Vakavien vaaratilanteiden raportointi
Jos suuririskinen tekoäly aiheuttaa vakavan vaaratilanteen, se on ilmoitettava viranomaiselle ja määräajat ovat lyhyet.
Mistä tässä on kyse
Kaksi päivää. Niin nopeasti on ilmoitettava, jos tekoälysi aiheuttaa laajan häiriön kriittiselle infrastruktuurille. Kuolemantapauksessa määräaika on kymmenen päivää, muissa vakavissa vaaratilanteissa viisitoista. Määräajat alkavat juosta siitä, kun yhteys järjestelmän ja tapahtuman välillä todetaan. Siksi ilmoitusprosessi on rakennettava valmiiksi ennen ensimmäistä vahinkoa: kuka päättää, kuka ilmoittaa, mille viranomaiselle ja millä tiedoilla.
Vakava vaaratilanne tarkoittaa tapahtumaa, jossa tekoälyjärjestelmä on suoraan tai välillisesti aiheuttanut tai voinut aiheuttaa kuoleman, vakavan terveyshaitan, vakavan ja peruuttamattoman häiriön kriittiselle infrastruktuurille tai perusoikeuksien loukkauksen. 73. artikla velvoittaa ilmoittamaan tällaisesta markkinavalvontaviranomaiselle.
Määräajat ovat lyhyet ja porrastetut sen mukaan, kuinka vakavasta tapauksesta on kyse. Ilmoitus on tehtävä heti, kun yhteys järjestelmän ja tapahtuman välillä on todettu: laajan infrastruktuurihäiriön kohdalla 2 päivän, kuolemantapauksessa 10 päivän ja muissa vakavissa tapauksissa viimeistään 15 päivän kuluessa. Tarjoajan on myös tutkittava tapaus ja tehtävä korjaavat toimet, ei pelkästään ilmoitettava siitä.
Vakavien vaaratilanteiden raportointi on artikla, jonka määräajat kannattaa tietää ulkoa, koska ne alkavat kulua ennen kuin ehdit selvittää, mitä tapahtui.
Yleinen määräaika on 15 päivää siitä, kun vaaratilanne tuli tietoosi, ei siitä kun syy-yhteys on varmistettu. Laajalle levinneessä rikkomuksessa tai kriittisen infrastruktuurin häiriössä aika on kaksi päivää. Jos vaaratilanteesta seurasi henkilön kuolema, aika on kymmenen päivää.
Art. 73(5) on se kohta, joka ratkaisee käytännön ongelman. Jos lopullista selvitystä ei ehditä tehdä määräajassa, on tehtävä osittainen alustava ilmoitus ja täydennettävä sitä myöhemmin. Määräajan ylittäminen ei siis ole vaihtoehto, mutta epätäydellinen ilmoitus on.
Ilmoitus tehdään sen jäsenvaltion markkinavalvontaviranomaiselle, jossa tilanne tapahtui, ei siihen maahan, jossa olet sijoittautunut. Monikansallisessa käytössä tämä tarkoittaa, että sinun on tiedettävä missä järjestelmääsi käytetään.
Rahoitussektorilla on oma koordinaationsa DORA-asetuksen kanssa, jotta samasta tapahtumasta ei tarvitse tehdä kahta erillistä ilmoitusta kahdelle viranomaiselle.
Yleisin virhe on odottaa varmuutta. Määräaika juoksee tietoon tulosta, ja osittainen ilmoitus on nimenomaisesti sallittu. Varmuuden odottaminen on siis kalliimpi tie kuin epätäydellinen ilmoitus ajoissa. Toinen yleinen virhe on jättää rakentamatta sisäinen havaintokanava. Jos vaaratilanteesta kertoo asiakas eikä oma seuranta (Art. 72), viisitoista päivää on jo kulunut osittain.
Ilmoitusprosessi rakennetaan valmiiksi ennen ensimmäistä vahinkoa: kuka päättää, kuka ilmoittaa, mille viranomaiselle.
Mitä laki vaatii, kohta kohdalta
Tunnista vakavat vaaratilanteet, ilmoita ne markkinavalvontaviranomaiselle määräajassa ja tutki juurisyy.
- §1Ilmoitusvelvoite markkinavalvontaviranomaiselle viipymättä vakavan vaaratilanteen havaitsemisen jälkeen
- §2Yleinen aikaraja: ilmoitus viimeistään 15 päivän kuluessa tietoon tulosta
- §3Laajalle levinnyt rikkomus tai kriittisen infrastruktuurin häiriö: 2 päivää
- §4Henkilön kuolema: 10 päivää
- §5Osittainen alustava ilmoitus, jos lopullisia tietoja ei vielä saatavilla – täydennetään myöhemmin
- §9Rahoitussektori: DORA-koordinaatio – ICT-vaaratilanteet DORA:n mukaisesti
- §10MDR/IVDR-laitteet: AI Act -raportointi rajoittuu Art. 3(49)(c) perusoikeusvaikutuksiin
Usein kysytyt kysymykset
pkai tuottaa tämän artiklan vaatimat asiakirjat (Markkinoille saattamisen jälkeinen seuranta) yrityksesi tiedoilla, noin 20 minuutissa.
Näytä artiklan sisältö tiivistettynä
Tarjoajan on ilmoitettava vakavista vaaratilanteista sen jäsenvaltion markkinavalvontaviranomaiselle, jossa tilanne tapahtui, viipymättä syy-yhteyden toteamisen jälkeen ja viimeistään 15 päivän kuluessa tietoon tulosta (Art. 73(2)). Laajalle levinneen rikkomuksen tai kriittisen infrastruktuurin häiriön osalta määräaika on 2 päivää (Art. 73(3)) ja kuolemantapauksessa 10 päivää (Art. 73(4)). Alustava ilmoitus voidaan tehdä puutteellisena ja täydentää myöhemmin (Art. 73(5)).
Tämä on artiklan sisältö tiivistettynä, ei sanatarkka lainaus. Sitova sanamuoto on EUR-Lexin virallisessa suomennoksessa, joka on linkitetty yllä.