EU AI Act
повний текст українською

(1)

Метою цього Регламенту є покращення функціонування внутрішнього ринку шляхом встановлення єдиної правової бази, зокрема для розроблення, виведення на ринок, введення в експлуатацію та використання систем штучного інтелекту (системи ШІ) в Союзі, відповідно до цінностей Союзу, для сприяння впровадженню орієнтованого на людину та заслуговуючого довіри штучного інтелекту (ШІ) при забезпеченні високого рівня захисту здоров'я, безпеки, основоположних прав, закріплених у Хартії основних прав Європейського Союзу (Хартія), включаючи демократію, верховенство права та охорону навколишнього середовища, з метою захисту від шкідливих наслідків систем штучного інтелекту в Союзі та підтримки інновацій. Цей Регламент забезпечує вільне транскордонне переміщення товарів та послуг на основі ШІ, тим самим перешкоджаючи державам-членам запроваджувати обмеження на розроблення, збут та використання систем штучного інтелекту, якщо це прямо не дозволено цим Регламентом.

(2)

Цей Регламент має застосовуватися відповідно до цінностей Союзу, закріплених у Хартії, сприяючи захисту фізичних осіб, підприємств, демократії, верховенства права та охорони навколишнього середовища, одночасно стимулюючи інновації та зайнятість і роблячи Союз лідером у впровадженні надійного ШІ.

(3)

Системи штучного інтелекту можуть легко впроваджуватись у великій кількості секторів економіки та багатьох сферах суспільства, у тому числі транскордонно, і можуть легко обертатися по всьому Союзу. Деякі держави-члени вже вивчили можливість прийняття національних правил для забезпечення надійності та безпечності ШІ та його розроблення й використання відповідно до зобов'язань у сфері основних прав. Розбіжності в національних правилах можуть призвести до фрагментації внутрішнього ринку та можуть зменшити правову визначеність для суб'єктів, що розробляють, імпортують або використовують системи штучного інтелекту. Тому для досягнення надійного ШІ слід забезпечити послідовний та високий рівень захисту в усьому Союзі, тоді як розбіжності, що перешкоджають вільному обігу, інноваціям, розгортанню та впровадженню систем штучного інтелекту та пов'язаних продуктів і послуг на внутрішньому ринку, слід запобігти шляхом встановлення єдиних зобов'язань для суб'єктів та гарантування єдиного захисту першочергових підстав публічного інтересу та прав осіб на всьому внутрішньому ринку на підставі статті 114 Договору про функціонування Європейського Союзу (ДФЄС). Тією мірою, якою цей Регламент містить спеціальні правила щодо захисту осіб стосовно обробки персональних даних щодо обмежень використання систем штучного інтелекту для дистанційної біометричної ідентифікації з правоохоронною метою, використання систем штучного інтелекту для оцінки ризиків фізичних осіб з правоохоронною метою та використання систем штучного інтелекту для біометричної категоризації з правоохоронною метою, доцільно базувати цей Регламент, оскільки ці спеціальні правила стосуються, на статті 16 ДФЄС. З огляду на ці спеціальні правила та звернення до статті 16 ДФЄС, доцільно проконсультуватися з Європейською радою захисту даних.

(4)

ШІ — це сімейство технологій, що швидко розвивається, яке сприяє широкому спектру економічних, екологічних та суспільних переваг у всьому спектрі галузей і соціальної діяльності. Завдяки вдосконаленню прогнозування, оптимізації операцій та розподілу ресурсів, а також персоналізації цифрових рішень, доступних для фізичних осіб та організацій, використання ШІ може надати підприємствам ключові конкурентні переваги та підтримати соціально та екологічно корисні результати, наприклад, в охороні здоров'я, сільському господарстві, безпечності харчових продуктів, освіті та навчанні, засобах масової інформації, спорті, культурі, управлінні інфраструктурою, енергетиці, транспорті та логістиці, публічних послугах, безпеці, правосудді, ресурсній та енергетичній ефективності, екологічному моніторингу, збереженні та відновленні біорізноманіття та екосистем, а також пом'якшенні наслідків зміни клімату та адаптації до них.

(5)

Водночас, залежно від обставин конкретного застосування, використання та рівня технологічного розвитку, ШІ може генерувати ризики та завдавати шкоди суспільним інтересам та основоположним правам, що захищаються правом Союзу. Така шкода може бути матеріальною або нематеріальною, включаючи фізичну, психологічну, соціальну або економічну шкоду.

(6)

З огляду на значний вплив, який ШІ може мати на суспільство, та необхідність формування довіри, вкрай важливо, щоб ШІ та його регуляторна база розвивалися відповідно до цінностей Союзу, закріплених у статті 2 Договору про Європейський Союз (ДЄС), основоположних прав та свобод, закріплених у Договорах, та відповідно до статті 6 ДЄС — у Хартії. Як передумова, ШІ має бути орієнтованою на людину технологією. Він має служити інструментом для людей, кінцевою метою якого є підвищення добробуту людини.

(7)

З метою забезпечення послідовного та високого рівня захисту публічних інтересів щодо здоров'я, безпеки та основоположних прав слід встановити спільні правила для високоризикових систем штучного інтелекту. Ці правила мають відповідати Хартії, бути недискримінаційними та відповідати міжнародним торговельним зобов'язанням Союзу. Вони також мають враховувати Європейську декларацію про цифрові права та принципи для цифрового десятиліття та Керівні принципи етики для надійного ШІ Групи експертів високого рівня з питань штучного інтелекту (AI HLEG).

(8)

Тому необхідна правова база Союзу, що встановлює гармонізовані правила щодо ШІ, для сприяння розробленню, використанню та впровадженню ШІ на внутрішньому ринку, яка водночас відповідає високому рівню захисту публічних інтересів, таких як здоров'я та безпека, а також захист основоположних прав, включаючи демократію, верховенство права та охорону навколишнього середовища, як це визнано та захищено законодавством Союзу. Для досягнення цієї мети слід встановити правила, що регулюють виведення на ринок, введення в експлуатацію та використання певних систем штучного інтелекту, тим самим забезпечуючи безперебійне функціонування внутрішнього ринку та дозволяючи цим системам користуватися принципом вільного переміщення товарів та послуг. Ці правила мають бути чіткими та надійними у захисті основоположних прав, підтримувати нові інноваційні рішення, сприяти розвитку європейської екосистеми державних та приватних суб'єктів, що створюють системи штучного інтелекту відповідно до цінностей Союзу, та розкривати потенціал цифрової трансформації в усіх регіонах Союзу. Встановлюючи ці правила, а також заходи на підтримку інновацій з особливим акцентом на малі та середні підприємства (МСП), включаючи стартапи, цей Регламент підтримує мету просування європейського орієнтованого на людину підходу до ШІ та бути світовим лідером у розробленні безпечного, надійного та етичного ШІ, як зазначено Європейською Радою (5), і забезпечує захист етичних принципів, як це спеціально вимагав Європейський Парламент (6).

(9)

Гармонізовані правила щодо введення на ринок, введення в експлуатацію та використання систем ШІ з високим ступенем ризику мають встановлюватися у відповідності з Регламентом (ЄС) № 765/2008 Європейського Парламенту і Ради (7), Рішенням № 768/2008/ЄС Європейського Парламенту і Ради (8) та Регламентом (ЄС) 2019/1020 Європейського Парламенту і Ради (9) (Новий законодавчий каркас). Гармонізовані правила, встановлені цим Регламентом, мають застосовуватися в різних секторах і, відповідно до Нового законодавчого каркаса, не повинні порушувати чинне право Союзу, зокрема у сферах захисту даних, захисту прав споживачів, основоположних прав, зайнятості та захисту працівників і безпечності продукції, яке цей Регламент доповнює. Отже, всі права та засоби правового захисту, передбачені таким правом Союзу для споживачів та інших осіб, на яких системи ШІ можуть негативно впливати, включаючи відшкодування можливої шкоди згідно з Директивою Ради 85/374/ЄЕС (10) залишаються незміненими та повністю застосовними. Крім того, у контексті зайнятості та захисту працівників цей Регламент не повинен впливати на право Союзу у сфері соціальної політики та на національне трудове право, що відповідає праву Союзу, стосовно умов зайнятості та праці, включаючи охорону здоров’я та безпеку на виробництві, а також відносини між роботодавцями та працівниками. Цей Регламент також не повинен впливати на реалізацію основоположних прав, визнаних у державах-членах та на рівні Союзу, включаючи право або свободу страйкувати чи вживати інших заходів, передбачених конкретними системами трудових відносин у державах-членах, а також право вести переговори, укладати та виконувати колективні договори або вживати колективних заходів відповідно до національного законодавства. Цей Регламент не повинен стосуватися положень, спрямованих на покращення умов праці у платформній зайнятості, встановлених Директивою Європейського Парламенту і Ради про покращення умов праці у платформній зайнятості. Більше того, цей Регламент прагне посилити ефективність таких існуючих прав та засобів правового захисту шляхом встановлення конкретних вимог та зобов’язань, у тому числі щодо прозорості, технічної документації та ведення обліку систем ШІ. Крім того, зобов’язання, що покладаються цим Регламентом на різних операторів, задіяних у ланцюгу цінності ШІ, мають застосовуватися без шкоди для національного законодавства, що відповідає праву Союзу, яке обмежує використання певних систем ШІ, якщо таке законодавство виходить за межі сфери застосування цього Регламенту або переслідує законні цілі в сфері суспільних інтересів, відмінні від тих, що переслідуються цим Регламентом. Наприклад, національне трудове законодавство та законодавство про захист неповнолітніх, тобто осіб, молодших 18 років, з урахуванням Загального коментаря № 25 (2021) Комітету ООН з прав дитини щодо прав дітей у цифровому середовищі, оскільки вони не є специфічними для систем ШІ та переслідують інші законні цілі суспільного інтересу, не повинні зазнавати впливу цього Регламенту.

(10)

Основоположне право на захист персональних даних забезпечується зокрема Регламентами (ЄС) 2016/679 (11) та (ЄС) 2018/1725 (12) Європейського Парламенту і Ради та Директивою (ЄС) 2016/680 Європейського Парламенту і Ради (13). Директива 2002/58/ЄС Європейського Парламенту і Ради (14) додатково захищає приватне життя та конфіденційність комунікацій, у тому числі шляхом встановлення умов будь-якого зберігання персональних і неперсональних даних у кінцевому обладнанні та доступу до них з нього. Ці правові акти Союзу забезпечують основу для стійкої та відповідальної обробки даних, включаючи випадки, коли набори даних містять суміш персональних і неперсональних даних. Цей Регламент не прагне вплинути на застосування чинного права Союзу, що регулює обробку персональних даних, включаючи завдання та повноваження незалежних наглядових органів, компетентних здійснювати нагляд за дотриманням цих інструментів. Він також не стосується зобов’язань постачальників та операторів систем ШІ у їх ролі контролерів або обробників даних, що випливають із права Союзу або національного законодавства про захист персональних даних, оскільки проєктування, розробка або використання систем ШІ пов’язані з обробкою персональних даних. Також доцільно уточнити, що суб’єкти даних продовжують користуватися всіма правами та гарантіями, наданими їм таким правом Союзу, включаючи права, пов’язані виключно з автоматизованим індивідуальним прийняттям рішень, у тому числі профілюванням. Гармонізовані правила щодо введення на ринок, введення в експлуатацію та використання систем ШІ, встановлені цим Регламентом, мають сприяти ефективному виконанню та забезпечувати реалізацію прав суб’єктів даних та інших засобів правового захисту, гарантованих правом Союзу про захист персональних даних та інших основоположних прав.

(11)

Цей Регламент не повинен порушувати положення щодо відповідальності постачальників посередницьких послуг, викладені в Регламенті (ЄС) 2022/2065 Європейського Парламенту і Ради (15).

(12)

Поняття «система ШІ» в цьому Регламенті має бути чітко визначене та тісно узгоджене з роботою міжнародних організацій, що займаються питаннями ШІ, для забезпечення правової визначеності, сприяння міжнародному зближенню та широкого визнання, при цьому зберігаючи гнучкість для врахування стрімких технологічних змін у цій сфері. Крім того, визначення має ґрунтуватися на ключових характеристиках систем ШІ, що відрізняють їх від простіших традиційних програмних систем або підходів до програмування, і не повинно охоплювати системи, що базуються виключно на правилах, визначених фізичними особами для автоматичного виконання операцій. Ключовою характеристикою систем ШІ є їхня здатність робити висновки. Ця здатність робити висновки означає процес отримання результатів, таких як прогнози, контент, рекомендації або рішення, що можуть впливати на фізичні та віртуальні середовища, а також здатність систем ШІ виводити моделі або алгоритми, або те й інше, на основі вхідних даних або даних. Методи, що уможливлюють виведення при побудові системи ШІ, включають підходи машинного навчання, що дозволяють навчатися за даними для досягнення певних цілей, а також підходи на основі логіки та знань, що виводять результати із закодованих знань або символічного представлення задачі, яку потрібно вирішити. Здатність системи ШІ робити висновки виходить за межі базової обробки даних, уможливлюючи навчання, міркування або моделювання. Термін «машинно-орієнтований» означає, що системи ШІ функціонують на машинах. Посилання на явні або неявні цілі підкреслює, що системи ШІ можуть функціонувати відповідно до явно визначених або неявних цілей. Цілі системи ШІ можуть відрізнятися від передбачуваного призначення системи ШІ в конкретному контексті. Для цілей цього Регламенту під середовищами слід розуміти контексти, в яких функціонують системи ШІ, тоді як результати, генеровані системою ШІ, відображають різні функції, що виконуються системами ШІ, та включають прогнози, контент, рекомендації або рішення. Системи ШІ призначені для роботи з різними рівнями автономності, тобто вони мають певний ступінь незалежності дій від участі людини та здатності функціонувати без втручання людини. Адаптивність, яку система ШІ може виявляти після розгортання, означає здатність до самонавчання, що дозволяє системі змінюватися під час використання. Системи ШІ можуть використовуватися самостійно або як компонент продукту, незалежно від того, чи система фізично інтегрована у продукт (вбудована), чи забезпечує функціональність продукту, не будучи в нього інтегрованою (невбудована).

(13)

Поняття «оператор», що вживається в цьому Регламенті, слід тлумачити як будь-яку фізичну або юридичну особу, включаючи органи публічної влади, агентства або інші органи, що використовують систему ШІ під своїм керівництвом, за винятком випадків, коли система ШІ використовується в процесі особистої непрофесійної діяльності. Залежно від типу системи ШІ її використання може стосуватися осіб, відмінних від оператора.

(14)

Поняття «біометричні дані», що вживається в цьому Регламенті, слід тлумачити у світлі поняття біометричних даних, визначеного у статті 4, пункт (14) Регламенту (ЄС) 2016/679, статті 3, пункт (18) Регламенту (ЄС) 2018/1725 та статті 3, пункт (13) Директиви (ЄС) 2016/680. Біометричні дані можуть дозволяти автентифікацію, ідентифікацію або категоризацію фізичних осіб, а також розпізнавання емоцій фізичних осіб.

(15)

Поняття «біометрична ідентифікація», що вживається в цьому Регламенті, має визначатися як автоматичне розпізнавання фізичних, фізіологічних та поведінкових характеристик людини, таких як обличчя, рух очей, форма тіла, голос, просодія, хода, поза, частота серцевих скорочень, артеріальний тиск, запах, характеристики натискання клавіш, з метою встановлення особи індивіда шляхом порівняння біометричних даних цього індивіда зі збереженими біометричними даними осіб у референтній базі даних, незалежно від того, чи надав індивід свою згоду. Це виключає системи ШІ, призначені для біометричної верифікації, яка включає автентифікацію, єдиною метою якої є підтвердження того, що конкретна фізична особа є тією, за яку себе видає, та підтвердження особи фізичної особи виключно з метою отримання доступу до послуги, розблокування пристрою або отримання охоронного доступу до приміщень.

(16)

Поняття «біометрична категоризація», що вживається в цьому Регламенті, має визначатися як віднесення фізичних осіб до конкретних категорій на основі їхніх біометричних даних. Такі конкретні категорії можуть стосуватися аспектів, таких як стать, вік, колір волосся, колір очей, татуювання, поведінкові або особистісні риси, мова, релігія, приналежність до національної меншини, сексуальна або політична орієнтація. Це не включає системи біометричної категоризації, що є суто допоміжною функцією, нерозривно пов'язаною з іншою комерційною послугою, тобто функція, яка з об'єктивних технічних причин не може використовуватися без основної послуги, а інтеграція такої функції або функціональності не є засобом обходу застосовуваності норм цього Регламенту. Наприклад, фільтри, що категоризують риси обличчя або тіла, що використовуються на онлайн-ринках, можуть становити таку допоміжну функцію, оскільки вони можуть використовуватися лише у зв'язку з основною послугою, що полягає у продажу товару, дозволяючи споживачеві попередньо переглянути відображення товару на собі та допомогти споживачеві прийняти рішення про покупку. Фільтри, що використовуються в онлайн-сервісах соціальних мереж і категоризують риси обличчя або тіла, щоб дозволити користувачам додавати або змінювати зображення чи відео, також можуть вважатися допоміжною функцією, оскільки такий фільтр не може використовуватися без основної послуги сервісів соціальних мереж, що полягає у поширенні контенту онлайн.

(17)

Поняття «система дистанційної біометричної ідентифікації», що вживається в цьому Регламенті, має визначатися функціонально як система ШІ, призначена для ідентифікації фізичних осіб без їхньої активної участі, як правило, на відстані, шляхом порівняння біометричних даних особи з біометричними даними, що містяться в референтній базі даних, незалежно від конкретної технології, процесів або типів використовуваних біометричних даних. Такі системи дистанційної біометричної ідентифікації, як правило, використовуються для одночасного сприйняття кількох осіб або їхньої поведінки з метою суттєвого полегшення ідентифікації фізичних осіб без їхньої активної участі. Це виключає системи ШІ, призначені для біометричної верифікації, яка включає автентифікацію, єдиною метою якої є підтвердження того, що конкретна фізична особа є тією, за яку себе видає, та підтвердження особи фізичної особи виключно з метою отримання доступу до послуги, розблокування пристрою або отримання охоронного доступу до приміщень. Таке виключення виправдане тим, що такі системи, ймовірно, матимуть незначний вплив на основоположні права фізичних осіб порівняно з системами дистанційної біометричної ідентифікації, які можуть використовуватися для обробки біометричних даних великої кількості осіб без їхньої активної участі. У випадку систем «реального часу» захоплення біометричних даних, порівняння та ідентифікація відбуваються миттєво, майже миттєво або в будь-якому разі без значної затримки. У цьому відношенні не повинно бути можливості обходу норм цього Регламенту щодо використання «в реальному часі» відповідних систем ШІ шляхом передбачення незначних затримок. Системи «реального часу» передбачають використання матеріалів «в прямому ефірі» або «майже в прямому ефірі», таких як відеозаписи, що генеруються камерою або іншим пристроєм з аналогічною функціональністю. У випадку «постсистем», навпаки, біометричні дані вже захоплені, а порівняння та ідентифікація відбуваються лише після значної затримки. Це передбачає матеріали, такі як фотографії або відеозаписи, що генеруються камерами відеоспостереження або приватними пристроями, які були отримані до використання системи стосовно відповідних фізичних осіб.

(18)

Поняття «система розпізнавання емоцій», що вживається в цьому Регламенті, має визначатися як система ШІ з метою ідентифікації або виведення емоцій чи намірів фізичних осіб на основі їхніх біометричних даних. Це поняття охоплює такі емоції або наміри, як радість, смуток, гнів, подив, огида, збентеження, збудження, сором, презирство, задоволення та розвага. Воно не включає фізичні стани, такі як біль або втома, включаючи, наприклад, системи, що використовуються для виявлення стану втоми у пілотів-професіоналів або водіїв з метою запобігання нещасним випадкам. Воно також не включає просте виявлення явно виражених виразів обличчя, жестів або рухів, якщо вони не використовуються для ідентифікації або виведення емоцій. Такими виразами можуть бути базові вирази обличчя, такі як насуплений лоб або посмішка, або жести, такі як рух рук, рук або голови, або характеристики голосу людини, такі як підвищений голос або шепіт.

(19)

Для цілей цього Регламенту поняття «загальнодоступний простір» слід розуміти як посилання на будь-який фізичний простір, доступний для невизначеної кількості фізичних осіб, незалежно від того, чи є відповідний простір приватним або публічним, незалежно від діяльності, для якої він може використовуватися, наприклад для торгівлі — магазини, ресторани, кафе; для послуг — банки, професійна діяльність, готельний бізнес; для спорту — плавальні басейни, спортивні зали, стадіони; для транспорту — автобусні, метро- та залізничні станції, аеропорти, транспортні засоби; для розваг — кінотеатри, театри, музеї, концертні та конференц-зали; або для дозвілля чи інших цілей — громадські дороги та площі, парки, ліси, ігрові майданчики. Простір також слід класифікувати як загальнодоступний, якщо незалежно від можливих обмежень щодо місткості або безпеки доступ до нього підпорядковується певним заздалегідь визначеним умовам, які може виконати невизначена кількість осіб, наприклад придбання квитка або проїзного документа, попередня реєстрація або досягнення певного віку. Навпаки, простір не слід вважати загальнодоступним, якщо доступ до нього обмежений конкретними та визначеними фізичними особами відповідно до права Союзу або національного права, безпосередньо пов'язаного з публічною безпекою або охороною, або шляхом явного виявлення волі особою, що має відповідні повноваження щодо цього простору. Лише фактична можливість доступу, наприклад незамкнені двері або відкрита хвіртка в огорожі, не означає, що простір є загальнодоступним за наявності ознак або обставин, що свідчать про протилежне, наприклад знаків, що забороняють або обмежують доступ. Приміщення підприємств і заводів, а також офіси та робочі місця, до яких призначений доступ лише для відповідних працівників і постачальників послуг, є просторами, що не є загальнодоступними. Загальнодоступні простори не повинні включати в'язниці або прикордонний контроль. Деякі інші простори можуть включати як загальнодоступні, так і незагальнодоступні простори, наприклад вестибюль приватного житлового будинку, необхідного для доступу до лікарського кабінету або аеропорту. Онлайн-простори не охоплюються, оскільки вони не є фізичними просторами. Однак питання про те, чи є певний простір загальнодоступним, слід вирішувати в кожному конкретному випадку, з урахуванням особливостей конкретної ситуації.

(20)

З метою отримання максимальної користі від систем ШІ при захисті основоположних прав, здоров'я та безпеки, а також для забезпечення демократичного контролю, грамотність у сфері ШІ має забезпечувати постачальників, операторів та осіб, яких це стосується, необхідними знаннями для прийняття обґрунтованих рішень щодо систем ШІ. Такі знання можуть відрізнятися залежно від відповідного контексту та можуть включати розуміння правильного застосування технічних елементів на етапі розробки системи ШІ, заходів, що мають застосовуватися під час її використання, відповідних способів інтерпретації результатів системи ШІ, а у випадку осіб, яких це стосується, — знань, необхідних для розуміння того, який вплив матимуть на них рішення, прийняті за допомогою ШІ. У контексті застосування цього Регламенту грамотність у сфері ШІ має надавати всім відповідним суб'єктам у ланцюгу цінності ШІ уявлення, необхідні для забезпечення належного дотримання вимог та їх правильного виконання. Крім того, широке впровадження заходів з підвищення грамотності у сфері ШІ та запровадження відповідних подальших дій можуть сприяти покращенню умов праці та зрештою підтримати консолідацію та інноваційний шлях надійного ШІ в Союзі. Рада з питань штучного інтелекту (далі — «Рада») має підтримувати Комісію в просуванні інструментів грамотності у сфері ШІ, суспільної обізнаності та розуміння переваг, ризиків, захисних заходів, прав та обов'язків у зв'язку з використанням систем ШІ. У співпраці з відповідними зацікавленими сторонами Комісія та держави-члени мають сприяти розробці добровільних кодексів поведінки для підвищення грамотності у сфері ШІ серед осіб, що займаються розробкою, експлуатацією та використанням ШІ.

(21)

З метою забезпечення рівних умов гри та ефективного захисту прав і свобод осіб на всій території Союзу правила, встановлені цим Регламентом, мають застосовуватися до постачальників систем ШІ на недискримінаційній основі, незалежно від того, чи вони засновані в межах Союзу або в третій країні, а також до операторів систем ШІ, засновані в межах Союзу.

(22)

З огляду на їхній цифровий характер, певні системи ШІ мають підпадати під сферу застосування цього Регламенту, навіть якщо вони не введені на ринок, не введені в експлуатацію або не використовуються в Союзі. Це стосується, наприклад, випадків, коли оператор, заснований у Союзі, укладає договір на певні послуги з оператором, заснованим у третій країні, у зв'язку з діяльністю, яку має виконувати система ШІ, що відповідатиме критеріям систем з високим ступенем ризику. За таких обставин система ШІ, що використовується в третій країні оператором, може обробляти законно зібрані в Союзі та передані з нього дані та надавати оператору-замовнику в Союзі результат цієї системи ШІ від такої обробки, не будучи введеною на ринок, в експлуатацію або використаною в Союзі. Для запобігання обходу цього Регламенту та забезпечення ефективного захисту фізичних осіб, що знаходяться в Союзі, цей Регламент також має застосовуватися до постачальників та операторів систем ШІ, заснованих у третій країні, в тій мірі, в якій результат, що виробляється цими системами, призначений для використання в Союзі. Тим не менш, з урахуванням існуючих домовленостей та особливих потреб для майбутньої співпраці із закордонними партнерами, з якими обмінюються інформацією та доказами, цей Регламент не повинен застосовуватися до органів публічної влади третіх країн та міжнародних організацій, що діють у рамках угод про співпрацю або міжнародних угод, укладених на рівні Союзу або держав-членів для правоохоронної та судової співпраці з Союзом або державами-членами, за умови, що відповідна третя країна або міжнародна організація надає належні гарантії щодо захисту основоположних прав і свобод осіб. Там, де це доречно, це може охоплювати діяльність суб'єктів, яким треті країни доручили виконання конкретних завдань на підтримку такої правоохоронної та судової співпраці. Такі рамки для співпраці або угоди були встановлені двосторонньо між державами-членами та третіми країнами або між Європейським Союзом, Європолом та іншими агентствами Союзу і третіми країнами та міжнародними організаціями. Органи, компетентні для нагляду за правоохоронними та судовими органами відповідно до цього Регламенту, мають оцінювати, чи включають ці рамки для співпраці або міжнародні угоди належні гарантії щодо захисту основоположних прав і свобод осіб. Національні органи-одержувачі та інститути, органи, служби та агентства Союзу, що використовують такі результати в Союзі, залишаються відповідальними за забезпечення того, щоб їх використання відповідало праву Союзу. Коли ці міжнародні угоди переглядаються або в майбутньому укладаються нові, сторони, що домовляються, мають докладати максимальних зусиль для приведення цих угод у відповідність до вимог цього Регламенту.

