EU:n tekoälyasetuksen tekninen toteutus: dokumentaatio, lokitus, valvonta ja datanhallinta

Suurin osa siitä, mitä EU:n tekoälyasetuksesta on kirjoitettu, käsittelee soveltamisalaa: mihin riskiluokkaan järjestelmä osuu, oletteko tarjoaja vai käyttöönottaja, osuuko järjestelmänne liitteeseen III. Näihin vastaavat juristinne.

Lähes kukaan ei käsittele sitä, mitä vastauksen jälkeen tapahtuu. Jos järjestelmänne on suuririskinen, asetus edellyttää koko elinkaaren yli toimivaa riskinhallintajärjestelmää, datanhallintaa, joka on näytettävissä toteen, automaattista lokitusta määritellyllä säilytysajalla, teknistä dokumentaatiota määrämuodossa, ihmisen suorittamaa valvontaa, joka on suunniteltu eikä vain väitetty, sekä markkinoille saattamisen jälkeistä seurantaa, joka oikeasti kerää jotain. Nämä ovat teknisiä toimituksia. Se on se osa, jonka me rakennamme.

Missä määräajat nyt menevät

Tekoälyasetus (asetus (EU) 2024/1689) tuli voimaan elokuussa 2024 ja tulee sovellettavaksi vaiheittain. Vaiheistus muuttui vuonna 2026, ja tässä kannattaa olla täsmällinen, koska muutos siirsi rahaa ja huomiota.

2. helmikuuta 2025: kielletyt käytännöt ja tekoälylukutaitoa koskevat velvoitteet tulivat sovellettaviksi.
2. elokuuta 2025: yleiskäyttöisiä tekoälymalleja koskevat velvoitteet tulivat sovellettaviksi.
2. elokuuta 2026: 50 artiklan avoimuusvelvoitteet tulivat sovellettaviksi: ilmoitus siitä, että käyttäjä on vuorovaikutuksessa tekoälyjärjestelmän kanssa, synteettisen sisällön merkintä, tunteiden tunnistuksesta ja biometrisestä luokittelusta ilmoittaminen sekä syväväärennösten merkitseminen.
2. joulukuuta 2027: suuririskisiä, itsenäisiä järjestelmiä koskevat velvoitteet, Digital Omnibus -paketin mukaisesti. Neuvosto ja parlamentti sopivat lykkäyksestä toukokuussa 2026, ja lopullinen vahvistus tuli kesäkuussa 2026.
2. elokuuta 2028: suuririskisiä koskevat velvoitteet tulevat sovellettaviksi säänneltyihin tuotteisiin sulautettuihin tekoälyjärjestelmiin.

Suuririskisen järjestelmän tarjoajalle lykkäys toi noin kuusitoista kuukautta lisäaikaa. Se ei vähentänyt työtä eikä siirtänyt niitä kahta velvoitetta, jotka ovat jo voimassa: 50 artiklan avoimuutta ja näitä järjestelmiä käyttävän henkilöstön tekoälylukutaitoa.

Mitä rakennamme

Tekninen dokumentaatio tuotettuna artefaktina

Liite IV määrittelee, mitä teknisen dokumentaation on sisällettävä: järjestelmän kuvaus, suunnitteluvalinnat, arkkitehtuuri, datavaatimukset, koulutusmenetelmä silloin kun sellainen on, validointi- ja testausmenettelyt, mittarit, riskinhallintatoimet ja elinkaaren aikana tehdyt muutokset.

Käsin kirjoitettuna tämä dokumentti on vanhentunut viikko allekirjoituksen jälkeen. Me rakennamme siitä jotain, jonka putkenne tuottaa: mallikortit ja datakuvaukset syntyvät koulutus- ja evaluointiajoista, arkkitehtuuri- ja datavirtakuvaukset elävät koodin rinnalla, evaluointitulokset kiinnittyvät siihen versioon, jota ne kuvaavat, ja muutoshistoria tulee versionhallinnasta eikä kenenkään muistista. Dokumentista tulee buildin tuotos.

