ES dirbtinio intelekto aktas: klasifikuokite naudojimo atvejus ir planuokite įrodymus

DI valdysena prasideda nuo žinojimo, kurias sistemas organizacija teikia, diegia ar kitaip padaro prieinamas. Modelių pavadinimų sąrašo nepakanka: nagrinėtinus įpareigojimus lemia numatytoji paskirtis, diegimo aplinka ir jūsų vaidmuo.

Vadovybei klasifikavimas yra ne tik teisinis vertinimas, bet ir išteklių paskirstymo sprendimas. Jis nulemia, kuriems projektams reikia specialistų peržiūros, ką turi įrodyti tiekėjai ir kokie įrodymai turi egzistuoti prieš išleidimą. Įdarbinimo įrankis ir vidinis rašymo asistentas gali naudoti tą patį modelį, tačiau jiems reikia labai skirtingų vertinimų.

Naudingas rezultatas yra peržiūrėtas naudojimo atvejų registras, susietas su atsakingais asmenimis, reikalavimais, įrodymais ir pakeitimų sprendimais, o ne visai įmonei taikoma etiketė „mažos rizikos DI“.

Prieš priskirdami riziką, nustatykite taikymo sritį ir atsakomybę

ES dirbtinio intelekto aktas yra reglamentas, kurio įpareigojimai priklauso nuo veiklos, sistemos ir veiklos vykdytojo. Jo teritorinė taikymo sritis apima tiekėjus, teikiančius sistemas ES rinkai arba pradedančius jas naudoti, ES įsisteigusius ar joje esančius diegėjus ir tam tikrus ne ES tiekėjus bei diegėjus, kai sistemų išvesties duomenys naudojami ES. Vien pilietybė nėra kriterijus.

Paveskite teisės ir technikos tikrintojams nustatyti, ar programa atitinka Akto DI sistemos apibrėžtį ir ar taikomos kokios nors susijusios taikymo srities išimtys. Neprisiimkite, kad kiekvienas automatizavimo scenarijus yra DI arba kad išorėje talpinama paslauga nepatenka į jūsų atsakomybę.

Tada užfiksuokite savo vaidmenį:

• Tiekėjas: kuria sistemą arba užsako jos sukūrimą ir teikia ją rinkai arba pradeda naudoti savo vardu ar prekių ženklu.
• Diegėjas: naudoja sistemą savo įgaliojimais profesinėje veikloje.
• Importuotojas arba platintojas: pateikia atitinkamas sistemas ES rinkai arba padaro jas prieinamas tiekimo grandinėje, kartu prisiimdamas susijusias tikrinimo pareigas.
• Gaminio gamintojas arba įgaliotasis atstovas: turi atsakomybę, kylančią iš konkretaus gaminio susitarimo arba rašytinio įgaliojimo.

Organizacija skirtingose savo portfelio dalyse gali atlikti skirtingus vaidmenis. API įsigijimas neišsprendžia galutinės programos vaidmens klausimo. Prekės ženklo pakeitimas, esminis pakeitimas ar numatytosios paskirties pakeitimas taikomomis sąlygomis gali sukelti tiekėjo atsakomybę. Todėl modelio papildomas mokymas (fine-tuning) yra peržiūros paskata, o ne automatinė teisinė išvada.

Atskirkite bendrosios paskirties DI modelį nuo aplink jį sukurtos sistemos. Modelio tiekėjo įpareigojimai ir tolesnės sistemos įpareigojimai yra susiję, tačiau ne tarpusavyje pakeičiami.

Sukurkite naudojimo atvejų inventorių, padedantį priimti sprendimus

Inventorizuokite verslo funkcijas, o ne vien tiekėjus. Pakalbinkite pirkimų, personalo, produkto, veiklos ir IT darbuotojus: DI gali atsirasti per esamo tiekėjo naują funkciją, o ne per atskirą pirkinį.

