ELi tehisintellekti määruse nõuete tehniline täitmine: tehniline dokumentatsioon, logimine, inimjärelevalve ja andmehaldus

Suurem osa sellest, mida ELi tehisintellekti määruse kohta on kirjutatud, käsitleb kohaldamisala: millisesse riskiklassi te kuulute, kas olete pakkuja või juurutaja, kas teie süsteem kuulub III lisa alla. Sellele vastavad teie õigusnõustajad.

Peaaegu keegi ei räägi sellest, mis juhtub pärast vastuse saamist. Kui teie süsteem on suure riskiga, nõuab määrus kogu elutsükli vältel toimivat riskijuhtimissüsteemi, andmehaldust, mida saate tõendada, kindlaksmääratud säilitamisajaga automaatset logimist, ettenähtud ülesehitusega tehnilist dokumentatsiooni, inimjärelevalvet, mis on läbi mõeldud ja teostatud, mitte lihtsalt välja kuulutatud, ning turustamisjärgset seiret, mis päriselt midagi kogub. Need on inseneritöö tulemid. Just selle osa meie ehitame.

Kus tähtajad praegu on

Tehisintellekti määrus (määrus (EL) 2024/1689) jõustus 2024. aasta augustis ja seda kohaldatakse etappide kaupa. Etapid muutusid 2026. aastal ja siin tasub olla täpne, sest muudatus suunas ümber nii raha kui ka tähelepanu.

• 2. veebruaril 2025: hakati kohaldama keelatud tavade ja tehisintellektipädevuse kohustusi.
• 2. augustil 2025: hakati kohaldama üldotstarbeliste tehisintellektimudelite kohustusi.
• 2. augustil 2026: hakati kohaldama artikli 50 läbipaistvuskohustusi: teavitamine sellest, et kasutaja suhtleb tehisintellektisüsteemiga, sünteetilise sisu märgistamine, emotsioonituvastusest ja biomeetrilisest kategoriseerimisest teavitamine ning süvavõltsingute märgistamine.
• 2. detsembril 2027: suure riskiga eraldiseisvate süsteemide kohustused, vastavalt Digital Omnibuse paketile. Nõukogu ja Euroopa Parlament leppisid edasilükkamises kokku 2026. aasta mais ja see kinnitati lõplikult 2026. aasta juunis.
• 2. augustil 2028: reguleeritud toodetesse integreeritud tehisintellektisüsteemide suure riskiga seotud kohustused.

Kui olete suure riskiga süsteemi pakkuja, andis edasilükkamine teile umbes kuusteist kuud. Tööd see ei vähendanud ega muutnud ka kahte juba kehtivat kohustust: artikli 50 läbipaistvusnõudeid ja tehisintellektipädevust nende töötajate jaoks, kes neid süsteeme kasutavad.

Mida me ehitame

Tehniline dokumentatsioon kui genereeritav tulem

IV lisa sätestab, mida tehniline dokumentatsioon peab sisaldama: süsteemi kirjeldus, disainivalikud, arhitektuur, andmenõuded, vajaduse korral treenimismetoodika, valideerimis- ja testimisprotseduurid, mõõdikud, riskijuhtimismeetmed ning elutsükli jooksul tehtud muudatused.

Käsitsi kirjutatuna on see dokument juba nädal pärast allkirjastamist aegunud. Meie ehitame selle nii, et seda toodab teie töövoog: mudelikaardid ja andmelehed genereeritakse treenimis- ja hindamiskäivitustest, arhitektuuri ja andmevoogude kirjeldusi hoitakse koodi kõrval, hindamistulemused seotakse versiooniga, mida need kirjeldavad, ning muudatuste ajalugu tuleb versioonihaldusest, mitte kellegi mälust. Dokumendist saab ehituse väljund.

Automaatne logimine, mis vastab artiklile 12

Suure riskiga süsteemid peavad kogu oma eluea jooksul automaatselt logima sellisel tasemel, mis võimaldab nende toimimist jälgida ja turustamisjärgset seiret teha, ning säilitama logisid eesmärgile vastava aja, mõnel juhul vähemalt kuus kuud.

Praktikas tähendab see otsustamist, mis on teie süsteemi jaoks „sündmus“, sisendite, väljundite, mudeli versiooni, otsuse kulgemise ja kaasatud inimese identiteedi salvestamist, nende hoidmist kujul, mida saab ka aastate pärast päringutega uurida, ning seda kõike ilma isikuandmeid kogumata, mille säilitamiseks teil alust pole. See pinge (logida piisavalt tehisintellekti määruse jaoks, hoida piisavalt vähe isikuandmete kaitse üldmääruse ehk GDPR-i jaoks) ongi tegelik disainiprobleem ja me lahendame selle sihipäraselt koos teie andmekaitse eest vastutavate inimestega.

Andmehaldus artikli 10 alusel

Treenimis-, valideerimis- ja testimisandmestikud peavad olema asjakohased, piisavalt esinduslikud ning võimalikult veatud ja täielikud, ning neid tuleb kontrollida kallutatuse suhtes. Selle täitmiseks on vaja andmete päritolu, mida saate näidata, dokumenteeritud allikaid, kallutatuse hindamise metoodikat koos tulemustega ning võimet taastada, millised andmed millise mudeliversiooni andsid.

