+Artikel 79 Procedure op nationaal niveau voor de omgang met AI-systemen die een risico vormen
---+Artikel 79 1.
---+Artikel 79 2.
---+Artikel 79 3.
---+Artikel 79 4.
---+Artikel 79 5.
---+Artikel 79 6.
---+Artikel 79 7.
---+Artikel 79 8.
---+Artikel 79 9.

Artikel 79 Procedure op nationaal niveau voor de omgang met AI-systemen die een risico vormen

-

1. Overzicht

,
Artikel 79 1.
Onder AI-systemen die een risico inhouden, worden verstaan „producten die een risico vormen”, zoals gedefinieerd in artikel 3, punt 19, van Verordening (EU) 2019/1020, voor zover die een risico vormen voor de gezondheid, de veiligheid of de grondrechten van personen.
Artikel 79 2.
Indien de markttoezichtautoriteit van een lidstaat voldoende reden heeft om van mening te zijn dat een AI-systeem een risico vormt, zoals bedoeld in lid 1 van dit artikel, verricht zij een evaluatie van het betrokken AI-systeem ten aanzien van de overeenstemming ervan met alle eisen en verplichtingen van deze verordening. Er wordt bijzondere aandacht besteed aan AI-systemen die een risico vormen voor kwetsbare groepen. Indien er risico’s voor de grondrechten worden vastgesteld, stelt de markttoezichtautoriteit tevens de in artikel 77, lid 1, bedoelde relevante nationale overheidsinstanties of -organen in kennis en verleent zij hun haar volledige medewerking. De relevante gebruiksverantwoordelijken werken voor zover noodzakelijk samen met de markttoezichtautoriteit en met de andere in artikel 77, lid 1, bedoelde nationale overheidsinstanties of -organen.

Indien de markttoezichtautoriteit, in voorkomend geval in samenwerking met de in artikel 77, lid 1, bedoelde nationale overheidsinstantie, bij deze evaluatie vaststelt dat het AI-systeem niet aan de eisen en verplichtingen van deze verordening voldoet, gelast zij de betrokken operator zonder onnodige vertraging passende corrigerende maatregelen te nemen om het AI-systeem binnen een termijn die door de markttoezichtautoriteit kan worden vastgesteld, en in elk geval binnen 15 werkdagen of binnen de termijn die is vastgelegd in de van toepassing zijnde relevante harmonisatiewetgeving van de Unie, indien die korter is, conform te maken, uit de handel te nemen of terug te roepen.

De markttoezichtautoriteit stelt de relevante aangemelde instantie daarvan in kennis. Op de in de tweede alinea van dit lid genoemde maatregelen is artikel 18 van Verordening (EU) 2019/1020 van toepassing.
Artikel 79 3.
Indien de markttoezichtautoriteit van mening is dat de non-conformiteit niet beperkt blijft tot haar nationale grondgebied, brengt zij de Commissie en de andere lidstaten zonder onnodige vertraging op de hoogte van de resultaten van de evaluatie en van de maatregelen die zij de operator heeft opgelegd.
Artikel 79 4.
De operators zorgen ervoor dat alle betrokken AI-systemen die zij op de Uniemarkt hebben aangeboden aan alle passende corrigerende maatregelen worden onderworpen.
Artikel 79 5.
Indien de operator van een AI-systeem niet binnen de in lid 2 bedoelde termijn doeltreffende corrigerende actie onderneemt, neemt de markttoezichtautoriteit alle passende voorlopige maatregelen om het op haar nationale markt aanbieden of in gebruik stellen van het AI-systeem te verbieden of te beperken, het product of het op zichzelf staande AI-systeem in de betrokken lidstaat uit de handel te nemen of terug te roepen. Die autoriteit stelt de Commissie en de andere lidstaten zonder onnodige vertraging van deze maatregelen in kennis.
Artikel 79 6.

De in lid 5 bedoelde kennisgeving omvat alle bekende bijzonderheden, met name de informatie die nodig is om het non-conforme AI-systeem te identificeren en om de oorsprong van het AI-systeem en de toeleveringsketen, de aard van de beweerde non-conformiteit en van het risico, en de aard en de duur van de nationale maatregelen vast te stellen, evenals de argumenten die worden aangevoerd door de betrokken operator. De markttoezichtautoriteiten vermelden met name of de non-conformiteit een of meer van de volgende redenen heeft:

a) 

niet-naleving van het verbod op de in artikel 5 bedoelde AI-praktijken;

b) 

het AI-systeem met een hoog risico voldoet niet aan vereisten van hoofdstuk III, afdeling 2;

c) 

tekortkomingen in de in de artikelen 40 en 41 bedoelde geharmoniseerde normen of gemeenschappelijke specificaties die een vermoeden van conformiteit rechtvaardigen;

