ES MI akta atbilstības inženierija: tehniskā dokumentācija, žurnalēšana, virsuzraudzība un datu pārvaldība

Lielākā daļa no tā, kas rakstīts par ES MI aktu, ir par darbības jomu: kurā riska līmenī nonākat, vai esat nodrošinātājs vai uzturētājs, vai jūsu sistēma ietilpst III pielikumā. Uz to atbild jūsu juridiskie konsultanti.

Gandrīz neviens nerunā par to, kas notiek pēc šīs atbildes. Ja jūsu sistēma ir augsta riska sistēma, regula prasa riska pārvaldības sistēmu, kas darbojas visā dzīves ciklā, datu pārvaldību, ko varat pierādīt, automātisku žurnalēšanu ar noteiktu glabāšanas termiņu, tehnisko dokumentāciju noteiktā struktūrā, cilvēka virsuzraudzību, kas ir izprojektēta, nevis tikai deklarēta, un pēctirgus uzraudzību, kas tiešām kaut ko apkopo. Tie ir inženiertehniski nodevumi. Tieši šo daļu mēs izstrādājam.

Kur šobrīd ir termiņi

MI akts (Regula (ES) 2024/1689) stājās spēkā 2024. gada augustā un tiek piemērots pakāpeniski. 2026. gadā posmu grafiks mainījās, un te ir vērts būt precīziem, jo šīs izmaiņas pārvirzīja gan naudu, gan uzmanību.

• 2025. gada 2. februāris: sāka piemērot aizliegtās prakses un MI pratības pienākumus.
• 2025. gada 2. augusts: sāka piemērot pienākumus vispārīga lietojuma MI modeļiem.
• 2026. gada 2. augusts: sāka piemērot 50. panta pārredzamības pienākumus: lietotājam jāpaziņo, ka viņš mijiedarbojas ar MI sistēmu, sintētiskais saturs jāmarķē, jāinformē par emociju atpazīšanu un biometrisko kategorizēšanu, un dziļviltojumi jāapzīmē.
• 2027. gada 2. decembris: augsta riska pienākumi patstāvīgām sistēmām pēc digitālā omnibusa. Padome un Parlaments vienojās par atlikšanu 2026. gada maijā, un galīgo apstiprinājumu tā saņēma 2026. gada jūnijā.
• 2028. gada 2. augusts: augsta riska pienākumi MI sistēmām, kas iebūvētas regulētos produktos.

Ja esat augsta riska sistēmas nodrošinātājs, atlikšana deva aptuveni sešpadsmit mēnešus. Darba tā nesamazināja un neatlika divus pienākumus, kas jau ir spēkā: 50. panta pārredzamību un MI pratību darbiniekiem, kas šīs sistēmas izmanto.

Ko mēs izstrādājam

Tehniskā dokumentācija kā ģenerēts artefakts

IV pielikumā noteikts, kas jāietver tehniskajā dokumentācijā: sistēmas apraksts, projektēšanas izvēles, arhitektūra, prasības datiem, apmācības metodoloģija (ja piemērojams), validācijas un testēšanas procedūras, metrikas, riska pārvaldības pasākumi un dzīves cikla laikā veiktās izmaiņas.

Ar roku rakstīts, šis dokuments ir novecojis jau nedēļu pēc parakstīšanas. Mēs to veidojam kā kaut ko, ko rada jūsu konveijers (pipeline): modeļu kartītes un datu lapas, kas ģenerētas no apmācības un novērtēšanas palaidieniem, arhitektūras un datu plūsmu apraksti, kas tiek uzturēti kopā ar kodu, novērtēšanas rezultāti, kas piesaistīti versijai, kuru tie apraksta, un izmaiņu vēsture, kas nāk no jūsu versiju kontroles, nevis no kāda atmiņas. Dokuments kļūst par būvējuma rezultātu.

