Regulamentul UE privind IA: clasificați cazurile de utilizare și planificați dovezile

Guvernanța IA începe cu cunoașterea sistemelor pe care organizația le furnizează, le implementează sau le pune la dispoziție în alt mod. O listă cu denumirile modelelor nu este suficientă: scopul preconizat, contextul de implementare și rolul dumneavoastră determină obligațiile care trebuie examinate.

Pentru conducere, clasificarea este o decizie de alocare a resurselor, nu doar o evaluare juridică. Ea determină ce proiecte au nevoie de o analiză de specialitate, ce trebuie să demonstreze furnizorii și ce dovezi trebuie să existe înainte de lansare. Un instrument de recrutare și un asistent intern de redactare pot folosi același model, dar pot necesita evaluări foarte diferite.

Rezultatul util este un registru revizuit al cazurilor de utilizare, legat de proprietari, cerințe, dovezi și decizii privind modificările, nu o etichetă la nivelul întregii companii care spune „IA cu risc scăzut”.

Stabiliți domeniul de aplicare și responsabilitatea înainte de a atribui riscul

Regulamentul UE privind inteligența artificială (EU AI Act) este un regulament ale cărui obligații depind de activitate, de sistem și de operator. Domeniul său de aplicare teritorial include furnizorii care introduc sisteme pe piața UE sau le pun în funcțiune, implementatorii stabiliți sau situați în UE, precum și anumiți furnizori și implementatori din afara UE atunci când rezultatele sistemelor sunt utilizate în UE. Cetățenia nu este, singură, criteriul.

Cereți evaluatorilor juridici și tehnici să stabilească dacă aplicația corespunde definiției unui sistem de IA din regulament și dacă se aplică vreo excludere relevantă din domeniul de aplicare. Nu presupuneți că fiecare script de automatizare este IA sau că un serviciu găzduit extern se află în afara responsabilităților dumneavoastră.

Apoi înregistrați-vă rolul:

• Furnizor: dezvoltă un sistem sau dispune dezvoltarea lui și îl introduce pe piață sau îl pune în funcțiune sub propriul nume sau marcă.
• Implementator: utilizează un sistem aflat sub autoritatea sa într-un context profesional.
• Importator sau distribuitor: introduce sisteme relevante pe piața UE sau le pune la dispoziție prin lanțul de aprovizionare, cu obligațiile de verificare aferente.
• Fabricant de produse sau reprezentant autorizat: are responsabilități care decurg din aranjamentul specific privind produsul sau din mandatul scris.

O organizație poate ocupa roluri diferite în cadrul portofoliului său. Achiziționarea unui API nu stabilește rolul aplicației finite. Schimbarea mărcii, o modificare substanțială sau schimbarea scopului preconizat pot declanșa responsabilitățile de furnizor, în condițiile aplicabile. Prin urmare, ajustarea fină (fine-tuning) este un declanșator de revizuire, nu o concluzie juridică automată.

Distingeți modelul de IA de uz general de sistemul construit în jurul lui. Obligațiile furnizorului de model și obligațiile privind sistemele din aval sunt legate, dar nu interschimbabile.

Construiți un inventar al cazurilor de utilizare care susține deciziile

Inventariați funcțiile de business, nu doar furnizorii. Intervievați echipele de achiziții, HR, produs, operațiuni și IT: IA poate sosi printr-o funcție nouă a unui furnizor existent, mai degrabă decât printr-o achiziție dedicată.

Pentru fiecare caz de utilizare, consemnați:

Înregistrați fluxurile de lucru reale alături de scopul preconizat. Un instrument descris ca „asistență pentru recrutori” poate exclude efectiv candidați dacă personalul examinează doar lista scurtă generată de acesta. O politică scrisă care impune revizuirea umană nu dovedește că revizuirea are loc.

Livrabilul este o înregistrare versionată pentru fiecare caz de utilizare. Clasificările nerezolvate ar trebui să rămână vizibil nerezolvate, cu un proprietar și un termen pentru decizie, în loc să fie încadrate implicit în categoria cea mai puțin exigentă.

Evaluați separat interdicțiile, căile spre riscul ridicat și transparența

Descrierea cunoscută pe patru niveluri (practici interzise, risc ridicat, obligații de transparență și risc mai scăzut) este o introducere utilă. Ea nu este un arbore decizional complet. Obligațiile de transparență se pot suprapune cu obligațiile privind riscul ridicat, iar obligațiile privind alfabetizarea în domeniul IA nu se limitează la sistemele cu risc ridicat.

