Oznamování závažných incidentů

1.  Poskytovatelé vysoce rizikových systémů AI uváděných na trh Unie oznamují jakýkoli závažný incident orgánům dozoru nad trhem v členských státech, v nichž k tomuto incidentu došlo

2.  Oznámení uvedené v odstavci 1 musí být učiněno neprodleně poté, co poskytovatel zjistí příčinnou souvislost mezi daným systémem AI a daným závažným incidentem nebo přiměřenou pravděpodobnost této souvislosti, v každém případě však nejpozději do patnácti dnů poté, co se poskytovatel případně zavádějící subjekt o daném závažném incidentu dozvěděl.

Lhůta pro oznámení uvedená v prvním pododstavci zohlední závažnost závažného incidentu.

3.  Bez ohledu na odstavec 2 tohoto článku se v případě rozsáhlého porušení práva nebo závažného incidentu ve smyslu čl. 3 bodu 49 písm. b) podává oznámení uvedené v odstavci 1 tohoto článku okamžitě, nejpozději však do dvou dnů poté, co se poskytovatel nebo případně zavádějící subjekt o tomto incidentu dozvěděl.

4.  Bez ohledu na odstavec 2 se v případě úmrtí osoby podává oznámení ihned poté, co poskytovatel nebo zavádějící subjekt zjistí příčinnou souvislost mezi vysoce rizikovým systémem AI a závažným incidentem, nebo jakmile má podezření, že taková příčinná souvislost existuje, avšak nejpozději do 10 dnů ode dne, kdy se poskytovatel nebo případně zavádějící subjekt o závažném incidentu dozvěděl.

5.  Je-li to nezbytné k zajištění včasného ohlášení, může poskytovatel nebo případně zavádějící subjekt podat neúplné počáteční oznámení, po němž následuje oznámení úplné.

6.  Po ohlášení závažného incidentu podle odstavce 1 provede poskytovatel v souvislosti se závažným incidentem a dotčeným systémem AI bezodkladně nezbytná šetření. Ta zahrnují posouzení rizika incidentu a nápravná opatření.

Poskytovatel během šetření uvedených v prvním pododstavci spolupracuje s příslušnými orgány a případně s dotčeným oznámeným subjektem a neprovádí žádná šetření, při nichž je daný systém AI upravován způsobem, který může ovlivnit následné vyhodnocení příčin incidentu, dokud o takovém opatření neinformuje příslušné orgány.

7.  Po obdržení oznámení týkajícího se závažného incidentu uvedeného v čl. 3 bodu 49 písm. c) informuje příslušný orgán dozoru nad trhem vnitrostátní veřejné orgány nebo subjekty veřejného sektoru uvedené v čl. 77 odst. 1. Komise vypracuje zvláštní pokyny s cílem usnadnit plnění povinností stanovených v odstavci 1 tohoto článku. Tyto pokyny se vydají do 2. srpna 2025 a jsou pravidelně vyhodnocovány.

8.  Do sedmi dnů ode dne, kdy obdržel oznámení uvedené v odstavci 1 tohoto článku, přijme orgán dozoru nad trhem vhodná opatření stanovená v článku 19 nařízení (EU) 2019/1020 a řídí se oznamovacími postupy stanovenými v uvedeném nařízení.

9.  U vysoce rizikových systémů AI podle přílohy III, které jsou uvedeny na trh nebo do provozu poskytovateli, na něž se vztahují legislativní nástroje Unie, které stanovují oznamovací povinnosti rovnocenné povinnostem stanoveným v tomto nařízení, se oznamování závažných incidentů omezuje na incidenty uvedené v čl. 3 bod 49 písm. c).

10.  U vysoce rizikových systémů AI, které jsou bezpečnostními součástmi zařízení nebo jsou samy zařízeními, na něž se vztahují nařízení (EU) 2017/745 a (EU) 2017/746, se oznamování závažných incidentů omezuje na incidenty, které jsou uvedeny v čl. 3 bodě 49 písm. c) tohoto nařízení, a provádí se u příslušného vnitrostátního orgánu zvoleného pro tento účel členskými státy, v nichž k danému incidentu došlo.

