Milyen dokumentáció bizonyítja utólag, hogy az AI-rendszerünk nem magas kockázatú?
A 6. cikk (4) szerinti, a piacra helyezés előtt keletkezett besorolási értékelés, a 49. cikk (2) szerinti EU-adatbázis-regisztráció, és az ezeket alátámasztó, nyomon követhető bizonyítékok. A kulcs a datáltság és az előzetesség: az utólag gyártott indokolást a hatóság nem fogadja el. Egyetlen aláírt döntés helyett folyamatot kell tudni felmutatni.
Egy védhető besorolási dosszié minimuma: rendszerazonosítás (megnevezés, verzió, szolgáltató, a rendeltetés pontos leírása és az ésszerűen előrelátható rendeltetésellenes használat); hatályvizsgálat arról, miért AI-rendszer vagy miért nem; az I. és III. melléklet pontonkénti leképezése, beleértve azokat is, amelyeket kizártak; a 6. cikk (3) elemzés a jelentős kockázat és a döntés érdemi befolyásolása tesztjére.
Két elem, amit a gyakorlatban a legtöbbször kihagynak. Az egyik a profilalkotási negatív nyilatkozat: kifejezett megállapítás arról, hogy a rendszer nem végez a GDPR 4. cikk 4. pontja szerinti profilalkotást — ez ugyanis abszolút kizáró ok, mellette a négy mentesülési eset egyike sem működik. A másik az eljárási nyomvonal: dátum, felelős személy, jóváhagyás, verziókövetés és felülvizsgálati trigger.
Alátámasztó bizonyítékként architektúra- és adatfolyamábra, promptok vagy konfiguráció, tesztelési eredmények és az emberi felülvizsgálati pont leírása szolgál. Ha a rendszer alapjogokat érintő kontextusban működik, érdemes a 27. cikk szerinti alapjogi hatásvizsgálat és a GDPR 35. cikk szerinti DPIA logikáját is felhasználni — nem azért, mert kötelező, hanem mert ugyanazt a bizonyítási hiányt tölti ki.
A dokumentált képzés az, ami igazolható
A 4. cikk gondossági kötelem: nem a tudás önmagában számít, hanem hogy a cég bizonyíthatóan tett érte. Az alapcsomagunkkal ez ingyen elkezdhető.
Ingyenes kezdésKapcsolódó kérdések
- Hogyan dokumentáljuk az AI kockázati besorolását?
- Mit kér a hatóság a nem magas kockázatú besoroláshoz?
- Elég-e egy belső feljegyzés a besorolásról?
- Mikor kell frissíteni a besorolási dokumentációt?
- Kell-e regisztrálni az önmentesített AI-rendszert?
- Mit jelent a profilalkotási negatív nyilatkozat?
- Ki írja alá a besorolási dokumentumot a cégnél?
Tovább a tudásbázisban
- Mikor nem magas kockázatú egy olyan AI-rendszer, amely a III. melléklet alá esne?Akkor, ha nem jelent jelentős kockázatot az egészségre, a biztonságra vagy az alapvető jogokra, és teljesül a 6. cikk (3) négy esete közül legalább egy: szűk eljárási feladat, befejezett emberi tevékenység eredményének javítása, döntési minták észlelése emberi felülvizsgálat mellett, vagy előkészítő feladat. Profilalkotásnál viszont ez a kiút zárva van.
- Hogyan soroljuk be az AI-rendszerünket lépésről lépésre úgy, hogy a hatóság előtt is védhető legyen?Hét lépéses, dokumentált döntési fa vezet védhető eredményre: hatály, AI-rendszer-e, szerepkör, tiltott-e, I. melléklet, III. melléklet, végül a 6. cikk (3) szűrő és az 50. cikk átfedése. A védhetőséget nem a következtetés adja, hanem hogy minden csomóponthoz van datált, aláírt indokolás és verziókövetés. A hatóság a folyamatot kéri, nem a végeredményt.
- Ki, mit és mikor regisztrál az EU AI-adatbázisában?A III. melléklet szerinti magas kockázatú rendszereknél a szolgáltató a piacra hozatal előtt regisztrálja magát és a rendszert az uniós adatbázisban. A 6. cikk (3) alapján önmentesítő szolgáltatónak is regisztrálnia kell — ez a rendelet egyik legkevésbé ismert csapdája. A közhatalmi alkalmazók saját magukat és a használatot is regisztrálják.
- Hogyan dokumentálható és bizonyítható az AI-jártassági megfelelés egy hatósági vizsgálatnál?Előírt dokumentációs forma nincs, ezért a bizonyítás szabad. A gyakorlatban az bizonyít, ami a mérlegelés folyamatát és annak végrehajtását együtt mutatja, nem a puszta jelenléti ív. Négy réteg együttese ad érdemi választ: AI-rendszerleltár, szerepkör-kockázat leképezés, a végrehajtás bizonyítéka, és a karbantartás nyoma.