d) 

niet-naleving van artikel 50.
Artikel 79 7.
De andere markttoezichtautoriteiten dan de markttoezicht-autoriteit van de lidstaat die de procedure heeft geïnitieerd, brengen de Commissie en de andere lidstaten zonder onnodige vertraging op de hoogte van door hen genomen maatregelen en van aanvullende informatie over de non-conformiteit van het AI-systeem waarover zij beschikken, en van hun bezwaren indien zij het niet eens zijn met de aangemelde nationale maatregel.
Artikel 79 8.
Indien er binnen drie maanden na ontvangst van de in lid 5 van dit artikel bedoelde kennisgeving door een markttoezichtautoriteit van een lidstaat of door de Commissie geen bezwaar tegen een voorlopige maatregel van een markttoezichtautoriteit van een andere lidstaat is ingediend, wordt die maatregel geacht gerechtvaardigd te zijn. Dit geldt onverminderd de procedurele rechten van de betrokken operator overeenkomstig artikel 18 van Verordening (EU) 2019/1020. De in dit lid bedoelde termijn van drie maanden wordt verkort tot dertig dagen in geval van niet-naleving van het verbod op de in artikel 5 van deze verordening bedoelde AI-praktijken.
Artikel 79 9.
De markttoezichtautoriteiten zorgen ervoor dat ten aanzien van het betrokken product of AI-systeem zonder onnodige vertraging de passende beperkende maatregelen worden genomen, zoals het uit de handel nemen van het product of het AI-systeem op hun markt.

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde standaarden

Standaarden
SCF Non-Conformity Corrective Action

Description

Mechanisms exist to implement corrective action to remediate instances of non-conformity with applicable statutory, regulatory, and/or contractual compliance obligations.

Possible Solutions & Considerations

Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2

∙ Corrective action log (spreadsheet)
∙ Documented remediation plans for audit findings

Small Business (10-49 staff) / BLS Firm Size Classes 3-4

∙ Corrective action register with remediation tracking
∙ Management review of open findings

Medium Business (50-249 staff) / BLS Firm Size Classes 5-6

∙ Formal corrective action plan process
∙ GRC platform for finding tracking and remediation
∙ Management review of open findings

Large Business (250-999 staff) / BLS Firm Size Classes 7-8

∙ Enterprise corrective action management program
∙ GRC platform with workflow-driven remediation tracking
∙ Executive reporting on open findings

Enterprise (> 1,000 staff) / BLS Firm Size Class 9

∙ Enterprise GRC platform for corrective action management
∙ Automated finding tracking and escalation workflows
∙ Board-level reporting on material findings

SCR-CMM

Level 0 Not Performed

Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.

Level 1 Performed Informally

Compliance (CPL) domain capabilities are ad hoc and inconsistent. Capability criteria associated with this control may include:
▪ Policies, standards & procedures associated with CPL domain capabilities provide limited coverage due to the depth and breadth of the existing documentation.
▪ Compliance management-related activities are decentralized (e.g., a localized/regionalized function) and uses non-standardized methods to implement secure, resilient and compliant practices.
▪ Compliance efforts are narrowly-limited to certain compliance requirements.
▪ IT and/or cybersecurity personnel use an informal process to govern statutory, regulatory and contractual compliance obligations.

Level 2 Planned Tracked

Compliance (CPL) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with CPL domain capabilities are formally documented and centrally-managed by the entity.
▪ Standardized Operating Procedures (SOP) associated with CPL domain capabilities are documented and maintained by process owners.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with CPL domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD).
▪ Compliance management controls-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines).
▪ Compliance management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel.
▪ External compliance requirements for cybersecurity and data privacy are identified and documented, based on applicable laws, regulations and contractual obligations.

Level 3 Well Defined

Compliance (CPL) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with CPL domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Standardized Operating Procedures (SOP) associated with CPL domain capabilities are well-documented and kept current by process owners.
▪ A Governance, Risk & Compliance (GRC) team, or similar function, is appropriately staffed and supported to implement and maintain CPL domain capabilities.
▪ Technology is leveraged to enhance the efficiency and accuracy of governance, risk management and compliance operations (e.g., GRC platform).
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, works with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with CPL domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ An implemented and operational capability exists to take corrective action to remediate instances of non-conformity with applicable statutory, regulatory, and/or contractual compliance obligations.

Level 4 Quantitatively Controlled

Utilize SCR-CMM Level 3 criteria definitions:
▪ There are no defined Level 4 criteria, since it is reasonable to assume a quantitatively-controlled process is not necessary to operationalize this control.
▪ While it may be possible to develop “metrics-driven” capabilities for this control, the criteria would be organization-specific to define.

Level 5 Continuously Improving

Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.