Verificați mai întâi practicile interzise

Articolul 5 interzice anumite practici, sub rezerva condițiilor și excepțiilor detaliate ale dispoziției. Întrebările de verificare relevante includ dacă un sistem folosește manipularea dăunătoare sau exploatează vulnerabilități, realizează un scoring social interzis, creează baze de date de recunoaștere facială prin extragerea nețintită de imagini sau efectuează o clasificare biometrică interzisă.

Deducerea emoțiilor pe bază de IA din date biometrice la locul de muncă și în instituțiile de învățământ este, de asemenea, interzisă, cu excepția unor motive medicale sau de siguranță specificate. Analiza sentimentelor exclusiv pe text nu intră sub incidența acestei interdicții doar pentru că evaluează tonul emoțional. Anumite utilizări biometrice în scopul asigurării respectării legii au reguli strict delimitate; „orice recunoaștere facială este interzisă” nu este un substitut exact pentru evaluare.

Escaladați o posibilă practică interzisă înainte de achiziție sau implementare. Dovezile ar trebui să descrie funcționalitatea și raționamentul juridic, nu doar să repete declarația unui furnizor despre „IA etică”.

Testați ambele căi spre clasificarea ca risc ridicat

Calea produselor reglementate, articolul 6 alineatul (1): examinați dacă IA este ea însăși un produs sau o componentă de siguranță a unui produs care intră sub incidența legislației relevante din anexa I și dacă acel produs necesită o evaluare a conformității de către o parte terță. Ambele condiții contează. Folosiți textul juridic modificat pentru regimul specific al produsului; integrarea IA nu stabilește, singură, statutul de risc ridicat.

Calea anexei III, articolul 6 alineatul (2): examinați dacă funcția preconizată corespunde unui caz de utilizare enumerat. Cele opt domenii sunt titluri generale, nu reguli care fac ca orice aplicație dintr-o industrie să fie cu risc ridicat.

Citiți intrările detaliate și excluderile. De exemplu, detectarea fraudelor financiare este distinctă de utilizarea enumerată privind bonitatea, iar verificarea documentelor de călătorie este exclusă din intrarea relevantă privind identificarea în contextul migrației. Organizarea administrativă a unei campanii nu este echivalentă cu influențarea alegătorilor.

Evaluați transparența chiar și atunci când regulile privind riscul ridicat nu se aplică

Articolul 50 se referă la anumite interacțiuni și rezultate. În funcție de rol și de împrejurări, obligațiile privesc informarea persoanelor că interacționează cu IA, marcarea într-un format care poate fi citit automat a rezultatelor sintetice, informări privind deepfake-urile și anumite texte generate de IA privind chestiuni de interes public. Utilizările de recunoaștere a emoțiilor și de clasificare biometrică au, de asemenea, dispoziții privind informarea, acolo unde sunt permise.

Nu reduceți acest lucru la „etichetați fiecare document realizat cu asistență IA”. Stabiliți ce dispoziție se aplică, cine trebuie să acționeze și dacă este relevantă o excepție. Păstrați ca dovezi formularea informării, amplasarea ei, aranjamentele de marcare a rezultatelor și rezultatele testelor.

Tratați excepția de la articolul 6 alineatul (3) ca pe o evaluare documentată

Unele sisteme din anexa III pot ieși din clasificarea ca risc ridicat în temeiul articolului 6 alineatul (3). Aceasta nu este o exceptare generală pentru instrumentele în care există un om undeva în proces.

Evaluarea trebuie să analizeze dacă sistemul prezintă un risc semnificativ de a aduce prejudicii sănătății, siguranței sau drepturilor fundamentale, inclusiv dacă influențează în mod semnificativ rezultatul deciziilor. Dispoziția identifică situații care implică sarcini procedurale restrânse, îmbunătățirea rezultatului unei activități umane finalizate anterior, detectarea unor tipare decizionale sau a unor abateri în condiții de revizuire specificate și sarcini pregătitoare. Invocarea excepției presupune îndeplinirea a cel puțin uneia dintre aceste condiții și stabilirea faptului că sistemul nu prezintă riscul semnificativ specificat.