Kiekvienam naudojimo atvejui užfiksuokite:

Kartu su numatytąja paskirtimi užfiksuokite faktinius darbo procesus. Įrankis, aprašytas kaip „pagalba darbuotojų atrankos specialistui“, faktiškai gali atmesti kandidatus, jei darbuotojai peržiūri tik jo sudarytą trumpąjį sąrašą. Rašytinė politika, reikalaujanti žmogaus peržiūros, neįrodo, kad peržiūra vyksta.

Rezultatas yra kiekvienam naudojimo atvejui skirtas versijuojamas įrašas. Neišspręstos klasifikacijos turėtų likti matomai neišspręstos, su atsakingu asmeniu ir sprendimo terminu, o ne automatiškai priskiriamos mažiausiai reiklią kategorijai.

Draudžiamą praktiką, didelės rizikos kelius ir skaidrumą vertinkite atskirai

Įprastas keturių pakopų aprašymas (draudžiama, didelė rizika, su skaidrumu susijusi ir mažesnė rizika) yra naudingas įvadas. Tai nėra išsamus sprendimų medis. Skaidrumo pareigos gali sutapti su didelės rizikos įpareigojimais, o raštingumo DI srityje pareigos neapsiriboja didelės rizikos sistemomis.

Pirmiausia patikrinkite draudžiamą praktiką

5 straipsnis draudžia nurodytą praktiką, atsižvelgiant į išsamias šios nuostatos sąlygas ir išimtis. Svarbūs patikros klausimai yra tai, ar sistema naudoja žalingą manipuliavimą ar išnaudoja pažeidžiamumus, atlieka draudžiamą socialinį vertinimą, kuria veido atpažinimo duomenų bazes netikslingai renkant vaizdus ar atlieka draudžiamą biometrinį skirstymą į kategorijas.

DI pagrįstas emocijų nustatymas iš biometrinių duomenų darbo vietose ir švietimo įstaigose taip pat draudžiamas, išskyrus nurodytas medicinines ar saugos priežastis. Vien tekstu grįsta nuotaikų analizė nepatenka į šį draudimą vien todėl, kad ji vertina emocinį toną. Tam tikram biometrinių duomenų naudojimui teisėsaugoje taikomos griežtai apibrėžtos taisyklės; teiginys „bet koks veido atpažinimas yra uždraustas“ nėra tikslus vertinimo pakaitalas.

Galimą draudžiamą praktiką eskaluokite prieš pirkimą ar diegimą. Įrodymuose turėtų būti aprašytas funkcionalumas ir teisiniai motyvai, o ne tik pakartotas tiekėjo teiginys apie „etišką DI“.

Patikrinkite abu didelės rizikos klasifikavimo kelius

Reguliuojamų gaminių kelias, 6 straipsnio 1 dalis: išnagrinėkite, ar DI pats yra gaminys arba gaminio saugos komponentas, kuriam taikomi atitinkami I priede nurodyti teisės aktai, ir ar tam gaminiui reikalingas trečiosios šalies atliekamas atitikties vertinimas. Svarbios abi sąlygos. Konkrečiam gaminių režimui naudokite iš dalies pakeistą teisės akto tekstą; vien DI įdiegimas nenustato didelės rizikos statuso.

III priedo kelias, 6 straipsnio 2 dalis: išnagrinėkite, ar numatytoji funkcija atitinka išvardytą naudojimo atvejį. Aštuonios sritys yra plačios antraštės, o ne taisyklės, pagal kurias kiekviena pramonės šakos programa tampa didelės rizikos.

Perskaitykite išsamius įrašus ir išimtis. Pavyzdžiui, finansinio sukčiavimo aptikimas atskiriamas nuo išvardyto kreditingumo vertinimo, o kelionės dokumentų patikrinimas neįtrauktas į atitinkamą migracijos tapatybės nustatymo įrašą. Administracinis kampanijos organizavimas nėra lygiavertis įtakos darymui rinkėjams.