(23)

Цей Регламент також має застосовуватися до інститутів, органів, служб та агентств Союзу, коли вони виступають як постачальник або оператор системи ШІ.

(24)

Якщо та настільки, наскільки системи ШІ вводяться на ринок, вводяться в експлуатацію або використовуються з модифікацією або без неї таких систем для військових, оборонних або цілей національної безпеки, вони мають виключатися зі сфери застосування цього Регламенту незалежно від того, який тип суб'єкта здійснює ці заходи, наприклад чи є він публічним або приватним суб'єктом. Щодо військових та оборонних цілей, таке виключення обґрунтовується як статтею 4(2) ДЄС, так і особливостями спільної оборонної політики держав-членів та Союзу, що охоплюється главою 2 розділу V ДЄС, яка регулюється міжнародним публічним правом, що є тому більш відповідною правовою базою для регулювання систем ШІ у контексті застосування летальної сили та інших систем ШІ у контексті військової та оборонної діяльності. Щодо цілей національної безпеки, виключення обґрунтовується як тим, що національна безпека залишається виключною відповідальністю держав-членів відповідно до статті 4(2) ДЄС, так і конкретним характером та операційними потребами діяльності у сфері національної безпеки, а також конкретними національними нормами, що застосовуються до такої діяльності. Тим не менш, якщо система ШІ, розроблена, введена на ринок, введена в експлуатацію або використана для військових, оборонних або цілей національної безпеки, тимчасово або постійно використовується поза цими цілями для інших цілей, наприклад для цивільних або гуманітарних цілей, правоохоронних або цілей публічної безпеки, така система підпадатиме під сферу застосування цього Регламенту. У такому разі суб'єкт, що використовує систему ШІ для цілей, відмінних від військових, оборонних або цілей національної безпеки, має забезпечувати відповідність системи ШІ цьому Регламенту, якщо система вже не відповідає цьому Регламенту. Системи ШІ, введені на ринок або введені в експлуатацію для виключеної мети, а саме для військових, оборонних або цілей національної безпеки, та однієї або кількох невиключених цілей, таких як цивільні цілі або правоохоронна діяльність, підпадають під сферу застосування цього Регламенту, і постачальники таких систем мають забезпечувати відповідність цьому Регламенту. У таких випадках той факт, що система ШІ може підпадати під сферу застосування цього Регламенту, не повинен впливати на можливість суб'єктів, що здійснюють діяльність у сфері національної безпеки, оборони та військовій сфері, незалежно від типу суб'єкта, що здійснює цю діяльність, використовувати системи ШІ для цілей національної безпеки, військових та оборонних цілей, використання яких виключено зі сфери застосування цього Регламенту. Система ШІ, введена на ринок для цивільних або правоохоронних цілей, що використовується з модифікацією або без неї для військових, оборонних або цілей національної безпеки, не повинна підпадати під сферу застосування цього Регламенту, незалежно від типу суб'єкта, що здійснює ці заходи.

(25)

Цей Регламент має підтримувати інновації, поважати свободу науки та не підривати науково-дослідну та дослідно-конструкторську діяльність. Тому необхідно виключити зі сфери його застосування системи та моделі ШІ, розроблені та введені в експлуатацію спеціально з єдиною метою наукових досліджень і розробок. Крім того, необхідно забезпечити, щоб цей Регламент жодним іншим чином не впливав на науково-дослідну та дослідно-конструкторську діяльність щодо систем або моделей ШІ до їх введення на ринок або введення в експлуатацію. Щодо продуктово-орієнтованої дослідницької, випробувальної та розробницької діяльності щодо систем або моделей ШІ, положення цього Регламенту також не мають застосовуватися до введення цих систем та моделей в експлуатацію або на ринок. Таке виключення не порушує зобов'язання дотримуватися цього Регламенту, якщо система ШІ, що підпадає під сферу застосування цього Регламенту, вводиться на ринок або в експлуатацію в результаті такої науково-дослідної та дослідно-конструкторської діяльності, та застосування положень про регуляторні пісочниці ШІ та випробування в реальних умовах. Крім того, без шкоди для виключення систем ШІ, розроблених та введених в експлуатацію спеціально з єдиною метою наукових досліджень і розробок, будь-яка інша система ШІ, що може використовуватися для проведення будь-якої науково-дослідної та дослідно-конструкторської діяльності, має залишатися предметом положень цього Регламенту. У будь-якому разі будь-яка науково-дослідна та дослідно-конструкторська діяльність має здійснюватися відповідно до визнаних етичних і професійних стандартів наукових досліджень і проводитися відповідно до застосовного права Союзу.

(26)

З метою запровадження пропорційного та ефективного набору обов'язкових правил для систем ШІ необхідно дотримуватися чітко визначеного підходу, заснованого на оцінці ризиків. Такий підхід має адаптувати вид і зміст таких правил до інтенсивності та обсягу ризиків, які можуть генерувати системи ШІ. Тому необхідно забороняти певні неприйнятні практики ШІ, встановлювати вимоги до систем ШІ з високим ступенем ризику та зобов'язання для відповідних операторів, а також встановлювати зобов'язання щодо прозорості для певних систем ШІ.

(27)

Хоча підхід, заснований на оцінці ризиків, є основою для пропорційного та ефективного набору обов'язкових правил, важливо нагадати Керівні принципи щодо етики надійного ШІ 2019 року, розроблені незалежною Групою експертів високого рівня з питань ШІ (AI HLEG), призначеною Комісією. У цих керівних принципах AI HLEG розробила сім необов'язкових етичних принципів для ШІ, які покликані допомогти забезпечити надійність та етичність ШІ. Сім принципів включають: людську свободу дій та нагляд; технічну стійкість та безпеку; приватність та управління даними; прозорість; різноманітність, недискримінацію та справедливість; добробут суспільства та навколишнього середовища; та підзвітність. Без шкоди для юридично обов'язкових вимог цього Регламенту та будь-якого іншого застосовного права Союзу, ці керівні принципи сприяють розробці узгодженого, надійного та антропоцентричного ШІ відповідно до Хартії та цінностей, на яких заснований Союз. Відповідно до керівних принципів AI HLEG, людська свобода дій та нагляд означає, що системи ШІ розробляються та використовуються як інструмент, що служить людям, поважає людську гідність та особисту автономію, і функціонує таким чином, що може належним чином контролюватися людьми. Технічна стійкість та безпека означає, що системи ШІ розробляються та використовуються таким чином, що дозволяє стійкість у разі проблем і стійкість до спроб змінити використання або продуктивність системи ШІ, щоб дозволити незаконне використання третіми сторонами, та мінімізувати ненавмисну шкоду. Приватність та управління даними означає, що системи ШІ розробляються та використовуються відповідно до правил конфіденційності та захисту даних при обробці даних, що відповідають високим стандартам якості та цілісності. Прозорість означає, що системи ШІ розробляються та використовуються таким чином, що дозволяє відповідне відстеження та пояснюваність, водночас інформуючи людей про те, що вони спілкуються або взаємодіють із системою ШІ, а також належним чином інформуючи операторів про можливості та обмеження цієї системи ШІ та осіб, яких це стосується, про їхні права. Різноманітність, недискримінація та справедливість означає, що системи ШІ розробляються та використовуються таким чином, що включає різноманітних суб'єктів та сприяє рівному доступу, гендерній рівності та культурному різноманіттю, уникаючи дискримінаційних наслідків та несправедливих упереджень, що заборонені правом Союзу або національним законодавством. Добробут суспільства та навколишнього середовища означає, що системи ШІ розробляються та використовуються стійким та екологічно безпечним чином, а також таким чином, щоб приносити користь усім людям, відстежуючи та оцінюючи довгострокові наслідки для особи, суспільства та демократії. Застосування цих принципів має, по можливості, відображатися у проєктуванні та використанні моделей ШІ. Вони у будь-якому разі мають слугувати основою для розробки кодексів поведінки відповідно до цього Регламенту. Усіх зацікавлених сторін, у тому числі промисловість, наукові кола, громадянське суспільство та організації зі стандартизації, заохочують враховувати, за потреби, етичні принципи для розробки добровільних передових практик та стандартів.

(28)

Поряд із численними корисними сферами застосування ШІ, він може також зловживатися та надавати нові та потужні інструменти для маніпулятивних, експлуататорських та практик соціального контролю. Такі практики є особливо шкідливими та образливими і мають бути заборонені, оскільки вони суперечать цінностям Союзу — повазі до людської гідності, свободи, рівності, демократії та верховенства права, а також основоположним правам, закріпленим у Хартії, включаючи право на недискримінацію, захист даних та приватність, а також права дитини.

(29)

Маніпулятивні технології на основі ШІ можуть використовуватися для переконання осіб у небажаній поведінці або для введення їх в оману шляхом підштовхування до рішень у спосіб, що підриває та обмежує їхню автономію, прийняття рішень і вільний вибір. Введення на ринок, введення в експлуатацію або використання певних систем ШІ з метою або наслідком суттєвого викривлення поведінки людини, при якому ймовірне заподіяння значної шкоди, зокрема досить істотний несприятливий вплив на фізичне, психологічне здоров'я або фінансові інтереси, є особливо небезпечним і тому має бути заборонено. Такі системи ШІ використовують підсвідомі компоненти, такі як аудіо-, фото-, відеостимули, що не можуть бути сприйняті особами, оскільки ці стимули є поза межами сприйняття людини, або інші маніпулятивні або оманливі прийоми, що підривають або обмежують автономію, прийняття рішень або вільний вибір особи таким чином, що люди не усвідомлено обізнані про ці прийоми, або де вони обізнані про них, можуть все ж бути введені в оману або не здатні контролювати їх або чинити їм опір. Цьому може сприяти, наприклад, машинно-мозкові інтерфейси або віртуальна реальність, оскільки вони дозволяють більш високий ступінь контролю над тим, які стимули представляються особам, оскільки вони можуть суттєво викривляти їхню поведінку у значно шкідливий спосіб. Крім того, системи ШІ також можуть іншим чином експлуатувати вразливості особи або конкретної групи осіб через їх вік, інвалідність у значенні Директиви (ЄС) 2019/882 Європейського Парламенту і Ради (16), або конкретну соціальну чи економічну ситуацію, яка, ймовірно, робить цих осіб більш вразливими до експлуатації, наприклад осіб, що живуть у крайній бідності, представників етнічних або релігійних меншин. Такі системи ШІ можуть вводитися на ринок, вводитися в експлуатацію або використовуватися з метою або наслідком суттєвого викривлення поведінки особи таким чином, що спричиняє або розумно ймовірно спричинить значну шкоду цій чи іншій особі або групам осіб, включаючи шкоду, що може накопичуватися з часом, і тому має бути заборонено. Може бути неможливо припускати наявність наміру викривити поведінку, якщо викривлення є результатом зовнішніх щодо системи ШІ факторів, що знаходяться поза контролем постачальника або оператора, а саме факторів, які можуть бути нерозумно передбачуваними і, отже, неможливими для пом'якшення постачальником або оператором системи ШІ. У будь-якому разі немає необхідності, щоб постачальник або оператор мали намір заподіяти значну шкоду, за умови, що така шкода є результатом маніпулятивних або експлуататорських практик на основі ШІ. Заборони на такі практики ШІ доповнюють положення, що містяться в Директиві 2005/29/ЄС Європейського Парламенту і Ради (17), зокрема несправедливі комерційні практики, що призводять до економічної або фінансової шкоди для споживачів, забороняються за будь-яких обставин, незалежно від того, чи реалізуються вони через системи ШІ чи іншим чином. Заборони маніпулятивних та експлуататорських практик у цьому Регламенті не повинні стосуватися законних практик у контексті медичного лікування, такого як психологічне лікування психічного захворювання або фізична реабілітація, якщо ці практики здійснюються відповідно до застосовного законодавства та медичних стандартів, наприклад явної згоди осіб або їхніх законних представників. Крім того, поширені та законні комерційні практики, наприклад у сфері реклами, що відповідають застосовному законодавству, не повинні самі по собі вважатися шкідливими маніпулятивними практиками на основі ШІ.

(30)

Системи біометричної категоризації, що базуються на біометричних даних фізичних осіб, таких як обличчя або відбиток пальця конкретної особи, для виведення або розкриття політичних поглядів, членства в профспілці, релігійних або філософських переконань, раси, статевого життя або сексуальної орієнтації особи, мають бути заборонені. Ця заборона не повинна поширюватися на законне маркування, фільтрацію або категоризацію наборів біометричних даних, отриманих відповідно до права Союзу або національного законодавства, відповідно до біометричних даних, таких як сортування зображень за кольором волосся або кольором очей, що може, наприклад, використовуватися у сфері правоохоронної діяльності.

(31)

Системи ШІ, що здійснюють соціальне скорингування фізичних осіб публічними або приватними суб'єктами, можуть призводити до дискримінаційних результатів та виключення певних груп. Вони можуть порушувати право на гідність та недискримінацію, а також цінності рівності та справедливості. Такі системи ШІ оцінюють або класифікують фізичних осіб чи їхні групи на основі численних точок даних, пов'язаних із їхньою соціальною поведінкою в різних контекстах або відомими, виведеними чи передбаченими особистісними характеристиками протягом певних проміжків часу. Соціальний рейтинг, отриманий від таких систем ШІ, може призводити до шкідливого або несприятливого поводження з фізичними особами чи цілими їхніми групами в соціальних контекстах, не пов'язаних із контекстом, у якому дані первісно створювалися або збиралися, або до шкідливого поводження, непропорційного або невиправданого тяжкістю їхньої соціальної поведінки. Системи ШІ, що передбачають такі неприйнятні практики скорингування та призводять до таких шкідливих або несприятливих наслідків, мають тому бути заборонені. Ця заборона не повинна стосуватися законних практик оцінки фізичних осіб, що здійснюються для конкретної мети відповідно до права Союзу та національного права.

(32)

Використання систем ШІ для дистанційної біометричної ідентифікації фізичних осіб у режимі реального часу в загальнодоступних просторах з метою правоохоронної діяльності є особливо інтрузивним щодо прав і свобод відповідних осіб, тою мірою, якою це може впливати на приватне життя значної частини населення, породжувати відчуття постійного стеження та опосередковано стримувати здійснення свободи зібрань та інших основоположних прав. Технічні неточності систем ШІ, призначених для дистанційної біометричної ідентифікації фізичних осіб, можуть призводити до упереджених результатів і тягнути за собою дискримінаційні наслідки. Такі можливі упереджені результати та дискримінаційні наслідки є особливо актуальними стосовно віку, етнічного походження, раси, статі або інвалідності. Крім того, безпосередність впливу та обмежені можливості для подальших перевірок або виправлень стосовно використання таких систем, що функціонують у режимі реального часу, несуть підвищені ризики для прав і свобод відповідних осіб у контексті правоохоронної діяльності або під її впливом.

(33)

Використання таких систем у цілях правоохоронної діяльності має тому бути заборонено, за винятком вичерпно перелічених і вузько визначених ситуацій, коли використання є суворо необхідним для досягнення суттєвого суспільного інтересу, важливість якого переважує ризики. Такі ситуації охоплюють пошук певних жертв злочинів, у тому числі зниклих безвісти осіб; певні загрози життю або фізичній безпеці фізичних осіб або загрозу терористичного нападу; а також встановлення місцезнаходження або ідентифікацію виконавців або підозрюваних у кримінальних правопорушеннях, перелічених у додатку до цього Регламенту, де такі кримінальні правопорушення карані у відповідній державі-члені позбавленням волі або ухвалою про тримання під вартою на максимальний строк щонайменше чотири роки і відповідно до визначення, передбаченого законодавством тієї держави-члена. Такий поріг для позбавлення волі або ухвали про тримання під вартою відповідно до національного законодавства сприяє забезпеченню того, щоб правопорушення було достатньо серйозним, аби потенційно виправдати використання систем дистанційної біометричної ідентифікації в режимі реального часу. Крім того, перелік кримінальних правопорушень, наведений у додатку до цього Регламенту, ґрунтується на 32 кримінальних правопорушеннях, перелічених у Рамковому рішенні Ради 2002/584/ЄСП (18), беручи до уваги, що деякі з цих правопорушень на практиці, ймовірно, будуть більш актуальними, ніж інші, оскільки звернення до дистанційної біометричної ідентифікації в режимі реального часу могло б, передбачувано, бути необхідним і пропорційним у дуже різній мірі для практичного встановлення місцезнаходження або ідентифікації виконавця чи підозрюваного в різних перелічених кримінальних правопорушеннях з урахуванням ймовірних відмінностей у серйозності, імовірності та масштабах шкоди або можливих негативних наслідків. Безпосередня загроза життю або фізичній безпеці фізичних осіб може також виникнути внаслідок серйозного порушення роботи критичної інфраструктури, як визначено в статті 2, пункт (4) Директиви Європейського Парламенту і Ради (ЄС) 2022/2557 (19), де порушення або знищення такої критичної інфраструктури спричинило б безпосередню загрозу життю або фізичній безпеці особи, у тому числі через серйозну шкоду забезпеченню населення основними товарами або здійсненню основних функцій держави. Крім того, цей Регламент має зберігати можливість для правоохоронних органів, органів прикордонного контролю, органів у справах міграції або надання притулку здійснювати перевірки документів у присутності відповідної особи відповідно до умов, встановлених правом Союзу та національним законодавством для таких перевірок. Зокрема, правоохоронні органи, органи прикордонного контролю, органи у справах міграції або надання притулку мають мати можливість використовувати інформаційні системи відповідно до права Союзу або національного права для ідентифікації осіб, які під час перевірки документів відмовляються бути ідентифікованими або не в змозі повідомити чи підтвердити свою особу, без обов'язкового отримання попереднього дозволу відповідно до цього Регламенту. Це може бути, наприклад, особа, причетна до злочину, яка не бажає або не здатна через нещасний випадок чи стан здоров'я розкрити свою особу правоохоронним органам.

(34)

З метою забезпечення відповідального та пропорційного використання таких систем важливо також встановити, що в кожній із цих вичерпно перелічених і вузько визначених ситуацій мають братися до уваги певні елементи, зокрема щодо характеру ситуації, що дала підставу для запиту, і наслідків використання для прав і свобод усіх відповідних осіб, а також гарантій і умов, передбачених для використання. Крім того, використання систем дистанційної біометричної ідентифікації в режимі реального часу в загальнодоступних просторах у цілях правоохоронної діяльності має застосовуватися лише для підтвердження особи конкретно цільової особи та має обмежуватися суворо необхідним щодо часового проміжку, а також географічного та особистісного охоплення, особливо з урахуванням доказів або ознак щодо загроз, жертв або виконавця. Використання системи дистанційної біометричної ідентифікації в режимі реального часу в загальнодоступних просторах має бути авторизовано лише за умови, що відповідний правоохоронний орган завершив оцінку впливу на основоположні права і, якщо цим Регламентом не передбачено інше, зареєстрував систему в базі даних, як передбачено цим Регламентом. Довідкова база даних осіб має відповідати кожному варіанту використання в кожній із зазначених вище ситуацій.

(35)

Кожне використання системи дистанційної біометричної ідентифікації в режимі реального часу в загальнодоступних просторах у цілях правоохоронної діяльності має бути предметом явного і конкретного дозволу з боку судового органу або незалежного адміністративного органу держави-члена, рішення якого є обов'язковим. Такий дозвіл має, як правило, бути отриманий до використання системи ШІ з метою ідентифікації особи або осіб. Винятки з цього правила мають допускатися у належним чином обґрунтованих ситуаціях з підстав невідкладності, а саме в ситуаціях, коли потреба у використанні відповідних систем є такою, що унеможливлює ефективне та об'єктивне отримання дозволу до початку використання системи ШІ. У таких невідкладних ситуаціях використання системи ШІ має бути обмежено абсолютним мінімумом, необхідним для вирішення завдання, та підпорядковуватися відповідним гарантіям і умовам, визначеним у національному праві та конкретизованим у контексті кожного конкретного невідкладного варіанту використання самим правоохоронним органом. Крім того, у таких ситуаціях правоохоронний орган має запросити такий дозвіл, наводячи підстави неможливості звернення з таким запитом раніше, без невиправданої затримки і не пізніше ніж протягом 24 годин. Якщо такий дозвіл відхиляється, використання систем біометричної ідентифікації в режимі реального часу, пов'язаних із цим дозволом, має негайно припинитися, а всі дані, пов'язані з таким використанням, мають бути відкинуті та видалені. Такі дані включають вхідні дані, безпосередньо отримані системою ШІ під час використання такої системи, а також результати та вихідні дані використання, пов'язаного з цим дозволом. Вони не мають включати вхідні дані, законно отримані відповідно до іншого права Союзу або національного права. У будь-якому разі жодне рішення, що має несприятливий правовий ефект для особи, не має прийматися виключно на підставі вихідних даних системи дистанційної біометричної ідентифікації.

(36)

З метою виконання своїх завдань відповідно до вимог, встановлених у цьому Регламенті, а також у національних нормах, відповідний орган ринкового нагляду та національний орган із захисту даних мають бути повідомлені про кожне використання системи біометричної ідентифікації в режимі реального часу. Органи ринкового нагляду та органи із захисту даних, яким було надіслано повідомлення, мають подавати Комісії щорічний звіт про використання систем біометричної ідентифікації в режимі реального часу.

(37)

Крім того, доцільно передбачити у вичерпних рамках, встановлених цим Регламентом, що таке використання на території держави-члена відповідно до цього Регламенту має бути можливим лише там і тою мірою, якою відповідна держава-член вирішила прямо передбачити можливість авторизації такого використання у своїх детальних нормах національного права. Відповідно, держави-члени зберігають свободу відповідно до цього Регламенту взагалі не передбачати таку можливість або передбачати її лише щодо деяких цілей, здатних виправдати авторизоване використання, визначених у цьому Регламенті. Такі національні норми мають бути повідомлені Комісії протягом 30 днів з моменту їх прийняття.

(38)

Використання систем ШІ для дистанційної біометричної ідентифікації фізичних осіб у режимі реального часу в загальнодоступних просторах у цілях правоохоронної діяльності неминуче передбачає обробку біометричних даних. Норми цього Регламенту, що забороняють, з урахуванням певних винятків, таке використання і які ґрунтуються на статті 16 ДФЄС, мають застосовуватися як lex specialis щодо норм про обробку біометричних даних, що містяться у статті 10 Директиви (ЄС) 2016/680, таким чином вичерпно регулюючи таке використання та обробку відповідних біометричних даних. Тому таке використання та обробка мають бути можливими лише тою мірою, якою це сумісне з рамками, встановленими цим Регламентом, без того, щоб поза такими рамками компетентні органи, які діють у цілях правоохоронної діяльності, мали можливість використовувати такі системи та обробляти такі дані у зв'язку з цим на підставах, перелічених у статті 10 Директиви (ЄС) 2016/680. У цьому контексті цей Регламент не має на меті забезпечити правову основу для обробки персональних даних відповідно до статті 8 Директиви (ЄС) 2016/680. Однак використання систем дистанційної біометричної ідентифікації в режимі реального часу в загальнодоступних просторах у цілях, відмінних від правоохоронної діяльності, у тому числі компетентними органами, не має охоплюватися конкретними рамками щодо такого використання у цілях правоохоронної діяльності, встановленими цим Регламентом. Таке використання у цілях, відмінних від правоохоронної діяльності, не має тому підпадати під вимогу авторизації відповідно до цього Регламенту та застосовних детальних норм національного права, що можуть надавати чинності такій авторизації.

(39)

Будь-яка обробка біометричних даних та інших персональних даних, пов'язана з використанням систем ШІ для біометричної ідентифікації, окрім як у зв'язку з використанням систем дистанційної біометричної ідентифікації в режимі реального часу в загальнодоступних просторах у цілях правоохоронної діяльності, що регулюється цим Регламентом, має продовжувати відповідати всім вимогам, що випливають із статті 10 Директиви (ЄС) 2016/680. Для цілей, відмінних від правоохоронної діяльності, стаття 9(1) Регламенту (ЄС) 2016/679 та стаття 10(1) Регламенту (ЄС) 2018/1725 забороняють обробку біометричних даних з урахуванням обмежених винятків, передбачених у цих статтях. У застосуванні статті 9(1) Регламенту (ЄС) 2016/679 використання дистанційної біометричної ідентифікації у цілях, відмінних від правоохоронної діяльності, вже ставало предметом рішень про заборону з боку національних органів із захисту даних.

(40)

Відповідно до статті 6a Протоколу № 21 про позицію Сполученого Королівства та Ірландії щодо простору свободи, безпеки та правосуддя, доданого до ДЄС та ДФЄС, Ірландія не є зобов'язаною нормами, викладеними у статті 5(1), першому підпараграфі, пункті (g), тою мірою, якою він застосовується до використання систем біометричної категоризації для діяльності у сфері поліційного співробітництва та судового співробітництва у кримінальних справах, статті 5(1), першому підпараграфі, пункті (d), тою мірою, якою він застосовується до використання систем ШІ, охоплених цим положенням, статті 5(1), першому підпараграфі, пункті (h), статті 5(2)–(6) та статті 26(10) цього Регламенту, прийнятого на основі статті 16 ДФЄС, які стосуються обробки персональних даних державами-членами під час провадження діяльності, що підпадає під сферу дії розділу 4 або розділу 5 розділу V частини третьої ДФЄС, де Ірландія не є зобов'язаною нормами, що регулюють форми судового співробітництва у кримінальних справах або поліційного співробітництва, які вимагають дотримання положень, викладених на основі статті 16 ДФЄС.

(41)

Відповідно до статей 2 і 2a Протоколу № 22 про позицію Данії, доданого до ДЄС та ДФЄС, Данія не є зобов'язаною нормами, викладеними у статті 5(1), першому підпараграфі, пункті (g), тою мірою, якою він застосовується до використання систем біометричної категоризації для діяльності у сфері поліційного співробітництва та судового співробітництва у кримінальних справах, статті 5(1), першому підпараграфі, пункті (d), тою мірою, якою він застосовується до використання систем ШІ, охоплених цим положенням, статті 5(1), першому підпараграфі, пункті (h), (2)–(6) та статті 26(10) цього Регламенту, прийнятого на основі статті 16 ДФЄС, або не підпадає під їх застосування, які стосуються обробки персональних даних державами-членами під час провадження діяльності, що підпадає під сферу дії розділу 4 або розділу 5 розділу V частини третьої ДФЄС.

(42)

Відповідно до презумпції невинуватості, фізичні особи в Союзі мають завжди оцінюватися за їхньою фактичною поведінкою. Фізичні особи не мають ніколи оцінюватися за поведінкою, передбаченою ШІ, виключно на основі їхнього профілювання, рис особистості або характеристик, як-от громадянство, місце народження, місце проживання, кількість дітей, рівень заборгованості або тип автомобіля, без обґрунтованої підозри у причетності такої особи до кримінальної діяльності на основі об'єктивних і перевірюваних фактів та без людської оцінки таких фактів. Тому оцінки ризиків, що здійснюються щодо фізичних осіб з метою оцінки ймовірності вчинення ними правопорушень або прогнозування вчинення фактичного або потенційного кримінального правопорушення виключно на основі їхнього профілювання або оцінки їхніх рис особистості та характеристик, мають бути заборонені. У будь-якому разі ця заборона не стосується і не зачіпає аналітики ризиків, що не ґрунтується на профілюванні осіб або на рисах особистості та характеристиках осіб, — наприклад, систем ШІ, які використовують аналітику ризиків для оцінки ймовірності фінансового шахрайства з боку підприємств на основі підозрілих транзакцій або інструментів аналітики ризиків для прогнозування ймовірності виявлення наркотиків або незаконних товарів митними органами, наприклад на основі відомих маршрутів контрабанди.