Automaattinen lokitus, joka täyttää 12 artiklan

Suuririskisten järjestelmien on lokitettava automaattisesti koko elinkaarensa ajan tasolla, joka mahdollistaa toiminnan jäljitettävyyden ja markkinoille saattamisen jälkeisen seurannan: säilytysajan ollessa käyttötarkoitukseen nähden asianmukainen ja joissakin tapauksissa vähintään kuusi kuukautta.

Käytännössä tämä tarkoittaa sen päättämistä, mikä on "tapahtuma" teidän järjestelmässänne, syötteiden, tulosteiden, malliversion, päätöspolun ja mukana olleen ihmisen tallentamista, sen säilyttämistä muodossa, joka on kyseltävissä vielä vuosien päästä, ja tämän tekemistä ilman että kertyy henkilötietoja, joiden säilyttämiselle ei ole perustetta. Juuri tuo jännite (lokita tarpeeksi tekoälyasetusta varten, säilytä tarpeeksi vähän tietosuoja-asetusta varten) on varsinainen suunnitteluongelma, ja käymme sen läpi eksplisiittisesti tietosuojasta vastaavien kanssanne.

Datanhallinta 10 artiklan mukaisesti

Koulutus-, validointi- ja testausaineistojen on oltava merkityksellisiä, riittävän edustavia ja mahdollisuuksien mukaan virheettömiä ja täydellisiä, ja ne on tutkittava vinoumien varalta. Sen täyttäminen edellyttää datan jäljitettävyyttä, dokumentoitua alkuperää, vinoumien arviointimenetelmää tuloksineen sekä kykyä toistaa, mikä data tuotti minkä malliversion.

Rakennamme putken, joka tekee näistä väitteistä tarkistettavia eikä toiveikkaita: versioidut aineistot, toistettavat jaot, automaattiset datanlaatutarkistukset ja vinoumien arviointi niiden suojeltujen ominaisuuksien osalta, jotka teidän käyttötapauksessanne ovat merkityksellisiä.

Ihmisen suorittama valvonta rakennettuna, ei julistettuna

14 artikla edellyttää, että suuririskiset järjestelmät suunnitellaan niin, että ihminen ymmärtää tulosteen, pysyy tietoisena automaatioharhasta, tulkitsee tuloksen oikein, voi päättää olla käyttämättä sitä sekä puuttua toimintaan tai pysäyttää järjestelmän.

Se on käyttöliittymämäärittely. Rakennamme valvonnan tuotteen sisään: luottamus ja epävarmuus näytetään rehellisesti, tulosteen taustatekijät tehdään näkyviksi, ohitus on yhtä helppo kuin hyväksyminen, pysäytys toimii, ja jokainen ohitus lokitetaan, jotta markkinoille saattamisen jälkeisellä seurannalla on jotain opittavaa.

Markkinoille saattamisen jälkeinen seuranta ja vaaratilanneilmoitukset

Seurantasuunnitelma on pakollinen, samoin vakavien vaaratilanteiden ilmoittaminen toimivaltaiselle viranomaiselle. Rakennamme telemetrian, joka sitä ruokkii: suorituskykyä seurataan dokumentaationne mittareita vasten, syötteiden ja tulosteiden ajautumista havainnoidaan, käyttäjien raportoimille ongelmille on kanava, joka päätyy kehitykseen, ja vaaratilanneprosessi on rakennettu määräaikoineen valmiiksi eikä keksitä kesken tilanteen.

50 artiklan avoimuusvelvoitteet

Nämä ovat jo voimassa. Ilmoitus siitä, että käyttäjä on tekemisissä tekoälyjärjestelmän kanssa, synteettisen äänen, kuvan, videon ja tekstin koneluettava merkintä, syväväärennösten merkitseminen sekä tunteiden tunnistuksesta ilmoittaminen. Toteutamme ilmoituspinnat ja sisällön alkuperämerkinnän (C2PA content credentials silloin kun se on oikea mekanismi), ja pidämme huolen siitä, että ne kestävät ne vienti- ja uudelleenpakkauspolut, jotka yleensä riisuvat ne pois.