Automātiska žurnalēšana, kas atbilst 12. pantam

Augsta riska sistēmām visā to darbības laikā jāveic automātiska žurnalēšana tādā līmenī, kas ļauj izsekot to darbībai un veikt pēctirgus uzraudzību, ar nolūkam atbilstošu glabāšanas termiņu, dažos gadījumos vismaz sešus mēnešus.

Praksē tas nozīmē izlemt, kas jūsu sistēmā ir „notikums“, fiksēt ievaddatus, izvaddatus, modeļa versiju, lēmuma ceļu un iesaistītā cilvēka identitāti, glabāt to formā, ko var vaicāt arī pēc gadiem, un darīt to, neuzkrājot personas datus, kuru glabāšanai jums nav pamata. Šī spriedze (žurnalēt pietiekami MI aktam, glabāt pietiekami maz VDAR) ir īstā projektēšanas problēma, un mēs to apzināti risinām kopā ar jūsu datu aizsardzības speciālistiem.

Datu pārvaldība saskaņā ar 10. pantu

Apmācības, validēšanas un testēšanas datu kopām jābūt atbilstošām, pietiekami reprezentatīvām un, cik vien iespējams, bez kļūdām un pilnīgām, kā arī pārbaudītām attiecībā uz neobjektivitāti. Lai to izpildītu, vajadzīga datu izcelsmes izsekojamība, ko varat parādīt, dokumentēta izcelsme, neobjektivitātes novērtēšanas metodoloģija ar rezultātiem un iespēja reproducēt, kuri dati radīja kuru modeļa versiju.

Mēs izstrādājam konveijeru, kas padara šos apgalvojumus pārbaudāmus, nevis tikai iecerētus: versiju kontrolē esošas datu kopas, reproducējami sadalījumi, automatizētas datu kvalitātes pārbaudes un neobjektivitātes novērtēšana pēc jūsu lietojuma gadījumam būtiskajām aizsargātajām pazīmēm.

Cilvēka virsuzraudzība: izstrādāta, nevis deklarēta

14. pants prasa, lai augsta riska sistēmas būtu projektētas tā, lai cilvēks varētu saprast izvaddatus, apzināties automatizācijas neobjektivitāti, pareizi interpretēt rezultātu, nolemt to neizmantot un iejaukties vai apturēt sistēmu.

Tā ir lietotāja saskarnes specifikācija. Mēs iebūvējam virsuzraudzību produktā: pārliecības un nenoteiktības līmenis tiek godīgi parādīts, faktori, kas ietekmējuši rezultātu, ir redzami, lēmuma ignorēšana ir tikpat vienkārša kā pieņemšana, apturēšanas vadība darbojas, un katra ignorēšana tiek žurnalēta, lai pēctirgus uzraudzībai būtu no kā mācīties.

Pēctirgus uzraudzība un ziņošana par incidentiem

Ir nepieciešams uzraudzības plāns, kā arī ziņošana par nopietniem incidentiem attiecīgajai iestādei. Mēs izstrādājam telemetriju, kas to nodrošina: veiktspējas izsekošana pēc jūsu dokumentācijā norādītajām metrikām, ievaddatu un izvaddatu novirzes noteikšana, kanāls lietotāju ziņotām problēmām, kas sasniedz izstrādātājus, un incidentu darbplūsma, kurā termiņu prasības ir iebūvētas, nevis tiek atklātas incidenta laikā.

50. panta pārredzamības pienākumi

Jau spēkā. Paziņojums, ka lietotājs saskaras ar MI sistēmu, mašīnlasāms sintētiska audio, attēlu, video un teksta marķējums, dziļviltojumu apzīmēšana un informēšana par emociju atpazīšanu. Mēs ieviešam paziņojumu saskarnes un satura izcelsmes marķējumu (C2PA satura akreditācijas datus, ja tas ir pareizais mehānisms) un panākam, ka tie saglabājas arī eksporta un pārkodēšanas ceļos, kas tos parasti izdzēš.