(43)

Введення в обіг, введення в експлуатацію для цієї конкретної мети або використання систем ШІ, що створюють або розширюють бази даних розпізнавання осіб шляхом нецільового збирання зображень облич з інтернету або записів з камер відеоспостереження, мають бути заборонені, оскільки така практика посилює відчуття масового стеження та може призводити до грубих порушень основоположних прав, у тому числі права на недоторканність приватного життя.

(44)

Існують серйозні занепокоєння щодо наукової бази систем ШІ, що прагнуть ідентифікувати або виводити емоції, зокрема у зв'язку з тим, що вираження емоцій суттєво варіюється залежно від культур і ситуацій та навіть у межах однієї особи. До ключових недоліків таких систем належать обмежена надійність, відсутність специфічності та обмежена узагальнюваність. Тому системи ШІ, що ідентифікують або виводять емоції або наміри фізичних осіб на основі їхніх біометричних даних, можуть призводити до дискримінаційних результатів і бути інтрузивними щодо прав і свобод відповідних осіб. З огляду на нерівність сил у контексті праці або освіти в поєднанні з інтрузивним характером цих систем, такі системи можуть призводити до шкідливого або несприятливого поводження з певними фізичними особами або цілими їхніми групами. Тому введення в обіг, введення в експлуатацію або використання систем ШІ, призначених для виявлення емоційного стану осіб у ситуаціях, пов'язаних із робочим місцем та освітою, мають бути заборонені. Ця заборона не має охоплювати системи ШІ, введені в обіг виключно з медичних міркувань або міркувань безпеки, наприклад системи, призначені для терапевтичного використання.

(45)

Практики, заборонені правом Союзу, у тому числі законодавством про захист даних, законодавством про недискримінацію, законодавством про захист прав споживачів та конкурентним законодавством, не мають зазнавати впливу з боку цього Регламенту.

(46)

Системи ШІ з високим ризиком мають вводитися в обіг на ринку Союзу, вводитися в експлуатацію або використовуватися лише за умови дотримання певних обов'язкових вимог. Ці вимоги мають забезпечити, що системи ШІ з високим ризиком, доступні в Союзі або чиї вихідні дані в інший спосіб використовуються в Союзі, не становлять неприйнятних ризиків для важливих суспільних інтересів Союзу, визнаних та захищених правом Союзу. На основі Нової законодавчої бази, уточненої у повідомленні Комісії «Блакитний посібник із впровадження правил ЄС щодо продуктів 2022 року» (20), загальне правило полягає в тому, що більш ніж один правовий акт законодавства Союзу про гармонізацію, як-от Регламенти (ЄС) 2017/745 (21) та (ЄС) 2017/746 (22) Європейського Парламенту і Ради або Директива Європейського Парламенту і Ради 2006/42/ЄС (23), може застосовуватися до одного продукту, оскільки надання в користування або введення в експлуатацію може відбуватися лише тоді, коли продукт відповідає всьому застосовному законодавству Союзу про гармонізацію. Для забезпечення узгодженості та уникнення непотрібного адміністративного тягаря або витрат провайдери продукту, що містить одну або більше систем ШІ з високим ризиком, до яких застосовуються вимоги цього Регламенту та законодавства Союзу про гармонізацію, переліченого у додатку до цього Регламенту, мають мати гнучкість щодо операційних рішень про те, як оптимальним чином забезпечити відповідність продукту, що містить одну або більше систем ШІ, усім застосовним вимогам законодавства Союзу про гармонізацію. Системи ШІ, ідентифіковані як такі, що мають високий ризик, мають обмежуватися тими, що мають значний шкідливий вплив на здоров'я, безпеку та основоположні права осіб у Союзі, і таке обмеження має зводити до мінімуму будь-яке можливе обмеження для міжнародної торгівлі.

(47)

Системи ШІ можуть мати несприятливий вплив на здоров'я та безпеку осіб, зокрема коли такі системи функціонують як компоненти безпеки продуктів. Відповідно до цілей законодавства Союзу про гармонізацію щодо сприяння вільному пересуванню товарів на внутрішньому ринку та забезпечення того, щоб на ринок потрапляли лише безпечні та в іншому відношенні відповідні продукти, важливо, щоб ризики для безпеки, які можуть генерувати продукти в цілому через їхні цифрові компоненти, у тому числі системи ШІ, належним чином запобігалися та пом'якшувалися. Наприклад, дедалі більш автономні роботи, незалежно від того, чи застосовуються вони у контексті виробництва або особистої допомоги та догляду, мають бути здатні безпечно функціонувати та виконувати свої функції у складних середовищах. Аналогічно, у секторі охорони здоров'я, де ставки для життя та здоров'я є особливо високими, дедалі більш складні діагностичні системи та системи підтримки людських рішень мають бути надійними та точними.

(48)

Ступінь несприятливого впливу, спричиненого системою ШІ, на основоположні права, захищені Хартією, є особливо актуальним при класифікації системи ШІ як такої, що має високий ризик. Ці права включають право на людську гідність, повагу до приватного та сімейного життя, захист персональних даних, свободу вираження поглядів та інформації, свободу зібрань та об'єднань, право на недискримінацію, право на освіту, захист прав споживачів, права працівників, права осіб з інвалідністю, гендерну рівність, права інтелектуальної власності, право на ефективний засіб правового захисту та на справедливий судовий розгляд, право на захист та презумпцію невинуватості, а також право на належне адміністрування. Окрім цих прав, важливо підкреслити, що діти мають особливі права, закріплені в статті 24 Хартії та в Конвенції Організації Об'єднаних Націй про права дитини, додатково розвинуті в Загальному коментарі КПД ООН № 25 щодо цифрового середовища, обидва з яких вимагають урахування вразливостей дітей та надання такого захисту і піклування, як необхідно для їхнього добробуту. Основоположне право на високий рівень захисту довкілля, закріплене в Хартії та реалізоване в політиках Союзу, також має братися до уваги при оцінці тяжкості шкоди, яку може спричинити система ШІ, у тому числі стосовно здоров'я та безпеки осіб.

(49)

Щодо систем ШІ з високим ризиком, які є компонентами безпеки продуктів або систем, або які самі є продуктами або системами, що підпадають під сферу дії Регламенту Європейського Парламенту і Ради (ЄС) № 300/2008 (24), Регламенту Європейського Парламенту і Ради (ЄС) № 167/2013 (25), Регламенту Європейського Парламенту і Ради (ЄС) № 168/2013 (26), Директиви Європейського Парламенту і Ради 2014/90/ЄС (27), Директиви Європейського Парламенту і Ради (ЄС) 2016/797 (28), Регламенту Європейського Парламенту і Ради (ЄС) 2018/858 (29), Регламенту Європейського Парламенту і Ради (ЄС) 2018/1139 (30), та Регламенту Європейського Парламенту і Ради (ЄС) 2019/2144 (31), доцільно вносити зміни до цих актів, щоб забезпечити, що Комісія враховує, на основі технічних та регуляторних особливостей кожного сектору та без втручання в існуючі механізми управління, оцінки відповідності та правозастосування і органи, створені в них, обов'язкові вимоги для систем ШІ з високим ризиком, встановлені в цьому Регламенті, під час прийняття будь-яких відповідних делегованих або виконавчих актів на підставі цих актів.

(50)

Щодо систем ШІ, які є компонентами безпеки продуктів, або які самі є продуктами, що підпадають під сферу дії певного законодавства Союзу про гармонізацію, переліченого у додатку до цього Регламенту, доцільно класифікувати їх як такі, що мають високий ризик, відповідно до цього Регламенту, якщо відповідний продукт проходить процедуру оцінки відповідності третьою стороною з органом з оцінки відповідності відповідно до цього відповідного законодавства Союзу про гармонізацію. Зокрема, такими продуктами є машини та обладнання, іграшки, ліфти, обладнання та захисні системи, призначені для використання у потенційно вибухонебезпечних атмосферах, радіообладнання, обладнання під тиском, обладнання для водних суден відпочинку, канатні дороги, прилади, що спалюють газоподібне паливо, медичні вироби, in vitro діагностичні медичні вироби, автомобільний та авіаційний транспорт.

(51)

Класифікація системи ШІ як такої, що має високий ризик, відповідно до цього Регламенту не має обов'язково означати, що продукт, компонентом безпеки якого є система ШІ, або сама система ШІ як продукт, вважається таким, що має високий ризик, за критеріями, встановленими у відповідному законодавстві Союзу про гармонізацію, що застосовується до продукту. Це стосується, зокрема, Регламентів (ЄС) 2017/745 та (ЄС) 2017/746, де передбачено оцінку відповідності третьою стороною для продуктів середнього та високого ризику.

(52)

Щодо автономних систем ШІ, тобто систем ШІ з високим ризиком, відмінних від тих, що є компонентами безпеки продуктів, або які самі є продуктами, доцільно класифікувати їх як такі, що мають високий ризик, якщо, з огляду на їхню призначену мету, вони становлять високий ризик шкоди для здоров'я та безпеки або основоположних прав осіб, з урахуванням як тяжкості можливої шкоди, так і ймовірності її настання, і вони використовуються у ряді конкретно попередньо визначених областей, зазначених у цьому Регламенті. Ідентифікація цих систем ґрунтується на тій самій методології та критеріях, передбачених також для будь-яких майбутніх змін до переліку систем ШІ з високим ризиком, які Комісія має бути уповноважена приймати за допомогою делегованих актів, з урахуванням швидких темпів технологічного розвитку, а також можливих змін у використанні систем ШІ.

(53)

Також важливо уточнити, що можуть бути конкретні випадки, у яких системи ШІ, зазначені у попередньо визначених областях, передбачених у цьому Регламенті, не призводять до значного ризику шкоди для законних інтересів, захищених у цих областях, оскільки вони суттєво не впливають на прийняття рішень або не завдають суттєвої шкоди цим інтересам. Для цілей цього Регламенту система ШІ, яка суттєво не впливає на результат прийняття рішень, має розумітися як система ШІ, що не має впливу на суть і тим самим на результат прийняття рішень, будь то людського чи автоматизованого. Система ШІ, яка суттєво не впливає на результат прийняття рішень, може включати ситуації, у яких виконується одна або більше з наступних умов. Перша така умова має полягати в тому, що система ШІ призначена для виконання вузького процедурного завдання, наприклад системи ШІ, яка перетворює неструктуровані дані на структуровані, системи ШІ, яка класифікує вхідні документи за категоріями, або системи ШІ, яка використовується для виявлення дублікатів серед великої кількості заявок. Ці завдання є настільки вузькими і обмеженими за своїм характером, що становлять лише обмежені ризики, які не збільшуються внаслідок використання системи ШІ у контексті, зазначеному як такий, що має високий ризик використання, у додатку до цього Регламенту. Друга умова має полягати в тому, що завдання, яке виконує система ШІ, призначене для покращення результату раніше завершеної людської діяльності, яка може бути актуальною для цілей використання з високим ризиком, переліченого у додатку до цього Регламенту. З огляду на ці характеристики система ШІ забезпечує лише додатковий рівень до людської діяльності з відповідно зниженим ризиком. Ця умова застосовувалася б, наприклад, до систем ШІ, призначених для покращення мови, яка використовується у раніше підготовлених документах, наприклад стосовно професійного тону, академічного стилю мови або шляхом узгодження тексту з певним брендовим повідомленням. Третя умова має полягати в тому, що система ШІ призначена для виявлення патернів прийняття рішень або відхилень від попередніх патернів прийняття рішень. Ризик знижуватиметься, оскільки використання системи ШІ слідує за раніше завершеною людською оцінкою, яку вона не покликана замінювати або на яку впливати, без належного людського перегляду. Такі системи ШІ включають, наприклад, ті, які за умови певного патерну виставлення оцінок вчителем можна використовувати для перевірки ex post того, чи міг учитель відхилитися від патерну виставлення оцінок, з метою позначення потенційних невідповідностей або аномалій. Четверта умова має полягати в тому, що система ШІ призначена для виконання завдання, яке є лише підготовчим до оцінки, актуальної для цілей систем ШІ, перелічених у додатку до цього Регламенту, таким чином роблячи можливий вплив вихідних даних системи дуже низьким з точки зору представлення ризику для наступної оцінки. Ця умова охоплює, між іншим, інтелектуальні рішення для роботи з файлами, які включають різні функції від індексації, пошуку, обробки тексту та мовлення або зв'язування даних з іншими джерелами даних, або системи ШІ, що використовуються для перекладу вихідних документів. У будь-якому разі системи ШІ, що використовуються у варіантах використання з високим ризиком, перелічених у додатку до цього Регламенту, мають вважатися такими, що становлять значні ризики шкоди для здоров'я, безпеки або основоположних прав, якщо система ШІ передбачає профілювання у значенні статті 4, пункт (4) Регламенту (ЄС) 2016/679 або статті 3, пункт (4) Директиви (ЄС) 2016/680 або статті 3, пункт (5) Регламенту (ЄС) 2018/1725. Для забезпечення відстежуваності та прозорості провайдер, який вважає, що система ШІ не є такою, що має високий ризик, на основі умов, зазначених вище, має складати документацію оцінки до введення цієї системи в обіг або в експлуатацію та має надавати цю документацію національним компетентним органам на запит. Такий провайдер має бути зобов'язаний зареєструвати систему ШІ в базі даних ЄС, створеній відповідно до цього Регламенту. З метою надання додаткових вказівок щодо практичного виконання умов, за яких системи ШІ, перелічені у додатку до цього Регламенту, як виняток, не мають високого ризику, Комісія має, після консультацій з Радою з питань ШІ, надати керівні принципи, що визначають таке практичне виконання, доповнені вичерпним переліком практичних прикладів варіантів використання систем ШІ, що мають і не мають високого ризику.

(54)

Оскільки біометричні дані становлять особливу категорію персональних даних, доцільно класифікувати як такі, що мають високий ризик, кілька критичних варіантів використання біометричних систем, тією мірою, якою їхнє використання дозволено відповідним правом Союзу та національним правом. Технічні неточності систем ШІ, призначених для дистанційної біометричної ідентифікації фізичних осіб, можуть призводити до упереджених результатів і тягнути за собою дискримінаційні наслідки. Ризик таких упереджених результатів та дискримінаційних наслідків є особливо актуальним щодо віку, етнічного походження, раси, статі або інвалідності. Системи дистанційної біометричної ідентифікації мають тому класифікуватися як такі, що мають високий ризик, з огляду на ризики, які вони становлять. Така класифікація виключає системи ШІ, призначені для використання в цілях біометричної верифікації, у тому числі автентифікації, єдиною метою яких є підтвердження того, що конкретна фізична особа є тією, за кого вона себе видає, та підтвердження особи фізичної особи з єдиною метою отримання доступу до послуги, розблокування пристрою або безпечного доступу до приміщень. Крім того, системи ШІ, призначені для використання в цілях біометричної категоризації відповідно до чутливих атрибутів або характеристик, захищених статтею 9(1) Регламенту (ЄС) 2016/679, на основі біометричних даних, тією мірою, якою вони не заборонені цим Регламентом, та системи розпізнавання емоцій, не заборонені цим Регламентом, мають класифікуватися як такі, що мають високий ризик. Біометричні системи, що призначені для використання виключно з метою забезпечення заходів кібербезпеки та захисту персональних даних, не мають вважатися системами ШІ з високим ризиком.

(55)

Щодо управління та експлуатації критичної інфраструктури доцільно класифікувати як такі, що мають високий ризик, системи ШІ, призначені для використання як компоненти безпеки в управлінні та експлуатації критичної цифрової інфраструктури, переліченої в пункті (8) Додатка до Директиви (ЄС) 2022/2557, дорожнього руху та постачання води, газу, тепла та електроенергії, оскільки їхній вихід з ладу або несправність може наражати на ризик життя та здоров'я осіб у великих масштабах і призводити до помітних порушень у звичайному веденні соціальної та економічної діяльності. Компоненти безпеки критичної інфраструктури, у тому числі критичної цифрової інфраструктури, — це системи, що використовуються для безпосереднього захисту фізичної цілісності критичної інфраструктури або здоров'я та безпеки осіб і майна, але які не є необхідними для функціонування системи. Вихід з ладу або несправність таких компонентів може безпосередньо призводити до ризиків для фізичної цілісності критичної інфраструктури і тим самим до ризиків для здоров'я та безпеки осіб і майна. Компоненти, призначені для використання виключно у цілях кібербезпеки, не мають кваліфікуватися як компоненти безпеки. Прикладами компонентів безпеки такої критичної інфраструктури можуть бути системи моніторингу тиску води або системи управління пожежною сигналізацією в центрах хмарних обчислень.

(56)

Впровадження систем ШІ в освіті важливе для сприяння якісній цифровій освіті та підготовці і надання всім тим, хто навчається, та вчителям можливості набувати та поширювати необхідні цифрові навички та компетенції, у тому числі медіаграмотність та критичне мислення, для активної участі в економіці, суспільстві та демократичних процесах. Однак системи ШІ, що використовуються в освіті або професійній підготовці, зокрема для визначення доступу або прийому, для направлення осіб до навчальних закладів або установ та програм професійної підготовки на всіх рівнях, для оцінки результатів навчання осіб, для оцінки відповідного рівня освіти для особи та суттєвого впливу на рівень освіти та підготовки, який особи отримуватимуть або матимуть можливість отримати, або для моніторингу та виявлення забороненої поведінки студентів під час іспитів, мають класифікуватися як системи ШІ з високим ризиком, оскільки вони можуть визначати освітній та професійний шлях у житті особи і тому можуть впливати на здатність тієї особи забезпечити собі засоби до існування. У разі неналежного проектування та використання такі системи можуть бути особливо інтрузивними та порушувати право на освіту та підготовку, а також право на недискримінацію та увічнювати усталені патерни дискримінації, наприклад, щодо жінок, певних вікових груп, осіб з інвалідністю або осіб певного расового чи етнічного походження або сексуальної орієнтації.

(57)

Системи ШІ, що використовуються у сфері зайнятості, управління працівниками та доступу до самозайнятості, зокрема для відбору та підбору персоналу, для прийняття рішень, що впливають на умови трудових відносин, просування по службі та припинення трудових договірних відносин, для розподілу завдань на основі індивідуальної поведінки, особистісних рис або характеристик та для моніторингу або оцінки осіб у трудових договірних відносинах, також мають класифікуватися як такі, що мають високий ризик, оскільки ці системи можуть мати відчутний вплив на майбутні кар'єрні перспективи, засоби до існування цих осіб та права працівників. Відповідні трудові договірні відносини мають у значущий спосіб охоплювати працівників та осіб, що надають послуги через платформи, як зазначено у Робочій програмі Комісії на 2021 рік. Протягом процесу відбору персоналу та при оцінці, просуванні по службі або утриманні осіб у трудових договірних відносинах такі системи можуть увічнювати усталені патерни дискримінації, наприклад щодо жінок, певних вікових груп, осіб з інвалідністю або осіб певного расового чи етнічного походження або сексуальної орієнтації. Системи ШІ, що використовуються для моніторингу діяльності та поведінки таких осіб, можуть також підривати їхні основоположні права на захист даних та недоторканність приватного життя.

(58)

Ще однією сферою, у якій використання систем ШІ заслуговує особливої уваги, є доступ до певних основних приватних та публічних послуг і пільг, необхідних людям для повноцінної участі в суспільстві або для підвищення свого рівня життя, та користування ними. Зокрема, фізичні особи, що подають заяви або отримують основні соціальні допомоги та послуги від публічних органів, а саме послуги охорони здоров'я, виплати у системі соціального забезпечення, соціальні послуги, що забезпечують захист у випадках, як-от материнство, хвороба, виробничі травми, залежність або старість і втрата зайнятості, та соціальну та житлову допомогу, зазвичай залежать від цих допомог та послуг і знаходяться у вразливому становищі стосовно відповідальних органів. Якщо системи ШІ використовуються для визначення того, чи мають такі допомоги та послуги надаватися, відмовлятися у них, зменшуватися, відкликатися або стягуватися органами, у тому числі чи мають бенефіціари законне право на такі допомоги або послуги, ці системи можуть мати значний вплив на засоби до існування осіб та можуть порушувати їхні основоположні права, наприклад право на соціальний захист, недискримінацію, людську гідність або ефективний засіб правового захисту, і мають тому класифікуватися як такі, що мають високий ризик. Тим не менш, цей Регламент не має перешкоджати розробці та використанню інноваційних підходів у державному управлінні, яке виграло б від ширшого використання відповідних та безпечних систем ШІ, за умови, що ці системи не тягнуть за собою високого ризику для юридичних та фізичних осіб. Крім того, системи ШІ, що використовуються для оцінки кредитного рейтингу або кредитоспроможності фізичних осіб, мають класифікуватися як системи ШІ з високим ризиком, оскільки вони визначають доступ цих осіб до фінансових ресурсів або основних послуг, як-от житло, електроенергія та телекомунікаційні послуги. Системи ШІ, що використовуються для таких цілей, можуть призводити до дискримінації між особами або групами та можуть увічнювати усталені патерни дискримінації, як-то заснованої на расовому чи етнічному походженні, статі, інвалідності, віці або сексуальній орієнтації, або можуть створювати нові форми дискримінаційних впливів. Однак системи ШІ, передбачені правом Союзу з метою виявлення шахрайства у наданні фінансових послуг та у пруденційних цілях для розрахунку вимог до капіталу кредитних установ та страхових компаній, не мають вважатися такими, що мають високий ризик, відповідно до цього Регламенту. Крім того, системи ШІ, призначені для оцінки ризику та ціноутворення стосовно фізичних осіб для медичного та страхування життя, також можуть мати значний вплив на засоби до існування осіб і, якщо їх не розроблено та не використовується належним чином, можуть порушувати їхні основоположні права та призводити до серйозних наслідків для людського життя та здоров'я, у тому числі фінансового відчуження та дискримінації. Нарешті, системи ШІ, що використовуються для оцінки та класифікації екстрених дзвінків від фізичних осіб або для диспетчеризації або встановлення пріоритетності при диспетчеризації служб першого реагування при надзвичайних ситуаціях, у тому числі поліцією, пожежниками та медичною допомогою, а також систем тріажу пацієнтів у разі надзвичайних ситуацій в охороні здоров'я, мають також класифікуватися як такі, що мають високий ризик, оскільки вони приймають рішення у дуже критичних ситуаціях для життя та здоров'я осіб та їхнього майна.

(59)

З огляду на їхню роль та відповідальність, дії правоохоронних органів, що передбачають певне використання систем ШІ, характеризуються значним ступенем нерівності сил і можуть призводити до стеження, арешту або позбавлення свободи фізичної особи, а також інших несприятливих наслідків для основоположних прав, гарантованих Хартією. Зокрема, якщо система ШІ не навчена на якісних даних, не відповідає належним вимогам щодо її продуктивності, точності або стійкості, або не розроблена та протестована належним чином до введення в обіг або іншого введення в експлуатацію, вона може виокремлювати людей дискримінаційним або іншим чином неправильним або несправедливим чином. Крім того, здійснення важливих процедурних основоположних прав, таких як право на ефективний засіб правового захисту та на справедливий судовий розгляд, а також право на захист та презумпцію невинуватості, може бути ускладнено, зокрема, там, де такі системи ШІ не є достатньо прозорими, зрозумілими та задокументованими. Тому доцільно класифікувати як такі, що мають високий ризик, тою мірою, якою їхнє використання дозволено відповідним правом Союзу та національним правом, ряд систем ШІ, призначених для використання у контексті правоохоронної діяльності, де точність, надійність та прозорість є особливо важливими для уникнення несприятливих наслідків, збереження суспільної довіри та забезпечення підзвітності та ефективного відшкодування. З огляду на характер діяльності та пов'язані з нею ризики, ці системи ШІ з високим ризиком мають включати, зокрема, системи ШІ, призначені для використання правоохоронними органами або від їхнього імені, або установами, органами, відомствами чи агентствами Союзу на підтримку правоохоронних органів для оцінки ризику стати жертвою кримінальних правопорушень для фізичної особи, як-от поліграфи та аналогічні інструменти, для оцінки достовірності доказів у ході розслідування або переслідування кримінальних правопорушень, і, тою мірою, якою це не заборонено цим Регламентом, для оцінки ризику вчинення або повторного вчинення правопорушення фізичною особою не виключно на основі профілювання фізичних осіб або оцінки рис особистості та характеристик або минулої злочинної поведінки фізичних осіб або груп, для профілювання у ході виявлення, розслідування або переслідування кримінальних правопорушень. Системи ШІ, спеціально призначені для використання в адміністративних провадженнях податковими та митними органами, а також підрозділами фінансової розвідки, що виконують адміністративні завдання з аналізу інформації відповідно до законодавства Союзу про протидію відмиванню коштів, не мають класифікуватися як системи ШІ з високим ризиком, що використовуються правоохоронними органами з метою запобігання, виявлення, розслідування та переслідування кримінальних правопорушень. Використання інструментів ШІ правоохоронними та іншими відповідними органами не має ставати чинником нерівності або відчуження. Вплив використання інструментів ШІ на права на захист підозрюваних не має ігноруватися, зокрема складність отримання значущої інформації про функціонування цих систем та відповідна складність оскарження їхніх результатів у суді, зокрема фізичними особами, що перебувають під слідством.

(60)

Системи ШІ, що використовуються в управлінні міграцією, притулком та прикордонним контролем, зачіпають осіб, які нерідко перебувають у особливо вразливому становищі та залежать від результатів дій компетентних публічних органів. Точність, недискримінаційний характер та прозорість систем ШІ, що використовуються у цих контекстах, є тому особливо важливими для гарантування поваги до основоположних прав постраждалих осіб, зокрема їхніх прав на свободу пересування, недискримінацію, захист приватного життя та персональних даних, міжнародний захист та належне адміністрування. Тому доцільно класифікувати як такі, що мають високий ризик, тою мірою, якою їхнє використання дозволено відповідним правом Союзу та національним правом, системи ШІ, призначені для використання компетентними публічними органами або від їхнього імені, або установами, органами, відомствами або агентствами Союзу, яким доручено завдання у сферах управління міграцією, притулком та прикордонним контролем, як-то поліграфи та аналогічні інструменти, для оцінки певних ризиків, що становлять фізичні особи, які в'їжджають на територію держави-члена або подають заяву на отримання візи або притулку, для надання допомоги компетентним публічним органам у вивченні, у тому числі пов'язаній оцінці достовірності доказів, заявок на отримання притулку, візи та дозволів на проживання та пов'язаних скарг стосовно мети встановлення права на отримання статусу для фізичних осіб, що подають заявку, з метою виявлення, розпізнавання або ідентифікації фізичних осіб у контексті управління міграцією, притулком та прикордонним контролем, за винятком перевірки проїзних документів. Системи ШІ у сфері управління міграцією, притулком та прикордонним контролем, охоплені цим Регламентом, мають відповідати відповідним процедурним вимогам, встановленим Регламентом Європейського Парламенту і Ради (ЄС) № 810/2009 (32), Директивою Європейського Парламенту і Ради 2013/32/ЄС (33), та інших відповідних правових актів Союзу. Використання систем ШІ в управлінні міграцією, притулком та прикордонним контролем не має в жодному разі використовуватися державами-членами або установами, органами, відомствами чи агентствами Союзу як засіб уникнення їхніх міжнародних зобов'язань відповідно до Конвенції ООН про статус біженців, укладеної в Женеві 28 липня 1951 року з поправками, внесеними Протоколом від 31 січня 1967 року. Вони також не мають використовуватися в будь-який спосіб для порушення принципу невислання, або для відмови в безпечних та ефективних законних шляхах на територію Союзу, у тому числі права на міжнародний захист.