Rekisteröinti ja vaatimustenmukaisuuden arvioinnin tuki

Liitteen III alaan kuuluvat suuririskiset järjestelmät on rekisteröitävä EU:n tietokantaan ennen markkinoille saattamista, ja tarjoajan on suoritettava vaatimustenmukaisuuden arviointi. Valmistelemme tekniset syötteet (dokumentaation, näyttöaineiston ja laadunhallintajärjestelmän tekniset artefaktit), ja työskentelemme ilmoitetun laitoksenne tai sisäisen arviointiprosessinne rinnalla.

Mitä emme tee

Emme anna oikeudellisia neuvoja emmekä kerro, mihin riskiluokkaan järjestelmänne kuuluu. Se on oikeudellinen arvio, jolla on todellisia seurauksia, ja se kuuluu asianajajalle tai pätevälle vaatimustenmukaisuuden neuvonantajalle.

Emme myöskään myy tekoälyn hallinta-alustaa. Niitä on paljon, ja jos tarpeenne on tekoälyjärjestelmien rekisteri ja politiikkaprosessi, jokin niistä palvelee teitä paremmin kuin me. Me teemme sen tekniikan, joka on itse järjestelmien sisällä.

Kenelle tämä on

Suuririskisten tekoälyjärjestelmien tarjoajat liitteen III alalla (rekrytointi ja työntekijöiden hallinta, luottoluokitus, vakuutushinnoittelu, koulutuksen arviointi, olennaisten palvelujen saannin arviointi, biometriset järjestelmät) joilla on nyt aikaa joulukuuhun 2027 ja paljon rakennettavaa.

Valmistajat, jotka sulauttavat tekoälyä säänneltyihin tuotteisiin (lääkinnälliset laitteet, koneet, ajoneuvot) joissa tekoälyasetus asettuu olemassa olevan vaatimustenmukaisuusjärjestelmän päälle ja kahden dokumentaatiokokonaisuuden on oltava keskenään yhtä mieltä.

Yritykset, jotka ottavat käyttöön muualta ostetun suuririskisen järjestelmän ja joilla on omat velvoitteensa: ihmisen suorittama valvonta, syöttödatan merkityksellisyys, seuranta ja lokien säilytys.

Kaikki, jotka toimittavat generatiivisia ominaisuuksia EU:n käyttäjille, sillä 50 artiklan avoimuus koskee jo tänään riskiluokasta riippumatta.

Miten toimeksianto etenee

Tekninen puuteanalyysi, kahdesta neljään viikkoa. Otamme lähtökohdaksi luokittelun, johon lakitiiminne on päätynyt, ja arvioimme järjestelmänne siitä seuraavia teknisiä velvoitteita vasten. Toimitus on puuterekisteri (velvoite, nykytila, mitä on rakennettava, työmäärä) jonka pohjalta sekä vaatimustenmukaisuudesta että kehityksestä vastaavat voivat työskennellä.

Toteutus, vaiheistettuna, tavallisesti lokituksesta ja dokumentaation tuottamisesta alkaen, koska kaikki muu tuottaa näyttöä, jonka on laskeuduttava jonnekin.

Valmiuskatselmointi ennen vaatimustenmukaisuuden arviointia, näyttöaineisto koottuna ja jäljelle jäävät puutteet rehellisesti nimettyinä.

Standardit ja viitekehykset

Asetus (EU) 2024/1689 sekä sen liitteet III ja IV; CEN/CENELEC JTC 21:n valmistelemat yhdenmukaistetut standardit; ISO/IEC 42001 tekoälyn hallintajärjestelmille ja ISO/IEC 23894 tekoälyn riskienhallinnalle; NIST AI Risk Management Framework silloin, kun yhdysvaltalainen emoyhtiö tarvitsee yhteensopivuutta; sekä yleinen tietosuoja-asetus, joka ei katoa mihinkään ja joka rajaa suurimman osan lokituspäätöksistä.

Usein kysytyt kysymykset

Onko tekoälyasetusta lykätty?