Un furnizor care invocă această excepție trebuie să documenteze evaluarea înainte de a introduce sistemul pe piață sau de a-l pune în funcțiune și să îndeplinească obligația de înregistrare aplicabilă. Esențial: un sistem din anexa III care creează profiluri ale persoanelor fizice rămâne cu risc ridicat; aceasta nu înseamnă că orice sistem de creare de profiluri, în orice context, devine automat cu risc ridicat.

Dovezile ar trebui să explice ce informații folosește sistemul, cum îi afectează rezultatele pe evaluatori și dacă sarcina pretins pregătitoare determină cine primește o analiză de fond. Includeți observații privind fluxul de lucru și rezultate reprezentative. O frază de tipul „omul ia decizia finală” este insuficientă dacă ierarhizarea, filtrarea sau recomandările determină efectiv acea decizie.

Planificați în funcție de datele de aplicare actuale

Conform verificării din 7 octombrie 2026, prezentarea generală și calendarul actual al Comisiei Europene privind Regulamentul privind IA identifică următoarele etape:

Verificați textul juridic modificat și dispozițiile tranzitorii specifice situației dumneavoastră. Sistemele existente, datele de introducere pe piață a modelelor, modificările și aranjamentele specifice ale operatorilor pot necesita analize suplimentare. Ghidurile mai vechi pot indica încă date anterioare pentru riscul ridicat.

Nu interpretați calendarul actualizat pentru riscul ridicat ca o amânare a întregului regulament. Bugetați separat obligațiile deja aplicabile și pregătirea pentru regimul relevant privind riscul ridicat. Registrul dumneavoastră ar trebui să identifice etapa aplicabilă și sursa folosită pentru a o stabili.

Transformați clasificarea într-un plan de dovezi

Responsabilitățile furnizorului și ale implementatorului sunt diferite. Conducerea ar trebui să solicite un plan specific rolului, în loc să atribuie fiecare obligație fiecărei echipe.

Dacă furnizați un sistem cu risc ridicat

Cerințele privind riscul ridicat și obligațiile furnizorului cuprind gestionarea riscurilor, guvernanța datelor, documentația tehnică, păstrarea evidențelor, informațiile pentru implementatori, supravegherea umană, acuratețea, robustețea, securitatea cibernetică și managementul calității. Trebuie planificate, de asemenea, evaluarea conformității, declarația, marcajul, înregistrarea, monitorizarea ulterioară introducerii pe piață și procesele privind incidentele, în măsura în care sunt aplicabile.

Transformați-le în livrabile:

• O evaluare a riscurilor pe întreg ciclul de viață, cu măsuri de atenuare, riscuri reziduale și decizii de aprobare.
• Înregistrări privind proveniența, adecvarea și calitatea datelor, acolo unde sunt relevante pentru sistem.
• Documentație tehnică ce identifică scopul, designul, dependențele, limitările și metodele de evaluare.
• Rezultate ale testelor legate de criteriile de acceptare și de contextul de implementare.
• Instrucțiuni de supraveghere care explică intervenția, anularea deciziilor și escaladarea.
• Specificații de jurnalizare, aranjamente de monitorizare și proceduri privind incidentele.
• Un plan de lucru pentru conformitate care identifică procedura aplicabilă și înregistrările necesare.

Nu orice sistem cu risc ridicat urmează aceeași procedură de evaluare. Nu bugetați un audit universal realizat de o parte terță și nu tratați o certificare de securitate drept dovadă a conformității cu Regulamentul privind IA.

Dacă implementați un sistem cu risc ridicat

Concentrați-vă pe operarea sistemului conform instrucțiunilor, pe atribuirea unei supravegheri competente, pe monitorizarea utilizării și pe păstrarea evidențelor necesare. Tratați adecvarea datelor de intrare acolo unde controlați aceste date, precum și cerințele aplicabile privind informarea lucrătorilor sau a persoanelor afectate.

Solicitați furnizorilor instrucțiunile, limitările, cerințele de supraveghere și informațiile privind conformitatea relevante. Identificați ce nu pot furniza și cine va acoperi lacuna. O declarație de asigurare a furnizorului nu stabilește că configurația dumneavoastră locală este adecvată.

Evaluați dacă este necesară o evaluare a impactului asupra drepturilor fundamentale pentru categoria dumneavoastră de implementator și pentru cazul de utilizare. Ea nu este universală pentru toate implementările. Acolo unde sunt implicate date cu caracter personal, evaluați separat cerințele RGPD; o evaluare a impactului asupra protecției datelor și o evaluare în temeiul Regulamentului privind IA servesc unor scopuri juridice diferite, chiar și atunci când dovezile se suprapun.

