Wyłączenie z artykułu 6(3)

Wszyscy cytują załącznik III. Prawie nikt nie czyta artykułu 6(3), który stoi bezpośrednio pod nim i potrafi wyprowadzić system z kategorii wysokiego ryzyka w całości.

To najbardziej brzemienny w skutki ustęp AI Act dla małych firm i rutynowo się go pomija - robią to założyciele, konsultanci i większość darmowych narzędzi do klasyfikacji dostępnych dziś w sieci. Efekt: zespoły planują budżety na oceny zgodności, jednostki notyfikowane i oznakowanie CE, których być może nigdy nie będą winne.

Co on mówi

System mieszczący się w obszarze z załącznika III nie jest wysokiego ryzyka, jeżeli nie stwarza znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych, w tym przez to, że nie wpływa istotnie na wynik podejmowania decyzji. Ma to zastosowanie, gdy spełniony jest którykolwiek jeden z tych czterech warunków:

Przesłanka profilowania rozstrzyga niemal każdą sprawę

Skoro jest bezwzględna, to na to pytanie odpowiada się najpierw. Profilowanie w rozumieniu artykułu 4(4) RODO, do którego AI Act nawiązuje, oznacza zautomatyzowane przetwarzanie danych osobowych w celu oceny czynników osobowych osoby fizycznej - w szczególności do analizy lub prognozy efektów pracy, sytuacji ekonomicznej, zdrowia, preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.

Pułapka: zespoły czytają "profilowanie" jako "budowanie teczki". To pojęcie jest znacznie szersze. Ocenianie lub prognozowanie czegokolwiek o osobie na podstawie jej danych jest profilowaniem, nawet jednorazowo, nawet ulotnie, nawet jeśli nigdy nie zapisujesz wyniku.

Wzorzec jest taki: czy to osoba jest przedmiotem oceny, czy coś innego? Dokumenty, decyzje, transkrypcje i procesy można analizować swobodnie. W chwili, gdy wynikiem jest sąd o człowieku, profilujesz.

Druga pułapka: "istotny wpływ na wynik"

Nawet bez profilowania wyłączenie wymaga, aby system nie wpływał istotnie na podejmowanie decyzji. Dwa sposoby, którymi zespoły się z tego wygadują, a nie powinny:

"Ostateczną decyzję podejmuje człowiek." Formalnie prawda, często bez znaczenia. Jeśli Twój system pokazuje uszeregowaną krótką listę, a człowiek w dziewięćdziesięciu pięciu procentach przypadków wybiera z pierwszej trójki, system istotnie wpływa na wynik. Organy patrzą na to, co faktycznie się dzieje, a nie na to, gdzie znajduje się przycisk. Jeśli masz dane o tym, jak często decyzje są nadpisywane, zajrzyj do nich, zanim oprzesz się na tym argumencie.

"To tylko sugestia." Sugestia, za którą idzie się domyślnie, to decyzja z dodatkowymi krokami. Test z przesłanki (c) jest wyraźny - system nie może wpływać na ocenę człowieka bez odpowiedniej weryfikacji. Odpowiednia weryfikacja oznacza, że weryfikujący ma informacje, czas i uprawnienie, żeby się nie zgodzić, i czasem tego używa.

Wyłączenie nie jest darmowe

To ta część, którą się pomija, i to ona zamienia dobrą pozycję w złą.

Dostawca, który uzna, że jego system jest wyłączony na podstawie 6(3), musi udokumentować tę ocenę przed wprowadzeniem systemu na rynek i nadal musi zarejestrować system w bazie danych UE. Właściwy organ może poprosić o tę dokumentację. Wyłączenie zdejmuje więc ciężkie obowiązki z rozdziału III - zarządzanie ryzykiem, dokumentację techniczną, ocenę zgodności, oznakowanie CE - ale nie jest ciszą. Jest lżejszą, udokumentowaną pozycją.

Przykład rozpisany

Jedenastoosobowa firma sprzedaje szpitalom oprogramowanie, które czyta przychodzące skierowania i kieruje je na właściwy oddział.

Załącznik III? Tak - dostęp do opieki zdrowotnej może dotykać usług podstawowych, a to wchodzi w ścieżkę pacjenta.