Atbalsts reģistrācijai un atbilstībai

Augsta riska sistēmas III pielikuma jomās pirms laišanas tirgū jāreģistrē ES datubāzē, un nodrošinātājiem jāveic atbilstības novērtēšana. Mēs sagatavojam tehniskos ievaddatus (dokumentāciju, pierādījumu paketi, kvalitātes vadības sistēmas artefaktus inženiertehniskajā pusē) un strādājam kopā ar jūsu paziņoto struktūru vai iekšējo novērtēšanas procesu.

Kas tas nav

Mēs nesniedzam juridiskas konsultācijas un nesakām, kurā riska līmenī ir jūsu sistēma. Šis ir juridisks lēmums ar reālām sekām, un tas pieder juristiem vai kvalificētam atbilstības konsultantam.

Mēs arī nepārdodam MI pārvaldības platformu. Tādu ir daudz, un, ja jums vajadzīgs MI sistēmu reģistrs un politiku darbplūsma, kāda no tām jums kalpos labāk nekā mēs. Mēs darām inženiertehnisko darbu pašās sistēmās.

Kam tas paredzēts

Augsta riska MI sistēmu nodrošinātājiem saskaņā ar III pielikumu (personāla atlase un darbinieku vadība, kredītspējas novērtēšana, apdrošināšanas cenu noteikšana, izglītības novērtēšana, tiesības uz pamatpakalpojumiem, biometriskās sistēmas), kuriem tagad ir laiks līdz 2027. gada decembrim un daudz kas jāizstrādā.

Ražotājiem, kas iebūvē MI regulētos produktos (medicīniskās ierīces, mašīnas, transportlīdzekļi), kur MI akts papildina jau esošu atbilstības režīmu un abām dokumentācijas kopām jāsaskan.

Uzņēmumiem, kas izmanto no citiem iegādātas augsta riska sistēmas un kuriem ir savi pienākumi: cilvēka virsuzraudzība, ievaddatu atbilstība, uzraudzība un žurnālu glabāšana.

Ikvienam, kas piedāvā ģeneratīvas funkcijas ES lietotājiem, jo 50. panta pārredzamības prasības jau šodien ir piemērojamas neatkarīgi no riska līmeņa.

Kā notiek sadarbība

Tehnisko nepilnību novērtējums, divas līdz četras nedēļas. Mēs ņemam klasifikāciju, pie kuras nonākusi jūsu juristu komanda, un novērtējam jūsu sistēmas pret inženiertehniskajiem pienākumiem, kas no tās izriet. Rezultāts ir nepilnību reģistrs (pienākums, pašreizējais stāvoklis, kas jāizstrādā, darbietilpība), ar ko var strādāt gan jūsu atbilstības, gan izstrādes vadītāji.

Izstrāde pa posmiem, parasti sākot ar žurnalēšanu un dokumentācijas ģenerēšanu, jo viss pārējais rada pierādījumus, kuriem kaut kur jānonāk.

Gatavības pārskats pirms atbilstības novērtēšanas, ar sagatavotu pierādījumu paketi un godīgi nosauktām atlikušajām nepilnībām.

Standarti un sistēmas

Regula (ES) 2024/1689 un tās III un IV pielikums; saskaņotie standarti, kas top CEN/CENELEC JTC 21; ISO/IEC 42001 MI pārvaldības sistēmām un ISO/IEC 23894 MI riska pārvaldībai; NIST AI Risk Management Framework, ja ASV mātesuzņēmumam vajadzīga saskaņotība; un VDAR, kas nekur nepazūd un ierobežo lielāko daļu žurnalēšanas lēmumu.

Biežāk uzdotie jautājumi

Vai MI akta piemērošana ir atlikta?

Daļēji. Digitālais omnibuss atlika augsta riska pienākumus līdz 2027. gada 2. decembrim patstāvīgām sistēmām un līdz 2028. gada 2. augustam MI, kas iebūvēts regulētos produktos. Aizliegtās prakses, MI pratība, vispārīga lietojuma MI modeļu pienākumi un 50. panta pārredzamības noteikumi netika atlikti un ir spēkā jau tagad.