Pentru fiecare livrabil, precizați un proprietar, un evaluator, un termen, locația sursei și un criteriu de acceptare. „Politică încărcată” nu este echivalent cu „control demonstrat”.

Exemplu practic: un singur model, două decizii de business

Ipoteze ilustrative: un angajator din UE folosește un model lingvistic al unei părți terțe pentru un asistent intern de redactare și pentru o aplicație separată de recrutare. Aplicația de recrutare acordă punctaje candidaților în funcție de criteriile postului și prezintă o listă scurtă ierarhizată. Angajatorul le folosește pe amândouă intern; rolurile sale exacte de operator necesită analiză.

Pentru asistentul de redactare, înregistrați sarcinile de redactare permise, restricțiile privind datele, revizuirea rezultatelor și orice cerințe de transparență aplicabile. Redactarea internă obișnuită nu devine cu risc ridicat doar pentru că folosește IA. Extinderea către evaluarea în context profesional ar declanșa o reevaluare.

Pentru recrutare, intrarea din anexa III privind ocuparea forței de muncă este direct relevantă. Analizați acordarea punctajelor și crearea de profiluri ale candidaților, nu doar descrierea interfeței. Dacă recrutorii iau în considerare doar candidații de pe lista scurtă, sistemul modelează în mod semnificativ accesul la un loc de muncă. Aprobarea umană a angajării finale nu elimină această influență.

Prin urmare, decizia conducerii este diferită pentru fiecare aplicație. Asistentul de redactare poate continua, după analiză, cu controale proporționale. Proiectul de recrutare are nevoie de un plan de pregătire pentru riscul ridicat, de dovezi de la furnizor, de o supraveghere instruită, de evaluarea utilizării locale și de o decizie de lansare documentată.

Dacă echipa propune transformarea funcției de recrutare în programarea calendarului interviurilor, evaluați din nou acest nou scop și flux de lucru. Programarea poate fi o sarcină procedurală restrânsă, dar păstrarea acordării de punctaje candidaților în fundal ar submina noua justificare. Versionați decizia, în loc să suprascrieți înregistrarea originală.

Faceți responsabilitatea vizibilă în deciziile operaționale

Desemnați un proprietar de business care poate explica scopul și aproba resursele, un proprietar tehnic care poate fundamenta comportamentul sistemului și un evaluator juridic sau de conformitate care poate contesta clasificarea. Aprobarea executivă ar trebui să rezolve finanțarea, restricțiile de lansare și riscurile nerezolvate, nu să înlocuiască analiza de specialitate.

Ca recomandare practică, revizuiți clasificarea atunci când se schimbă scopul, utilizatorii, datele, integrările, autonomia sau influența cu consecințe asupra deciziilor. Legați această revizuire de reînnoirile achizițiilor și de lansările de produs. O actualizare a modelului poate să nu schimbe, singură, clasificarea, dar poate invalida dovezile de evaluare sau ipotezele de operare.

Greșelile frecvente includ acceptarea clasificărilor generale ale furnizorilor, presupunerea că revizuirea umană creează automat o excepție, omiterea obligațiilor deja aplicabile privind alfabetizarea și transparența și colectarea de documente fără testarea funcționării locale. Un sistem de management ISO/IEC 42001 poate susține guvernanța, dar certificarea nu stabilește automat conformitatea cu Regulamentul privind IA.

Secani poate susține fluxul de lucru privind dovezile, legând cerințele, controalele, materialele sursă, proprietarii, sarcinile și deciziile revizuite. Începeți cu un singur proces, atașați dovezile la ceea ce dovedesc și păstrați comentariile, aprobările și marcajele temporale împreună cu concluziile importante. Tratați sugestiile asistate de IA ca ciorne pentru revizuire umană, nu ca determinări juridice. Ghidul nostru privind guvernanța agenților IA oferă controale practice pentru permisiuni și revizuire.

Următorul pas util este un atelier de clasificare concentrat: selectați cele mai importante cazuri de utilizare aflate în funcțiune, aduceți proprietarii lor de business și tehnici și produceți înregistrări revizuite, cu întrebările nerezolvate și sarcinile privind dovezile. Astfel, conducerea obține o bază solidă pentru a decide ce poate continua, ce are nevoie de condiții și ce necesită o evaluare suplimentară.