Vertinkite skaidrumą net tada, kai didelės rizikos taisyklės netaikomos

50 straipsnis reglamentuoja tam tikras sąveikas ir išvesties duomenis. Priklausomai nuo vaidmens ir aplinkybių, įpareigojimai susiję su asmenų informavimu, kad jie sąveikauja su DI, sintetinių išvesties duomenų žymėjimu mašininio nuskaitymo formatu, giliaklasčių atskleidimu ir nurodytu DI sugeneruotu tekstu viešojo intereso klausimais. Emocijų atpažinimo ir biometrinio skirstymo į kategorijas naudojimui, kai jis leidžiamas, taip pat taikomos atskleidimo nuostatos.

Nesupaprastinkite to iki „pažymėkite kiekvieną DI padedamą dokumentą“. Nustatykite, kuri nuostata taikoma, kas turi veikti ir ar taikoma kokia nors išimtis. Pranešimų formuluotes, jų vietą, išvesties žymėjimo tvarką ir testų rezultatus saugokite kaip įrodymus.

6 straipsnio 3 dalies išimtį traktuokite kaip dokumentuotą vertinimą

Kai kurios III priedo sistemos pagal 6 straipsnio 3 dalį gali būti nepriskiriamos didelės rizikos sistemoms. Tai nėra bendra išimtis įrankiams, kurių procese kur nors dalyvauja žmogus.

Vertinime turi būti įvertinta, ar sistema kelia didelę žalos sveikatai, saugai ar pagrindinėms teisėms riziką, įskaitant tai, ar ji daro esminę įtaką sprendimų rezultatams. Nuostatoje nurodytos aplinkybės, susijusios su siauromis procedūrinėmis užduotimis, anksčiau užbaigtos žmogaus veiklos tobulinimu, dėsningumų ar nukrypimų aptikimu nurodytomis peržiūros sąlygomis ir parengiamosiomis užduotimis. Norint remtis išimtimi, reikia tenkinti bent vieną iš šių sąlygų ir įrodyti, kad sistema nekelia nurodytos didelės rizikos.

Šia išimtimi besiremiantis tiekėjas turi dokumentuoti vertinimą prieš teikdamas sistemą rinkai arba pradėdamas ją naudoti ir įvykdyti taikomą registracijos įpareigojimą. Svarbiausia: III priedo sistema, atliekanti fizinių asmenų profiliavimą, išlieka didelės rizikos; tai nereiškia, kad kiekviena profiliavimo sistema bet kokiame kontekste automatiškai tampa didelės rizikos.

Įrodymuose turėtų būti paaiškinta, kokią informaciją sistema naudoja, kaip išvesties duomenys veikia tikrintojus ir ar tariamai parengiamoji užduotis lemia, kas sulaukia esminio svarstymo. Įtraukite darbo procesų stebėjimus ir reprezentatyvius išvesties duomenis. Sakinio „galutinį sprendimą priima žmogus“ nepakanka, jei reitingavimas, filtravimas ar rekomendacijos faktiškai nulemia tą sprendimą.

Planuokite pagal dabartines taikymo datas

Patikrinus 2026 m. spalio 7 d., Europos Komisijos dabartinėje DI akto apžvalgoje ir tvarkaraštyje nurodyti šie etapai:

Patikrinkite iš dalies pakeistą teisės akto tekstą ir jums taikomas konkrečias pereinamąsias nuostatas. Esamoms sistemoms, modelių pateikimo rinkai datoms, pakeitimams ir konkrečioms veiklos vykdytojų sąlygoms gali prireikti papildomos analizės. Senesniuose vadovuose vis dar gali būti nurodytos ankstesnės didelės rizikos datos.

Neaiškinkite atnaujinto didelės rizikos tvarkaraščio kaip viso Akto atidėjimo. Biudžetą atskirai planuokite jau taikomoms pareigoms ir pasirengimui atitinkamam didelės rizikos režimui. Jūsų registre turėtų būti nurodytas taikomas etapas ir šaltinis, kuriuo remiantis jis nustatytas.

Paverskite klasifikaciją įrodymų planu

Tiekėjo ir diegėjo atsakomybė skiriasi. Vadovybė turėtų reikalauti vaidmeniui specifinio plano, o ne priskirti kiekvieną įpareigojimą kiekvienai komandai.

