Ernstige incidenten met AI melden: wat eist AI Act art. 73?

Kort antwoord: Artikel 73 van de AI Act verplicht aanbieders van hoog-risico-AI-systemen om ernstige incidenten te melden aan de markttoezichtautoriteit van de lidstaat waar het incident plaatsvond. Dat moet onverwijld en uiterlijk binnen 15 dagen; bij overlijden of een wijdverspreide inbreuk gelden kortere termijnen van 2 tot 10 dagen.

Welke typen incidenten moeten AI-aanbieders melden?

AI-aanbieders moeten vier typen ernstige incidenten melden bij de autoriteiten. Artikel 3 van de AI Act definieert een "ernstig incident" als een incident of storing die direct of indirect leidt tot een van de volgende gevolgen:

• Overlijden of ernstige schade aan de gezondheid van een persoon.
• Ernstige en onomkeerbare verstoring van het beheer of de exploitatie van kritieke infrastructuur.
• Schending van verplichtingen uit het Unierecht die bedoeld zijn om grondrechten te beschermen.
• Ernstige schade aan eigendom of het milieu.

De koppeling met het AI-systeem hoeft niet bewezen zeker te zijn: een redelijk vermoeden van een oorzakelijk verband is voldoende om de meldplicht te activeren.

Wie moet melden, en wanneer?

De meldplicht ligt primair bij de aanbieder van het hoog-risico-systeem. In voorkomende gevallen kan ook de gebruiksverantwoordelijke een rol hebben: die moet de aanbieder informeren zodra hij een ernstig incident vaststelt.

De termijnen zijn gelaagd:

• Standaard: onverwijld melden, en in elk geval uiterlijk 15 dagen nadat de aanbieder kennis kreeg van het incident.
• Wijdverspreide inbreuk of dood van een persoon: uiterlijk 2 dagen (overlijden) tot 10 dagen (wijdverspreide inbreuk).
• Bij onvolledige informatie mag je eerst een eerste melding doen en die later aanvullen met een volledig rapport.

Samenhang met post-market monitoring

Artikel 73 staat niet op zichzelf. Artikel 72 verplicht aanbieders tot een systeem van post-market monitoring: het systematisch verzamelen en analyseren van prestatiegegevens nadat een systeem op de markt is. Dat monitoringsysteem is de bron die ernstige incidenten aan het licht brengt. Samen vormen art. 72 en 73 de lus tussen waarnemen, melden en bijsturen.

Wat je nu praktisch regelt

• Leg een meldproces vast: wie signaleert, wie beoordeelt of iets een ernstig incident is, en wie binnen de termijn meldt.
• Wijs de bevoegde autoriteit aan per lidstaat waar je systeem draait.
• Borg de keten met gebruiksverantwoordelijken, zodat incidenten in het veld tijdig bij jou terechtkomen.

Let op: de handhaving van de hoog-risico-verplichtingen wordt gefaseerd van kracht. Stem je interne planning af op de toepassingsdata uit de verordening.

Lees ook: De AI Act-tijdlijn van verplichtingen. Doe de scan.