Reporting of serious incidents

1.   Providers of high-risk AI systems placed on the Union market shall report any serious incident to the market surveillance authorities of the Member States where that incident occurred.

2.   The report referred to in paragraph 1 shall be made immediately after the provider has established a causal link between the AI system and the serious incident or the reasonable likelihood of such a link, and, in any event, not later than 15 days after the provider or, where applicable, the deployer, becomes aware of the serious incident.

The period for the reporting referred to in the first subparagraph shall take account of the severity of the serious incident.

3.   Notwithstanding paragraph 2 of this Article, in the event of a widespread infringement or a serious incident as defined in Article 3, point (49)(b), the report referred to in paragraph 1 of this Article shall be provided immediately, and not later than two days after the provider or, where applicable, the deployer becomes aware of that incident.

4.   Notwithstanding paragraph 2, in the event of the death of a person, the report shall be provided immediately after the provider or the deployer has established, or as soon as it suspects, a causal relationship between the high-risk AI system and the serious incident, but not later than 10 days after the date on which the provider or, where applicable, the deployer becomes aware of the serious incident.

5.   Where necessary to ensure timely reporting, the provider or, where applicable, the deployer, may submit an initial report that is incomplete, followed by a complete report.

6.   Following the reporting of a serious incident pursuant to paragraph 1, the provider shall, without delay, perform the necessary investigations in relation to the serious incident and the AI system concerned. This shall include a risk assessment of the incident, and corrective action.

The provider shall cooperate with the competent authorities, and where relevant with the notified body concerned, during the investigations referred to in the first subparagraph, and shall not perform any investigation which involves altering the AI system concerned in a way which may affect any subsequent evaluation of the causes of the incident, prior to informing the competent authorities of such action.

7.   Upon receiving a notification related to a serious incident referred to in Article 3, point (49)(c), the relevant market surveillance authority shall inform the national public authorities or bodies referred to in Article 77(1). The Commission shall develop dedicated guidance to facilitate compliance with the obligations set out in paragraph 1 of this Article. That guidance shall be issued by 2 August 2025, and shall be assessed regularly.

8.   The market surveillance authority shall take appropriate measures, as provided for in Article 19 of Regulation (EU) 2019/1020, within seven days from the date it received the notification referred to in paragraph 1 of this Article, and shall follow the notification procedures as provided in that Regulation.

9.   For high-risk AI systems referred to in Annex III that are placed on the market or put into service by providers that are subject to Union legislative instruments laying down reporting obligations equivalent to those set out in this Regulation, the notification of serious incidents shall be limited to those referred to in Article 3, point (49)(c).

10.   For high-risk AI systems which are safety components of devices, or are themselves devices, covered by Regulations (EU) 2017/745 and (EU) 2017/746, the notification of serious incidents shall be limited to those referred to in Article 3, point (49)(c) of this Regulation, and shall be made to the national competent authority chosen for that purpose by the Member States where the incident occurred.

11.   National competent authorities shall immediately notify the Commission of any serious incident, whether or not they have taken action on it, in accordance with Article 20 of Regulation (EU) 2019/1020.

1.   Poskytovatelé vysoce rizikových systémů AI uváděných na trh Unie oznamují jakýkoli závažný incident orgánům dozoru nad trhem v členských státech, v nichž k tomuto incidentu došlo

2.   Oznámení uvedené v odstavci 1 musí být učiněno neprodleně poté, co poskytovatel zjistí příčinnou souvislost mezi daným systémem AI a daným závažným incidentem nebo přiměřenou pravděpodobnost této souvislosti, v každém případě však nejpozději do patnácti dnů poté, co se poskytovatel případně zavádějící subjekt o daném závažném incidentu dozvěděl.

Lhůta pro oznámení uvedená v prvním pododstavci zohlední závažnost závažného incidentu.

3.   Bez ohledu na odstavec 2 tohoto článku se v případě rozsáhlého porušení práva nebo závažného incidentu ve smyslu čl. 3 bodu 49 písm. b) podává oznámení uvedené v odstavci 1 tohoto článku okamžitě, nejpozději však do dvou dnů poté, co se poskytovatel nebo případně zavádějící subjekt o tomto incidentu dozvěděl.

4.   Bez ohledu na odstavec 2 se v případě úmrtí osoby podává oznámení ihned poté, co poskytovatel nebo zavádějící subjekt zjistí příčinnou souvislost mezi vysoce rizikovým systémem AI a závažným incidentem, nebo jakmile má podezření, že taková příčinná souvislost existuje, avšak nejpozději do 10 dnů ode dne, kdy se poskytovatel nebo případně zavádějící subjekt o závažném incidentu dozvěděl.

5.   Je-li to nezbytné k zajištění včasného ohlášení, může poskytovatel nebo případně zavádějící subjekt podat neúplné počáteční oznámení, po němž následuje oznámení úplné.

6.   Po ohlášení závažného incidentu podle odstavce 1 provede poskytovatel v souvislosti se závažným incidentem a dotčeným systémem AI bezodkladně nezbytná šetření. Ta zahrnují posouzení rizika incidentu a nápravná opatření.

Poskytovatel během šetření uvedených v prvním pododstavci spolupracuje s příslušnými orgány a případně s dotčeným oznámeným subjektem a neprovádí žádná šetření, při nichž je daný systém AI upravován způsobem, který může ovlivnit následné vyhodnocení příčin incidentu, dokud o takovém opatření neinformuje příslušné orgány.

7.   Po obdržení oznámení týkajícího se závažného incidentu uvedeného v čl. 3 bodu 49 písm. c) informuje příslušný orgán dozoru nad trhem vnitrostátní veřejné orgány nebo subjekty veřejného sektoru uvedené v čl. 77 odst. 1. Komise vypracuje zvláštní pokyny s cílem usnadnit plnění povinností stanovených v odstavci 1 tohoto článku. Tyto pokyny se vydají do 2. srpna 2025 a jsou pravidelně vyhodnocovány.

8.   Do sedmi dnů ode dne, kdy obdržel oznámení uvedené v odstavci 1 tohoto článku, přijme orgán dozoru nad trhem vhodná opatření stanovená v článku 19 nařízení (EU) 2019/1020 a řídí se oznamovacími postupy stanovenými v uvedeném nařízení.

9.   U vysoce rizikových systémů AI podle přílohy III, které jsou uvedeny na trh nebo do provozu poskytovateli, na něž se vztahují legislativní nástroje Unie, které stanovují oznamovací povinnosti rovnocenné povinnostem stanoveným v tomto nařízení, se oznamování závažných incidentů omezuje na incidenty uvedené v čl. 3 bod 49 písm. c).

10.   U vysoce rizikových systémů AI, které jsou bezpečnostními součástmi zařízení nebo jsou samy zařízeními, na něž se vztahují nařízení (EU) 2017/745 a (EU) 2017/746, se oznamování závažných incidentů omezuje na incidenty, které jsou uvedeny v čl. 3 bodě 49 písm. c) tohoto nařízení, a provádí se u příslušného vnitrostátního orgánu zvoleného pro tento účel členskými státy, v nichž k danému incidentu došlo.

11.   Příslušné vnitrostátní orgány každý závažný incident neprodleně oznámí Komisi v souladu s článkem 20 nařízení (EU) 2019/1020 bez ohledu na to, zda v souvislosti s ním přijaly opatření.