deklaracji zgodności UE dla dostawcy systemu AI
Zwieńczeniem procesu weryfikacji i audytów jest sporządzenie przez firmę ostatecznego dokumentu, który potwierdza legalność technologii. Zgodnie z artykułem 47 Aktu o AI dostawca ma obowiązek sporządzić deklarację zgodności UE dla każdego wprowadzanego systemu wysokiego ryzyka. Warto pamiętać, że jest to wiążący akt prawny, który reguluje Twoją odpowiedzialność rynkową. Prawidłowo przygotowana i zarchiwizowana deklaracja musi opierać się na kilku kluczowych standardach formalnych:
- Dokument ten bezwzględnie wymaga fizycznego lub elektronicznego podpisu osoby bezpośrednio uprawnionej do prawnego reprezentowania danej spółki technologicznej.
- Deklaracja musi jednoznacznie stwierdzać, że wydawany algorytm skutecznie spełnia wszystkie wymogi ustanowione w sekcji drugiej omawianego rozporządzenia.
- Rozporządzenie nakłada na twórcę wymóg przetłumaczenia dokumentu na język łatwo zrozumiały dla organów państwa członkowskiego, w którym oprogramowanie jest udostępniane publicznie.
Zgodnie z ustępem czwartym tego artykułu, składając swój podpis pod deklaracją, Twoja organizacja bierze na siebie odpowiedzialność za działanie algorytmu. Z tego względu formalne podpisanie dokumentacji powinno być zawsze poprzedzone szczegółowymi testami inżynieryjnymi, aby zarząd spółki miał pełną pewność co do bezpieczeństwa systemu.
Techniczne wymogi dotyczące formy deklaracji zgodności
Przepisy rozporządzenia wymagają, aby deklaracja zgodności UE była sporządzona obowiązkowo w formie nadającej się do odczytu maszynowego. Z perspektywy technicznej oznacza to, że plik musi być zrozumiały dla systemów informatycznych powszechnie wykorzystywanych przez unijne i krajowe organy nadzoru rynku. Bardzo istotnym ułatwieniem przewidzianym w art. 47 ust. 3 rozporządzenia AI jest możliwość łączenia tej dokumentacji z innymi równolegle obowiązującymi przepisami sektorowymi. Wiele produktów cyfrowych, takich jak urządzenia medyczne czy roboty przemysłowe, jednocześnie podlega innym unijnym regulacjom harmonizacyjnym. Aby uniknąć zbędnej biurokracji i niepotrzebnego dublowania dokumentów, ustawodawca pozwala firmom sporządzić jedną, obszerną i zintegrowaną deklarację zgodności. Taki dokument musi jedynie precyzyjnie wymieniać wszystkie dyrektywy i rozporządzenia, wobec których producent deklaruje swoją pełną zgodność z prawem.
Jak długo trzeba przechowywać deklarację i dokumentację techniczną
Zakończenie procesu wdrożenia oprogramowania i pozyskanie pierwszych użytkowników końcowych nie zwalnia spółki technologicznej z nałożonych na nią obowiązków ewidencyjnych. Dostawca musi przechowywać udokumentowaną deklarację zgodności UE do stałej dyspozycji właściwych organów krajowych. Bezwzględny okres retencji dokumentów wynosi 10 lat, licząc od dnia wprowadzenia systemu AI wysokiego ryzyka do obrotu. Trzeba przy tym pamiętać, że archiwizacja obejmuje nie tylko samą deklarację, ale także całą powiązaną z nią dokumentację techniczną modelu. W związku z tym organizacja musi odpowiednio wcześnie zbudować stabilne środowisko cyfrowe, które zapewni trwałe bezpieczeństwo plików mimo ewentualnych zmian kadrowych. Zaniedbanie tego pozornie prostego obowiązku może doprowadzić do bardzo poważnych problemów prawnych w razie audytu. Dobre zarządzanie zasobami to dziś kluczowy fundament budowania wiarygodności Twojej organizacji w ewentualnych sporach z europejskim nadzorem.
