Art. 26. Obowiązki podmiotów stosujących systemy AI wysokiego ryzyka #

Artykuł ustanawia katalog obowiązków podmiotu stosującego system AI wysokiego ryzyka: podjęcie odpowiednich środków technicznych i organizacyjnych, aby system był wykorzystywany zgodnie z dołączoną do niego instrukcją obsługi (ust. 1), powierzenie nadzoru ze strony człowieka osobom mającym niezbędne kompetencje, przeszkolenie, uprawnienia i wsparcie (ust. 2), kontrolę adekwatności i wystarczającej reprezentatywności danych wejściowych w zakresie, w jakim podmiot stosujący ma nad nimi kontrolę (ust. 4), monitorowanie działania systemu z obowiązkiem informowania dostawcy, a przy poważnym incydencie także właściwego organu nadzoru rynku (ust. 5), oraz przechowywanie generowanych automatycznie rejestrów zdarzeń przez co najmniej sześć miesięcy, chyba że inny przepis każe dłużej (ust. 6). Naruszenie tych obowiązków podlega administracyjnej karze pieniężnej w wysokości do 15 000 000 EUR lub do 3% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa (art. 99 ust. 4 lit. e). Obowiązki te stosuje się od 2 sierpnia 2026 r.2

Obowiązki z ust. 1 i 2 nie zwalniają podmiotu stosującego z innych obowiązków wynikających z prawa Unii lub prawa krajowego i pozostawiają mu swobodę organizowania własnych zasobów przy wdrażaniu środków nadzoru wskazanych przez dostawcę (ust. 3). Wynika z tego rozgraniczenie ról: dostawca projektuje system i pisze instrukcję obsługi, podmiot stosujący odpowiada za użycie systemu zgodnie z tą instrukcją. Przed oddaniem systemu do użytku w miejscu pracy pracodawca informuje o tym pracowników, których to dotyczy, oraz ich przedstawicieli (ust. 7). Podmioty stosujące będące organami publicznymi mają dodatkowo obowiązek rejestracji w unijnej bazie danych (art. 49) i nie mogą stosować systemu, który nie został w niej zarejestrowany (ust. 8), a informacje otrzymane od dostawcy na podstawie art. 13 wykorzystują, w stosownych przypadkach, do przeprowadzenia oceny skutków dla ochrony danych (ust. 9). Organ nadzoru rynku właściwy w Polsce dla poszczególnych sektorów wynika z ustawy krajowej wdrażającej rozporządzenie; na dzień sprawdzenia tego komentarza polska ustawa nie była jeszcze uchwalona, więc krajowy organ nadzoru rynku nie został formalnie wyznaczony.

Sporne pozostaje, jak godzić obowiązek przechowywania rejestrów zdarzeń z zasadami ochrony danych osobowych. Ustęp 6 każe przechowywać rejestry przez co najmniej sześć miesięcy, chyba że prawo Unii lub prawo krajowe, w szczególności dotyczące ochrony danych osobowych, nie stanowi inaczej. Jedno stanowisko czyta ten zapis jako sztywne minimum, po upływie którego dane powinny zostać usunięte zgodnie z zasadą minimalizacji i ograniczenia przechowywania. Drugie stanowisko przyjmuje, że okres ten trzeba wydłużyć ponad sześć miesięcy, jeżeli jest to potrzebne do wykazania zgodności z rozporządzeniem albo do obrony przed roszczeniem, co samo prawo o ochronie danych dopuszcza jako odrębną podstawę przetwarzania. Przepis tej granicy sam nie rozstrzyga.3

W urzędzie rozsądnym punktem wyjścia jest najpierw ustalić, które z używanych narzędzi w ogóle kwalifikują się jako systemy AI wysokiego ryzyka w rozumieniu załącznika III do rozporządzenia, bo dopiero wtedy aktualizują się obowiązki z art. 26. Następnie warto wyznaczyć konkretną osobę odpowiedzialną za nadzór ludzki, z opisanym zakresem kompetencji i czasem faktycznie przeznaczonym na tę funkcję, oraz założyć prosty rejestr zdarzeń i zgłoszeń, zanim pojawi się pierwszy przypadek wymagający zgłoszenia dostawcy lub organowi. Udokumentowanie tych kroków od początku jest tańsze niż odtwarzanie ich po fakcie, gdy o zgodność zapyta organ nadzoru rynku.