Guia d'actors
subjectes al RIA

Garantir que el sistema d’IA compta amb el sistema de gestió de riscos contemplat a l’art. 9 RIA.

Garantir que el sistema compleix amb els requisits de governança de dades de l’art. 10 RIA.

Garantir que el sistema compta amb la documentació tècnica que es contempla a l’art. 11 RIA.

Garantir que el sistema pugui mantenir registres automàtics del seu funcionament tal com exigeix  l’art. 12 RIA, i conservar els registres quan aquests estiguin sota el seu control, d’acord amb l’art. 19 RIA.

Garantir que el sistema compleix amb els requisits de transparència i informació als desplegadors contemplats a l’art. 13 RIA.

Garantir que el sistema compleix amb els requisits de supervisió humana exigits per l’art. 14 RIA.

Garantir que el sistema compta amb els requisits de precisió, robustesa i seguretat contemplats a l’art. 15 RIA.

Informar en el sistema d’alt risc o la documentació que l’acompanya el seu nom, nom comercial registrat o marca registrada així com l’adreça a la qual es pot contactar amb ells.

Comptar amb un sistema de gestió de qualitat que compleixi amb els requisits de l’art. 17 RIA.

Conservar i mantenir a disposició de les autoritats nacionals competents la documentació enumerada a l’art. 18 RIA per un període de 10 anys des de la comercialització o posada en servei del sistema.

Garantir que, abans de la comercialització o posada en servei dels sistemes d’IA, aquest hagi estat sotmès a l’avaluació de conformitat que es preveu a l’art. 43 RIA.

Elaborar la declaració de responsabilitat que l’art. 47 RIA exigeix per a cada sistema d’alt risc, el qual haurà de ser llegible per màquina i haurà de mantenir a disposició de les autoritats competents per un període de 10 anys des de la comercialització i o posada en servei del sistema.

Col·locar el marcatge CE al sistema o, si això no és possible, al seu embalatge o a la documentació que l’acompanya, de conformitat amb l’art. 48 RIA.

En cas que es tracti d’un sistema dels enumerats a l’Annex III del Reglament (a excepció dels sistemes contemplar als punt 2 del mateix), haurà de registrar-se a la base de dades de la UE regulat a l’art. 71 RIA, d’acord amb l’art. 49 RIA.

Portar a terme les mesures correctives i d’informació contemplades a l’art. 20 RIA quan tingui sospites de que un sistema ja comercialitzat o posat en servei pugui incomplir alguna disposició del RIA.

Demostrar que el sistema compleix amb els requisits dels arts. 9 a 15 RIA quan una autoritat nacional competent ho sol·liciti de conformitat amb l’art. 21 RIA.

Garantir que el sistema d’IA d’alt risc compleix els requisits d’accessibilitat d’acord amb les Directives (UE) 2016/2102 i (UE) 2019/882.

Els proveïdors de sistemes que interactuïn directament amb persones físiques han de garantir que aquests estiguin dissenyats i desenvolupats de manera que les persones afectades estiguin informades que estan interactuant amb ell.

Els proveïdors de sistemes d’IA generativa han de garantir que els seus resultats estiguin marcats en un format llegible per màquina i detectables com a generats o manipulats artificialment.

Elaborar i mantenir actualitzada la documentació tècnica del model, incloent-hi el seu procés d’entrenament, testatge i els resultats de l’avaluació, i que contingui, com a mínim, la informació detallada a l’Annex XI RIA. Aquesta documentació ha de ser facilitada a l’Oficina Europea d’IA i les autoritats nacionals competents, quan ho sol·licitin.

Es presumirà la conformitat del sistema d’IA quan el proveïdor compleixi amb les normes harmonitzades europees, previstes a l’art. 40 RIA, aprovades, en la mesura en que tals normes regulen aquestes obligacions. Mentre no es publiquin normes harmonitzades, es podrà recórrer als codis de bones pràctiques aprovats. En cas contrari, caldrà demostrar el compliment a la Comissió a través de mitjans alternatius adequats.