Jei teikiate didelės rizikos sistemą

Didelės rizikos reikalavimai ir tiekėjo pareigos apima rizikos valdymą, duomenų valdyseną, techninę dokumentaciją, įrašų tvarkymą, informaciją diegėjams, žmogaus vykdomą priežiūrą, tikslumą, patvarumą, kibernetinį saugumą ir kokybės valdymą. Taip pat reikia planuoti taikomą atitikties vertinimą, deklaraciją, ženklinimą, registraciją, stebėseną po pateikimo rinkai ir incidentų procesus.

Paverskite juos rezultatais:

• Viso gyvavimo ciklo rizikos vertinimas su švelninimo priemonėmis, likutinėmis rizikomis ir patvirtinimo sprendimais.
• Duomenų kilmės, tinkamumo ir kokybės įrašai, kai jie svarbūs sistemai.
• Techninė dokumentacija, kurioje nurodyta paskirtis, projektas, priklausomybės, apribojimai ir vertinimo metodai.
• Testų rezultatai, susieti su priėmimo kriterijais ir diegimo kontekstu.
• Priežiūros instrukcijos, paaiškinančios įsikišimą, nepaisymą ir eskalavimą.
• Registravimo specifikacijos, stebėsenos tvarka ir incidentų procedūros.
• Atitikties darbo planas, kuriame nurodytas taikomas kelias ir reikalaujami įrašai.

Ne kiekviena didelės rizikos sistema eina tuo pačiu vertinimo keliu. Neplanuokite biudžeto visuotiniam trečiosios šalies auditui ir nelaikykite saugumo sertifikato DI akto atitikties įrodymu.

Jei diegiate didelės rizikos sistemą

Sutelkite dėmesį į sistemos naudojimą pagal instrukcijas, kompetentingos priežiūros paskyrimą, jos naudojimo stebėseną ir reikalaujamų įrašų tvarkymą. Spręskite įvesties duomenų tinkamumo klausimą, kai šiuos duomenis kontroliuojate jūs, ir taikomus darbuotojų informavimo ar paveiktų asmenų reikalavimus.

Paprašykite tiekėjų atitinkamų instrukcijų, apribojimų, priežiūros reikalavimų ir atitikties informacijos. Nustatykite, ko jie negali pateikti ir kas išspręs spragą. Tiekėjo užtikrinimo pareiškimas neįrodo, kad jūsų vietinė konfigūracija yra tinkama.

Įvertinkite, ar jūsų diegėjo kategorijai ir naudojimo atvejui reikalingas poveikio pagrindinėms teisėms vertinimas. Jis nėra privalomas visiems diegimams. Kai susiję asmens duomenys, BDAR reikalavimus vertinkite atskirai; poveikio duomenų apsaugai vertinimas ir DI akto vertinimas tarnauja skirtingiems teisiniams tikslams, net kai įrodymai sutampa.

Kiekvienam rezultatui nurodykite atsakingą asmenį, tikrintoją, terminą, šaltinio vietą ir priėmimo kriterijų. „Politika įkelta“ nėra lygiavertis „kontrolė įrodyta“.

Išnagrinėtas pavyzdys: vienas modelis, du verslo sprendimai

Iliustracinės prielaidos: ES darbdavys naudoja trečiosios šalies kalbos modelį vidiniam rašymo asistentui ir atskirai įdarbinimo programai. Įdarbinimo programa vertina kandidatus pagal darbo kriterijus ir pateikia reitinguotą trumpąjį sąrašą. Darbdavys abi naudoja viduje; jo tikslius veiklos vykdytojo vaidmenis reikia peržiūrėti.

Rašymo asistentui užfiksuokite leidžiamas juodraščių rengimo užduotis, duomenų apribojimus, išvesties peržiūrą ir visus taikomus skaidrumo reikalavimus. Įprastas vidinių dokumentų rengimas netampa didelės rizikos vien todėl, kad naudojamas DI. Išplėtimas į darbuotojų vertinimą sukeltų pakartotinį vertinimą.