Osittain. Digital Omnibus lykkäsi suuririskisiä velvoitteita 2. joulukuuta 2027 asti itsenäisten järjestelmien osalta ja 2. elokuuta 2028 asti säänneltyihin tuotteisiin sulautetun tekoälyn osalta. Kiellettyjä käytäntöjä, tekoälylukutaitoa, yleiskäyttöisiä tekoälymalleja ja 50 artiklan avoimuutta koskevia sääntöjä ei lykätty, ja ne ovat voimassa nyt.

Käytämme vain muiden rakentamia tekoälyjärjestelmiä. Onko meillä velvoitteita?

Kyllä, käyttöönottajana. Niihin kuuluu järjestelmän käyttö ohjeiden mukaisesti, ihmisen suorittaman valvonnan osoittaminen henkilöille, joilla on siihen osaaminen ja valtuudet, syöttödatan merkityksellisyyden varmistaminen käyttötarkoitukseen nähden, toiminnan seuranta ja lokien säilyttäminen. Kevyempiä kuin tarjoajan velvoitteet mutta todellisia, ja huomatkaa, että järjestelmän olennainen muuttaminen tai oman nimenne liittäminen siihen voi tehdä teistä tarjoajan.

Järjestelmämme ei ole suuririskinen. Onko silti jotain tehtävää?

Todennäköisesti kaksi asiaa. 50 artiklan avoimuus koskee tiettyjä järjestelmiä riskiluokasta riippumatta, mukaan lukien chatbotit ja synteettisen sisällön tuottaminen. Ja 4 artiklan tekoälylukutaito koskee tarjoajia ja käyttöönottajia yleisesti. Sen lisäksi kannattaa pystyä näyttämään toteen luokittelupäätös, jos viranomainen joskus kysyy.

Voiko teknisen dokumentaation oikeasti tuottaa koneellisesti?

Suurimman osan kyllä. Arkkitehtuuri, aineistokuvaukset, evaluointitulokset, mittarit, malliversiot ja muutoshistoria ovat jo järjestelmissänne; työ on niiden kokoaminen vakaaseen rakenteeseen build-vaiheessa. Aidosti kertovat osiot (käyttötarkoitus, riskianalyysi, suunnitteluperustelut) kirjoittaa ihminen, ja ne pidetään samassa repositoriossa, jotta ne versioituvat kaiken muun kanssa.

Miten tekoälyasetus ja tietosuoja-asetus suhtautuvat toisiinsa?

Ne menevät osin päällekkäin ja vetävät ajoittain eri suuntiin, erityisesti lokituksessa. Tekoälyasetus haluaa jäljitettävyyttä, tietosuoja-asetus minimointia ja poistamista. Ratkaisu on yleensä pseudonymisointi, huolellinen rajaus siitä mitä lokitetaan, ja määritelty säilytysaika, joka on sidottu dokumentoituun käyttötarkoitukseen. Se on suunnittelupäätös, joka tehdään kerran ja harkiten.

Tekeekö kolmannen osapuolen mallin käyttö meistä sen mallin tarjoajan?

Ei, mutta tekoälyjärjestelmän rakentaminen sen päälle voi tehdä teistä kyseisen järjestelmän tarjoajan siihen liittyvine velvoitteineen. Se, mihin raja asettuu, riippuu siitä mitä rakennatte ja miten sen esitätte, ja se on oikeudellinen kysymys, mutta tekninen seuraus on, että kannattaa olettaa tarvitsevanne oman järjestelmänne dokumentaation joka tapauksessa.

Näin pääsette alkuun

Kertokaa, mitä järjestelmänne tekevät ja mihin lakiasiantuntijanne ovat luokittelussa päätyneet. Arvioimme, mitä velvoitteet tarkoittavat koodissa, ja annamme puuterekisterin, jossa jokaisella rivillä on työmäärä.

Ottakaa yhteyttä ja varatkaa tekoälyasetuksen tekninen puuteanalyysi.

Aiheeseen liittyvät palvelut

Tekoälyagentit ja MCP-integraatiot: niiden järjestelmien rakentaminen, joita tämä sääntely koskee
EU-markkinoille tulo – kehitys: laajempi EU:n digisääntelyn kokonaisuus
Verkkosaavutettavuuden korjaus: se toinen EU-velvoite, joka osoittautuu tekniseksi projektiksi