A tals efectes, recomanem l’adhesió al Codi de bones pràctiques per a models de propòsit general de l’Oficina europea d’IA, especialment pel que fa al capítol sobre transparència.

Quan un altre proveïdor pretengui integrar el model de propòsit general al seu sistema, el proveïdor del model de propòsit general li haurà de lliurar documentació que contingui, com a mínim, els elements detallats a l’Annex XII RIA, així com facilitar-li informació que li permeti conèixer bé les capacitats i  les limitacions del model de propòsit general i complir les seves obligacions d’acord amb el RIA.

Establir una política per complir la legislació europea en matèria de drets d’autoria i drets afins i, en particular, per identificar una reserva de drets expressada de conformitat amb l’art. 4.3 de la Directiva (UE) 2019/790. A tals efectes, recomanem l’adhesió al Codi de bones pràctiques per a models de propòsit general de l’Oficina europea d’IA, en especial pel que fa al capítol sobre drets d’autoria.

Elaborar i posar a la disposició del públic un resum suficientment detallat sobre el contingut utilitzat per a l’entrenament del model portat a terme d’acord amb la plantilla elaborada per l’Oficina europea d’IA.

Cooperar amb la Comissió i les autoritats nacionals competents en l’exercici de les seves competències i facultats.

Avaluar el model de conformitat amb protocols i eines normalitzades que reflecteixin l’estat de la tècnica, inclosa la realització i la documentació de proves contradictòries per a identificar i mitigar els riscos sistèmics.

Avaluar i mitigar els possibles riscos sistèmics a escala de la Unió que puguin derivar-se del desenvolupament, comercialització o ús del sistema, incloses les seves fonts.

Portar un registre, documentar i comunicar sense demora a l’Oficina Europea d’IA i, si escau, a les autoritats nacionals competents, la informació pertinent sobre incidents greus i les possibles mesures correctives per fer-hi front.

Garantir un nivell de ciberseguretat adequat per al model i la seva infraestructura física.

Per a complir amb les obligacions contingudes a en aquest article, recomanem l’adhesió al Codi de bones pràctiques per a models de propòsit general de l’Oficina europea d’IA, i seguir les indicacions contingudes al capítol sobre seguretat i protecció, relatives a l’elaboració d’un marc de seguretat i protecció

Dur a terme les tasques especificades en el mandat rebut del proveïdor, del qual ha de proporcionar una còpia a les autoritats competents, prèvia sol·licitud, en anglès, francès o alemany, segons aquestes indiquin. El mandat haurà de facultar al representant autoritzat a portar a terme, com a mínim, les tasques que es mencionen en els següents requadres.

Verificar que s’ha elaborat la declaració de conformitat a la qual es refereix l’art. 47 RIA i la documentació tècnica a què es refereix l’art. 11 RIA, i que el proveïdor ha dut a terme un procediment d’avaluació de la conformitat adequat.

Conservar les dades de contacte del proveïdor, una còpia de la declaració UE de conformitat, la documentació tècnica i, si escau, el certificat expedit per l’organisme notificat a disposició de les autoritats competents durant un període de 10 anys després que el sistema s’hagi introduït al mercat o posat en servei.

Proporcionar a una autoritat competent, prèvia sol·licitud motivada, tota la informació i la documentació necessària per demostrar la conformitat d’un sistema d’IA d’alt risc amb el RIA, inclòs l’accés als registres automàtics previstos a l’art. 12 RIA si aquests estiguessin sota el control del proveïdor;

Cooperar amb les autoritats competents, prèvia sol·licitud motivada, en qualsevol acció que aquestes prenguin en relació amb el sistema, en particular per reduir i mitigar els riscos que plantegi.

Complir amb les obligacions de registre a què es refereix l’article 49.1 RIA o, si el registre el duu a terme el mateix proveïdor, garantir que la informació relativa al seu nom, adreça i detalls de contacte sigui correcta.