(61)

Певні системи ШІ, призначені для відправлення правосуддя та демократичних процесів, мають класифікуватися як такі, що мають високий ризик, враховуючи їхній потенційно значний вплив на демократію, верховенство права, індивідуальні свободи, а також право на ефективний засіб правового захисту та справедливий судовий розгляд. Зокрема, для усунення ризиків потенційних упереджень, помилок та непрозорості доцільно кваліфікувати як такі, що мають високий ризик, системи ШІ, призначені для використання судовим органом або від його імені для надання допомоги судовим органам у дослідженні та тлумаченні фактів і права та у застосуванні права до конкретного набору фактів. Системи ШІ, призначені для використання органами альтернативного вирішення спорів для таких цілей, також мають вважатися такими, що мають високий ризик, коли результати провадження з альтернативного вирішення спорів породжують правові наслідки для сторін. Використання інструментів ШІ може підтримувати повноваження суддів щодо прийняття рішень або суддівську незалежність, але не має їх замінювати: остаточне прийняття рішень має залишатися діяльністю, що здійснюється людиною. Класифікація систем ШІ як таких, що мають високий ризик, не має, однак, поширюватися на системи ШІ, призначені для суто допоміжної адміністративної діяльності, що не впливає на фактичне відправлення правосуддя в окремих справах, як-от анонімізація або псевдонімізація судових рішень, документів або даних, комунікація між персоналом, адміністративні завдання.

(62)

Без шкоди для норм, передбачених Регламентом Європейського Парламенту і Ради (ЄС) 2024/900 (34), та з метою усунення ризиків неналежного зовнішнього втручання у право голосу, закріплене у статті 39 Хартії, та несприятливих наслідків для демократії та верховенства права, системи ШІ, призначені для використання з метою впливу на результат виборів або референдуму чи на поведінку фізичних осіб під час голосування на виборах або референдумах, мають класифікуватися як системи ШІ з високим ризиком, за винятком систем ШІ, вихідним даним яких фізичні особи не піддаються безпосередньо, як-от інструменти, що використовуються для організації, оптимізації та структурування політичних кампаній з адміністративної та логістичної точки зору.

(63)

Той факт, що система ШІ класифікується як система ШІ з високим ризиком відповідно до цього Регламенту, не має тлумачитися як вказівка на те, що використання системи є законним відповідно до інших актів права Союзу або відповідно до національного права, сумісного з правом Союзу, наприклад щодо захисту персональних даних, використання поліграфів та аналогічних інструментів або інших систем для виявлення емоційного стану фізичних осіб. Будь-яке таке використання має продовжуватися виключно відповідно до застосовних вимог, що випливають із Хартії та застосовних актів вторинного права Союзу та національного права. Цей Регламент не має розумітися як такий, що передбачає правову підставу для обробки персональних даних, у тому числі особливих категорій персональних даних, де це доречно, якщо цим Регламентом спеціально не передбачено інше.

(64)

Для пом'якшення ризиків від систем ШІ з високим ризиком, введених в обіг або в експлуатацію, та забезпечення високого рівня довіреності до певних систем ШІ з високим ризиком мають застосовуватися певні обов'язкові вимоги з урахуванням призначеної мети та контексту використання системи ШІ та відповідно до системи управління ризиками, що має бути створена провайдером. Заходи, прийняті провайдерами для дотримання обов'язкових вимог цього Регламенту, мають враховувати загальновизнаний сучасний стан розвитку ШІ, бути пропорційними та ефективними для досягнення цілей цього Регламенту. На основі Нової законодавчої бази, уточненої у повідомленні Комісії «Блакитний посібник із впровадження правил ЄС щодо продуктів 2022 року», загальне правило полягає в тому, що більш ніж один правовий акт законодавства Союзу про гармонізацію може застосовуватися до одного продукту, оскільки надання в користування або введення в експлуатацію може відбуватися лише тоді, коли продукт відповідає всьому застосовному законодавству Союзу про гармонізацію. Небезпеки систем ШІ, охоплені вимогами цього Регламенту, стосуються інших аспектів, ніж існуюче законодавство Союзу про гармонізацію, і тому вимоги цього Регламенту доповнюватимуть існуючий масив законодавства Союзу про гармонізацію. Наприклад, продукти у вигляді машин та обладнання або медичних виробів, що включають систему ШІ, можуть становити ризики, не охоплені основними вимогами до охорони здоров'я та безпеки, встановленими у відповідному гармонізованому законодавстві Союзу, оскільки таке галузеве законодавство не стосується ризиків, специфічних для систем ШІ. Це вимагає одночасного та взаємодоповнювального застосування різних законодавчих актів. Для забезпечення узгодженості та уникнення непотрібного адміністративного тягаря і непотрібних витрат провайдери продукту, що містить одну або більше систем ШІ з високим ризиком, до яких застосовуються вимоги цього Регламенту та законодавства Союзу про гармонізацію, заснованого на Новій законодавчій базі та переліченого у додатку до цього Регламенту, мають мати гнучкість щодо операційних рішень про те, як оптимальним чином забезпечити відповідність продукту, що містить одну або більше систем ШІ, усім застосовним вимогам цього гармонізованого законодавства Союзу. Така гнучкість може означати, наприклад, рішення провайдера інтегрувати частину необхідних процесів тестування та звітності, інформації та документації, що вимагаються цим Регламентом, до вже існуючих документів та процедур, що вимагаються відповідно до існуючого законодавства Союзу про гармонізацію, заснованого на Новій законодавчій базі та переліченого у додатку до цього Регламенту. Це жодним чином не має підривати зобов'язання провайдера виконувати всі застосовні вимоги.

(65)

Система управління ризиками має складатися з безперервного ітеративного процесу, який планується та здійснюється протягом усього життєвого циклу системи ШІ з високим ризиком. Цей процес має бути спрямований на виявлення та пом'якшення відповідних ризиків систем ШІ для здоров'я, безпеки та основоположних прав. Система управління ризиками має регулярно переглядатися та оновлюватися для забезпечення її подальшої ефективності, а також обґрунтування та документування будь-яких значущих рішень і дій, вжитих відповідно до цього Регламенту. Цей процес має забезпечувати, що провайдер виявляє ризики або несприятливі наслідки та вживає заходів щодо їх пом'якшення для відомих та розумно передбачуваних ризиків систем ШІ для здоров'я, безпеки та основоположних прав з огляду на їхню призначену мету та розумно передбачуване неналежне використання, у тому числі можливі ризики, що виникають внаслідок взаємодії між системою ШІ та середовищем, у якому вона функціонує. Система управління ризиками має приймати найбільш відповідні заходи управління ризиками з огляду на сучасний стан розвитку ШІ. При визначенні найбільш відповідних заходів управління ризиками провайдер має документувати та пояснювати зроблені вибори та, де доречно, залучати експертів та зовнішніх зацікавлених сторін. При визначенні розумно передбачуваного неналежного використання систем ШІ з високим ризиком провайдер має охоплювати варіанти використання систем ШІ, які, хоча й не охоплені безпосередньо призначеною метою та передбачені в інструкції з використання, тим не менш можуть розумно очікуватися як результат легко передбачуваної людської поведінки в контексті конкретних характеристик та використання конкретної системи ШІ. Будь-які відомі або передбачувані обставини, пов'язані з використанням системи ШІ з високим ризиком відповідно до її призначеної мети або в умовах розумно передбачуваного неналежного використання, які можуть призводити до ризиків для здоров'я та безпеки або основоположних прав, мають включатися до інструкцій з використання, що надаються провайдером. Це робиться для того, щоб суб'єкт розгортання був обізнаний про них та враховував їх при використанні системи ШІ з високим ризиком. Виявлення та впровадження заходів щодо пом'якшення ризиків для передбачуваного неналежного використання відповідно до цього Регламенту не має вимагати конкретного додаткового навчання системи ШІ з високим ризиком провайдером для усунення передбачуваного неналежного використання. Проте провайдерам рекомендується розглянути такі додаткові заходи навчання для пом'якшення розумно передбачуваних видів неналежного використання, наскільки це необхідно і доречно.

(66)

До систем ШІ з високим ризиком мають застосовуватися вимоги щодо управління ризиками, якості та релевантності використовуваних наборів даних, технічної документації та ведення записів, прозорості та надання інформації суб'єктам розгортання, нагляду з боку людини, а також стійкості, точності та кібербезпеки. Ці вимоги необхідні для ефективного пом'якшення ризиків для здоров'я, безпеки та основоположних прав. Оскільки жодних інших менш обмежувальних для торгівлі заходів розумно не існує, ці вимоги не є невиправданими обмеженнями торгівлі.

(67)

Якісні дані та доступ до якісних даних відіграють ключову роль у структуруванні та забезпеченні продуктивності багатьох систем ШІ, особливо коли використовуються методи, що передбачають навчання моделей, з метою забезпечення того, щоб система ШІ з високим ризиком функціонувала за призначенням та безпечно і не ставала джерелом дискримінації, забороненої правом Союзу. Якісні набори даних для навчання, перевірки та тестування вимагають впровадження належних практик управління та менеджменту даних. Набори даних для навчання, перевірки та тестування, включаючи мітки, мають бути релевантними, достатньо репрезентативними та по можливості вільними від помилок і повними з огляду на призначену мету системи. Для сприяння дотриманню законодавства Союзу про захист даних, наприклад Регламенту (ЄС) 2016/679, практики управління та менеджменту даних мають включати у випадку персональних даних прозорість щодо первісної мети збору даних. Набори даних також мають мати відповідні статистичні властивості, у тому числі стосовно осіб або груп осіб, щодо яких призначена система ШІ з високим ризиком, з особливою увагою до пом'якшення можливих упереджень у наборах даних, які, ймовірно, впливатимуть на здоров'я та безпеку осіб, матимуть негативний вплив на основоположні права або призводитимуть до дискримінації, забороненої правом Союзу, особливо там, де вихідні дані впливають на вхідні дані для майбутніх операцій (петлі зворотного зв'язку). Упередження можуть, наприклад, бути властивими базовим наборам даних, особливо коли використовуються історичні дані, або виникати при впровадженні систем у реальних умовах. Результати, що надаються системами ШІ, можуть зазнавати впливу таких притаманних упереджень, які схильні поступово наростати і тим самим увічнювати та посилювати існуючу дискримінацію, зокрема стосовно осіб, що належать до певних вразливих груп, у тому числі расових або етнічних груп. Вимога про те, щоб набори даних по можливості були повними та вільними від помилок, не має впливати на використання технологій забезпечення конфіденційності в контексті розробки та тестування систем ШІ. Зокрема, набори даних мають враховувати тією мірою, якою це вимагається їхньою призначеною метою, риси, характеристики або елементи, притаманні конкретному географічному, контекстуальному, поведінковому або функціональному середовищу, в якому призначена до використання система ШІ. Вимоги щодо управління даними можуть виконуватися шляхом звернення до третіх сторін, що пропонують сертифіковані послуги дотримання відповідності, включаючи перевірку управління даними, цілісності наборів даних та практик навчання, перевірки та тестування даних, тією мірою, якою забезпечується відповідність вимогам до даних цього Регламенту.

(68)

Для розробки та оцінки систем ШІ з високим ризиком певні суб'єкти, зокрема провайдери, нотифіковані органи та інші відповідні суб'єкти, наприклад Центри цифрових інновацій Європи, випробувальні та дослідницькі установи та дослідники, мають мати можливість доступу та використання якісних наборів даних у сферах діяльності цих суб'єктів, пов'язаних із цим Регламентом. Загальноєвропейські простори даних, створені Комісією, та сприяння обміну даними між підприємствами та з урядом в суспільних інтересах сприятимуть забезпеченню надійного, підзвітного та недискримінаційного доступу до якісних даних для навчання, перевірки та тестування систем ШІ. Наприклад, у сфері охорони здоров'я Європейський простір даних охорони здоров'я сприятиме недискримінаційному доступу до медичних даних та навчанню алгоритмів ШІ на цих наборах даних у спосіб, що зберігає конфіденційність, безпечним, своєчасним, прозорим та надійним чином та з відповідним інституційним управлінням. Відповідні компетентні органи, у тому числі галузеві, що забезпечують або підтримують доступ до даних, також можуть підтримувати надання якісних даних для навчання, перевірки та тестування систем ШІ.

(69)

Право на недоторканність приватного життя та захист персональних даних має гарантуватися протягом усього життєвого циклу системи ШІ. У цьому відношенні принципи мінімізації даних та захисту даних за задумом та за замовчуванням, як передбачено законодавством Союзу про захист даних, застосовуються при обробці персональних даних. Заходи, вжиті провайдерами для забезпечення дотримання цих принципів, можуть включати не лише анонімізацію та шифрування, але й використання технологій, що дозволяють доставляти алгоритми до даних та навчати системи ШІ без передачі між сторонами або копіювання самих необроблених або структурованих даних, без шкоди для вимог щодо управління даними, передбачених у цьому Регламенті.

(70)

З метою захисту права інших від дискримінації, яка може виникнути внаслідок упередженості в системах ШІ, провайдери мають, як виняток, тією мірою, якою це суворо необхідно для забезпечення виявлення та виправлення упередженості стосовно систем ШІ з високим ризиком, за умови відповідних гарантій основоположних прав і свобод фізичних осіб і після застосування всіх застосовних умов, встановлених цим Регламентом, на додаток до умов, встановлених Регламентами (ЄС) 2016/679 та (ЄС) 2018/1725 і Директивою (ЄС) 2016/680, мати можливість також обробляти особливі категорії персональних даних як питання суттєвого суспільного інтересу у значенні статті 9(2), пункту (g) Регламенту (ЄС) 2016/679 та статті 10(2), пункту (g) Регламенту (ЄС) 2018/1725.

(71)

Наявність зрозумілої інформації про те, як системи ШІ з високим ризиком були розроблені та як вони функціонують протягом усього свого терміну служби, є важливою умовою для забезпечення відстежуваності цих систем, перевірки відповідності вимогам цього Регламенту, а також моніторингу їхньої роботи та моніторингу після введення в обіг. Для цього необхідно вести записи та мати в наявності технічну документацію, що містить інформацію, необхідну для оцінки відповідності системи ШІ відповідним вимогам та сприяння моніторингу після введення в обіг. Така інформація має включати загальні характеристики, можливості та обмеження системи, алгоритми, дані, процеси навчання, тестування та перевірки, що використовуються, а також документацію щодо відповідної системи управління ризиками, складену у зрозумілій та вичерпній формі. Технічна документація має зберігатися в актуальному стані належним чином протягом усього терміну служби системи ШІ. Крім того, системи ШІ з високим ризиком мають технічно забезпечувати автоматичну реєстрацію подій за допомогою журналів протягом усього терміну служби системи.

(72)

Для вирішення проблем, пов'язаних з непрозорістю та складністю певних систем ШІ, та надання суб'єктам розгортання допомоги у виконанні їхніх зобов'язань відповідно до цього Регламенту, для систем ШІ з високим ризиком до їхнього введення в обіг або в експлуатацію має вимагатися прозорість. Системи ШІ з високим ризиком мають проектуватися таким чином, щоб суб'єкти розгортання могли розуміти принцип роботи системи ШІ, оцінювати її функціональність та розуміти її переваги та обмеження. Системи ШІ з високим ризиком мають супроводжуватися відповідною інформацією у формі інструкцій з використання. Така інформація має включати характеристики, можливості та обмеження продуктивності системи ШІ. Вони охоплюватимуть інформацію про можливі відомі та передбачувані обставини, пов'язані з використанням системи ШІ з високим ризиком, у тому числі дії суб'єкта розгортання, що можуть впливати на поведінку та продуктивність системи, за яких система ШІ може призводити до ризиків для здоров'я, безпеки та основоположних прав, про зміни, попередньо визначені та оцінені провайдером щодо відповідності, та про відповідні заходи нагляду з боку людини, у тому числі заходи для сприяння інтерпретації вихідних даних системи ШІ суб'єктами розгортання. Прозорість, у тому числі інструкції з використання, що додаються, має допомагати суб'єктам розгортання у використанні системи та підтримувати прийняття ними обґрунтованих рішень. Суб'єкти розгортання мають, між іншим, бути у кращому становищі для здійснення правильного вибору системи, яку вони мають намір використовувати, з огляду на застосовні до них зобов'язання, бути поінформованими про призначені та виключені варіанти використання та використовувати систему ШІ правильно та в належний спосіб. З метою підвищення читабельності та доступності інформації, що включається до інструкцій з використання, де доречно, мають включатися ілюстративні приклади, наприклад щодо обмежень та призначених і виключених варіантів використання системи ШІ. Провайдери мають забезпечити, щоб уся документація, у тому числі інструкції з використання, містила змістовну, вичерпну, доступну та зрозумілу інформацію, враховуючи потреби та передбачувані знання цільових суб'єктів розгортання. Інструкції з використання мають надаватися мовою, яка може бути легко зрозуміла цільовим суб'єктам розгортання, як це визначається відповідною державою-членом.

(73)

Системи ШІ з високим ризиком мають проектуватися та розроблятися таким чином, щоб фізичні особи могли здійснювати нагляд за їхнім функціонуванням, забезпечувати їхнє використання за призначенням та те, що їхні наслідки враховуються протягом усього життєвого циклу системи. З цією метою провайдер системи має визначити відповідні заходи нагляду з боку людини до введення системи в обіг або в експлуатацію. Зокрема, де доречно, такі заходи мають гарантувати, що система підпорядкована вбудованим операційним обмеженням, які не можуть бути відмінені самою системою, та реагує на людського оператора, а фізичні особи, яким доручено нагляд з боку людини, мають необхідну компетентність, підготовку та повноваження для виконання цієї ролі. Також важливо, де доречно, забезпечити, щоб системи ШІ з високим ризиком включали механізми для керівництва та інформування фізичної особи, якій доручено нагляд з боку людини, для прийняття обґрунтованих рішень про те, чи, коли і як втрутитися з метою уникнення негативних наслідків або ризиків, або для зупинення системи, якщо вона не функціонує за призначенням. Враховуючи значні наслідки для осіб у випадку неправильного зіставлення певними системами біометричної ідентифікації, доцільно передбачити розширену вимогу нагляду з боку людини для таких систем, щоб жодні дії або рішення не могли прийматися суб'єктом розгортання на основі ідентифікації, що є результатом системи, якщо це не було окремо верифіковано та підтверджено щонайменше двома фізичними особами. Ці особи можуть бути з одного або більше суб'єктів і включати особу, яка управляє системою або використовує її. Ця вимога не має створювати непотрібного тягаря або затримок, і може бути достатнім, щоб окремі верифікації різними особами автоматично реєструвалися в журналах, що генеруються системою. З огляду на специфіку сфер правоохоронної діяльності, міграції, прикордонного контролю та притулку, ця вимога не має застосовуватися там, де право Союзу або національне право вважає застосування цієї вимоги непропорційним.

(74)

Системи ШІ з високим ризиком мають стабільно функціонувати протягом усього свого життєвого циклу та відповідати належному рівню точності, стійкості та кібербезпеки з огляду на їхню призначену мету та відповідно до загальновизнаного сучасного стану розвитку технологій. Комісії та відповідним організаціям та зацікавленим сторонам рекомендується приділяти належну увагу пом'якшенню ризиків та негативних наслідків системи ШІ. Очікуваний рівень показників продуктивності має бути задекларований в інструкціях з використання, що додаються. Провайдерам рекомендується доносити цю інформацію до суб'єктів розгортання у зрозумілий та легко доступний спосіб, вільний від непорозумінь або оманливих тверджень. Законодавство Союзу про юридичну метрологію, у тому числі Директиви 2014/31/ЄС (35) та 2014/32/ЄС (36) Європейського Парламенту і Ради спрямоване на забезпечення точності вимірювань та сприяння прозорості та справедливості комерційних операцій. У цьому контексті у співпраці з відповідними зацікавленими сторонами та організаціями, наприклад органами з метрології та порівняльного оцінювання, Комісія має заохочувати, де доречно, розробку еталонів та методологій вимірювання для систем ШІ. При цьому Комісія має приймати до відома та співпрацювати з міжнародними партнерами, що працюють над метрологією та відповідними показниками вимірювання, пов'язаними з ШІ.

(75)

Технічна стійкість є ключовою вимогою для систем ШІ з високим ризиком. Вони мають бути стійкими стосовно шкідливої або іншим чином небажаної поведінки, яка може бути наслідком обмежень у самих системах або в середовищі, в якому системи функціонують (наприклад, помилки, несправності, невідповідності, непередбачені ситуації). Тому мають вживатися технічні та організаційні заходи для забезпечення стійкості систем ШІ з високим ризиком, наприклад шляхом проектування та розробки відповідних технічних рішень для запобігання або мінімізації шкідливої або іншим чином небажаної поведінки. Такі технічні рішення можуть включати, наприклад, механізми, що дозволяють системі безпечно переривати свою роботу (плани безпечного відмовлення) за наявності певних аномалій або коли функціонування відбувається за межами певних попередньо встановлених меж. Невдача у захисті від цих ризиків може призводити до наслідків для безпеки або негативно впливати на основоположні права, наприклад внаслідок помилкових рішень або неправильних чи упереджених вихідних даних, генерованих системою ШІ.

(76)

Кібербезпека відіграє вирішальну роль у забезпеченні стійкості систем ШІ до спроб змінити їхнє використання, поведінку, продуктивність або скомпрометувати їхні властивості безпеки з боку зловмисних третіх сторін, що використовують уразливості системи. Кібератаки на системи ШІ можуть використовувати специфічні для ШІ активи, наприклад навчальні набори даних (як-от отруєння даних) або навчені моделі (наприклад, атаки на основі змагального прикладу або визначення належності до навчальної вибірки), або використовувати уразливості в цифрових активах системи ШІ або базовій ІКТ-інфраструктурі. Щоб забезпечити рівень кібербезпеки, відповідний ризикам, провайдерами систем ШІ з високим ризиком мають вживатися відповідні заходи, наприклад засоби контролю безпеки, також з урахуванням, де доречно, базової ІКТ-інфраструктури.

(77)

Без шкоди для вимог щодо стійкості та точності, встановлених у цьому Регламенті, системи ШІ з високим ризиком, що підпадають під сферу дії Регламенту Європейського Парламенту і Ради про горизонтальні вимоги до кібербезпеки продуктів з цифровими елементами, відповідно до цього регламенту можуть демонструвати дотримання вимог кібербезпеки цього Регламенту шляхом виконання основних вимог кібербезпеки, встановлених у тому регламенті. Якщо системи ШІ з високим ризиком виконують основні вимоги Регламенту Європейського Парламенту і Ради про горизонтальні вимоги до кібербезпеки продуктів з цифровими елементами, вони мають вважатися такими, що відповідають вимогам кібербезпеки, встановленим у цьому Регламенті, тою мірою, якою досягнення цих вимог продемонстровано в ЄС-декларації про відповідність або її частинах, виданих відповідно до того регламенту. З цією метою оцінка ризиків кібербезпеки, пов'язаних із продуктом з цифровими елементами, класифікованим як система ШІ з високим ризиком відповідно до цього Регламенту, що здійснюється відповідно до Регламенту Європейського Парламенту і Ради про горизонтальні вимоги до кібербезпеки продуктів з цифровими елементами, має розглядати ризики для кіберстійкості системи ШІ щодо спроб неавторизованих третіх сторін змінити її використання, поведінку або продуктивність, у тому числі вразливості, специфічні для ШІ, такі як отруєння даних або атаки на основі змагального прикладу, а також, де доречно, ризики для основоположних прав, як того вимагає цей Регламент.

(78)

Процедура оцінки відповідності, передбачена цим Регламентом, має застосовуватися стосовно основних вимог кібербезпеки продукту з цифровими елементами, охопленого Регламентом Європейського Парламенту і Ради про горизонтальні вимоги до кібербезпеки продуктів з цифровими елементами та класифікованого як система ШІ з високим ризиком відповідно до цього Регламенту. Однак це правило не має призводити до зниження необхідного рівня забезпечення безпеки критичних продуктів з цифровими елементами, охоплених Регламентом Європейського Парламенту і Ради про горизонтальні вимоги до кібербезпеки продуктів з цифровими елементами. Тому, шляхом відступу від цього правила, системи ШІ з високим ризиком, що підпадають під сферу дії цього Регламенту та також кваліфіковані як важливі та критичні продукти з цифровими елементами відповідно до Регламенту Європейського Парламенту і Ради про горизонтальні вимоги до кібербезпеки продуктів з цифровими елементами, до яких застосовується процедура оцінки відповідності на основі внутрішнього контролю, встановлена у додатку до цього Регламенту, підпорядковуються положенням про оцінку відповідності Регламенту Європейського Парламенту і Ради про горизонтальні вимоги до кібербезпеки продуктів з цифровими елементами тою мірою, якою це стосується основних вимог кібербезпеки того регламенту. У цьому випадку щодо всіх інших аспектів, охоплених цим Регламентом, мають застосовуватися відповідні положення про оцінку відповідності на основі внутрішнього контролю, встановлені у додатку до цього Регламенту. Спираючись на знання та досвід ENISA в галузі політики кібербезпеки та завдань, покладених на ENISA відповідно до Регламенту Європейського Парламенту і Ради (ЄС) 2019/881 (37), Комісія має співпрацювати з ENISA з питань, пов'язаних із кібербезпекою систем ШІ.

(79)

Доцільно, щоб конкретна фізична або юридична особа, визначена як провайдер, брала на себе відповідальність за введення в обіг або введення в експлуатацію системи ШІ з високим ризиком незалежно від того, чи є ця фізична або юридична особа особою, яка спроектувала або розробила систему.

