+79 artikla Menettely sellaisten tekoälyjärjestelmien käsittelemiseksi, jotka aiheuttavat riskin kansallisella tasolla
---+79 artikla 1.
---+79 artikla 2.
---+79 artikla 3.
---+79 artikla 4.
---+79 artikla 5.
---+79 artikla 6.
---+79 artikla 7.
---+79 artikla 8.
---+79 artikla 9.

79 artikla Menettely sellaisten tekoälyjärjestelmien käsittelemiseksi, jotka aiheuttavat riskin kansallisella tasolla

-

1. Yleiskatsaus

,
79 artikla 1.
Riskin aiheuttavalla tekoälyjärjestelmällä tarkoitetaan tuotetta, joka aiheuttaa asetuksen (EU) 2019/1020 3 artiklan 19 alakohdassa määritellyn riskin, kun riski kohdistuu ihmisten terveyteen tai turvallisuuteen tai perusoikeuksiin.
79 artikla 2.
Jos jäsenvaltion markkinavalvontaviranomaisella on riittävä peruste katsoa, että tekoälyjärjestelmä aiheuttaa tämän artiklan 1 kohdassa tarkoitetun riskin, sen on suoritettava arviointi siitä, täyttääkö kyseinen tekoälyjärjestelmä kaikki tässä asetuksessa säädetyt vaatimukset ja velvoitteet. Erityistä huomiota on kiinnitettävä tekoälyjärjestelmiin, jotka aiheuttavat riskin haavoittuvassa asemassa oleville ryhmille. Jos perusoikeuksiin liittyviä riskejä todetaan, markkinavalvontaviranomaisen on ilmoitettava asiasta myös 77 artiklan 1 kohdassa tarkoitetuille asiaankuuluville kansallisille viranomaisille tai elimille ja tehtävä tiivistä yhteistyötä niiden kanssa. Asianomaisten toimijoiden on tehtävä tarvittaessa yhteistyötä markkinavalvontaviranomaisen ja muiden 77 artiklan 1 kohdassa tarkoitettujen kansallisten viranomaisten tai elinten kanssa.

Jos markkinavalvontaviranomainen tai tapauksen mukaan markkinavalvontaviranomainen yhteistyössä 77 artiklan 1 kohdassa tarkoitettu kansallisen viranomaisen kanssa toteaa arvioinnin yhteydessä, että tekoälyjärjestelmä ei täytä tässä asetuksessa säädettyjä vaatimuksia ja velvoitteita, sen on vaadittava ilman tarpeetonta viivytystä asianomaista toimijaa toteuttamaan kaikki asianmukaiset korjaavat toimenpiteet tekoälyjärjestelmän saattamiseksi vaatimusten mukaiseksi tai tekoälyjärjestelmän poistamiseksi markkinoilta tai sitä koskevan palautusmenettelyn järjestämiseksi sellaisen ajanjakson kuluessa, jonka markkinavalvontaviranomainen voi määrätä, ja joka tapauksessa viimeistään 15 työpäivän kuluessa tai siten kuin asiaankuuluvassa unionin yhdenmukaistamislainsäädännössä säädetään.

Markkinavalvontaviranomaisten on ilmoitettava tästä asianomaiselle ilmoitetulle laitokselle. Toisessa alakohdassa tarkoitettuihin toimenpiteisiin sovelletaan asetuksen (EU) 2019/1020 18 artiklaa.
79 artikla 3.
Kun markkinavalvontaviranomainen katsoo, että vaatimustenvastaisuus ei rajoitu sen kansalliselle alueelle, sen on ilman aiheetonta viivytystä ilmoitettava komissiolle ja muille jäsenvaltioille arvioinnin tuloksista ja toimenpiteistä, jotka se ovat vaatinut toimijaa toteuttamaan.
79 artikla 4.
Toimijan on varmistettava, että kaikki asianmukaiset korjaavat toimenpiteet toteutetaan kaikkien asianomaisten tekoälyjärjestelmien osalta, jotka se on asettanut saataville unionin markkinoille.
79 artikla 5.
Mikäli tekoälyjärjestelmään liittyvä toimija ei suorita riittäviä korjaavia toimenpiteitä 2 kohdassa tarkoitetun ajanjakson aikana, markkinavalvontaviranomaisen on toteutettava kaikki asianmukaiset väliaikaiset toimenpiteet, joilla kielletään tekoälyjärjestelmän asettaminen saataville kansallisilla markkinoilla tai käyttöönotto tai rajoitetaan sitä, poistetaan erillinen tekoälyjärjestelmä markkinoilta tai järjestetään sitä koskeva palautusmenettely. Viranomaisen on ilman aiheetonta viivytystä ilmoitettava komissiolle ja muille jäsenvaltioille näistä toimenpiteistä.
79 artikla 6.