Rescindir el mandat si considera que el proveïdor actua de manera contrària a les seves obligacions en virtut del RIA. En aquest cas, ha d’informar immediatament l’autoritat de vigilància del mercat i l’organisme notificat pertinents.

Dur a terme les tasques especificades en el mandat rebut del proveïdor, del qual ha de proporcionar una còpia a les autoritats competents, prèvia sol·licitud, en la llengua oficial de les institucions de la UE que aquestes indiquin. El mandat haurà de facultar al representant autoritzat a portar a terme, com a mínim, les tasques que es mencionen en els següents requadres.

Comprovar que s’ha elaborat la documentació tècnica especificada a l’Annex XI i que el proveïdor ha complert totes les obligacions previstes a l’art. 53 i, en cas que es tracti d’un model de propòsit general de risc sistèmic, a l’art 55 RIA.

Conservar una còpia de la documentació tècnica esmentada a disposició de les autoritats nacionals competents i l’Oficina Europea d’IA durant un període de 10 anys a partir de la comercialització del model, així com les dades de contacte del proveïdor.

Facilitar a l’Oficina Europea d’IA, prèvia sol·licitud motivada, tota la informació i documentació necessària per demostrar el compliment del RIA.

Cooperar amb l’Oficina Europea d’IA i les autoritats competents, prèvia sol·licitud motivada, en qualsevol acció relacionada amb el model, fins i tot quan aquest s’integri en sistemes comercialitzats o posats en servei a la UE.

Posar fi al mandat si considera que el proveïdor actua de forma contrària a les seves obligacions. En aquest cas, també informarà immediatament a l’Oficina Europea d’AI de la terminació del mandat i dels motius de la mateixa.

Verificar que el proveïdor del sistema ha dut a terme el procediment d’avaluació de la conformitat pertinent d’acord amb l’art. 43 RIA.

Verificar que el proveïdor ha elaborat la documentació tècnica d’acord amb l’art. 11 i l’Annex IV RIA.

Verificar que el sistema porta el marcatge CE requerit i va acompanyat de la declaració UE de conformitat, en virtut de l’art. 47 RIA, i les instruccions d’ús.

Si escau, verificar que el proveïdor ha nomenat un representant autoritzat, d’acord amb l’art. 22.1 RIA.

Quan tingui motius suficients per considerar que un sistema no és conforme amb el RIA, o està falsificat o va acompanyat de documentació falsificada, no l’ha de comercialitzar fins que no s’hagi posat en conformitat.

Informar al proveïdor del sistema, al representant autoritzat i a les autoritats de vigilància del mercat quan el sistema pugui presentar un risc per a salut, la seguretat o els drets fonamentals, d’acord amb l’art. 79.1 RIA.

Indicar el seu nom, nom comercial registrat o marca registrada i l’adreça de contacte al sistema i al seu embalatge o a la documentació que l’acompanya.

Garantir que, mentre un sistema estigui sota la seva responsabilitat, les condicions d’emmagatzematge o transport no posin en perill el seu compliment legal.

Conservar una còpia del certificat expedit per l’organisme notificat, si escau, de les instruccions d’ús i de la declaració UE de conformitat prevista a l’art. 47 RIA, durant un període de 10 anys des de que el sistema s’hagi introduït al mercat o posat en servei.

Proporcionar a les autoritats competents, prèvia sol·licitud motivada, tota la informació i la documentació necessàries per demostrar la conformitat d’un sistema amb el RIA.

Cooperar amb les autoritats competents en qualsevol acció que aquestes adoptin en relació amb un sistema que hagin introduït al mercat, en particular per reduir i mitigar els riscos que aquest plantegi.

Verificar que el sistema porta el marcatge CE requerit, va acompanyat de la declaració UE de conformitat, en virtut de l’art. 47 RIA, així com les instruccions d’ús, i que el proveïdor i l’importador compleixen amb les seves obligacions, abans de la seva comercialització.