Įdarbinimui tiesiogiai aktualus III priedo užimtumo įrašas. Peržiūrėkite kandidatų vertinimą balais ir profiliavimą, o ne tik sąsajos aprašymą. Jei darbuotojų atrankos specialistai svarsto tik į trumpąjį sąrašą įtrauktus kandidatus, sistema iš esmės formuoja galimybę įsidarbinti. Žmogaus patvirtinimas galutiniam įdarbinimui šios įtakos nepanaikina.

Todėl vadovybės sprendimas kiekvienai programai skiriasi. Rašymo asistentas po peržiūros gali būti naudojamas su proporcingomis kontrolėmis. Įdarbinimo projektui reikia pasirengimo didelės rizikos reikalavimams plano, tiekėjo įrodymų, apmokytos priežiūros, vietinio naudojimo vertinimo ir dokumentuoto sprendimo dėl išleidimo.

Jei komanda pasiūlo įdarbinimo funkciją pakeisti pokalbių kalendoriaus planavimu, įvertinkite šią naują paskirtį ir darbo procesą iš naujo. Planavimas gali būti siaura procedūrinė užduotis, tačiau kandidatų vertinimo balais išlaikymas užkulisiuose pakenktų peržiūrėtam pagrindimui. Sprendimą versijuokite, o ne perrašykite pradinį įrašą.

Padarykite atskaitomybę matomą veiklos sprendimuose

Paskirkite verslo atsakingą asmenį, kuris gali paaiškinti paskirtį ir patvirtinti išteklius, techninį atsakingą asmenį, kuris gali pagrįsti elgseną, ir teisės ar atitikties tikrintoją, kuris gali ginčyti klasifikaciją. Vadovybės patvirtinimas turėtų išspręsti finansavimo, išleidimo apribojimų ir neišspręstos rizikos klausimus, o ne pakeisti specialistų analizę.

Kaip praktinę rekomendaciją klasifikaciją peržiūrėkite, kai keičiasi paskirtis, naudotojai, duomenys, integracijos, autonomija ar reikšminga įtaka sprendimams. Susiekite šią peržiūrą su pirkimų atnaujinimais ir produkto išleidimais. Vien modelio atnaujinimas gali nepakeisti klasifikacijos, tačiau gali paneigti vertinimo įrodymus ar veiklos prielaidas.

Dažnos klaidos: priimamos tiekėjo visam portfeliui taikomos klasifikacijos, daroma prielaida, kad žmogaus peržiūra automatiškai sukuria išimtį, nepastebimos jau taikomos raštingumo ir skaidrumo pareigos, renkami dokumentai netestuojant vietinio veikimo. ISO/IEC 42001 valdymo sistema gali palaikyti valdyseną, tačiau sertifikavimas automatiškai neįrodo DI akto atitikties.

„Secani“ gali palaikyti įrodymų darbo procesą, susiedama reikalavimus, kontroles, šaltinių medžiagą, atsakingus asmenis, užduotis ir peržiūrėtus sprendimus. Pradėkite nuo vieno proceso, pridėkite įrodymus prie to, ką jie įrodo, ir prie reikšmingų išvadų laikykite komentarus, patvirtinimus ir laiko žymas. DI padedamus pasiūlymus laikykite juodraščiais žmogaus peržiūrai, o ne teisiniais sprendimais. Mūsų DI agentų valdysenos vadove pateikiamos praktinės leidimų ir peržiūros kontrolės.

Kitas naudingas žingsnis yra tikslinis klasifikavimo seminaras: atrinkite reikšmingiausius veikiančius naudojimo atvejus, pakvieskite jų verslo ir techninius atsakingus asmenis ir parenkite peržiūrėtus įrašus su neišspręstais klausimais ir įrodymų užduotimis. Tai suteikia vadovybei pagrįstą pagrindą nuspręsti, ką galima tęsti, kam reikia sąlygų ir ką reikia vertinti toliau.