Która przesłanka? (a), wąskie zadanie proceduralne. System klasyfikuje dokument według przedmiotu i przekazuje go dalej.

Profilowanie? Nie. Czyta treść kliniczną pisma i dopasowuje ją do oddziału. Nie formułuje żadnego sądu o pacjencie - ani o pilności, ani o ryzyku, ani o prawdopodobieństwie stawienia się.

Istotny wpływ? Nie. Klinicysta przegląda każde skierowanie po wpłynięciu niezależnie od skierowania na oddział, a źle pokierowane pisma są codziennie przypisywane na nowo.

Wniosek: prawdopodobnie wyłączony. Udokumentuj, zarejestruj, idź dalej.

A teraz zmień jedną rzecz. Firma dodaje funkcję, która oznacza skierowania jako "prawdopodobnie pilne" na podstawie historii pacjenta. To jest prognoza dotycząca zdrowia osoby - profilowanie. Wyłączenie zamyka się natychmiast, a system jest wysokiego ryzyka, z pełnym zestawem z rozdziału III wymagalnym do 2 grudnia 2027.

Jedna funkcja. Ten sam produkt, ci sami klienci, ten sam zespół. Tak szybko to się przesuwa i dlatego ocenę trzeba powtarzać za każdym razem, gdy produkt się zmienia.

Jak przeprowadzić sprawdzenie

1. Potwierdź, że faktycznie jesteś w obszarze z załącznika III. Jeśli nie, 6(3) jest bez znaczenia - nigdy nie byłeś wysokiego ryzyka.
2. Najpierw zadaj pytanie o profilowanie. Jest bezwzględne, więc "tak" kończy analizę i oszczędza Ci reszty.
3. Wskaż, na której przesłance się opierasz. Jedna wystarczy, ale ją nazwij. "To dość wąskie" nie jest przesłanką.
4. Sprawdź istotny wpływ pod obciążeniem. Jeśli masz realne dane o nadpisywaniu decyzji, zajrzyj do nich.
5. Zapisz to, opatrz datą, zarejestruj system.
6. Powtórz, gdy produkt się zmieni. Wpisz to w przegląd planu produktu, a nie do folderu.

Najczęściej zadawane pytania

Czym jest wyłączenie z artykułu 6(3)?

Artykuł 6(3) przewiduje, że system mieszczący się w obszarze z załącznika III nie jest systemem wysokiego ryzyka, jeżeli nie stwarza znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych, gdy wykonuje wąskie zadanie proceduralne, poprawia wynik wcześniej zakończonej czynności człowieka, wykrywa wzorce decyzyjne bez zastępowania oceny człowieka albo wykonuje zadanie przygotowawcze. Wyłączenie nigdy nie ma zastosowania, jeżeli system prowadzi profilowanie osób fizycznych.

Co liczy się jako profilowanie w świetle AI Act?

Profilowanie oznacza zautomatyzowane przetwarzanie danych osobowych w celu oceny czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy efektów pracy, sytuacji ekonomicznej, zdrowia, preferencji, wiarygodności, zachowania lub lokalizacji. Ocenianie lub prognozowanie czegokolwiek o osobie na podstawie jej danych jest profilowaniem, nawet ulotnie i nawet jeśli wynik nie jest zapisywany.

Jeśli artykuł 6(3) ma zastosowanie, czy nadal mam obowiązki?

Tak. Dostawca opierający się na wyłączeniu musi udokumentować ocenę przed wprowadzeniem systemu na rynek i nadal musi zarejestrować system w bazie danych UE. Wyłączenie zdejmuje obowiązki dla systemów wysokiego ryzyka z rozdziału III, takie jak zarządzanie ryzykiem, dokumentacja techniczna, ocena zgodności i oznakowanie CE, ale jest udokumentowaną pozycją, a nie ciszą.

Czy to, że ostateczną decyzję podejmuje człowiek, oznacza, że artykuł 6(3) ma zastosowanie?

Samo w sobie nie. Test polega na tym, czy system istotnie wpływa na wynik. Jeśli system tworzy ranking, za którym człowiek idzie w zdecydowanej większości przypadków, istotnie wpływa on na decyzję niezależnie od tego, kto naciska przycisk. Artykuł 6(3)(c) wymaga, aby ocena człowieka nie była kształtowana bez odpowiedniej weryfikacji.