Garantir que mentre un sistema estigui sota la seva responsabilitat les condicions d’emmagatzematge o transport no posin en perill el compliment del RIA.

Adoptar les mesures correctores necessàries, quan consideri que un sistema que ha posat a disposició del mercat no és conforme amb els requisits del RIA, per corregir la falta de conformitat, retirar-lo o recuperar-lo, o d’assegurar que altres operadors prenguin aquestes mesures.

Informar immediatament al proveïdor o l’importador del sistema, així com a les autoritats competents, quan el sistema pugui presentar un risc per a salut, la seguretat o els drets fonamentals, d’acord amb l’art. 79.1 RIA.

Proporcionar a les autoritats competents, prèvia sol·licitud motivada, tota la informació i la documentació relatives a les seves accions necessàries per demostrar la conformitat del sistema amb el RIA.

Cooperar amb les autoritats competents en qualsevol acció que adoptin en relació amb un sistema que hagin posat a disposició del mercat, en particular per reduir o mitigar el risc que aquest pugui plantejar.

Adoptar les mesures tècniques i organitzatives adequades per garantir que utilitzen els sistemes d’acord amb les instruccions d’ús que els acompanyen.

Assignar la supervisió humana a persones físiques que tinguin la competència, la formació i l’autoritat necessàries, i donar-los el suport necessari.

Assegurar que les dades d’entrada siguin rellevants i prou representatives tenint en compte la finalitat prevista del sistema, en la mesura que exerceixi control sobre les dades d’entrada.

Supervisar el funcionament del sistema sobre la base de les instruccions d’ús i, si escau, informar als proveïdors tal com es preveu a l’art. 72.2 RIA.

Informar immediatament al proveïdor o distribuïdor, així com a l’autoritat de vigilància del mercat pertinent, i suspendre l’ús d’un sistema quan aquest, tot i seguir les instruccions d’ús, pugui presentar un risc per a salut, la seguretat o els drets fonamentals, en el termes previstos a l’art. 79.1 RIA.

Informar immediatament, primer el proveïdor i, després, a l’importador o distribuïdor i les autoritats de vigilància del mercat pertinents, quan identifiqui un incident greu. Si no pot contactar amb el proveïdor, haurà de complir amb l’obligació de notificació d’incidents greus que l’art. 73 RIA imposa als proveïdors.

En cas que el desplegador sigui una institució financera, aquesta obligació es portarà a terme complint amb les normes sobre disposicions, processos i mecanismes de governança interna d’acord amb la legislació de serveis financers pertinent.

Conservar els registres generats automàticament pel sistema en la mesura que aquests registres estiguin sota el seu control, durant un període adequat a la finalitat prevista del sistema que serà, d’almenys, 6 mesos, tret que existeixi una norma legal que indiqui una altra cosa.

En cas que el desplegador sigui una institució financera, haurà de mentir els registres com a part de la documentació mantinguda d’acord amb la legislació de serveis financers de la Unió.

Abans de posar en servei o utilitzar un sistema al lloc de treball, els desplegadors que són ocupadors han d’informar als representants dels treballadors i als treballadors afectats pel seu ús, seguint les normes existents en matèria d’informació dels treballadors i els seus representants.

Els desplegadors que siguin autoritats públiques han de complir les obligacions de registre recollides a l‘art 49 RIA. Quan trobin que el sistema que pretenen utilitzar no s’ha registrat a la base de dades de la UE prevista a l’art 71 RIA, no l’utilitzaran i n’hi informaran al proveïdor o al distribuïdor.

Utilitzar la informació que els ha estat facilitada en virtut de l’art. 13 RIA

(sobre la transparència i la informació als desplegadors), per a dur a terme una avaluació d’impacte sobre la protecció de dades quan aquesta els sigui obligatòria en virtut de l’art. 35 del Reglament 2016/679 (general de protecció de dades) o de l’art. 27 de la Directiva (UE) 2016/680.