Ehitame töövoo, mis muudab need väited kontrollitavaks, mitte ainult soovunelmaks: versioonitud andmestikud, korratavad jaotused, automaatsed andmekvaliteedi kontrollid ja kallutatuse hindamine nende kaitstud tunnuste lõikes, mis on teie kasutusjuhu puhul olulised.

Inimjärelevalve, mis on ehitatud, mitte välja kuulutatud

Artikkel 14 nõuab, et suure riskiga süsteemid oleksid kavandatud nii, et inimene saaks väljundist aru, oleks teadlik automatiseerimisest tulenevast kallutatusest, tõlgendaks tulemust õigesti, saaks otsustada seda mitte kasutada ning saaks sekkuda või süsteemi peatada.

See on kasutajaliidese spetsifikatsioon. Ehitame järelevalve tootesse sisse: kindlus ja ebakindlus näidatakse ausalt, väljundi taga olevad tegurid tehakse nähtavaks, ülekirjutamine on sama lihtne kui nõustumine, peatamisnupp töötab ning iga ülekirjutamine logitakse, et turustamisjärgsel seirel oleks millest õppida.

Turustamisjärgne seire ja intsidentidest teatamine

Nõutud on seirekava ning tõsistest intsidentidest teatamine pädevale asutusele. Ehitame seda toitva telemeetria: jõudluse jälgimine teie dokumentatsioonis toodud mõõdikute alusel, sisendite ja väljundite triivi tuvastamine, kanal kasutajate teatatud probleemidele, mis jõuab arendajateni, ning intsidentide töövoog, kuhu ajalised kohustused on sisse ehitatud, et neid ei avastataks alles intsidendi ajal.

Artikli 50 läbipaistvuskohustused

Need juba kehtivad. Teavitamine sellest, et kasutaja suhtleb tehisintellektisüsteemiga, sünteetilise heli, pildi, video ja teksti masinloetav märgistamine, süvavõltsingute märgistamine ning emotsioonituvastusest teavitamine. Teostame teavitusvaated ja sisu päritolu märgistuse (C2PA sisutunnistused seal, kus see on õige mehhanism) ning tagame, et need säiliksid ka ekspordi ja ümberkodeerimise käigus, mis need tavaliselt eemaldab.

Registreerimise ja vastavushindamise tugi

III lisas loetletud valdkondade suure riskiga süsteemid tuleb enne turule laskmist registreerida ELi andmebaasis ning pakkujad peavad läbi viima vastavushindamise. Valmistame ette tehnilised sisendid (dokumentatsiooni, tõendite paketi, kvaliteedijuhtimissüsteemi inseneripoolsed dokumendid) ja töötame koos teie teavitatud asutuse või sisemise hindamisprotsessiga.

Mida see ei ole

Me ei anna õigusnõu ega ütle teile, millisesse riskiklassi teie süsteem kuulub. See on õiguslik otsus, millel on päris tagajärjed, ja see kuulub juristile või pädevale vastavusnõustajale.

Samuti ei müü me tehisintellekti juhtimise platvormi. Neid on turul palju, ja kui teil on vaja tehisintellektisüsteemide registrit ja poliitikate töövoogu, teenib mõni neist teid paremini kui meie. Meie teeme inseneritööd süsteemide endi sees.

Kellele see on mõeldud

III lisa alla kuuluvate suure riskiga tehisintellektisüsteemide pakkujad (värbamine ja töötajate juhtimine, krediidivõimelisuse hindamine, kindlustuse hinnastamine, hindamine hariduses, oluliste teenuste saamise õiguse hindamine, biomeetrilised süsteemid), kellel on nüüd aega 2027. aasta detsembrini ja palju ehitada.

Tootjad, kes integreerivad tehisintellekti reguleeritud toodetesse (meditsiiniseadmed, masinad, sõidukid), kus tehisintellekti määrus lisandub olemasolevale vastavushindamise korrale ja kaks dokumentatsioonikomplekti peavad omavahel kooskõlas olema.

Ettevõtted, kes juurutavad kelleltki teiselt ostetud suure riskiga süsteeme ja kellel on oma kohustused: inimjärelevalve, sisendandmete asjakohasus, seire ja logide säilitamine.

Kõik, kes pakuvad ELi kasutajatele generatiivseid funktsioone, sest artikli 50 läbipaistvusnõuded kehtivad juba täna, olenemata riskiklassist.

Kuidas koostöö käib

Tehniline puudujääkide analüüs, kaks kuni neli nädalat. Lähtume klassifikatsioonist, milleni teie õigusmeeskond on jõudnud, ja hindame teie süsteeme sellest tulenevate tehniliste kohustuste alusel. Tulemuseks on puudujääkide register (kohustus, praegune olukord, mida tuleb ehitada, töömaht), mille põhjal saavad töötada nii teie vastavus- kui ka arendusjuhid.