11.  Příslušné vnitrostátní orgány každý závažný incident neprodleně oznámí Komisi v souladu s článkem 20 nařízení (EU) 2019/1020 bez ohledu na to, zda v souvislosti s ním přijaly opatření.

1.  Les fournisseurs de systèmes d’IA à haut risque mis sur le marché de l’Union signalent tout incident grave aux autorités de surveillance du marché des États membres dans lesquels cet incident s’est produit.

2.  Le signalement visé au paragraphe 1 est effectué immédiatement après que le fournisseur a établi un lien de causalité, ou la probabilité raisonnable qu’un tel lien existe, entre le système d’IA et l’incident grave et, en tout état de cause, au plus tard 15 jours après que le fournisseur ou, le cas échéant, le déployeur a eu connaissance de l’incident grave.

Le délai pour le signalement visé au premier alinéa tient compte de l’ampleur de l’incident grave.

3.  Nonobstant le paragraphe 2 du présent article, en cas d’infraction de grande ampleur ou d’incident grave au sens de l’article 3, point 49), b), le signalement visé au paragraphe 1 du présent article est effectué immédiatement, et au plus tard deux jours après que le fournisseur ou, le cas échéant, le déployeur a eu connaissance de cet incident.

4.  Nonobstant le paragraphe 2, en cas de décès d’une personne, le signalement est effectué immédiatement après que le fournisseur ou le déployeur a établi un lien de causalité entre le système d’IA à haut risque et l’incident grave ou dès qu’il soupçonne un tel lien, mais au plus tard 10 jours après la date à laquelle le fournisseur ou, le cas échéant, le déployeur a eu connaissance de l’incident grave.

5.  Si cela est nécessaire pour assurer un signalement en temps utile, le fournisseur ou, le cas échéant, le déployeur peut soumettre un signalement initial incomplet, suivi d’un signalement complet.

6.  À la suite du signalement d’un incident grave en application du paragraphe 1, le fournisseur mène sans tarder les investigations nécessaires liées à l’incident grave et au système d’IA concerné. Ces investigations comprennent notamment une évaluation des risques résultant de l’incident, ainsi que des mesures correctives.

Le fournisseur coopère avec les autorités compétentes et, le cas échéant, avec l’organisme notifié concerné, au cours des investigations visées au premier alinéa, et ne mène aucune investigation nécessitant de modifier le système d’IA concerné d’une manière susceptible d’avoir une incidence sur toute évaluation ultérieure des causes de l’incident, avant d’informer les autorités compétentes de telles mesures.

7.  Dès réception d’une notification relative à un incident grave visé à l’article 3, point 49) c), l’autorité de surveillance du marché compétente informe les autorités ou organismes publics nationaux visés à l’article 77, paragraphe 1. La Commission élabore des orientations spécifiques pour faciliter le respect des obligations énoncées au paragraphe 1 du présent article. Ces orientations sont publiées au plus tard le 2 août 2025, et font l’objet d’une évaluation régulière.

8.  L’autorité de surveillance du marché prend les mesures qui s’imposent, conformément à l’article 19 du règlement (UE) 2019/1020, dans un délai de sept jours à compter de la date à laquelle elle a reçu la notification visée au paragraphe 1 du présent article, et suit les procédures de notification prévues par ledit règlement.

9.  Pour les systèmes d’IA à haut risque visés à l’annexe III qui sont mis sur le marché ou mis en service par des fournisseurs qui sont soumis à des instruments législatifs de l’Union établissant des obligations de signalement équivalentes à celles énoncées dans le présent règlement, la notification des incidents graves est limitée à ceux visés à l’article 3, point 49) c).

10.  Pour les systèmes d’IA à haut risque qui sont des composants de sécurité de dispositifs, ou qui sont eux-mêmes des dispositifs, relevant des règlements (UE) 2017/745 et (UE) 2017/746, la notification des incidents graves est limitée à ceux qui sont visés à l’article 3, point 49) c), du présent règlement, et est adressée à l’autorité nationale compétente choisie à cette fin par les États membres dans lesquels l’incident s’est produit.

11.  Les autorités nationales compétentes notifient immédiatement à la Commission tout incident grave, qu’elles aient ou non pris des mesures à cet égard, conformément à l’article 20 du règlement (UE) 2019/1020.