(80)

Як підписанти Конвенції Організації Об'єднаних Націй про права осіб з інвалідністю, Союз та держави-члени юридично зобов'язані захищати осіб з інвалідністю від дискримінації та сприяти їхній рівності, забезпечувати, щоб особи з інвалідністю мали доступ на рівних засадах з іншими до інформаційно-комунікаційних технологій та систем, та забезпечувати повагу до конфіденційності осіб з інвалідністю. З огляду на зростаюче значення та використання систем ШІ застосування принципів універсального дизайну до всіх нових технологій і послуг має забезпечувати повний та рівний доступ для всіх, хто потенційно зазнає впливу ШІ-технологій або їх використовує, у тому числі для осіб з інвалідністю, у спосіб, що повною мірою враховує їхню притаманну гідність та різноманітність. Тому провайдерам важливо забезпечувати повне дотримання вимог доступності, у тому числі Директиви Європейського Парламенту і Ради (ЄС) 2016/2102 (38) та Директиви (ЄС) 2019/882. Провайдери мають забезпечувати дотримання цих вимог за задумом. Тому необхідні заходи мають інтегруватися якомога більше в дизайн системи ШІ з високим ризиком.

(81)

Провайдер має створити надійну систему управління якістю, забезпечити виконання необхідної процедури оцінки відповідності, складати відповідну документацію та створити надійну систему моніторингу після введення в обіг. Провайдери систем ШІ з високим ризиком, що підпадають під зобов'язання щодо систем управління якістю відповідно до відповідного галузевого права Союзу, мають мати можливість включати елементи системи управління якістю, передбаченої цим Регламентом, як частину існуючої системи управління якістю, передбаченої тим іншим галузевим правом Союзу. Взаємодоповнюваність між цим Регламентом та існуючим галузевим правом Союзу також має враховуватися в майбутній діяльності зі стандартизації або вказівках, прийнятих Комісією. Публічні органи, що вводять в експлуатацію системи ШІ з високим ризиком для власного використання, можуть приймати та впроваджувати правила для системи управління якістю як частину системи управління якістю, прийнятої на національному або регіональному рівні, де доречно, з урахуванням специфіки сектору та компетенцій і організації відповідного публічного органу.

(82)

Для забезпечення виконання цього Регламенту та створення рівних умов для операторів, а також з урахуванням різних форм надання в користування цифрових продуктів важливо забезпечити, щоб за будь-яких обставин особа, заснована в Союзі, могла надавати органам усю необхідну інформацію про відповідність системи ШІ. Тому до надання своїх систем ШІ в користування в Союзі провайдери, засновані в третіх країнах, мають шляхом письмового доручення призначати уповноваженого представника, заснованого в Союзі. Цей уповноважений представник відіграє ключову роль у забезпеченні відповідності систем ШІ з високим ризиком, введених в обіг або в експлуатацію в Союзі тими провайдерами, які не засновані в Союзі, та у виконанні функції їхньої контактної особи, заснованої в Союзі.

(83)

З огляду на природу та складність ланцюга створення вартості для систем ШІ та відповідно до Нової законодавчої бази важливо забезпечити правову визначеність та сприяти дотриманню цього Регламенту. Тому необхідно уточнити роль і конкретні зобов'язання відповідних операторів у цьому ланцюгу створення вартості, наприклад імпортерів та дистриб'юторів, які можуть сприяти розробці систем ШІ. У певних ситуаціях ці оператори можуть одночасно виконувати більше однієї ролі і тому мають сукупно виконувати всі відповідні зобов'язання, пов'язані з цими ролями. Наприклад, оператор може одночасно виступати дистриб'ютором та імпортером.

(84)

Для забезпечення правової визначеності необхідно уточнити, що за певних конкретних умов будь-який дистриб'ютор, імпортер, суб'єкт розгортання або інша третя сторона мають вважатися провайдером системи ШІ з високим ризиком і тому брати на себе всі відповідні зобов'язання. Це стосувалося б випадку, якщо ця сторона розміщує своє найменування або торгову марку на системі ШІ з високим ризиком, вже введеній в обіг або в експлуатацію, без шкоди для договірних домовленостей, що передбачають інший розподіл зобов'язань. Це також стосувалося б випадку, якщо ця сторона вносить суттєву модифікацію до системи ШІ з високим ризиком, яка вже була введена в обіг або вже введена в експлуатацію, таким чином, що вона залишається системою ШІ з високим ризиком відповідно до цього Регламенту, або якщо вона змінює призначену мету системи ШІ, у тому числі системи ШІ загального призначення, що не була класифікована як така, що має високий ризик, та вже була введена в обіг або введена в експлуатацію, таким чином, що система ШІ стає системою ШІ з високим ризиком відповідно до цього Регламенту. Ці положення мають застосовуватися без шкоди для більш конкретних положень, встановлених у певному законодавстві Союзу про гармонізацію, заснованому на Новій законодавчій базі, разом із яким має застосовуватися цей Регламент. Наприклад, стаття 16(2) Регламенту (ЄС) 2017/745, яка встановлює, що певні зміни не мають вважатися модифікаціями пристрою, що можуть впливати на його відповідність застосовним вимогам, має продовжувати застосовуватися до систем ШІ з високим ризиком, які є медичними виробами у значенні того Регламенту.

(85)

Системи ШІ загального призначення можуть самі по собі використовуватися як системи ШІ з високим ризиком або бути компонентами інших систем ШІ з високим ризиком. Тому з огляду на їхній особливий характер та для забезпечення справедливого розподілу відповідальності у ланцюгу створення вартості ШІ провайдери таких систем мають, незалежно від того, чи вони можуть використовуватися як системи ШІ з високим ризиком як такі іншими провайдерами або як компоненти систем ШІ з високим ризиком, та якщо цим Регламентом не передбачено інше, тісно співпрацювати з провайдерами відповідних систем ШІ з високим ризиком для забезпечення їхньої відповідності відповідним зобов'язанням відповідно до цього Регламенту та з компетентними органами, створеними відповідно до цього Регламенту.

(86)

У випадках, коли відповідно до умов, встановлених у цьому Регламенті, провайдер, який спочатку ввів систему ШІ в обіг або ввів її в експлуатацію, більше не має вважатися провайдером для цілей цього Регламенту, і коли цей провайдер прямо не виключив перетворення системи ШІ на систему ШІ з високим ризиком, колишній провайдер тим не менш має тісно співпрацювати та надавати необхідну інформацію і забезпечувати розумно очікуваний технічний доступ та іншу допомогу, необхідні для виконання зобов'язань, встановлених у цьому Регламенті, зокрема щодо дотримання оцінки відповідності систем ШІ з високим ризиком.

(87)

Крім того, якщо система ШІ з високим ризиком, яка є компонентом безпеки продукту, що підпадає під сферу дії законодавства Союзу про гармонізацію, заснованого на Новій законодавчій базі, не вводиться в обіг або в експлуатацію незалежно від продукту, виробник продукту, визначений у тому законодавстві, має виконувати зобов'язання провайдера, встановлені у цьому Регламенті, та має, зокрема, забезпечувати, що система ШІ, вбудована в кінцевий продукт, відповідає вимогам цього Регламенту.

(88)

У ланцюгу створення вартості ШІ численні сторони часто постачають системи ШІ, інструменти та послуги, а також компоненти або процеси, що включаються провайдером до системи ШІ з різними цілями, у тому числі навчання моделі, перенавчання моделі, тестування та оцінка моделі, інтеграція в програмне забезпечення або інші аспекти розробки моделі. Ці сторони відіграють важливу роль у ланцюгу створення вартості стосовно провайдера системи ШІ з високим ризиком, до якої інтегруються їхні системи ШІ, інструменти, послуги, компоненти або процеси, та мають шляхом письмової угоди надавати цьому провайдеру необхідну інформацію, можливості, технічний доступ та іншу допомогу на основі загальновизнаного сучасного стану розвитку технологій, щоб дати провайдеру можливість повністю виконувати зобов'язання, встановлені у цьому Регламенті, не порушуючи власних прав інтелектуальної власності або комерційної таємниці.

(89)

Третіх сторін, що забезпечують публічний доступ до інструментів, послуг, процесів або компонентів ШІ, відмінних від моделей ШІ загального призначення, не слід зобов'язувати виконувати вимоги, що стосуються відповідальності у ланцюгу створення вартості ШІ, зокрема стосовно провайдера, який їх використовував або інтегрував, якщо ці інструменти, послуги, процеси або компоненти ШІ надаються у публічний доступ на умовах вільної ліцензії з відкритим вихідним кодом. Розробників вільних інструментів, послуг, процесів або компонентів ШІ з відкритим вихідним кодом, відмінних від моделей ШІ загального призначення, слід заохочувати до впровадження широко поширених практик документування, таких як картки моделей та технічні паспорти даних, як спосіб прискорення обміну інформацією у ланцюгу створення вартості ШІ, що дозволяє сприяти розвитку надійних систем ШІ в Союзі.

(90)

Комісія могла б розробляти та рекомендувати добровільні типові договірні умови між провайдерами систем ШІ з високим ризиком та третіми сторонами, що постачають інструменти, послуги, компоненти або процеси, що використовуються або інтегруються в системи ШІ з високим ризиком, для сприяння співпраці у ланцюгу створення вартості. При розробці добровільних типових договірних умов Комісія також має враховувати можливі договірні вимоги, застосовні в конкретних секторах або бізнес-кейсах.

(91)

З огляду на природу систем ШІ та ризики для безпеки та основоположних прав, можливо пов'язані з їхнім використанням, у тому числі щодо необхідності забезпечення належного моніторингу продуктивності системи ШІ в реальних умовах, доцільно встановити конкретні обов'язки для суб'єктів розгортання. Суб'єкти розгортання мають, зокрема, вживати відповідних технічних та організаційних заходів для забезпечення використання ними систем ШІ з високим ризиком відповідно до інструкцій з використання, а певні інші зобов'язання мають бути передбачені стосовно моніторингу функціонування систем ШІ та щодо ведення записів, де доречно. Крім того, суб'єкти розгортання мають забезпечувати, щоб особи, яким доручено реалізацію інструкцій з використання та нагляду з боку людини, як передбачено цим Регламентом, мали необхідну компетентність, зокрема достатній рівень грамотності у сфері ШІ, підготовку та повноваження для належного виконання цих завдань. Ці зобов'язання мають бути без шкоди для інших зобов'язань суб'єктів розгортання стосовно систем ШІ з високим ризиком відповідно до права Союзу або національного права.

(92)

Цей Регламент не завдає шкоди зобов'язанням роботодавців інформувати або інформувати та консультуватися з працівниками або їхніми представниками відповідно до права та практики Союзу та національного права, у тому числі Директиви Європейського Парламенту і Ради 2002/14/ЄС (39), щодо рішень про введення в експлуатацію або використання систем ШІ. Залишається необхідним забезпечення інформування працівників та їхніх представників про заплановане розгортання систем ШІ з високим ризиком на робочому місці там, де умови для таких зобов'язань з інформування або інформування та консультування за іншими правовими інструментами не виконуються. Крім того, таке право на інформацію є допоміжним та необхідним для досягнення мети захисту основоположних прав, що лежить в основі цього Регламенту. Тому у цьому Регламенті має бути встановлено вимогу щодо інформування з таким ефектом, без будь-якого впливу на існуючі права працівників.

(93)

Хоча ризики, пов'язані із системами ШІ, можуть виникати внаслідок способу проектування таких систем, ризики також можуть виникати внаслідок того, як такі системи ШІ використовуються. Суб'єкти розгортання систем ШІ з високим ризиком тому відіграють вирішальну роль у забезпеченні захисту основоположних прав, доповнюючи зобов'язання провайдера при розробці системи ШІ. Суб'єкти розгортання найкраще обізнані про те, як система ШІ з високим ризиком конкретно використовуватиметься, і тому можуть виявляти потенційні значні ризики, що не були передбачені на етапі розробки, завдяки точнішому знанню контексту використання, осіб або груп осіб, що можуть зазнати впливу, у тому числі вразливих груп. Суб'єкти розгортання систем ШІ з високим ризиком, перелічених у додатку до цього Регламенту, також відіграють вирішальну роль в інформуванні фізичних осіб та мають, коли вони приймають рішення або допомагають у прийнятті рішень, пов'язаних із фізичними особами, де застосовно, інформувати фізичних осіб про те, що вони є суб'єктами використання системи ШІ з високим ризиком. Ця інформація має включати призначену мету та тип рішень, які вона приймає. Суб'єкт розгортання також має інформувати фізичних осіб про їхнє право на роз'яснення, передбачене цим Регламентом. Щодо систем ШІ з високим ризиком, що використовуються у цілях правоохоронної діяльності, це зобов'язання має виконуватися відповідно до статті 13 Директиви (ЄС) 2016/680.

(94)

Будь-яка обробка біометричних даних, що передбачається при використанні систем ШІ для біометричної ідентифікації у цілях правоохоронної діяльності, має відповідати статті 10 Директиви (ЄС) 2016/680, яка дозволяє таку обробку лише там, де це суворо необхідно, за умови відповідних гарантій прав і свобод суб'єкта даних та за наявності дозволу з боку права Союзу або держави-члена. Таке використання, якщо воно авторизоване, також має поважати принципи, встановлені у статті 4(1) Директиви (ЄС) 2016/680, у тому числі законність, справедливість та прозорість, обмеженість мети, точність та обмеженість зберігання.

(95)

Без шкоди для застосовного права Союзу, зокрема Регламенту (ЄС) 2016/679 та Директиви (ЄС) 2016/680, враховуючи інтрузивний характер систем постфактичної дистанційної біометричної ідентифікації, використання систем постфактичної дистанційної біометричної ідентифікації має підпорядковуватися гарантіям. Системи постфактичної дистанційної біометричної ідентифікації мають завжди використовуватися пропорційним, законним та суворо необхідним способом і, таким чином, цілеспрямовано, стосовно осіб, що підлягають ідентифікації, місця розташування, часових меж та на основі закритого набору даних законно отриманих відеозаписів. У будь-якому разі системи постфактичної дистанційної біометричної ідентифікації не мають використовуватися в рамках правоохоронної діяльності з метою невибіркового стеження. Умови для постфактичної дистанційної біометричної ідентифікації у будь-якому разі не мають надавати підстав для обходу умов заборони та суворих виключень для дистанційної біометричної ідентифікації в режимі реального часу.

(96)

Для ефективного забезпечення захисту основоположних прав суб'єкти розгортання систем ШІ з високим ризиком, що є органами, керованими публічним правом, або приватними суб'єктами, що надають публічні послуги, та суб'єкти розгортання певних систем ШІ з високим ризиком, перелічених у додатку до цього Регламенту, наприклад банківські або страхові суб'єкти, мають проводити оцінку впливу на основоположні права до початку використання. Послуги, важливі для осіб, що мають публічний характер, також можуть надаватися приватними суб'єктами. Приватні суб'єкти, що надають такі публічні послуги, пов'язані із завданнями в суспільних інтересах, наприклад у сферах освіти, охорони здоров'я, соціальних послуг, житла, відправлення правосуддя. Метою оцінки впливу на основоположні права є виявлення суб'єктом розгортання конкретних ризиків для прав осіб або груп осіб, на яких, ймовірно, буде здійснено вплив, та визначення заходів, що вживаються у разі матеріалізації цих ризиків. Оцінка впливу має проводитися до розгортання системи ШІ з високим ризиком та має оновлюватися, коли суб'єкт розгортання вважає, що будь-який із відповідних чинників змінився. Оцінка впливу має ідентифікувати відповідні процеси суб'єкта розгортання, в яких система ШІ з високим ризиком використовуватиметься відповідно до її призначеної мети, та має включати опис проміжку часу та частоти, в яких система призначена до використання, а також конкретних категорій фізичних осіб та груп, які можуть зазнати впливу в конкретному контексті використання. Оцінка також має включати виявлення конкретних ризиків шкоди, здатних впливати на основоположні права цих осіб або груп. Під час проведення цієї оцінки суб'єкт розгортання має враховувати інформацію, релевантну для належної оцінки впливу, у тому числі, але не лише, інформацію, надану провайдером системи ШІ з високим ризиком в інструкціях з використання. З огляду на виявлені ризики суб'єкти розгортання мають визначати заходи, що вживаються у разі матеріалізації цих ризиків, включаючи, наприклад, механізми управління в цьому конкретному контексті використання, такі як механізми нагляду з боку людини відповідно до інструкцій з використання або процедури розгляду скарг та відшкодування, оскільки вони можуть відіграти ключову роль у пом'якшенні ризиків для основоположних прав у конкретних варіантах використання. Після проведення цієї оцінки впливу суб'єкт розгортання має повідомляти відповідний орган ринкового нагляду. Де доречно, для збору відповідної інформації, необхідної для проведення оцінки впливу, суб'єкти розгортання систем ШІ з високим ризиком, зокрема коли системи ШІ використовуються в публічному секторі, можуть залучати відповідних зацікавлених сторін, у тому числі представників груп осіб, на яких, ймовірно, буде здійснено вплив від системи ШІ, незалежних експертів та організації громадянського суспільства до проведення таких оцінок впливу та розробки заходів, що вживаються у разі матеріалізації ризиків. Європейське управління з питань штучного інтелекту (Управління ШІ) має розробити шаблон анкети з метою сприяння дотриманню та зменшення адміністративного тягаря для суб'єктів розгортання.

(97)

Поняття моделей ШІ загального призначення має бути чітко визначено та відмежовано від поняття систем ШІ для забезпечення правової визначеності. Визначення має ґрунтуватися на ключових функціональних характеристиках моделі ШІ загального призначення, зокрема на загальності та здатності компетентно виконувати широкий спектр різноманітних завдань. Ці моделі, як правило, навчаються на великих обсягах даних за допомогою різних методів, таких як самоконтрольоване, неконтрольоване або навчання з підкріпленням. Моделі ШІ загального призначення можуть вводитися в обіг різними способами, у тому числі через бібліотеки, програмні інтерфейси застосунків (API), у вигляді прямого завантаження або фізичної копії. Ці моделі можуть бути далі модифіковані або донавчені до нових моделей. Хоча моделі ШІ є важливими компонентами систем ШІ, вони самі по собі не є системами ШІ. Моделям ШІ для перетворення на системи ШІ необхідне додавання подальших компонентів, наприклад інтерфейсу користувача. Моделі ШІ, як правило, інтегруються в системи ШІ та є їхньою частиною. Цей Регламент передбачає конкретні правила для моделей ШІ загального призначення та для моделей ШІ загального призначення, що становлять системні ризики, які мають застосовуватися також тоді, коли ці моделі інтегруються або є частиною системи ШІ. Має розумітися, що зобов'язання для провайдерів моделей ШІ загального призначення мають застосовуватися після введення моделей ШІ загального призначення в обіг. Коли провайдер моделі ШІ загального призначення інтегрує власну модель у власну систему ШІ, що надається в користування на ринку або вводиться в експлуатацію, та модель має вважатися введеною в обіг і тому зобов'язання у цьому Регламенті стосовно моделей мають продовжувати застосовуватися на додаток до тих, що стосуються систем ШІ. Зобов'язання, встановлені для моделей, у будь-якому разі не мають застосовуватися, коли власна модель використовується для суто внутрішніх процесів, що не є необхідними для надання продукту або послуги третім сторонам і права фізичних осіб не зачіпаються. З огляду на їхні потенційно значно негативні наслідки, моделі ШІ загального призначення із системним ризиком завжди мають підпорядковуватися відповідним зобов'язанням відповідно до цього Регламенту. Визначення не має охоплювати моделі ШІ, що використовуються до їхнього введення в обіг виключно з метою дослідницької, розробницької діяльності та створення прототипів. Це без шкоди для зобов'язання дотримуватися цього Регламенту, коли після такої діяльності модель вводиться в обіг.

(98)

Хоча загальність моделі може, між іншим, також визначатися кількістю параметрів, моделі щонайменше з мільярдом параметрів, навчені на великому обсязі даних із використанням масштабного самоконтрольованого навчання, мають вважатися такими, що виявляють значну загальність та компетентно виконують широкий спектр різноманітних завдань.

(99)

Великі генеративні моделі ШІ є типовим прикладом моделі ШІ загального призначення, оскільки вони дозволяють гнучко генерувати контент, наприклад у формі тексту, аудіо, зображень або відео, що може легко пристосовуватися до широкого спектру різноманітних завдань.

(100)

Коли модель ШІ загального призначення інтегрується в систему ШІ або є її частиною, ця система має вважатися системою ШІ загального призначення, коли внаслідок цієї інтеграції ця система має здатність слугувати різноманітним цілям. Система ШІ загального призначення може використовуватися безпосередньо або може бути інтегрована в інші системи ШІ.

(101)

Провайдери моделей ШІ загального призначення мають особливу роль та відповідальність у ланцюгу створення вартості ШІ, оскільки надані ними моделі можуть формувати основу для ряду систем нижчих ланок, часто надаваних провайдерами нижчих ланок, які вимагають хорошого розуміння моделей та їхніх можливостей — як для забезпечення інтеграції таких моделей у свої продукти, так і для виконання своїх зобов'язань відповідно до цього або інших регламентів. Тому мають бути встановлені пропорційні заходи прозорості, у тому числі складання та оновлення документації та надання інформації про модель ШІ загального призначення для її використання провайдерами нижчих ланок. Технічна документація має складатися та оновлюватися провайдером моделі ШІ загального призначення з метою надання її, на запит, Управлінню ШІ та національним компетентним органам. Мінімальний набір елементів, що підлягають включенню до такої документації, має встановлюватися у конкретних додатках до цього Регламенту. Комісія має бути уповноважена вносити зміни до цих додатків за допомогою делегованих актів з огляду на технологічний розвиток.

(102)

Програмне забезпечення та дані, у тому числі моделі, що поширюються відповідно до вільної ліцензії з відкритим вихідним кодом, яка дозволяє їх відкрито поширювати та де користувачі можуть вільно отримувати доступ до них, використовувати, модифікувати та перерозподіляти їх або їхні модифіковані версії, можуть сприяти дослідженням та інноваціям на ринку і надавати значні можливості для зростання для економіки Союзу. Моделі ШІ загального призначення, що поширюються за вільними ліцензіями з відкритим вихідним кодом, мають вважатися такими, що забезпечують високий рівень прозорості та відкритості, якщо їхні параметри, у тому числі ваги, інформація про архітектуру моделі та інформація про використання моделі є загальнодоступними. Ліцензія має також вважатися вільною та з відкритим вихідним кодом, коли вона дозволяє користувачам запускати, копіювати, розповсюджувати, вивчати, змінювати та вдосконалювати програмне забезпечення та дані, у тому числі моделі, за умови, що зазначається первісний провайдер моделі та дотримуються ідентичні або порівнянні умови розповсюдження.

(103)

Вільні компоненти ШІ з відкритим вихідним кодом охоплюють програмне забезпечення та дані, у тому числі моделі та моделі ШІ загального призначення, інструменти, послуги або процеси системи ШІ. Вільні компоненти ШІ з відкритим вихідним кодом можуть надаватися через різні канали, у тому числі шляхом їхньої розробки у відкритих репозиторіях. Для цілей цього Регламенту компоненти ШІ, що надаються за плату або іншим чином монетизуються, у тому числі через надання технічної підтримки або інших послуг, у тому числі через програмну платформу, пов'язану з компонентом ШІ, або через використання персональних даних з причин, відмінних від виключно для підвищення безпеки, сумісності або інтероперабельності програмного забезпечення, за винятком операцій між мікропідприємствами, не мають користуватися винятками, передбаченими для вільних компонентів ШІ з відкритим вихідним кодом. Сам по собі факт надання компонентів ШІ в доступ через відкриті репозиторії не має становити монетизацію.

(104)

Провайдери моделей ШІ загального призначення, що поширюються за вільною ліцензією з відкритим вихідним кодом та чиї параметри, у тому числі ваги, інформація про архітектуру моделі та інформація про використання моделі, є загальнодоступними, мають підпорядковуватися виняткам стосовно вимог, пов'язаних із прозорістю, що застосовуються до моделей ШІ загального призначення, якщо тільки вони не можуть вважатися такими, що становлять системний ризик, у такому разі обставина, що модель є прозорою та супроводжується ліцензією з відкритим вихідним кодом, не має вважатися достатньою підставою для виключення дотримання зобов'язань відповідно до цього Регламенту. У будь-якому разі, враховуючи, що поширення моделей ШІ загального призначення за вільною ліцензією з відкритим вихідним кодом не обов'язково розкриває суттєву інформацію про набір даних, використаний для навчання або тонкого налаштування моделі, та про те, як при цьому забезпечувалося дотримання авторського права, виняток, передбачений для моделей ШІ загального призначення, від дотримання вимог, пов'язаних із прозорістю, не має стосуватися зобов'язання складати зведений огляд контенту, використаного для навчання моделі, та зобов'язання запровадити політику дотримання авторського права Союзу, зокрема виявлення та дотримання застереження про права відповідно до статті 4(3) Директиви Європейського Парламенту і Ради (ЄС) 2019/790 (40).

(105)

Моделі ШІ загального призначення, зокрема великі генеративні моделі ШІ, здатні генерувати текст, зображення та інший контент, відкривають унікальні інноваційні можливості, але також становлять виклики для художників, авторів та інших творців і для того, як їхній творчий контент створюється, розповсюджується, використовується та споживається. Розробка та навчання таких моделей вимагають доступу до величезних обсягів тексту, зображень, відео та інших даних. Методи видобутку тексту та даних можуть широко застосовуватися у цьому контексті для пошуку та аналізу такого контенту, який може охоронятися авторським правом та суміжними правами. Будь-яке використання контенту, захищеного авторським правом, вимагає дозволу відповідного правовласника, якщо тільки не застосовуються відповідні винятки та обмеження авторського права. Директива (ЄС) 2019/790 запровадила винятки та обмеження, що дозволяють відтворення та вилучення творів або інших об'єктів охорони з метою видобутку тексту та даних за певних умов. Відповідно до цих правил правовласники можуть вибрати збереження своїх прав на свої твори або інші об'єкти охорони для запобігання видобутку тексту та даних, якщо тільки це не здійснюється у цілях наукових досліджень. Якщо право відмовитися від участі було прямо застережено у відповідний спосіб, провайдери моделей ШІ загального призначення повинні отримати дозвіл від правовласників, якщо вони хочуть здійснювати видобуток тексту та даних із таких творів.

(106)

Провайдери, що вводять моделі ШІ загального призначення в обіг на ринку Союзу, мають забезпечувати дотримання відповідних зобов'язань у цьому Регламенті. З цією метою провайдери моделей ШІ загального призначення мають запроваджувати політику дотримання права Союзу про авторське право та суміжні права, зокрема для виявлення та дотримання застереження про права, висловленого правовласниками відповідно до статті 4(3) Директиви (ЄС) 2019/790. Будь-який провайдер, що вводить модель ШІ загального призначення в обіг на ринку Союзу, має дотримуватися цього зобов'язання незалежно від юрисдикції, в якій відбуваються дії, що мають значення для авторського права, що лежать в основі навчання цих моделей ШІ загального призначення. Це необхідно для забезпечення рівних умов серед провайдерів моделей ШІ загального призначення, де жоден провайдер не має мати можливості отримати конкурентну перевагу на ринку Союзу шляхом застосування нижчих стандартів авторського права, ніж ті, що передбачені в Союзі.

