Jako prawnik doradzający branży IT często podkreślam, że prawidłowe oznaczenie systemu znakiem CE stanowi obecnie podstawowy warunek legalnego wprowadzenia produktu na rynek unijny. Wielu programistów i założycieli startupów błędnie zakłada, że pomyślne przejście oceny zgodności wyczerpuje ich obowiązki regulacyjne. Tymczasem art. 48 rozporządzenia w sprawie sztucznej inteligencji (AI Act) ustanawia również zasady dotyczące wizualnego potwierdzania zgodności i bezpieczeństwa technologii. Kluczowe znaczenie ma tu zarówno prawidłowe umieszczenie oznakowania CE, także w przypadku niematerialnego oprogramowania SaaS, jak i ustalenie, kiedy oznaczenie to należy uzupełnić o numer identyfikacyjny. Znajomość tych reguł pozwala ograniczyć ryzyko interwencji organów nadzoru oraz uniknąć kosztownych błędów na końcowym etapie procesu certyfikacyjnego.
Spis treści
Gdzie umieścić znak CE na systemie AI?
Europejski prawodawca nie pozostawia deweloperom pełnej swobody w kwestii fizycznej prezentacji symbolu potwierdzającego bezpieczeństwo stworzonego algorytmu. Zgodnie z artykułem 48 ust. 3 Aktu o AI, prawidłowe oznakowanie musi zawsze spełniać trzy warunki: powinno być umieszczone w sposób widoczny, czytelny i trwały. Przepisy wprowadzają też jasną hierarchię umieszczania znaku, która w pierwszej kolejności zakłada jego bezpośrednie powiązanie z samym certyfikowanym produktem. Oznacza to, że znak CE należy najpierw umieścić w samym systemie sztucznej inteligencji, o ile pozwalają na to warunki techniczne. Jeżeli jednak ze względu na specyfikę oprogramowania takie działanie nie jest obiektywnie możliwe albo zasadne, ustawodawca wskazuje kolejne etapy postępowania. W takiej sytuacji znak zgodności umieszcza się bezpośrednio na fizycznym opakowaniu nośnika informacji albo w dołączonej do oprogramowania dokumentacji. Przestrzeganie tej kolejności stanowi czytelny dowód dla organów kontrolnych, że dostawca rozumie i dokładnie stosuje europejskie normy.
Oznakowanie CE w systemie SaaS
Współczesne systemy wysokiego ryzyka rzadko mają postać fizyczną, dlatego prawo musiało dostosować tradycyjne zasady do realiów cyfrowej dystrybucji. Artykuł 48 ust. 2 rozporządzenia reguluje sytuację oprogramowania dostarczanego niematerialnie, działającego na przykład w popularnym modelu Software as a Service (SaaS). Przepis wymaga, aby cyfrowe oznakowanie CE było łatwo dostępne dla każdego użytkownika końcowego bezpośrednio z poziomu interfejsu graficznego. Z prawnego punktu widzenia niedopuszczalne jest ukrywanie tego symbolu w kodzie źródłowym albo w plikach schowanych na serwerze. Odpowiednia dostępność cyfrowa oznacza umieszczenie logotypu w najczęściej sprawdzanych obszarach programu, takich jak zakładka „O programie”, menu „Ustawienia” albo ogólna stopka panelu administracyjnego. Ustawodawca dopuszcza również nowoczesne wykorzystanie w tym celu łatwo dostępnego kodu nadającego się do odczytu maszynowego przez inne systemy. Każdy klient musi mieć realną możliwość szybkiego zweryfikowania statusu bezpieczeństwa wdrażanego systemu informatycznego.
Numer jednostki notyfikowanej przy oznakowaniu CE
Wdrażanie w organizacji wrażliwych technologii cyfrowych, takich jak na przykład systemy identyfikacji biometrycznej, wymaga współpracy z państwem. Zaangażowanie niezależnych audytorów zewnętrznych w proces weryfikacyjny wiąże się z dodatkowymi obowiązkami o charakterze wizualnym. Zgodnie z artykułem 48 ust. 4 Aktu o AI, w odpowiednich przypadkach oznakowaniu CE musi towarzyszyć numer identyfikacyjny właściwej jednostki notyfikowanej. Stanowi on dowód na to, że procedura oceny zgodności została przeprowadzona przez autoryzowaną państwowo instytucję zewnętrzną. Numer jednostki notyfikowanej musi pojawić się również na materiałach promocyjnych i reklamowych wykorzystywanych przez firmę.
Znak CE w AI Act a zgodność z innymi dyrektywami UE
Wiele rozwiązań wprowadzanych na rynek europejski to produkty o bardzo złożonej strukturze technologicznej. Artykuł 48 ust. 5 Aktu o AI przewiduje i reguluje sytuację, w której systemy sztucznej inteligencji jednocześnie podlegają innym przepisom unijnym. Zgodnie z logiką optymalizacji prawnej wejście w życie nowego aktu nie wymusza na dostawcach powielania tego samego logotypu. Standardowy znak CE naniesiony pierwotnie ze względu na wymogi omawianego rozporządzenia funkcjonuje równolegle z innymi europejskimi dyrektywami. Jeden symbol skutecznie komunikuje użytkownikowi, że zautomatyzowany sprzęt medyczny, inteligentna zabawka czy zrobotyzowana maszyna spełnia wszystkie nakładające się reżimy regulacyjne. Trzeba jednak zawsze zadbać o to, aby dokumentacja techniczna dokładnie wymieniała wszystkie odrębne dyrektywy objęte tym znakiem graficznym.
Konsekwencje nadużycia znaku CE
Świadome umieszczenie oficjalnego znaku CE na autorskim systemie wysokiego ryzyka bez rzeczywistego i pozytywnego przejścia procedur przewidzianych w art. 43 rozporządzenia to działanie skrajnie ryzykowne. W świetle przepisów unijnych takie zachowanie jest traktowane jako jedno z najpoważniejszych naruszeń europejskiego prawa gospodarczego i konsumenckiego. Prawne skutki takiego działania zazwyczaj obejmują nie tylko konieczność zapłaty wysokich kar finansowych, ale także przymusowy nakaz wycofania oprogramowania z rynku. Przestrzeganie procedur oceny zgodności i właściwe posługiwanie się znakiem CE to jedyna stabilna droga do długoterminowego sukcesu przedsiębiorstwa.
