Статья 26Регламент № 2024/1689 Европейского парламента и Совета Европейского Союза

Обязательства организаций, эксплуатирующих системы ИИ с высокой степенью риска

1. Организации, эксплуатирующие системы ИИ с высокой степенью риска, должны принимать соответствующие технические и организационные меры в целях гарантии того, что они используют такие системы в соответствии с инструкциями по эксплуатации, прилагаемыми к системам, согласно параграфам 3 и 6.

2. Эксплуатирующие организации должны поручать надзор со стороны человека и оказывать необходимую поддержку физическим лицам, которые обладают необходимой компетенцией, подготовкой и полномочиями.

3. Обязательства, установленные в параграфах 1 и 2, должны действовать без ущерба другим обязательствам эксплуатирующей организации в рамках законодательства Союза или национального законодательства, а также без ущерба свободе эксплуатирующей организации в формировании своих собственных ресурсов и деятельности для целей реализации мер по надзору со стороны человека, указанных поставщиком.

4. Без ущерба параграфам 1 и 2, в той мере, в которой эксплуатирующая организация осуществляет контроль над входными данными, указанная эксплуатирующая организация должна гарантировать, что входные данные являются релевантными и достаточно репрезентативными с учетом целевого назначения системы ИИ с высокой степенью риска.

5. Эксплуатирующая организация должна контролировать работу системы ИИ с высокой степенью риска на основе инструкций по эксплуатации и, по мере необходимости, информировать поставщиков в соответствии со Статьей 72. В случае если у эксплуатирующих организаций есть основания полагать, что использование системы ИИ с высокой степенью риска в соответствии с инструкциями может привести к тому, что данная система ИИ будет представлять угрозу в значении Статьи 79(1), они незамедлительно должны проинформировать поставщика или дистрибьютора и соответствующий орган надзора за рынком и должны приостановить использование указанной системы. В случае если эксплуатирующие организации выявили серьезный инцидент, они также незамедлительно должны проинформировать об указанном инциденте сначала поставщика, а затем импортера или дистрибьютора и соответствующие органы надзора за рынком. Если эксплуатирующая организация не может связаться с поставщиком, Статья 73 применяется mutatis mutandis. Указанное обязательство не распространяется на конфиденциальные оперативные данные организаций, эксплуатирующих системы ИИ, которые являются правоохранительными органами.

В том, что касается эксплуатирующих организаций, которые являются финансовыми учреждениями, на которые распространяются требования, касающиеся их внутреннего управления, механизмов или процессов согласно законодательству Союза о финансовых услугах, обязательство по контролю, установленное в первом подпараграфе, считается выполненным посредством соблюдения правил в отношении механизмов самоуправления, внутренних процессов и механизмов согласно соответствующему законодательству о финансовых услугах.

6. Организации, эксплуатирующие системы ИИ с высокой степенью риска, должны хранить журналы событий, автоматически генерируемые такой системой ИИ с высокой степенью риска, в той мере, в какой такие журналы находятся под их контролем, в течение срока, соответствующего целевому назначению системы ИИ с высокой степенью риска, продолжительностью не менее шести месяцев, если иное не предусмотрено применимым законодательством Союза или национальным законодательством, в частности, законодательством Союза о защите персональных данных.

Эксплуатирующие организации, являющиеся финансовыми учреждениями, на которые распространяются требования в отношении их внутреннего управления, процессов и механизмов согласно законодательству Союза о финансовых услугах, должны вести журналы событий как часть документации, хранящейся согласно соответствующему законодательству Союза о финансовых услугах.

7. Перед вводом в эксплуатацию или использованием системы ИИ с высокой степенью риска на рабочем месте эксплуатирующие организации, которые являются работодателями, должны информировать представителей работников и задействованных работников о том, в их отношении будет использоваться система ИИ с высокой степенью риска. Указанная информация должна предоставляться, в соответствующих случаях, согласно правилам и процедурам, установленным в законодательстве Союза и национальном законодательстве, и согласно практике в отношении информирования работников и их представителей.

9. В предусмотренных случаях организации, эксплуатирующие системы ИИ с высокой степенью риска, должны использовать информацию, предоставленную согласно Статье 13 настоящего Регламента, для выполнения своего обязательства по проведению оценки воздействия на защиту данных в соответствии со Статьей 35 Регламента (ЕС) 2016/679 или Статьей 27 Директивы (ЕС) 2016/680.

Ни в коем случае такая система ИИ с высокой степенью риска для последующей удаленной биометрической идентификации не должна применяться в правоохранительных целях нецелевым образом, без какой-либо связи с уголовным преступлением, уголовным производством, реальной и существующей или реальной и прогнозируемой угрозой совершения уголовного преступления или поиска конкретного лица, пропавшего без вести. Следует гарантировать, что правоохранительные органы не принимают никаких решений, которые имели бы неблагоприятные юридические последствия для какого-либо лица, исключительно исходя из результатов, полученных указанными системами последующей удаленной биометрической идентификации.

Вне зависимости от цели или эксплуатирующей организации, каждое использование таких систем ИИ с высокой степенью риска должно быть задокументировано в соответствующем полицейском досье и должно предоставляться соответствующему органу надзора за рынком и национальному органу по защите данных по запросу, за исключением раскрытия конфиденциальных оперативных данных, относящихся к правоохранительной деятельности. Настоящий подпараграф действует без ущерба полномочиям, предоставленным Директивой (ЕС) 2016/680 органам надзора.

Государства-члены ЕС в соответствии с законодательством Союза могут ввести законодательные акты, в большей степени ограничивающие использование систем последующей удаленной биометрической идентификации.

11. Без ущерба Статье 50 настоящего Регламента организации, эксплуатирующие системы ИИ с высокой степенью риска, указанные в Приложении III, которые принимают решения или помогают в принятии решений, касающихся физических лиц, должны информировать физических лиц о том, что на них распространяется использование системы ИИ с высокой степенью риска. В том, что касается систем ИИ с высокой степенью риска, используемых в правоохранительных целях, применяется Статья 13 Директивы (ЕС) 2016/680

12. Эксплуатирующие организации должны сотрудничать с соответствующими компетентными органами по любым действиям, которые указанные органы предпринимают в отношении системы ИИ с высокой степенью риска, в целях имплементации настоящего Регламента.