(107)

З метою підвищення прозорості щодо даних, що використовуються під час попереднього навчання та навчання моделей ШІ загального призначення, у тому числі тексту та даних, захищених авторським правом, доцільно, щоб провайдери таких моделей складали та оприлюднювали достатньо детальний зведений огляд контенту, використаного для навчання моделі ШІ загального призначення. Беручи до уваги необхідність захисту комерційної таємниці та конфіденційної ділової інформації, цей зведений огляд має бути загалом вичерпним за своїм охопленням, а не технічно детальним, щоб допомогти сторонам із законними інтересами, у тому числі правовласникам, здійснювати та захищати свої права відповідно до права Союзу, наприклад шляхом переліку основних зібрань або наборів даних, що увійшли до навчання моделі, таких як великі приватні або публічні бази даних або архіви даних, та шляхом надання описового пояснення про інші використані джерела даних. Доцільно, щоб Управління ШІ надавало шаблон для зведеного огляду, який має бути простим, дієвим та дозволяти провайдеру надавати необхідний зведений огляд у описовій формі.

(108)

Щодо зобов'язань, покладених на провайдерів моделей ШІ загального призначення щодо запровадження політики дотримання авторського права Союзу та оприлюднення зведеного огляду контенту, використаного для навчання, Управління ШІ має здійснювати моніторинг того, чи виконав провайдер ці зобов'язання, не перевіряючи та не переходячи до оцінки навчальних даних твір за твором з точки зору дотримання авторського права. Цей Регламент не впливає на правозастосування норм авторського права, передбачених правом Союзу.

(109)

Дотримання зобов'язань, застосовних до провайдерів моделей ШІ загального призначення, має бути сумірним і пропорційним до типу провайдера моделі, виключаючи необхідність дотримання для осіб, які розробляють або використовують моделі у непрофесійних або наукових дослідницьких цілях, яких, тим не менш, слід заохочувати до добровільного дотримання цих вимог. Без шкоди для авторського права Союзу дотримання цих зобов'язань має належним чином враховувати розмір провайдера та дозволяти спрощені способи дотримання для МСП, у тому числі стартапів, що не мають становити надмірних витрат та не стримувати використання таких моделей. У разі модифікації або тонкого налаштування моделі зобов'язання для провайдерів моделей ШІ загального призначення мають обмежуватися цією модифікацією або тонким налаштуванням, наприклад шляхом доповнення вже існуючої технічної документації інформацією про модифікації, у тому числі нові джерела навчальних даних, як засіб дотримання зобов'язань у ланцюгу створення вартості, передбачених у цьому Регламенті.

(110)

Моделі ШІ загального призначення можуть становити системні ризики, що включають, але не обмежуються, будь-якими фактичними або розумно передбачуваними негативними наслідками стосовно великих аварій, порушень роботи критичних секторів та серйозних наслідків для громадського здоров'я та безпеки; будь-якими фактичними або розумно передбачуваними негативними наслідками для демократичних процесів, публічної та економічної безпеки; поширенням незаконного, хибного або дискримінаційного контенту. Системні ризики мають розумітися як такі, що зростають разом із можливостями моделі та охопленням моделі, можуть виникати протягом усього життєвого циклу моделі та перебувають під впливом умов неналежного використання, надійності моделі, справедливості моделі та безпеки моделі, рівня автономії моделі, її доступу до інструментів, нових або комбінованих модальностей, стратегій випуску та розповсюдження, потенціалу зняття захисних обмежень та інших чинників. Зокрема, міжнародні підходи наразі визначили необхідність приділяти увагу ризикам від потенційного навмисного неналежного використання або ненавмисних проблем контролю, пов'язаних із узгодженістю з людськими намірами; хімічним, біологічним, радіологічним та ядерним ризикам, наприклад тому, як можуть знижуватися бар'єри для входу, у тому числі для розробки, придбання схем або використання зброї; наступальним кіберможливостям, наприклад тому, як може бути забезпечено виявлення вразливостей, їхню експлуатацію або оперативне використання; наслідкам взаємодії та використання інструментів, у тому числі, наприклад, здатності управляти фізичними системами та втручатися в критичну інфраструктуру; ризикам від створення моделями копій себе або «самовідтворення» або навчання інших моделей; тому, як моделі можуть спричиняти шкідливу упередженість та дискримінацію з ризиками для осіб, спільнот або суспільств; сприянню дезінформації або заподіянню шкоди конфіденційності із загрозами демократичним цінностям та правам людини; ризику того, що конкретна подія може призвести до ланцюгової реакції зі значними негативними наслідками, що можуть вплинути на ціле місто, цілу галузь діяльності або цілу спільноту.

(111)

Доцільно встановити методологію класифікації моделей ШІ загального призначення як моделей ШІ загального призначення із системними ризиками. Оскільки системні ризики є результатом особливо високих можливостей, модель ШІ загального призначення має вважатися такою, що становить системні ризики, якщо вона має можливості з великим впливом, що оцінюються на основі відповідних технічних інструментів та методологій, або значний вплив на внутрішній ринок завдяки своєму охопленню. Можливості з великим впливом у моделях ШІ загального призначення означають можливості, що відповідають або перевищують можливості, зафіксовані в найбільш передових моделях ШІ загального призначення. Повний спектр можливостей моделі може бути краще зрозумілий після її введення в обіг або коли суб'єкти розгортання взаємодіють із моделлю. Відповідно до сучасного стану розвитку технологій на момент набрання чинності цим Регламентом, сукупний обсяг обчислень, використаних для навчання моделі ШІ загального призначення, що вимірюється операціями з плаваючою комою, є одним із відповідних наближень для можливостей моделі. Сукупний обсяг обчислень, використаних для навчання, включає обчислення, використані в рамках заходів і методів, призначених для підвищення можливостей моделі до розгортання, таких як попереднє навчання, генерація синтетичних даних та тонке налаштування. Тому має бути встановлено початковий поріг операцій з плаваючою комою, який у разі його досягнення моделлю ШІ загального призначення призводить до презумпції того, що модель є моделлю ШІ загального призначення із системними ризиками. Цей поріг має корегуватися з часом для відображення технологічних та промислових змін, таких як алгоритмічні вдосконалення або підвищення ефективності апаратного забезпечення, та має доповнюватися еталонами та показниками для оцінки можливостей моделі. Для інформування цього Управління ШІ має взаємодіяти з науковою спільнотою, промисловістю, громадянським суспільством та іншими експертами. Пороги, а також інструменти та еталони для оцінки можливостей з великим впливом мають бути надійними предикторами загальності, її можливостей та пов'язаного системного ризику моделей ШІ загального призначення і можуть враховувати спосіб введення моделі в обіг або кількість користувачів, на яких вона може вплинути. На доповнення цієї системи має існувати можливість для Комісії приймати індивідуальні рішення про призначення моделі ШІ загального призначення моделлю ШІ загального призначення із системним ризиком, якщо буде встановлено, що така модель має можливості або вплив, еквівалентні тим, що охоплені встановленим порогом. Це рішення має прийматися на основі загальної оцінки критеріїв призначення моделі ШІ загального призначення із системним ризиком, встановлених у додатку до цього Регламенту, таких як якість або розмір навчального набору даних, кількість ділових і кінцевих користувачів, її вхідні та вихідні модальності, її рівень автономії та масштабованості або інструменти, до яких вона має доступ. На обґрунтований запит провайдера, чиєю моделлю було призначено модель ШІ загального призначення із системним ризиком, Комісія має враховувати запит та може вирішити переоцінити, чи може модель ШІ загального призначення й надалі вважатися такою, що становить системні ризики.

(112)

Також необхідно уточнити процедуру класифікації моделі ШІ загального призначення із системними ризиками. Має презюмуватися, що модель ШІ загального призначення, що відповідає застосовному порогу для можливостей з великим впливом, є моделлю ШІ загального призначення із системним ризиком. Провайдер має повідомляти Управління ШІ не пізніше ніж через два тижні після виконання вимог або після того, як стає відомо, що модель ШІ загального призначення відповідатиме вимогам, що призводять до презумпції. Це особливо актуально стосовно порогу операцій з плаваючою комою, оскільки навчання моделей ШІ загального призначення вимагає значного планування, яке включає попереднє виділення обчислювальних ресурсів, і тому провайдери моделей ШІ загального призначення здатні знати, чи відповідатиме їхня модель порогу до завершення навчання. У контексті цього повідомлення провайдер має мати можливість демонструвати, що, з огляду на свої специфічні характеристики, модель ШІ загального призначення як виняток не становить системних ризиків і тому не має класифікуватися як модель ШІ загального призначення із системними ризиками. Ця інформація є цінною для Управління ШІ для передбачення введення в обіг моделей ШІ загального призначення із системними ризиками, і провайдери можуть починати взаємодіяти з Управлінням ШІ на ранньому етапі. Ця інформація є особливо важливою щодо моделей ШІ загального призначення, що плануються до випуску як моделі з відкритим вихідним кодом, враховуючи, що після випуску моделі з відкритим вихідним кодом необхідні заходи для забезпечення дотримання зобов'язань відповідно до цього Регламенту можуть бути важчими для впровадження.

(113)

Якщо Комісії стає відомо про те, що модель ШІ загального призначення відповідає вимогам для класифікації як моделі ШІ загального призначення із системним ризиком, що раніше або не було відомо, або про що відповідний провайдер не повідомив Комісію, Комісія має бути уповноважена здійснити таке призначення. Система кваліфікованих сповіщень має забезпечити, щоб Управління ШІ було поінформоване науковою панеллю про моделі ШІ загального призначення, які, можливо, мають класифікуватися як моделі ШІ загального призначення із системним ризиком, на доповнення до наглядових заходів Управління ШІ.

(114)

Провайдери моделей ШІ загального призначення, що становлять системні ризики, мають підпорядковуватися, на додаток до зобов'язань, передбачених для провайдерів моделей ШІ загального призначення, зобов'язанням, спрямованим на виявлення та пом'якшення цих ризиків та забезпечення належного рівня захисту кібербезпеки, незалежно від того, чи вона надається як автономна модель або вбудована в систему ШІ або продукт. Для досягнення цих цілей цей Регламент має вимагати від провайдерів проведення необхідних оцінок моделей, зокрема до першого введення в обіг, у тому числі проведення та документування змагального тестування моделей, а також, де доречно, через внутрішнє або незалежне зовнішнє тестування. Крім того, провайдери моделей ШІ загального призначення із системними ризиками мають безперервно оцінювати та пом'якшувати системні ризики, у тому числі, наприклад, шляхом запровадження політик управління ризиками, таких як процеси підзвітності та управління, впровадження моніторингу після введення в обіг, вжиття відповідних заходів протягом усього життєвого циклу моделі та співпраці з відповідними суб'єктами у ланцюгу створення вартості ШІ.

(115)

Провайдери моделей ШІ загального призначення із системними ризиками мають оцінювати та пом'якшувати можливі системні ризики. Якщо, незважаючи на зусилля з виявлення та запобігання ризикам, пов'язаним із моделлю ШІ загального призначення, що може становити системні ризики, розробка або використання моделі спричиняє серйозний інцидент, провайдер моделі ШІ загального призначення має без невиправданої затримки відстежувати інцидент та повідомляти Комісії та національним компетентним органам будь-яку відповідну інформацію та можливі коригувальні заходи. Крім того, провайдери мають забезпечувати належний рівень захисту кібербезпеки для моделі та її фізичної інфраструктури, де доречно, протягом усього життєвого циклу моделі. Захист кібербезпеки, пов'язаний із системними ризиками, пов'язаними зі зловмисним використанням або атаками, має належним чином враховувати випадковий витік моделі, несанкціоновані випуски, обхід захисних заходів та захист від кібератак, несанкціонованого доступу або крадіжки моделі. Такий захист може забезпечуватися шляхом захисту ваг моделі, алгоритмів, серверів та наборів даних, наприклад за допомогою оперативних заходів безпеки для інформаційної безпеки, конкретних політик кібербезпеки, адекватних технічних та усталених рішень, а також засобів контролю кібернетичного та фізичного доступу, відповідних відповідним обставинам та залученим ризикам.

(116)

Управління ШІ має заохочувати та сприяти складанню, перегляду та адаптації кодексів практики з урахуванням міжнародних підходів. Усі провайдери моделей ШІ загального призначення можуть бути запрошені до участі. Для забезпечення того, щоб кодекси практики відображали сучасний стан розвитку технологій та належним чином враховували різноманітний набір точок зору, Управління ШІ має співпрацювати з відповідними національними компетентними органами та може, де доречно, консультуватися з організаціями громадянського суспільства та іншими відповідними зацікавленими сторонами та експертами, у тому числі Науковою панеллю, для складання таких кодексів. Кодекси практики мають охоплювати зобов'язання для провайдерів моделей ШІ загального призначення та моделей ШІ загального призначення, що становлять системні ризики. Крім того, стосовно системних ризиків кодекси практики мають сприяти встановленню таксономії ризиків типу та характеру системних ризиків на рівні Союзу, у тому числі їхніх джерел. Кодекси практики також мають бути зосереджені на конкретних заходах оцінки ризиків та їх пом'якшення.

(117)

Кодекси практики мають становити центральний інструмент для належного дотримання зобов'язань, передбачених у цьому Регламенті для провайдерів моделей ШІ загального призначення. Провайдери мають мати можливість спиратися на кодекси практики для демонстрації дотримання зобов'язань. За допомогою виконавчих актів Комісія може вирішити затвердити кодекс практики та надати йому загальну чинність у межах Союзу або, альтернативно, забезпечити загальні правила виконання відповідних зобов'язань, якщо на момент початку застосування цього Регламенту кодекс практики не може бути завершений або не вважається Управлінням ШІ адекватним. Після публікації гармонізованого стандарту та його оцінки Управлінням ШІ як такого, що підходить для охоплення відповідних зобов'язань, дотримання Європейського гармонізованого стандарту має надавати провайдерам презумпцію відповідності. Провайдери моделей ШІ загального призначення також мають мати можливість демонструвати дотримання за допомогою альтернативних адекватних засобів, якщо кодекси практики або гармонізовані стандарти не є доступними, або вони вирішують не спиратися на них.

(118)

Цей Регламент регулює системи ШІ та моделі ШІ шляхом встановлення певних вимог і зобов'язань для відповідних ринкових суб'єктів, що вводять їх в обіг, в експлуатацію або використовують у Союзі, таким чином доповнюючи зобов'язання для провайдерів посередницьких послуг, що вбудовують такі системи або моделі у свої послуги, що регулюються Регламентом (ЄС) 2022/2065. Тою мірою, якою такі системи або моделі вбудовані в призначені дуже великі онлайн-платформи або дуже великі пошукові системи в інтернеті, вони підпорядковуються системі управління ризиками, передбаченій Регламентом (ЄС) 2022/2065. Відповідно, відповідні зобов'язання цього Регламенту мають вважатися виконаними, якщо тільки в таких моделях не виникають та не виявляються значні системні ризики, не охоплені Регламентом (ЄС) 2022/2065. У цих рамках провайдери дуже великих онлайн-платформ та дуже великих пошукових систем в інтернеті зобов'язані оцінювати потенційні системні ризики, що випливають із дизайну, функціонування та використання їхніх послуг, у тому числі те, як дизайн алгоритмічних систем, що використовуються в послузі, може сприяти таким ризикам, а також системні ризики, що випливають із потенційних видів неналежного використання. Ці провайдери також зобов'язані вживати відповідних пом'якшувальних заходів з дотриманням основоположних прав.

(119)

Враховуючи швидкий темп інновацій та технологічну еволюцію цифрових послуг у сфері дії різних інструментів права Союзу, зокрема маючи на увазі використання та сприйняття їхніми одержувачами, системи ШІ, що підпадають під дію цього Регламенту, можуть надаватися як посередницькі послуги або їхні частини у значенні Регламенту (ЄС) 2022/2065, який має тлумачитися в технологічно нейтральний спосіб. Наприклад, системи ШІ можуть використовуватися для надання пошукових систем в інтернеті, зокрема тою мірою, якою система ШІ, наприклад онлайн-чатбот, здійснює пошуки, в принципі, на всіх веб-сайтах, потім включає результати до своїх існуючих знань та використовує оновлені знання для генерування єдиного вихідного результату, що поєднує різні джерела інформації.

(120)

Крім того, зобов'язання, покладені на провайдерів та суб'єктів розгортання певних систем ШІ у цьому Регламенті, щодо забезпечення можливості виявлення та розкриття того, що вихідні дані цих систем штучно генеруються або маніпулюються, є особливо актуальними для сприяння ефективному виконанню Регламенту (ЄС) 2022/2065. Це застосовується зокрема щодо зобов'язань провайдерів дуже великих онлайн-платформ або дуже великих пошукових систем в інтернеті виявляти та пом'якшувати системні ризики, що можуть виникати внаслідок поширення штучно генерованого або маніпульованого контенту, зокрема ризику фактичних або передбачуваних негативних наслідків для демократичних процесів, громадянського дискурсу та виборчих процесів, у тому числі через дезінформацію.

(121)

Стандартизація має відігравати ключову роль у наданні технічних рішень постачальникам для забезпечення відповідності цьому Регламенту згідно з рівнем розвитку техніки, а також для сприяння інноваціям, конкурентоспроможності та зростанню на єдиному ринку. Відповідність гармонізованим стандартам, як це визначено в статті 2, пункт (1)(c), Регламенту (ЄС) № 1025/2012 Європейського Парламенту і Ради (41), які зазвичай мають відображати рівень розвитку техніки, повинні бути засобом для постачальників демонструвати відповідність вимогам цього Регламенту. Слід заохочувати збалансоване представництво інтересів усіх відповідних зацікавлених сторін у розробці стандартів, зокрема МСП, організацій споживачів та екологічних і соціальних зацікавлених сторін відповідно до статей 5 та 6 Регламенту (ЄС) № 1025/2012. З метою полегшення забезпечення відповідності запити на стандартизацію повинні надаватися Комісією без невиправданих затримок. При підготовці запиту на стандартизацію Комісія повинна консультуватися з дорадчим форумом та Радою з метою збору відповідної експертизи. Однак за відсутності відповідних посилань на гармонізовані стандарти Комісія повинна мати можливість встановлювати через імплементаційні акти та після консультації з дорадчим форумом загальні специфікації для певних вимог відповідно до цього Регламенту. Загальна специфікація має бути виключним резервним рішенням для полегшення зобов'язання постачальника дотримуватися вимог цього Регламенту у випадках, коли запит на стандартизацію не було прийнято жодною з європейських організацій зі стандартизації, або коли відповідні гармонізовані стандарти недостатньо враховують проблеми основних прав, або коли гармонізовані стандарти не відповідають запиту, або коли існують затримки у прийнятті відповідного гармонізованого стандарту. Якщо така затримка у прийнятті гармонізованого стандарту обумовлена технічною складністю цього стандарту, Комісія повинна брати до уваги цей факт перед тим, як розглядати питання встановлення загальних специфікацій. При розробці загальних специфікацій Комісія заохочується до співпраці з міжнародними партнерами та міжнародними органами зі стандартизації.

(122)

Доречно, щоб без шкоди для використання гармонізованих стандартів і загальних специфікацій постачальники високоризикованих систем ШІ, які пройшли навчання та тестування на даних, що відображають конкретне географічне, поведінкове, контекстуальне або функціональне середовище, в якому передбачається використовувати систему ШІ, вважалися такими, що відповідають відповідному заходу, передбаченому вимогою щодо управління даними, встановленою цим Регламентом. Без шкоди для вимог щодо стійкості та точності, встановлених цим Регламентом, відповідно до статті 54(3) Регламенту (ЄС) 2019/881, високоризиковані системи ШІ, які отримали сертифікат або для яких видано заяву про відповідність відповідно до схеми кібербезпеки згідно з тим Регламентом, і посилання на які опубліковані в Офіційному журналі Європейського Союзу вважаються такими, що відповідають вимозі кібербезпеки цього Регламенту, тією мірою, якою сертифікат кібербезпеки або заява про відповідність чи їх частини охоплюють вимогу кібербезпеки цього Регламенту. Це залишається без шкоди для добровільного характеру зазначеної схеми кібербезпеки.

(123)

З метою забезпечення високого рівня надійності високоризикованих систем ШІ такі системи повинні підлягати оцінці відповідності до їх розміщення на ринку або введення в експлуатацію.

(124)

Доречно, щоб з метою мінімізації навантаження на операторів та уникнення будь-якого можливого дублювання для високоризикованих систем ШІ, пов'язаних з продуктами, на які поширюється чинне гармонізаційне законодавство Союзу, засноване на Новій законодавчій базі, відповідність цих систем ШІ вимогам цього Регламенту оцінювалася в рамках оцінки відповідності, вже передбаченої таким законодавством. Таким чином, застосовність вимог цього Регламенту не повинна впливати на конкретну логіку, методологію або загальну структуру оцінки відповідності згідно з відповідним гармонізаційним законодавством Союзу.

(125)

З огляду на складність високоризикованих систем ШІ та пов'язані з ними ризики важливо розробити належну процедуру оцінки відповідності для таких систем із залученням нотифікованих органів — так звану оцінку відповідності третьою стороною. Однак, зважаючи на нинішній досвід професійних попередніх ринкових сертифікаторів у сфері безпеки продуктів та різний характер пов'язаних ризиків, доречно обмежити — принаймні на початковому етапі застосування цього Регламенту — сферу застосування оцінки відповідності третьою стороною для високоризикованих систем ШІ, що не пов'язані з продуктами. Тому оцінку відповідності таких систем як загальне правило повинен проводити постачальник під власну відповідальність, з єдиним винятком для систем ШІ, призначених для використання у сфері біометрії.

(126)

З метою проведення оцінок відповідності третьою стороною, коли це потрібно, нотифіковані органи повинні бути нотифіковані відповідно до цього Регламенту національними компетентними органами за умови, що вони відповідають низці вимог, зокрема щодо незалежності, компетентності, відсутності конфліктів інтересів та відповідних вимог кібербезпеки. Повідомлення про такі органи повинні надсилатися національними компетентними органами до Комісії та інших держав-членів за допомогою електронного інструменту повідомлення, розробленого та управління яким здійснюється Комісією відповідно до статті R23 Додатка I до Рішення № 768/2008/ЄС.

(127)

Відповідно до зобов'язань Союзу за Угодою Світової організації торгівлі про технічні бар'єри в торгівлі доцільно сприяти взаємному визнанню результатів оцінки відповідності, що виготовляються компетентними органами оцінки відповідності, незалежно від території, на якій вони розташовані, за умови, що органи оцінки відповідності, засновані за законодавством третьої країни, відповідають застосовним вимогам цього Регламенту та Союз уклав відповідну угоду. У цьому контексті Комісія повинна активно вивчати можливі міжнародні інструменти для досягнення цієї мети та зокрема прагнути до укладення угод про взаємне визнання з третіми країнами.

(128)

Відповідно до загальновизнаного поняття суттєвої модифікації для продуктів, що регулюються гармонізаційним законодавством Союзу, доречно, щоб при виникненні будь-яких змін, які можуть вплинути на відповідність високоризикованої системи ШІ цьому Регламенту (наприклад, зміна операційної системи або програмної архітектури) або при зміні передбаченого призначення системи, така система ШІ вважалася новою системою ШІ, яка повинна пройти нову оцінку відповідності. Однак зміни алгоритму та продуктивності систем ШІ, які продовжують «навчатися» після розміщення на ринку або введення в експлуатацію, тобто автоматично адаптують спосіб виконання функцій, не повинні становити суттєву модифікацію за умови, що ці зміни були попередньо визначені постачальником та оцінені на момент проведення оцінки відповідності.

(129)

Високоризиковані системи ШІ повинні мати маркування CE для позначення їх відповідності цьому Регламенту, щоб вони могли вільно переміщатися на внутрішньому ринку. Для високоризикованих систем ШІ, вбудованих у продукт, має бути нанесено фізичне маркування CE, яке може доповнюватися цифровим маркуванням CE. Для високоризикованих систем ШІ, що надаються виключно в цифровому вигляді, повинно використовуватися цифрове маркування CE. Держави-члени не повинні створювати невиправданих перешкод для розміщення на ринку або введення в експлуатацію високоризикованих систем ШІ, які відповідають вимогам, встановленим цим Регламентом, та мають маркування CE.

(130)

За певних умов швидка доступність інноваційних технологій може мати вирішальне значення для здоров'я та безпеки осіб, захисту навколишнього середовища та клімату, а також для суспільства в цілому. Тому доречно, щоб за виняткових підстав суспільної безпеки або захисту життя та здоров'я фізичних осіб, охорони навколишнього середовища та захисту ключових промислових і інфраструктурних активів органи ринкового нагляду могли дозволяти розміщення на ринку або введення в експлуатацію систем ШІ, які не пройшли оцінку відповідності. У належно обґрунтованих ситуаціях, передбачених цим Регламентом, правоохоронні органи або органи цивільного захисту можуть вводити в експлуатацію конкретну високоризиковану систему ШІ без дозволу органу ринкового нагляду за умови, що такий дозвіл запитується під час або після використання без невиправданої затримки.

(131)

З метою полегшення роботи Комісії та держав-членів у сфері ШІ, а також підвищення прозорості для громадськості постачальники високоризикованих систем ШІ, відмінних від тих, що пов'язані з продуктами, що підпадають під сферу застосування відповідного чинного гармонізаційного законодавства Союзу, а також постачальники, які вважають, що система ШІ, включена до переліку випадків використання з високим ризиком у додатку до цього Регламенту, не є високоризикованою на підставі відступу, повинні бути зобов'язані реєструвати себе та інформацію про свою систему ШІ в базі даних ЄС, що має бути створена та управлятися Комісією. Перед використанням системи ШІ, включеної до переліку випадків використання з високим ризиком у додатку до цього Регламенту, суб'єкти розгортання високоризикованих систем ШІ, які є органами публічної влади, агентствами або органами, повинні реєструватися в такій базі даних та обирати систему, яку вони мають намір використовувати. Інші суб'єкти розгортання повинні мати право робити це добровільно. Цей розділ бази даних ЄС має бути загальнодоступним та безкоштовним, інформація в ньому має бути легкою для навігації, зрозумілою та машинозчитуваною. База даних ЄС також має бути зручною для користувачів, наприклад шляхом надання функцій пошуку, зокрема за ключовими словами, що дозволяє широкій громадськості знаходити відповідну інформацію, що має надаватися при реєстрації високоризикованих систем ШІ та про випадки використання високоризикованих систем ШІ, зазначені в додатку до цього Регламенту, яким відповідають такі системи ШІ. Будь-яка суттєва модифікація високоризикованих систем ШІ також має реєструватися в базі даних ЄС. Для високоризикованих систем ШІ у сфері правоохоронної діяльності, міграції, притулку та управління кордонами реєстраційні зобов'язання повинні виконуватися в захищеному непублічному розділі бази даних ЄС. Доступ до захищеного непублічного розділу має бути суворо обмежений Комісією, а також органами ринкового нагляду щодо їхнього національного розділу цієї бази даних. Високоризикові системи ШІ у сфері критичної інфраструктури реєструються лише на національному рівні. Комісія має бути контролером бази даних ЄС відповідно до Регламенту (ЄС) 2018/1725. З метою забезпечення повної функціональності бази даних ЄС після її розгортання процедура налаштування бази даних має включати розробку функціональних специфікацій Комісією та незалежний аудиторський звіт. Комісія повинна враховувати ризики кібербезпеки при виконанні своїх завдань як контролера даних бази даних ЄС. З метою максимізації доступності та використання бази даних ЄС громадськістю база даних ЄС, включаючи інформацію, доступну через неї, має відповідати вимогам Директиви (ЄС) 2019/882.