Edellä 5 kohdassa tarkoitettuun ilmoitukseen on sisällyttävä kaikki saatavilla olevat yksityiskohtaiset tiedot, erityisesti ne tiedot, jotka ovat tarpeen vaatimustenvastaisen tekoälyjärjestelmän tunnistamista ja tekoälyjärjestelmän alkuperän ja toimitusketjun, niihin liittyvän väitetyn vaatimustenvastaisuuden ja riskin luonteen ja toteutettujen kansallisten toimenpiteiden luonteen ja keston määrittämistä varten, sekä asianomaisen toimijan esittämät perustelut. Markkinavalvontaviranomaisten on erityisesti ilmoitettava, johtuuko vaatimustenvastaisuus yhdestä tai useammasta seuraavista:

a) 

5 artiklassa tarkoitettua tekoälyyn liittyviä käytäntöjä koskevaa kieltoa ei ole noudatettu;

b) 

suuririskinen tekoälyjärjestelmä ei täytä III luvun 2 jaksossa vahvistettuja vaatimuksia;

c) 

40 ja 41 artiklassa tarkoitetuissa vaatimustenmukaisuusolettaman luovissa yhdenmukaistetuissa standardeissa tai teknisissä eritelmissä on puutteita;

d) 

50 artiklaa ei ole noudatettu.
79 artikla 7.
Muiden markkinavalvontaviranomaisten kuin menettelyn aloittaneen jäsenvaltion markkinavalvontaviranomaisen on ilman aiheetonta viivytystä ilmoitettava komissiolle ja muille jäsenvaltioille kaikki toteutetut toimenpiteet ja kaikki niiden hallussa olevat lisätiedot, jotka liittyvät asianomaisen tekoälyjärjestelmän vaatimustenvastaisuuteen, sekä vastalauseensa siinä tapauksessa, että ilmoitetusta kansallisesta toimenpiteestä on erimielisyyttä.
79 artikla 8.
Jos minkään jäsenvaltion markkinavalvontaviranomainen tai komissio ei ole kolmen kuukauden kuluessa tämän artiklan 5 kohdassa tarkoitetun ilmoituksen vastaanottamisesta esittänyt vastalausetta toisen jäsenvaltion markkinavalvontaviranomaisen toteuttamasta väliaikaisesta toimenpiteestä, toimenpiteen katsotaan olevan perusteltu. Tämä ei rajoita asianomaisen toimijan asetuksen (EU) 2019/1020 18 artiklan mukaisia menettelyllisiä oikeuksia. Tässä kohdassa tarkoitettu kolmen kuukauden ajanjakso lyhennetään 30 päivään, kun kyseessä on tämän asetuksen 5 artiklassa tarkoitettuja tekoälyyn liittyviä käytäntöjä koskevan kiellon noudattamatta jättäminen.
79 artikla 9.
Markkinavalvontaviranomaisten on varmistettava, että kyseistä tuotetta tai tekoälyjärjestelmää koskevat asianmukaiset rajoittavat toimenpiteet, kuten tuotteen tai tekoälyjärjestelmän vetäminen pois markkinoilta, toteutetaan ilman aiheetonta viivytystä.

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät standardit

Standardit
SCF Non-Conformity Corrective Action

Description

Mechanisms exist to implement corrective action to remediate instances of non-conformity with applicable statutory, regulatory, and/or contractual compliance obligations.

Possible Solutions & Considerations

Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2

∙ Corrective action log (spreadsheet)
∙ Documented remediation plans for audit findings

Small Business (10-49 staff) / BLS Firm Size Classes 3-4

∙ Corrective action register with remediation tracking
∙ Management review of open findings

Medium Business (50-249 staff) / BLS Firm Size Classes 5-6

∙ Formal corrective action plan process
∙ GRC platform for finding tracking and remediation
∙ Management review of open findings

Large Business (250-999 staff) / BLS Firm Size Classes 7-8

∙ Enterprise corrective action management program
∙ GRC platform with workflow-driven remediation tracking
∙ Executive reporting on open findings

Enterprise (> 1,000 staff) / BLS Firm Size Class 9

∙ Enterprise GRC platform for corrective action management
∙ Automated finding tracking and escalation workflows
∙ Board-level reporting on material findings

SCR-CMM

Level 0 Not Performed

Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.

Level 1 Performed Informally

Compliance (CPL) domain capabilities are ad hoc and inconsistent. Capability criteria associated with this control may include:
▪ Policies, standards & procedures associated with CPL domain capabilities provide limited coverage due to the depth and breadth of the existing documentation.
▪ Compliance management-related activities are decentralized (e.g., a localized/regionalized function) and uses non-standardized methods to implement secure, resilient and compliant practices.
▪ Compliance efforts are narrowly-limited to certain compliance requirements.
▪ IT and/or cybersecurity personnel use an informal process to govern statutory, regulatory and contractual compliance obligations.

Level 2 Planned Tracked

Compliance (CPL) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with CPL domain capabilities are formally documented and centrally-managed by the entity.
▪ Standardized Operating Procedures (SOP) associated with CPL domain capabilities are documented and maintained by process owners.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with CPL domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD).
▪ Compliance management controls-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines).
▪ Compliance management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel.
▪ External compliance requirements for cybersecurity and data privacy are identified and documented, based on applicable laws, regulations and contractual obligations.

Level 3 Well Defined

Compliance (CPL) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with CPL domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Standardized Operating Procedures (SOP) associated with CPL domain capabilities are well-documented and kept current by process owners.
▪ A Governance, Risk & Compliance (GRC) team, or similar function, is appropriately staffed and supported to implement and maintain CPL domain capabilities.
▪ Technology is leveraged to enhance the efficiency and accuracy of governance, risk management and compliance operations (e.g., GRC platform).
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, works with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with CPL domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ An implemented and operational capability exists to take corrective action to remediate instances of non-conformity with applicable statutory, regulatory, and/or contractual compliance obligations.

Level 4 Quantitatively Controlled

Utilize SCR-CMM Level 3 criteria definitions:
▪ There are no defined Level 4 criteria, since it is reasonable to assume a quantitatively-controlled process is not necessary to operationalize this control.
▪ While it may be possible to develop “metrics-driven” capabilities for this control, the criteria would be organization-specific to define.

Level 5 Continuously Improving

Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.