Ehitamine, etappide kaupa, tavaliselt alustades logimisest ja dokumentatsiooni genereerimisest, sest kõik muu tekitab tõendeid, mis peavad kuhugi jõudma.

Valmisoleku ülevaatus enne vastavushindamist: tõendite pakett on kokku pandud ja allesjäänud puudujäägid on ausalt nimetatud.

Standardid ja raamistikud

Määrus (EL) 2024/1689 ja selle III ja IV lisa; CEN/CENELEC JTC 21 koostatavad harmoneeritud standardid; ISO/IEC 42001 tehisintellekti juhtimissüsteemide ja ISO/IEC 23894 tehisintellekti riskijuhtimise kohta; NIST AI Risk Management Framework, kui USA emaettevõte vajab sellega kooskõla; ning isikuandmete kaitse üldmäärus, mis ei kao kuhugi ja mis piirab enamikku logimisotsustest.

Korduma kippuvad küsimused

Kas tehisintellekti määrus on edasi lükatud?

Osaliselt. Digital Omnibus lükkas suure riskiga süsteemide kohustused edasi: eraldiseisvate süsteemide puhul 2. detsembrini 2027 ja reguleeritud toodetesse integreeritud tehisintellekti puhul 2. augustini 2028. Keelatud tavasid, tehisintellektipädevust, üldotstarbeliste tehisintellektimudelite kohustusi ja artikli 50 läbipaistvusnõudeid edasi ei lükatud ning need kehtivad juba praegu.

Kasutame ainult teiste ehitatud tehisintellektisüsteeme. Kas meil on kohustusi?

Jah, juurutajana. Nende hulka kuuluvad süsteemi kasutamine selle kasutusjuhendi järgi, inimjärelevalve määramine inimestele, kellel on selleks vajalik pädevus ja volitused, sisendandmete asjakohasuse tagamine kavandatud eesmärgi suhtes, toimimise jälgimine ja logide säilitamine. Need on kergemad kui pakkuja kohustused, kuid siiski päris kohustused. Pange tähele, et süsteemi oluline muutmine või sellele oma nime panemine võib teha teist pakkuja.

Meie süsteem ei ole suure riskiga. Kas on midagi teha?

Tõenäoliselt kaks asja. Artikli 50 läbipaistvusnõuded kehtivad teatud süsteemidele olenemata riskiklassist, sealhulgas vestlusrobotitele ja sünteetilise sisu genereerimisele. Artikli 4 kohane tehisintellektipädevus puudutab üldiselt nii pakkujaid kui ka juurutajaid. Lisaks tasub osata klassifitseerimisotsust tõendada, kui järelevalveasutus peaks kunagi küsima.

Kas tehnilist dokumentatsiooni saab tõesti genereerida?

Suuremat osa sellest, jah. Arhitektuur, andmestike kirjeldused, hindamistulemused, mõõdikud, mudeliversioonid ja muudatuste ajalugu on teie süsteemides juba olemas; töö seisneb nende kogumises stabiilsesse struktuuri ehituse ajal. Päriselt jutustavad osad (kavandatud eesmärk, riskianalüüs, disainiotsuste põhjendused) kirjutavad inimesed ja neid hoitakse samas repositooriumis, et need oleksid versioonitud koos kõige muuga.

Kuidas on tehisintellekti määrus seotud isikuandmete kaitse üldmäärusega?

Need kattuvad ja tõmbavad aeg-ajalt vastassuundades, eriti logimise puhul. Tehisintellekti määrus soovib jälgitavust, GDPR aga andmete minimeerimist ja kustutamist. Lahenduseks on tavaliselt pseudonüümimine, hoolikalt piiritletud logitav sisu ja dokumenteeritud eesmärgiga seotud kindlaksmääratud säilitamisaeg. See on disainiotsus, mis tehakse üks kord ja teadlikult.

Kas kolmanda osapoole mudeli kasutamine teeb meist selle mudeli pakkuja?

Ei, kuid selle peale tehisintellektisüsteemi ehitamine võib teha teist selle süsteemi pakkuja koos sellega kaasnevate kohustustega. Kus piir jookseb, sõltub sellest, mida te ehitate ja kuidas seda esitlete. See on õiguslik küsimus, kuid tehniline järeldus on, et peaksite igal juhul arvestama vajadusega dokumenteerida oma süsteem.

Alustage

Rääkige meile, mida teie süsteemid teevad ja millise klassifikatsioonini on teie õigusnõustajad jõudnud. Hindame, mida kohustused koodis tähendavad, ja anname teile puudujääkide registri, kus iga rea juures on töömahu hinnang.

Võtke meiega ühendust, et broneerida tehisintellekti määruse tehniline puudujääkide analüüs.

Seotud teenused

• Tehisintellekti agentide arendus ja MCP-integratsioon: nende süsteemide ehitamine, mida see kord reguleerib
• Arendus ELi turule sisenemiseks: ELi digitaalse nõuetele vastavuse laiem tervik
• Veebi ligipääsetavuse puuduste kõrvaldamine: teine ELi kohustus, mis osutub tegelikult insenerprojektiks