(132)

Певні системи ШІ, призначені для взаємодії з фізичними особами або для створення контенту, можуть становити особливі ризики самозванства або обману, незалежно від того, чи класифікуються вони як системи з високим ризиком. У певних обставинах використання таких систем повинно тому підлягати конкретним зобов'язанням щодо прозорості без шкоди для вимог та зобов'язань для високоризикованих систем ШІ, а також з урахуванням цілеспрямованих винятків для врахування особливих потреб правоохоронних органів. Зокрема, фізичні особи повинні отримувати повідомлення про те, що вони взаємодіють із системою ШІ, якщо це не є очевидним з точки зору достатньо поінформованої, уважної та обачної фізичної особи з урахуванням обставин та контексту використання. При виконанні цього зобов'язання слід враховувати характеристики фізичних осіб, які належать до вразливих груп через вік або інвалідність, тією мірою, якою система ШІ призначена для взаємодії з такими групами. Крім того, фізичних осіб слід повідомляти у випадках, коли вони зазнають впливу систем ШІ, які шляхом обробки їхніх біометричних даних можуть ідентифікувати або виводити їхні емоції чи наміри або відносити їх до конкретних категорій. Такі конкретні категорії можуть стосуватися таких аспектів, як стать, вік, колір волосся, колір очей, татуювання, особисті риси, етнічне походження, особисті уподобання та інтереси. Така інформація та повідомлення повинні надаватися у доступних форматах для осіб з інвалідністю.

(133)

Різноманітні системи ШІ можуть генерувати великі обсяги синтетичного контенту, який людям стає дедалі важче відрізнити від контенту, створеного людиною, та автентичного контенту. Широка доступність і зростаючі можливості таких систем мають значний вплив на цілісність та довіру до інформаційної екосистеми, породжуючи нові ризики дезінформації та маніпуляцій у масштабі, шахрайства, самозванства та обману споживачів. З огляду на ці наслідки, швидкий технологічний прогрес та потребу в нових методах і техніках відстеження походження інформації, доречно вимагати від постачальників таких систем впроваджувати технічні рішення, що дозволяють маркування в машинозчитуваному форматі та виявлення того, що вихідні дані були згенеровані або маніпульовані системою ШІ, а не людиною. Такі техніки та методи повинні бути достатньо надійними, сумісними, ефективними та стійкими, наскільки це технічно можливо, з урахуванням доступних технік або комбінації таких технік, як водяні знаки, ідентифікація метаданих, криптографічні методи для підтвердження походження та автентичності контенту, методи журналювання, цифрові відбитки або інші техніки, залежно від обставин. При виконанні цього зобов'язання постачальники також повинні враховувати особливості та обмеження різних типів контенту та відповідні технологічні та ринкові розробки в цій сфері, відображені в загальновизнаному рівні розвитку техніки. Такі техніки та методи можуть впроваджуватися на рівні системи ШІ або на рівні моделі ШІ, включаючи загальноцільові моделі ШІ, що генерують контент, тим самим полегшуючи виконання цього зобов'язання постачальником системи ШІ нижчої ланки. Для збереження пропорційності доречно передбачити, що це зобов'язання маркування не повинно поширюватися на системи ШІ, що виконують переважно допоміжну функцію для стандартного редагування, або системи ШІ, що не суттєво змінюють вхідні дані, надані суб'єктом розгортання, або їх семантику.

(134)

На додаток до технічних рішень, що застосовуються постачальниками системи ШІ, суб'єкти розгортання, які використовують систему ШІ для створення або маніпулювання зображеннями, аудіо або відеовмістом, що помітно схожий на реальних осіб, об'єкти, місця, суб'єкти або події та міг би помилково здатися особі автентичним або правдивим (дипфейки), також повинні чітко та виразно розкривати, що контент був штучно створений або маніпульований, відповідно маркуючи вихідні дані ШІ та розкриваючи їх штучне походження. Виконання цього зобов'язання щодо прозорості не повинно тлумачитися як вказівка на те, що використання системи ШІ або її вихідних даних перешкоджає праву на свободу вираження поглядів та праву на свободу мистецтва та науки, гарантованих Хартією, зокрема там, де контент є частиною явно творчого, сатиричного, художнього, вигаданого або аналогічного твору або програми, з урахуванням відповідних гарантій прав та свобод третіх осіб. У таких випадках зобов'язання щодо прозорості для дипфейків, встановлене цим Регламентом, обмежується розкриттям існування такого створеного або маніпульованого контенту у відповідний спосіб, що не заважає демонстрації або отриманню задоволення від твору, включаючи його нормальне використання, при збереженні корисності та якості твору. Крім того, доречно передбачити аналогічне зобов'язання щодо розкриття стосовно тексту, створеного або маніпульованого ШІ, тією мірою, якою він публікується з метою інформування громадськості з питань суспільного інтересу, якщо контент, створений ШІ, не пройшов процес перегляду людиною або редакційного контролю та якщо фізична або юридична особа несе редакційну відповідальність за публікацію контенту.

(135)

Без шкоди для обов'язкового характеру та повної застосовності зобов'язань щодо прозорості Комісія може також заохочувати та сприяти розробці кодексів практики на рівні Союзу для полегшення ефективного виконання зобов'язань щодо виявлення та маркування штучно створеного або маніпульованого контенту, включаючи підтримку практичних заходів для забезпечення доступності, де це доречно, механізмів виявлення та сприяння співпраці з іншими учасниками ланцюжка цінностей, поширення контенту або перевірки його автентичності та походження, щоб громадськість могла ефективно розрізняти контент, створений ШІ.

(136)

Зобов'язання, покладені цим Регламентом на постачальників та суб'єктів розгортання певних систем ШІ з метою забезпечення виявлення та розкриття того, що вихідні дані таких систем штучно створені або маніпульовані, є особливо актуальними для сприяння ефективному виконанню Регламенту (ЄС) 2022/2065. Це стосується зокрема зобов'язань постачальників дуже великих онлайн-платформ або дуже великих онлайн-пошукових систем щодо виявлення та пом'якшення системних ризиків, що можуть виникати внаслідок поширення контенту, який був штучно створений або маніпульований, зокрема ризику фактичних або передбачуваних негативних наслідків для демократичних процесів, громадянського дискурсу та виборчих процесів, включаючи через дезінформацію. Вимога щодо маркування контенту, створеного системами ШІ відповідно до цього Регламенту, не завдає шкоди зобов'язанню, передбаченому статтею 16(6) Регламенту (ЄС) 2022/2065, для постачальників хостингових послуг щодо обробки повідомлень про незаконний контент, отриманих відповідно до статті 16(1) зазначеного Регламенту, та не повинна впливати на оцінку та рішення щодо незаконності конкретного контенту. Така оцінка має здійснюватися виключно з посиланням на правила, що регулюють законність контенту.

(137)

Виконання зобов'язань щодо прозорості для систем ШІ, що охоплюються цим Регламентом, не повинно тлумачитися як вказівка на те, що використання системи ШІ або її вихідних даних є законним відповідно до цього Регламенту або іншого законодавства Союзу та держав-членів, та має бути без шкоди для інших зобов'язань щодо прозорості для суб'єктів розгортання систем ШІ, встановлених законодавством Союзу або національним законодавством.

(138)

ШІ — це технологічна сім'я, що швидко розвивається та потребує регуляторного нагляду та безпечного та контрольованого простору для експериментів, забезпечуючи при цьому відповідальні інновації та інтеграцію відповідних захисних заходів та заходів із зменшення ризиків. Для забезпечення правової бази, що сприяє інноваціям, є перспективною та стійкою до збоїв, держави-члени повинні забезпечити, щоб їхні національні компетентні органи створили принаймні один регуляторний пісочниця ШІ на національному рівні для полегшення розробки та тестування інноваційних систем ШІ під суворим регуляторним наглядом до розміщення таких систем на ринку або введення їх в експлуатацію іншим чином. Держави-члени також можуть виконати це зобов'язання через участь у вже існуючих регуляторних пісочницях або спільне створення пісочниці з одним або кількома компетентними органами держав-членів, тією мірою, якою така участь забезпечує еквівалентний рівень національного охоплення для держав-членів, що беруть участь. Регуляторні пісочниці ШІ можуть створюватися у фізичній, цифровій або гібридній формі та можуть включати як фізичні, так і цифрові продукти. Органи, що створюють пісочниці, також повинні забезпечити наявність у регуляторних пісочницях ШІ достатніх ресурсів для їхнього функціонування, включаючи фінансові та людські ресурси.

(139)

Цілями регуляторних пісочниць ШІ повинно бути сприяння інноваціям у сфері ШІ шляхом створення контрольованого середовища для експериментів та тестування на стадії розробки та передпродажної підготовки з метою забезпечення відповідності інноваційних систем ШІ цьому Регламенту та іншому відповідному законодавству Союзу та національному законодавству. Крім того, регуляторні пісочниці ШІ повинні прагнути підвищити правову визначеність для новаторів та нагляд компетентних органів і розуміння ними можливостей, нових ризиків та наслідків використання ШІ, сприяти регуляторному навчанню для органів влади та підприємств, у тому числі з метою майбутньої адаптації правової бази, підтримувати співпрацю та обмін найкращими практиками з органами, залученими до регуляторної пісочниці ШІ, та прискорювати доступ до ринків, зокрема шляхом усунення бар'єрів для МСП, включаючи стартапи. Регуляторні пісочниці ШІ повинні бути широко доступними по всьому Союзу, і особливу увагу слід приділити їх доступності для МСП, включаючи стартапи. Участь у регуляторній пісочниці ШІ повинна зосереджуватися на питаннях, що породжують правову невизначеність для постачальників та перспективних постачальників щодо інновацій, експериментів із ШІ в Союзі та внеску в засноване на доказах регуляторне навчання. Тому нагляд за системами ШІ в регуляторній пісочниці ШІ має охоплювати їх розробку, навчання, тестування та валідацію до розміщення систем на ринку або введення їх в експлуатацію, а також поняття та випадки суттєвої модифікації, яка може вимагати нової процедури оцінки відповідності. Будь-які значні ризики, виявлені в ході розробки та тестування таких систем ШІ, повинні призводити до належного пом'якшення, а за його неможливості — до призупинення процесу розробки та тестування. Там, де це доречно, національні компетентні органи, що створюють регуляторні пісочниці ШІ, повинні співпрацювати з іншими відповідними органами, включаючи ті, що здійснюють нагляд за захистом основних прав, та можуть допускати залучення інших учасників екосистеми ШІ, як-от національні або європейські організації зі стандартизації, нотифіковані органи, об'єкти тестування та експериментів, дослідницькі та експериментальні лабораторії, Європейські цифрові інноваційні хаби та відповідні організації зацікавлених сторін і громадянського суспільства. Для забезпечення однакового виконання по всьому Союзу та досягнення економії від масштабу доречно встановити спільні правила для реалізації регуляторних пісочниць ШІ та систему співпраці між відповідними органами, залученими до нагляду за пісочницями. Регуляторні пісочниці ШІ, створені відповідно до цього Регламенту, повинні бути без шкоди для іншого законодавства, що дозволяє створення інших пісочниць, спрямованих на забезпечення відповідності законодавству, відмінному від цього Регламенту. Там, де це доречно, відповідні компетентні органи, відповідальні за ці інші регуляторні пісочниці, повинні розглядати переваги використання таких пісочниць також з метою забезпечення відповідності систем ШІ цьому Регламенту. За згодою між національними компетентними органами та учасниками регуляторної пісочниці ШІ тестування в реальних умовах також може здійснюватися та контролюватися в рамках регуляторної пісочниці ШІ.

(140)

Цей Регламент має забезпечити правову основу для постачальників та перспективних постачальників у регуляторній пісочниці ШІ щодо використання персональних даних, зібраних для інших цілей, для розробки певних систем ШІ в суспільних інтересах в рамках регуляторної пісочниці ШІ лише за визначених умов, відповідно до статті 6(4) та статті 9(2), пункт (g), Регламенту (ЄС) 2016/679, та статей 5, 6 і 10 Регламенту (ЄС) 2018/1725 та без шкоди для статті 4(2) та статті 10 Директиви (ЄС) 2016/680. Всі інші зобов'язання контролерів даних та права суб'єктів даних за Регламентами (ЄС) 2016/679 та (ЄС) 2018/1725 та Директивою (ЄС) 2016/680 залишаються застосовними. Зокрема, цей Регламент не повинен забезпечувати правову основу у значенні статті 22(2), пункт (b) Регламенту (ЄС) 2016/679 та статті 24(2), пункт (b) Регламенту (ЄС) 2018/1725. Постачальники та перспективні постачальники в регуляторній пісочниці ШІ повинні забезпечувати відповідні гарантії та співпрацювати з компетентними органами, включаючи дотримання їхніх вказівок та оперативні та сумлінні дії для належного пом'якшення будь-яких виявлених значних ризиків для безпеки, здоров'я та основних прав, що можуть виникнути в ході розробки, тестування та експериментів у такій пісочниці.

(141)

З метою прискорення процесу розробки та розміщення на ринку високоризикованих систем ШІ, перелічених у додатку до цього Регламенту, важливо, щоб постачальники або перспективні постачальники таких систем також могли скористатися спеціальним режимом тестування таких систем у реальних умовах без участі в регуляторній пісочниці ШІ. Однак у таких випадках, з урахуванням можливих наслідків такого тестування для осіб, слід забезпечити, щоб цим Регламентом для постачальників або перспективних постачальників були введені відповідні та достатні гарантії та умови. Такі гарантії повинні включати, зокрема, отримання інформованої згоди фізичних осіб на участь у тестуванні в реальних умовах, за винятком правоохоронної діяльності, де отримання інформованої згоди перешкоджало б тестуванню системи ШІ. Згода суб'єктів на участь у такому тестуванні відповідно до цього Регламенту є окремою від згоди суб'єктів даних на обробку їхніх персональних даних відповідно до відповідного законодавства про захист даних та не завдає їй шкоди. Також важливо мінімізувати ризики та забезпечити нагляд компетентних органів, і тому вимагати від перспективних постачальників подання плану тестування в реальних умовах до компетентного органу ринкового нагляду, реєстрації тестування у спеціальних розділах бази даних ЄС з урахуванням деяких обмежених винятків, встановлення обмежень на період, протягом якого може проводитися тестування, та вимагати додаткових гарантій для осіб, що належать до певних вразливих груп, а також письмової угоди, що визначає ролі та обов'язки перспективних постачальників та суб'єктів розгортання, та ефективного нагляду з боку компетентного персоналу, залученого до тестування в реальних умовах. Крім того, доречно передбачити додаткові гарантії для забезпечення того, щоб прогнози, рекомендації або рішення системи ШІ могли бути ефективно скасовані та проігноровані, а персональні дані захищені та видалені, коли суб'єкти відкликали свою згоду на участь у тестуванні без шкоди для їхніх прав як суб'єктів даних відповідно до законодавства Союзу про захист даних. Щодо передачі даних, також доречно передбачити, що дані, зібрані та оброблені з метою тестування в реальних умовах, повинні передаватися в треті країни лише там, де впроваджено відповідні та застосовні гарантії відповідно до законодавства Союзу, зокрема відповідно до підстав для передачі персональних даних відповідно до законодавства Союзу про захист даних, тоді як для неперсональних даних впроваджуються відповідні гарантії відповідно до законодавства Союзу, наприклад Регламентів (ЄС) 2022/868 (42) та (ЄС) 2023/2854 (43) Європейського Парламенту і Ради.

(142)

Для забезпечення того, щоб ШІ призводив до соціально та екологічно корисних результатів, держави-члени заохочуються підтримувати та просувати дослідження та розробку рішень ШІ на підтримку соціально та екологічно корисних результатів, таких як рішення на основі ШІ для підвищення доступності для осіб з інвалідністю, вирішення соціально-економічної нерівності або досягнення екологічних цілей, шляхом виділення достатніх ресурсів, включаючи державне фінансування та фінансування Союзу, та там, де це доречно та за умови виконання критеріїв прийнятності та відбору, розглядаючи зокрема проекти, що переслідують такі цілі. Такі проекти мають ґрунтуватися на принципі міждисциплінарної співпраці між розробниками ШІ, експертами з питань нерівності та недискримінації, доступності, правами споживачів, екологічними та цифровими правами, а також науковцями.

(143)

З метою сприяння та захисту інновацій важливо, щоб інтереси МСП, включаючи стартапи, що є постачальниками або суб'єктами розгортання систем ШІ, враховувалися особливим чином. Для цього держави-члени повинні розробляти ініціативи, спрямовані на цих операторів, зокрема щодо підвищення обізнаності та інформаційного поширення. Держави-члени повинні надавати МСП, включаючи стартапи, що мають зареєстрований офіс або філію в Союзі, пріоритетний доступ до регуляторних пісочниць ШІ за умови виконання ними критеріїв прийнятності та відбору та без обмеження доступу інших постачальників та перспективних постачальників до пісочниць за умови виконання тих самих умов та критеріїв. Держави-члени повинні використовувати існуючі канали та там, де це доречно, створювати нові спеціальні канали зв'язку з МСП, включаючи стартапи, суб'єктів розгортання, інших новаторів та, де це доречно, місцеві органи публічної влади для підтримки МСП протягом усього їхнього шляху розвитку шляхом надання вказівок та відповідей на запити щодо виконання цього Регламенту. Там, де це доречно, ці канали повинні співпрацювати для створення синергії та забезпечення однорідності у своїх вказівках МСП, включаючи стартапи, та суб'єктам розгортання. Крім того, держави-члени повинні сприяти участі МСП та інших відповідних зацікавлених сторін у процесах розробки стандартизації. Більше того, конкретні інтереси та потреби постачальників, що є МСП, включаючи стартапи, повинні враховуватися нотифікованими органами при встановленні плати за оцінку відповідності. Комісія повинна регулярно оцінювати витрати на сертифікацію та відповідність для МСП, включаючи стартапи, через прозорі консультації та повинна працювати з державами-членами для зниження таких витрат. Наприклад, витрати на переклад, пов'язані з обов'язковою документацією та спілкуванням з органами влади, можуть становити значні витрати для постачальників та інших операторів, зокрема тих, що мають менший масштаб. Держави-члени можливо повинні забезпечити, щоб однією з мов, визначених та прийнятих ними для документації відповідних постачальників та для спілкування з операторами, була мова, широко зрозуміла якомога більшій кількості транскордонних суб'єктів розгортання. З метою вирішення особливих потреб МСП, включаючи стартапи, Комісія повинна надавати стандартизовані шаблони для сфер, охоплених цим Регламентом, на запит Ради. Крім того, Комісія повинна доповнювати зусилля держав-членів шляхом надання єдиної інформаційної платформи з зручною для використання інформацією щодо цього Регламенту для всіх постачальників та суб'єктів розгортання, організації відповідних комунікаційних кампаній для підвищення обізнаності про зобов'язання, що випливають з цього Регламенту, та оцінки та сприяння зближенню найкращих практик у процедурах публічних закупівель щодо систем ШІ. Підприємства середнього розміру, які до недавнього часу кваліфікувалися як малі підприємства у значенні Додатка до Рекомендації Комісії 2003/361/ЄС (44) повинні мати доступ до цих заходів підтримки, оскільки цим новим підприємствам середнього розміру може іноді бракувати правових ресурсів та навчання, необхідних для забезпечення належного розуміння та дотримання вимог цього Регламенту.

(144)

З метою сприяння та захисту інновацій платформа ШІ на вимогу, всі відповідні програми та проекти фінансування Союзу, такі як програма «Цифрова Європа», «Горизонт Європа», що реалізуються Комісією та державами-членами на рівні Союзу або національному рівні, повинні, де це доречно, сприяти досягненню цілей цього Регламенту.

(145)

З метою мінімізації ризиків для реалізації, що виникають внаслідок браку знань та досвіду на ринку, а також для полегшення виконання постачальниками, зокрема МСП, включаючи стартапи, та нотифікованими органами своїх зобов'язань відповідно до цього Регламенту, платформа ШІ на вимогу, Європейські цифрові інноваційні хаби та об'єкти тестування та експериментів, створені Комісією та державами-членами на рівні Союзу або національному рівні, повинні сприяти реалізації цього Регламенту. В межах своїх відповідних місій та сфер компетенції платформа ШІ на вимогу, Європейські цифрові інноваційні хаби та об'єкти тестування та експериментів здатні надавати, зокрема, технічну та наукову підтримку постачальникам та нотифікованим органам.

(146)

Крім того, з огляду на дуже малий розмір деяких операторів та з метою забезпечення пропорційності щодо витрат на інновації доречно дозволити мікропідприємствам виконувати одне з найбільш затратних зобов'язань, а саме створення системи управління якістю, у спрощений спосіб, який зменшить адміністративне навантаження та витрати для таких підприємств без впливу на рівень захисту та необхідність відповідності вимогам для високоризикованих систем ШІ. Комісія повинна розробити керівні настанови для визначення елементів системи управління якістю, які мають виконуватися мікропідприємствами у такий спрощений спосіб.

(147)

Доречно, щоб Комісія сприяла, наскільки це можливо, доступу до об'єктів тестування та експериментів органам, групам або лабораторіям, створеним або акредитованим відповідно до будь-якого відповідного гармонізаційного законодавства Союзу та які виконують завдання в контексті оцінки відповідності продуктів або пристроїв, охоплених таким гармонізаційним законодавством Союзу. Це стосується, зокрема, експертних панелей, експертних лабораторій та референс-лабораторій у сфері медичних виробів відповідно до Регламентів (ЄС) 2017/745 та (ЄС) 2017/746.

(148)

Цей Регламент має встановити систему управління, яка дозволяє як координувати та підтримувати застосування цього Регламенту на національному рівні, так і розвивати потенціал на рівні Союзу та залучати зацікавлені сторони у сфері ШІ. Ефективна реалізація та виконання цього Регламенту вимагають системи управління, яка дозволяє координувати та нарощувати центральну експертизу на рівні Союзу. Офіс ШІ було засновано Рішенням Комісії (45) та має своєю місією розвивати експертизу та потенціал Союзу в сфері ШІ та сприяти реалізації законодавства Союзу щодо ШІ. Держави-члени повинні сприяти виконанню завдань Офісу ШІ з метою підтримки розвитку експертизи та потенціалу Союзу на рівні Союзу та зміцнення функціонування єдиного цифрового ринку. Крім того, має бути створено Раду у складі представників держав-членів, наукову панель для залучення наукової спільноти та дорадчий форум для внеску зацікавлених сторін у реалізацію цього Регламенту на рівні Союзу та національному рівні. Розвиток експертизи та потенціалу Союзу повинен також включати використання існуючих ресурсів та досвіду, зокрема через синергію зі структурами, створеними в контексті виконання іншого законодавства на рівні Союзу, та синергію з відповідними ініціативами на рівні Союзу, такими як Спільне підприємство EuroHPC та об'єкти тестування та експериментів ШІ в рамках програми «Цифрова Європа».

(149)

З метою сприяння плавному, ефективному та гармонізованому виконанню цього Регламенту слід створити Раду. Рада повинна відображати різноманітні інтереси екосистеми ШІ та складатися з представників держав-членів. Рада несе відповідальність за низку консультативних завдань, включаючи видачу висновків, рекомендацій, порад або участь у розробці вказівок з питань, пов'язаних із виконанням цього Регламенту, зокрема з питань примусового виконання, технічних специфікацій або існуючих стандартів щодо вимог, встановлених у цьому Регламенті, та надання порад Комісії та державам-членам та їхнім національним компетентним органам з конкретних питань, пов'язаних із ШІ. З метою надання певної гнучкості державам-членам при призначенні своїх представників у Раді такі представники можуть бути будь-якими особами, що належать до публічних органів, які повинні мати відповідні компетенції та повноваження для полегшення координації на національному рівні та сприяння досягненню завдань Ради. Рада повинна створити дві постійні підгрупи для забезпечення платформи для співпраці та обміну між органами ринкового нагляду та нотифікуючими органами з питань, що стосуються відповідно ринкового нагляду та нотифікованих органів. Постійна підгрупа з ринкового нагляду повинна виступати як адміністративна група зі співробітництва (ADCO) для цього Регламенту у значенні статті 30 Регламенту (ЄС) 2019/1020. Відповідно до статті 33 зазначеного Регламенту Комісія повинна підтримувати діяльність постійної підгрупи з ринкового нагляду шляхом проведення ринкових оцінок або досліджень, зокрема з метою визначення аспектів цього Регламенту, що потребують конкретної та невідкладної координації між органами ринкового нагляду. Рада може за необхідності створювати інші постійні або тимчасові підгрупи для вивчення конкретних питань. Рада також повинна співпрацювати, де це доречно, з відповідними органами Союзу, групами експертів та мережами, що діють у контексті відповідного законодавства Союзу, зокрема тими, що діють відповідно до відповідного законодавства Союзу щодо даних, цифрових продуктів та послуг.

(150)

З метою забезпечення залучення зацікавлених сторін до виконання та застосування цього Регламенту слід створити дорадчий форум для консультування та надання технічної експертизи Раді та Комісії. Для забезпечення різноманітного та збалансованого представництва зацікавлених сторін між комерційними та некомерційними інтересами та в категорії комерційних інтересів щодо МСП та інших підприємств дорадчий форум повинен включати, зокрема, промисловість, стартапи, МСП, академічну спільноту, громадянське суспільство, включаючи соціальних партнерів, а також Агентство основних прав, ENISA, Європейський комітет зі стандартизації (CEN), Європейський комітет з електротехнічної стандартизації (CENELEC) та Європейський інститут телекомунікаційних стандартів (ETSI).

(151)

Для підтримки реалізації та виконання цього Регламенту, зокрема моніторингової діяльності Офісу ШІ щодо загальноцільових моделей ШІ, слід створити наукову панель незалежних експертів. Незалежні експерти, що складають наукову панель, повинні відбиратися на основі актуальних наукових або технічних знань у сфері ШІ та виконувати свої завдання неупереджено, об'єктивно та забезпечувати конфіденційність інформації та даних, отриманих при виконанні їхніх завдань і діяльності. Для зміцнення національного потенціалу, необхідного для ефективного виконання цього Регламенту, держави-члени повинні мати можливість запитувати підтримку від пулу експертів, що складають наукову панель, для їхніх заходів виконання.