Els desplegadors de sistemes d’identificació biomètrica remota en diferit hauran de complir amb els requisits establerts a l’art. 26.10 RIA, així com amb les restriccions previstes al Reglament (UE) 2016/679 i la Directiva (UE) 2016/680 que siguin aplicables.

Informar a les persones subjectes a l’ús d’un sistema d’alt risc dels recollits a l’Annex III RIA quan aquest prengui o ajudi a prendre decisions relacionades amb persones físiques.

Cooperar amb les autoritats competents pertinents en qualsevol acció que aquestes prenguin en relació amb el sistema per tal d’aplicar el RIA.

El desplegador d’un sistema de reconeixement d’emocions o categorització biomètrica ha d’informar a les persones físiques exposades al mateix, i tractar les seves dades personals d’acord amb els Reglaments (UE) 2016/679 i (UE) 2018/1725 i la Directiva (UE) 2016/680.

El desplegador d’un sistema que generi o manipuli contingut d’imatge, àudio o vídeo que constitueixi un deepfake, ha de revelar que el contingut ha estat generat o manipulat artificialment.

El desplegador d’un sistema que genera o manipula text publicat amb la finalitat d’informar sobre qüestions d’interès públic ha de revelar que el text ha estat generat o manipulat artificialment, excepte quan el contingut generat hagi estat sotmès a un procés de revisió humana o control editorial i una persona física o jurídica tingui la responsabilitat de la seva publicació.

La informació descrita en els dos punts anteriors ha de ser facilitada de manera clara i distingible, com a molt tard en el moment de la primera exposició, i ajustant-se als requisits d’accessibilitat aplicables.

Qualsevol actor serà considerat proveïdor a efectes del RIA, i quedarà subjecte a les obligacions que preveu l’art. 16 RIA, si, en relació amb un sistema ja introduït en el mercat o posat en servei:

1. Posa el seu nom o marca en un sistema d’alt risc, sense perjudici dels acords contractuals que estipulin que les obligacions s’assignen d’una altra manera;
2. Fa una modificació substancial en un sistema d’alt risc, sempre que aquest continuï sent un sistema d’alt risc d’acord amb l’art.6 RIA; o

Modifica la finalitat prevista d’un sistema, inclòs un sistema que hagués estat classificat com a d’alt risc, de manera que el sistema en qüestió esdevingui un sistema d’alt risc d’acord amb l’art. 6 RIA.

En el casos descrits, el proveïdor que inicialment va comercialitzar o posar en servei el sistema deixarà de ser considerat proveïdor d’aquest sistema específic. L’antic proveïdor cooperarà estretament amb els nous i posarà a disposició la informació i altres assistències necessàries per al compliment de les obligacions exigides pel RIA.

No obstant, quedarà exempt d’aquesta obligació si va especificar  clarament que el seu sistema no s’ha de convertir en un sistema d’alt risc.

Es considerarà proveïdor d’un sistema d’IA d’alt risc, quedant subjecte a les obligacions contingudes a l’art. 16 RIA, al proveïdor d’un producte dels coberts per les normes enumerades a l’Annex I RIA al qual se li ha incorporat un sistema d’IA com a component de seguretat, si:

• (a) El sistema es posa al mercat juntament amb el producte amb el nom o la marca comercial del fabricant del producte; o
• (b) El sistema es posa en servei amb el nom o la marca comercial del fabricant del producte després que aquest s’hagi posat al mercat.

El proveïdor d’un sistema d’alt risc i el tercer que subministra altres sistemes, eines, components o processos d’IA que s’integrin en el sistema d’alt risc han d’especificar, mitjançant un acord escrit, la informació altres assistències necessàries per tal de permetre al proveïdor del sistema d’alt risc complir plenament les obligacions que el RIA li imposa.

Aquesta obligació no operarà si aquestes altres eines s’han fet accessibles al públic sota una llicència lliure i de codi obert, excepte si es tracten de models de propòsit general.