Mēs izmantojam tikai citu izstrādātas MI sistēmas. Vai mums ir pienākumi?

Jā, kā uzturētājam. Tie ietver sistēmas izmantošanu atbilstoši tās lietošanas instrukcijai, cilvēka virsuzraudzības uzticēšanu cilvēkiem, kuriem ir vajadzīgā kompetence un pilnvaras, nodrošināšanu, ka ievaddati atbilst paredzētajam nolūkam, darbības uzraudzību un žurnālu glabāšanu. Tie ir vieglāki nekā nodrošinātāja pienākumi, taču reāli. Ņemiet vērā arī to, ka būtiska sistēmas pārveidošana vai sava nosaukuma likšana uz tās var padarīt jūs par nodrošinātāju.

Mūsu sistēma nav augsta riska sistēma. Vai mums kas jādara?

Visticamāk, divas lietas. 50. panta pārredzamības prasības noteiktām sistēmām piemēro neatkarīgi no riska līmeņa, tostarp tērzēšanas robotiem un sintētiska satura ģenerēšanai. Un 4. panta MI pratības prasības kopumā attiecas uz nodrošinātājiem un uzturētājiem. Turklāt ir vērts spēt pierādīt savu klasifikācijas lēmumu, ja uzraudzības iestāde kādreiz to pajautā.

Vai tehnisko dokumentāciju tiešām var ģenerēt?

Lielāko daļu, jā. Arhitektūra, datu kopu apraksti, novērtēšanas rezultāti, metrikas, modeļu versijas un izmaiņu vēsture jau ir jūsu sistēmās; darbs ir tos būvēšanas laikā fiksēt stabilā struktūrā. Patiešām aprakstošās sadaļas (paredzētais nolūks, riska analīze, projektēšanas pamatojums) raksta cilvēki, un tās glabā tajā pašā repozitorijā, lai to versijas mainītos kopā ar visu pārējo.

Kā MI akts mijiedarbojas ar VDAR?

Tie pārklājas un dažkārt velk pretējos virzienos, īpaši attiecībā uz žurnalēšanu. MI akts prasa izsekojamību; VDAR prasa minimizēšanu un dzēšanu. Risinājums parasti ir pseidonimizācija, rūpīga izvēle par to, ko žurnalēt, un noteikts glabāšanas termiņš, kas piesaistīts dokumentētam nolūkam. Tas ir projektēšanas lēmums, ko pieņem vienreiz un apzināti.

Vai trešās puses modeļa izmantošana padara mūs par šī modeļa nodrošinātāju?

Nē, taču MI sistēmas izveide uz tā pamata var padarīt jūs par šīs sistēmas nodrošinātāju ar visiem pienākumiem, kas uz to attiecas. Kur ir robeža, atkarīgs no tā, ko jūs izstrādājat un kā to piedāvājat, un tas ir juridisks jautājums. Inženiertehniskās sekas ir tādas, ka jums jebkurā gadījumā jārēķinās ar savas sistēmas dokumentācijas nepieciešamību.

Sāciet

Pastāstiet mums, ko dara jūsu sistēmas un pie kādas klasifikācijas nonākuši jūsu juridiskie konsultanti. Mēs novērtēsim, ko šie pienākumi nozīmē kodā, un sniegsim nepilnību reģistru ar darbietilpību katrai pozīcijai.

Sazinieties ar mums, lai pieteiktu MI akta tehnisko nepilnību novērtējumu.

Saistītie pakalpojumi

• MI aģentu izstrāde un MCP integrācija: to sistēmu izstrāde, ko šis regulējums aptver
• Izstrāde ienākšanai ES tirgū: plašāks ES digitālās atbilstības kopums
• Tīmekļa piekļūstamības nepilnību novēršana: otrs ES pienākums, kas izrādās inženiertehnisks projekts