(152)

З метою підтримки належного виконання щодо систем ШІ та зміцнення потенціалу держав-членів слід створити структури підтримки тестування ШІ Союзу та зробити їх доступними для держав-членів.

(153)

Держави-члени відіграють ключову роль у застосуванні та виконанні цього Регламенту. У цьому відношенні кожна держава-член повинна призначити принаймні один нотифікуючий орган та принаймні один орган ринкового нагляду як національні компетентні органи з метою нагляду за застосуванням та виконанням цього Регламенту. Держави-члени можуть вирішити призначити будь-який вид публічного органу для виконання завдань національних компетентних органів у значенні цього Регламенту відповідно до їхніх конкретних національних організаційних особливостей та потреб. З метою підвищення організаційної ефективності держав-членів та встановлення єдиної точки контакту щодо громадськості та інших контрагентів на рівні держав-членів та Союзу кожна держава-член повинна призначити орган ринкового нагляду для виконання функцій єдиної точки контакту.

(154)

Національні компетентні органи повинні здійснювати свої повноваження незалежно, неупереджено та без упередженості з метою захисту принципів об'єктивності їхньої діяльності та завдань і забезпечення застосування та виконання цього Регламенту. Члени цих органів повинні утримуватися від будь-яких дій, несумісних з їхніми обов'язками, та повинні підпадати під правила конфіденційності відповідно до цього Регламенту.

(155)

З метою забезпечення того, щоб постачальники високоризикованих систем ШІ могли враховувати досвід використання таких систем для вдосконалення своїх систем та процесу проектування і розробки або могли своєчасно вживати будь-яких можливих коригувальних заходів, усі постачальники повинні мати систему постринкового моніторингу. Де це актуально, постринковий моніторинг повинен включати аналіз взаємодії з іншими системами ШІ, включаючи інші пристрої та програмне забезпечення. Постринковий моніторинг не повинен охоплювати чутливі оперативні дані суб'єктів розгортання, які є правоохоронними органами. Ця система також є ключовою для забезпечення того, щоб можливі ризики, що виникають з систем ШІ, які продовжують «навчатися» після розміщення на ринку або введення в експлуатацію, могли бути вирішені більш ефективно та своєчасно. У цьому контексті постачальники також повинні бути зобов'язані мати систему для повідомлення відповідних органів про будь-які серйозні інциденти, що виникли внаслідок використання їхніх систем ШІ, тобто інциденти або несправності, що призводять до смерті або серйозної шкоди здоров'ю, серйозних та незворотних порушень управління та функціонування критичної інфраструктури, порушень зобов'язань відповідно до законодавства Союзу, спрямованих на захист основних прав, або серйозної шкоди майну або навколишньому середовищу.

(156)

З метою забезпечення належного та ефективного виконання вимог та зобов'язань, встановлених цим Регламентом, що є гармонізаційним законодавством Союзу, система ринкового нагляду та відповідності продуктів, встановлена Регламентом (ЄС) 2019/1020, повинна застосовуватися в повному обсязі. Органи ринкового нагляду, призначені відповідно до цього Регламенту, повинні мати всі повноваження у сфері примусового виконання, передбачені цим Регламентом та Регламентом (ЄС) 2019/1020, та повинні здійснювати свої повноваження та виконувати свої обов'язки незалежно, неупереджено та без упередженості. Хоча більшість систем ШІ не підлягає конкретним вимогам та зобов'язанням відповідно до цього Регламенту, органи ринкового нагляду можуть вживати заходів щодо всіх систем ШІ, коли вони становлять ризик відповідно до цього Регламенту. З огляду на специфічну природу установ, агентств та органів Союзу, що підпадають під сферу застосування цього Регламенту, доречно призначити Європейського наглядача із захисту даних компетентним органом ринкового нагляду для них. Це має бути без шкоди для призначення національних компетентних органів державами-членами. Діяльність з ринкового нагляду не повинна впливати на здатність піднаглядних суб'єктів виконувати свої завдання незалежно, коли така незалежність вимагається законодавством Союзу.

(157)

Цей Регламент не завдає шкоди компетенціям, завданням, повноваженням та незалежності відповідних національних публічних органів або органів влади, які здійснюють нагляд за застосуванням законодавства Союзу щодо захисту основних прав, включаючи органи із забезпечення рівності та органи захисту даних. Там, де це необхідно для їхнього мандату, ці національні публічні органи або органи влади повинні також мати доступ до будь-якої документації, створеної відповідно до цього Регламенту. Слід встановити спеціальну захисну процедуру для забезпечення належного та своєчасного виконання щодо систем ШІ, що становлять ризик для здоров'я, безпеки та основних прав. Процедура для таких систем ШІ, що становлять ризик, має застосовуватися до високоризикованих систем ШІ, що становлять ризик, заборонених систем, що були розміщені на ринку, введені в експлуатацію або використані в порушення заборонених практик, встановлених цим Регламентом, та систем ШІ, що були зроблені доступними в порушення вимог прозорості, встановлених цим Регламентом, і становлять ризик.

(158)

Законодавство Союзу про фінансові послуги включає правила та вимоги щодо внутрішнього управління та управління ризиками, що застосовуються до регульованих фінансових установ у процесі надання таких послуг, зокрема коли вони використовують системи ШІ. З метою забезпечення послідовного застосування та виконання зобов'язань за цим Регламентом та відповідних правил та вимог правових актів Союзу про фінансові послуги компетентні органи для нагляду та виконання таких правових актів, зокрема компетентні органи, як це визначено в Регламенті (ЄС) № 575/2013 Європейського Парламенту і Ради (46) та Директивах 2008/48/ЄС (47), 2009/138/ЄС (48), 2013/36/ЄС (49), 2014/17/ЄС (50) та (ЄС) 2016/97 (51) Європейського Парламенту і Ради мають бути призначені в межах своїх відповідних компетенцій як компетентні органи з метою нагляду за виконанням цього Регламенту, включаючи для заходів ринкового нагляду, щодо систем ШІ, що надаються або використовуються регульованими та піднаглядними фінансовими установами, якщо держави-члени не вирішать призначити інший орган для виконання цих завдань ринкового нагляду. Ці компетентні органи повинні мати всі повноваження відповідно до цього Регламенту та Регламенту (ЄС) 2019/1020 для забезпечення виконання вимог та зобов'язань цього Регламенту, включаючи повноваження для проведення ex post заходів ринкового нагляду, які можуть бути інтегровані, де це доречно, до їхніх існуючих наглядових механізмів та процедур відповідно до відповідного законодавства Союзу про фінансові послуги. Доречно передбачити, що при виконанні функцій органів ринкового нагляду відповідно до цього Регламенту національні органи, відповідальні за нагляд за кредитними установами, що регулюються Директивою 2013/36/ЄС та беруть участь у Єдиному наглядовому механізмі, створеному Регламентом Ради (ЄС) № 1024/2013 (52), повинні без затримки повідомляти Європейський центральний банк про будь-яку інформацію, виявлену в ході їхньої діяльності з ринкового нагляду, яка може представляти потенційний інтерес для пруденційних наглядових завдань Європейського центрального банку, як це визначено в зазначеному Регламенті. Для подальшого підвищення узгодженості між цим Регламентом та правилами, застосовними до кредитних установ, що регулюються Директивою 2013/36/ЄС, також доречно інтегрувати деякі процедурні зобов'язання постачальників щодо управління ризиками, постринкового моніторингу та документації до існуючих зобов'язань та процедур відповідно до Директиви 2013/36/ЄС. З метою уникнення дублювання слід також передбачити обмежені відступи стосовно системи управління якістю постачальників та зобов'язання щодо моніторингу, покладеного на суб'єктів розгортання високоризикованих систем ШІ, тією мірою, якою вони застосовуються до кредитних установ, що регулюються Директивою 2013/36/ЄС. Той самий режим має застосовуватися до страхових та перестрахових компаній і страхових холдингових компаній відповідно до Директиви 2009/138/ЄС та страхових посередників відповідно до Директиви (ЄС) 2016/97 та інших видів фінансових установ, що підлягають вимогам щодо внутрішнього управління, заходів або процесів, встановлених відповідно до відповідного законодавства Союзу про фінансові послуги, для забезпечення послідовності та рівного ставлення у фінансовому секторі.

(159)

Кожен орган ринкового нагляду за високоризикованими системами ШІ у сфері біометрії, перерахованими в додатку до цього Регламенту, тією мірою, якою такі системи використовуються для цілей правоохоронної діяльності, міграції, притулку та управління кордонами або відправлення правосуддя та демократичних процесів, повинен мати ефективні слідчі та коригувальні повноваження, включаючи принаймні повноваження отримувати доступ до всіх персональних даних, що обробляються, та до всієї інформації, необхідної для виконання його завдань. Органи ринкового нагляду повинні мати можливість здійснювати свої повноваження, діючи з повною незалежністю. Будь-які обмеження їхнього доступу до чутливих оперативних даних відповідно до цього Регламенту мають бути без шкоди для повноважень, наданих їм Директивою (ЄС) 2016/680. Жодне виключення щодо розкриття даних національним органам захисту даних відповідно до цього Регламенту не повинно впливати на поточні або майбутні повноваження цих органів поза межами сфери застосування цього Регламенту.

(160)

Органи ринкового нагляду та Комісія повинні мати можливість пропонувати спільні заходи, включаючи спільні розслідування, що проводяться органами ринкового нагляду або органами ринкового нагляду спільно з Комісією, спрямовані на сприяння відповідності, виявлення невідповідності, підвищення обізнаності та надання вказівок щодо цього Регламенту стосовно конкретних категорій високоризикованих систем ШІ, які, як виявлено, становлять серйозний ризик у двох або більше державах-членах. Спільні заходи з просування відповідності мають здійснюватися відповідно до статті 9 Регламенту (ЄС) 2019/1020. Офіс ШІ повинен надавати координаційну підтримку для спільних розслідувань.

(161)

Необхідно уточнити відповідальність та компетенції на рівні Союзу та національному рівні щодо систем ШІ, що побудовані на загальноцільових моделях ШІ. Для уникнення дублювання компетенцій, якщо система ШІ ґрунтується на загальноцільовій моделі ШІ та модель і система надаються одним і тим самим постачальником, нагляд повинен здійснюватися на рівні Союзу через Офіс ШІ, який повинен мати повноваження органу ринкового нагляду у значенні Регламенту (ЄС) 2019/1020 для цієї мети. У всіх інших випадках національні органи ринкового нагляду залишаються відповідальними за нагляд за системами ШІ. Однак для загальноцільових систем ШІ, які можуть використовуватися суб'єктами розгортання безпосередньо принаймні для однієї мети, що класифікується як високоризикована, органи ринкового нагляду повинні співпрацювати з Офісом ШІ для проведення оцінок відповідності та відповідного інформування Ради та інших органів ринкового нагляду. Крім того, органи ринкового нагляду повинні мати можливість звертатися за допомогою до Офісу ШІ у випадках, коли орган ринкового нагляду не може завершити розслідування щодо високоризикованої системи ШІ через неможливість доступу до певної інформації, пов'язаної із загальноцільовою моделлю ШІ, на якій побудована ця система. У таких випадках має застосовуватися процедура взаємної допомоги у транскордонних справах відповідно до Глави VI Регламенту (ЄС) 2019/1020 mutatis mutandis.

(162)

Для найкращого використання централізованої експертизи Союзу та синергій на рівні Союзу повноваження нагляду та виконання зобов'язань постачальників загальноцільових моделей ШІ мають бути компетенцією Комісії. Офіс ШІ повинен мати можливість вживати всіх необхідних заходів для моніторингу ефективної реалізації цього Регламенту щодо загальноцільових моделей ШІ. Він повинен мати можливість розслідувати можливі порушення правил щодо постачальників загальноцільових моделей ШІ як за власною ініціативою, за результатами своєї моніторингової діяльності, так і на запит органів ринкового нагляду відповідно до умов, встановлених цим Регламентом. Для підтримки ефективного моніторингу Офісу ШІ слід передбачити можливість для постачальників нижньої ланки подавати скарги щодо можливих порушень правил стосовно постачальників загальноцільових моделей та систем ШІ.

(163)

З метою доповнення систем управління загальноцільовими моделями ШІ наукова панель повинна підтримувати моніторингову діяльність Офісу ШІ та може в певних випадках надавати кваліфіковані попередження Офісу ШІ, які ініціюють подальші дії, такі як розслідування. Це має бути у випадках, коли наукова панель має підстави підозрювати, що загальноцільова модель ШІ становить конкретний та ідентифікований ризик на рівні Союзу. Крім того, це має бути у випадках, коли наукова панель має підстави підозрювати, що загальноцільова модель ШІ відповідає критеріям, що призведуть до її класифікації як загальноцільової моделі ШІ із системним ризиком. Для оснащення наукової панелі інформацією, необхідною для виконання цих завдань, має бути механізм, за допомогою якого наукова панель може просити Комісію вимагати документацію або інформацію від постачальника.

(164)

Офіс ШІ повинен мати можливість вживати необхідних заходів для моніторингу ефективної реалізації та дотримання зобов'язань для постачальників загальноцільових моделей ШІ, встановлених цим Регламентом. Офіс ШІ повинен мати можливість розслідувати можливі порушення відповідно до повноважень, передбачених цим Регламентом, зокрема шляхом запиту документації та інформації, проведення оцінок, а також запиту заходів від постачальників загальноцільових моделей ШІ. При проведенні оцінок, з метою використання незалежної експертизи, Офіс ШІ повинен мати можливість залучати незалежних експертів для проведення оцінок від свого імені. Виконання зобов'язань має бути забезпечуваним примусово, зокрема через запити про вжиття відповідних заходів, включаючи заходи із зменшення ризиків у випадку виявлених системних ризиків, а також обмеження надання на ринку, вилучення або відкликання моделі. Як гарантія, де це необхідно понад процедурні права, передбачені цим Регламентом, постачальники загальноцільових моделей ШІ повинні мати процедурні права, передбачені статтею 18 Регламенту (ЄС) 2019/1020, що має застосовуватися mutatis mutandis, без шкоди для більш конкретних процедурних прав, передбачених цим Регламентом.

(165)

Розробка систем ШІ, відмінних від високоризикованих, відповідно до вимог цього Регламенту може призвести до більш широкого впровадження етичного та надійного ШІ в Союзі. Постачальників систем ШІ, які не є високоризикованими, слід заохочувати до розробки кодексів поведінки, включаючи пов'язані механізми управління, спрямованих на сприяння добровільному застосуванню деяких або всіх обов'язкових вимог, застосовних до високоризикованих систем ШІ, адаптованих з урахуванням передбаченого призначення систем та меншого ризику, що виникає, та з урахуванням доступних технічних рішень та найкращих галузевих практик, таких як картки моделей та даних. Постачальників та, де це доречно, суб'єктів розгортання всіх систем ШІ, незалежно від того, чи є вони високоризикованими, та моделей ШІ також слід заохочувати до добровільного застосування додаткових вимог, пов'язаних, наприклад, з елементами Етичних принципів Союзу для надійного ШІ, екологічною стійкістю, заходами щодо освіченості у сфері ШІ, інклюзивним та різноманітним проектуванням та розробкою систем ШІ, включаючи увагу до вразливих осіб та доступності для осіб з інвалідністю, участю зацікавлених сторін із залученням, де це доречно, відповідних зацікавлених сторін, таких як підприємства та організації громадянського суспільства, академічна спільнота, дослідницькі організації, профспілки та організації захисту споживачів у проектуванні та розробці систем ШІ, та різноманітністю команд розробки, включаючи гендерний баланс. Для забезпечення ефективності добровільних кодексів поведінки вони повинні ґрунтуватися на чітких цілях та ключових показниках ефективності для вимірювання досягнення цих цілей. Вони також мають розроблятися інклюзивним способом, де це доречно, із залученням відповідних зацікавлених сторін, таких як підприємства та організації громадянського суспільства, академічна спільнота, дослідницькі організації, профспілки та організації захисту споживачів. Комісія може розробляти ініціативи, включаючи галузеві, для сприяння зниженню технічних бар'єрів, що перешкоджають транскордонному обміну даними для розвитку ШІ, включаючи інфраструктуру доступу до даних, семантичну та технічну сумісність різних типів даних.

(166)

Важливо, щоб системи ШІ, пов'язані з продуктами, які не є високоризикованими відповідно до цього Регламенту та тому не зобов'язані відповідати вимогам, встановленим для високоризикованих систем ШІ, були, тим не менш, безпечними при розміщенні на ринку або введенні в експлуатацію. Для сприяння досягненню цієї мети застосовуватиметься Регламент (ЄС) 2023/988 Європейського Парламенту і Ради (53) як захисна мережа.

(167)

З метою забезпечення довірчої та конструктивної співпраці компетентних органів на рівні Союзу та національному рівні всі сторони, залучені до застосування цього Регламенту, повинні дотримуватися конфіденційності інформації та даних, отриманих при виконанні їхніх завдань, відповідно до законодавства Союзу або національного законодавства. Вони повинні виконувати свої завдання та здійснювати свою діяльність таким чином, щоб захищати, зокрема, права інтелектуальної власності, конфіденційну ділову інформацію та комерційні таємниці, ефективне виконання цього Регламенту, інтереси суспільної та національної безпеки, цілісність кримінальних та адміністративних проваджень, а також цілісність секретної інформації.

(168)

Дотримання цього Регламенту повинно забезпечуватися примусово шляхом накладення санкцій та інших заходів виконання. Держави-члени повинні вживати всіх необхідних заходів для забезпечення реалізації положень цього Регламенту, включаючи встановлення ефективних, пропорційних та таких, що стримують, санкцій за їх порушення, та дотримання принципу ne bis in idem . З метою зміцнення та гармонізації адміністративних санкцій за порушення цього Регламенту слід встановити верхні межі для встановлення адміністративних штрафів за певні конкретні порушення. При оцінці розміру штрафів держави-члени повинні в кожному окремому випадку враховувати всі відповідні обставини конкретної ситуації, з належним урахуванням, зокрема, характеру, тяжкості та тривалості порушення та його наслідків, а також розміру постачальника, зокрема якщо постачальник є МСП, включаючи стартап. Європейський наглядач із захисту даних повинен мати повноваження накладати штрафи на установи, агентства та органи Союзу, що підпадають під сферу застосування цього Регламенту.

(169)

Виконання зобов'язань постачальників загальноцільових моделей ШІ, встановлених відповідно до цього Регламенту, має забезпечуватися примусово, зокрема, шляхом накладення штрафів. Для цього також слід встановити відповідні рівні штрафів за порушення цих зобов'язань, включаючи невиконання заходів, запрошених Комісією відповідно до цього Регламенту, з урахуванням відповідних строків позовної давності відповідно до принципу пропорційності. Всі рішення, ухвалені Комісією відповідно до цього Регламенту, підлягають перегляду Судом справедливості Європейського Союзу відповідно до ДФЄС, включаючи необмежену юрисдикцію Суду справедливості щодо санкцій відповідно до статті 261 ДФЄС.

(170)

Законодавство Союзу та національне законодавство вже передбачають ефективні засоби правового захисту для фізичних та юридичних осіб, права та свободи яких негативно зачіпаються внаслідок використання систем ШІ. Без шкоди для цих засобів захисту будь-яка фізична або юридична особа, яка має підстави вважати, що мало місце порушення цього Регламенту, повинна мати право подати скаргу до відповідного органу ринкового нагляду.

(171)

Постраждалі особи повинні мати право на отримання пояснення у випадках, коли рішення суб'єкта розгортання базується головним чином на вихідних даних певних високоризикованих систем ШІ, що підпадають під сферу застосування цього Регламенту, і це рішення породжує правові наслідки або подібним чином суттєво впливає на цих осіб таким чином, що вони вважають таким, що має несприятливий вплив на їхнє здоров'я, безпеку або основні права. Таке пояснення має бути чітким та значущим і має надавати основу, на якій постраждалі особи здатні здійснювати свої права. Право на отримання пояснення не повинно застосовуватися до використання систем ШІ, для яких з законодавства Союзу або національного законодавства випливають виключення або обмеження, та повинно застосовуватися лише тою мірою, якою це право ще не передбачено законодавством Союзу.

(172)

Особи, які повідомляють про порушення цього Регламенту як викривачі, повинні бути захищені відповідно до законодавства Союзу. Директива (ЄС) 2019/1937 Європейського Парламенту і Ради (54) тому має застосовуватися до повідомлення про порушення цього Регламенту та захисту осіб, що повідомляють про такі порушення.

(173)

З метою забезпечення можливості адаптації регуляторної бази там, де це необхідно, Комісії слід делегувати повноваження на прийняття актів відповідно до статті 290 ДФЄС для внесення змін до умов, за яких система ШІ не вважається високоризикованою, переліку високоризикованих систем ШІ, положень щодо технічної документації, змісту декларації відповідності ЄС, положень щодо процедур оцінки відповідності, положень, що встановлюють високоризиковані системи ШІ, до яких має застосовуватися процедура оцінки відповідності на основі оцінки системи управління якістю та оцінки технічної документації, порогу, орієнтирів та показників, включаючи доповнення цих орієнтирів та показників, у правилах класифікації загальноцільових моделей ШІ із системним ризиком, критеріїв для визначення загальноцільових моделей ШІ із системним ризиком, технічної документації для постачальників загальноцільових моделей ШІ та інформації про прозорість для постачальників загальноцільових моделей ШІ. Особливо важливо, щоб Комісія проводила відповідні консультації в ході своїх підготовчих робіт, у тому числі на рівні експертів, і щоб ці консультації проводилися відповідно до принципів, встановлених Міжінституційною угодою від 13 квітня 2016 року про краще законотворення (55). Зокрема, для забезпечення рівної участі в підготовці делегованих актів Європейський Парламент та Рада отримують всі документи одночасно з експертами держав-членів, і їхні експерти систематично мають доступ до засідань груп експертів Комісії, що займаються підготовкою делегованих актів.

(174)

З огляду на швидкий технологічний розвиток та технічну експертизу, необхідну для ефективного застосування цього Регламенту, Комісія повинна оцінювати та переглядати цей Регламент до 2 серпня 2029 року та кожні чотири роки після цього та звітувати перед Європейським Парламентом та Радою. Крім того, з урахуванням наслідків для сфери застосування цього Регламенту Комісія повинна проводити оцінку необхідності внесення змін до переліку високоризикованих систем ШІ та переліку заборонених практик раз на рік. Більше того, до 2 серпня 2028 року та кожні чотири роки після цього Комісія повинна оцінювати та звітувати перед Європейським Парламентом та Радою про необхідність внесення змін до переліку заголовків сфер високого ризику в додатку до цього Регламенту, систем ШІ в рамках зобов'язань щодо прозорості, ефективності системи нагляду та управління та прогресу в розробці результатів стандартизації щодо енергоефективної розробки загальноцільових моделей ШІ, включаючи необхідність подальших заходів або дій. Нарешті, до 2 серпня 2028 року та кожні три роки після цього Комісія повинна оцінювати вплив та ефективність добровільних кодексів поведінки для сприяння застосуванню вимог, передбачених для високоризикованих систем ШІ, у випадку систем ШІ, відмінних від високоризикованих, та, можливо, інших додаткових вимог для таких систем ШІ.

(175)

З метою забезпечення однакових умов для реалізації цього Регламенту Комісії слід надати виконавчі повноваження. Ці повноваження повинні здійснюватися відповідно до Регламенту (ЄС) № 182/2011 Європейського Парламенту і Ради (56).

(176)

Оскільки мета цього Регламенту, а саме вдосконалення функціонування внутрішнього ринку та сприяння поширенню людиноцентричного та надійного ШІ при забезпеченні високого рівня захисту здоров'я, безпеки, основних прав, закріплених у Хартії, включаючи демократію, верховенство права та захист навколишнього середовища від шкідливих наслідків систем ШІ в Союзі та підтримки інновацій, не може бути достатньою мірою досягнута державами-членами та натомість, з огляду на масштаб або наслідки дій, може бути краще досягнута на рівні Союзу, Союз може вживати заходів відповідно до принципу субсидіарності, передбаченого статтею 5 ДЄС. Відповідно до принципу пропорційності, передбаченого цією статтею, цей Регламент не виходить за межі того, що необхідно для досягнення цієї мети.

(177)

З метою забезпечення правової визначеності, забезпечення відповідного адаптаційного періоду для операторів та уникнення збоїв на ринку, зокрема шляхом забезпечення безперервності використання систем ШІ, доречно, щоб цей Регламент застосовувався до високоризикованих систем ШІ, що були розміщені на ринку або введені в експлуатацію до загальної дати його застосування, лише за умови, що з цієї дати такі системи зазнають значних змін у своєму проектуванні або передбаченому призначенні. Доречно уточнити, що в цьому відношенні поняття значної зміни слід розуміти як рівнозначне по суті поняттю суттєвої модифікації, яке використовується стосовно лише високоризикованих систем ШІ відповідно до цього Регламенту. В порядку виключення та з урахуванням публічної підзвітності оператори систем ШІ, що є компонентами великомасштабних ІТ-систем, створених правовими актами, переліченими в додатку до цього Регламенту, та оператори високоризикованих систем ШІ, призначених для використання органами публічної влади, повинні відповідно вжити необхідних кроків для виконання вимог цього Регламенту до кінця 2030 року та до 2 серпня 2030 року.

(178)

Постачальників високоризикованих систем ШІ заохочують добровільно розпочати виконання відповідних зобов'язань цього Регламенту вже в перехідний період.

(179)

Цей Регламент має застосовуватися з 2 серпня 2026 року. Однак, з урахуванням неприйнятного ризику, пов'язаного з використанням ШІ певними способами, заборони, а також загальні положення цього Регламенту повинні вже застосовуватися з 2 лютого 2025 року. Хоча повний ефект цих заборон настає зі встановленням системи управління та виконання цього Регламенту, передбачення застосування заборон є важливим для врахування неприйнятних ризиків та впливу на інші процедури, такі як цивільне право. Крім того, інфраструктура, пов'язана із системою управління та оцінки відповідності, має бути операційною до 2 серпня 2026 року, тому положення про нотифіковані органи та структуру управління мають застосовуватися з 2 серпня 2025 року. З огляду на швидкий темп технологічного прогресу та впровадження загальноцільових моделей ШІ зобов'язання для постачальників загальноцільових моделей ШІ мають застосовуватися з 2 серпня 2025 року. Кодекси практики мають бути готові до 2 травня 2025 року з метою надання постачальникам можливості своєчасно продемонструвати відповідність. Офіс ШІ повинен забезпечити актуальність правил та процедур класифікації з урахуванням технологічних розробок. Крім того, держави-члени повинні встановити та повідомити Комісії правила щодо санкцій, включаючи адміністративні штрафи, та забезпечити їх належне та ефективне застосування до дати застосування цього Регламенту. Тому положення про санкції мають застосовуватися з 2 серпня 2025 року.

(180)

З Європейським наглядачем із захисту даних та Європейською радою із захисту даних були проведені консультації відповідно до статті 42(1) та (2) Регламенту (ЄС) 2018/1725, і вони надали свій спільний висновок 18 червня 2021 року,