NORME din 4 decembrie 2024

Notă Aprobate prin ORDINUL nr. 200 din 4 decembrie 2024 , publicat în Monitorul Oficial al României, Partea I, nr. 1308 din 23 decembrie 2024.

Capitolul I — Domeniu, scop, definiții ↑ Contents

Secțiunea 1 — Domeniu și scop

Articolul 1

(1) Prin prezentele norme se stabilesc cerințele generale privind utilizarea inteligenței artificiale în aplicațiile destinate instalațiilor nucleare.

(2) Îndeplinirea prevederilor prezentelor norme constituie o condiție necesară pentru aprobarea de către Comisia Națională pentru Controlul Activităților Nucleare, denumită în continuare CNCAN, a utilizării inteligenței artificiale în aplicațiile destinate instalațiilor nucleare, ca suport pentru activitățile de proiectare, amplasare, construcție și montaj, punere în funcțiune, exploatare, respectiv dezafectare a unei instalații nucleare.

(3) Prevederile prezentelor norme se aplică atât titularilor, cât și solicitanților de autorizație pentru fazele de proiectare, amplasare, construcție și montaj, punere în funcțiune, exploatare și dezafectare ale unei instalații nucleare.

Articolul 2

(1) Prezentele norme se aplică tuturor instalațiilor nucleare și tuturor activităților aferente acestora.

(2) Prevederile prezentelor norme se aplică utilizării inteligenței artificiale în aplicațiile destinate instalațiilor nucleare, ca suport pentru activitățile de proiectare, amplasare, construcție și montaj, punere în funcțiune, exploatare, respectiv dezafectare a unei instalații nucleare, care pot avea impact asupra:

a) securității nucleare;

b) securității radiologice;

c) protecției fizice;

d) controlului de garanții nucleare;

e) protecției împotriva amenințărilor cibernetice pentru sistemele, echipamentele și componentele cu funcții de securitate nucleară, securitate radiologică, protecție fizică, garanții nucleare și răspuns la situații de urgență, precum și pentru cele cu funcții în exploatarea fiabilă a instalației nucleare;

f) pregătirii și răspunsului pentru situații de urgență;

g) managementului calității;

h) pregătirii și calificării personalului;

i) planificării și alocării resurselor pentru activitățile de la lit. a)-h);

j) proceselor decizionale privind activitățile de la lit. a)-i).

(3) Prevederile prezentelor norme se aplică atât activităților desfășurate de titularii de autorizații pentru instalațiile nucleare, cât și activităților desfășurate de organizații externe în beneficiul titularilor de autorizații.

Secțiunea a 2-a — Definiții

Articolul 3

(1) Inteligența artificială reprezintă un sistem bazat pe o mașină, care este conceput să funcționeze cu diferite niveluri de autonomie, care poate prezenta adaptabilitate după implementare și care, urmărind obiective explicite sau implicite, deduce, din datele de intrare pe care le primește, modul de generare a unor rezultate precum previziuni, conținut, recomandări sau decizii care pot influența mediile fizice sau virtuale.

(2) Abrevierea IA se utilizează pentru a face referire în mod generic la inteligența artificială.

(3) Aplicație bazată pe IA reprezintă o aplicație bazată pe un program de inteligență artificială.

Capitolul II — Cerințe ↑ Contents

Secțiunea 1 — Cerințe generale privind utilizarea inteligenței artificiale în aplicațiile destinate instalațiilor nucleare

Articolul 4

(1) Titularul de autorizație trebuie să informeze CNCAN despre intenția de a utiliza orice aplicație bazată pe IA, destinată instalațiilor nucleare, înainte de implementare. Utilizarea aplicațiilor bazate pe IA în instalațiile nucleare și pentru activitățile aferente acestora trebuie supusă aprobării CNCAN; această cerință se aplică atât pentru aplicațiile bazate pe IA utilizate direct de titularul de autorizație, cât și pentru utilizarea serviciilor contractate care includ aplicații bazate pe IA.

(2) Titularul de autorizație trebuie să stabilească lista și să mențină actualizat inventarul tuturor aplicațiilor care utilizează IA, identificate conform prevederilor din art. 2.

(3) Utilizarea IA în aplicațiile destinate instalațiilor nucleare este permisă doar în condițiile în care se asigură verificarea, monitorizarea și controlul acestor aplicații de către specialiști umani.

Articolul 5

(1) Utilizarea aplicațiilor bazate pe IA în instalațiile nucleare și pentru activitățile aferente acestora trebuie integrată în sistemul de management al titularului de autorizație, care trebuie să demonstreze că a implementat un proces riguros pentru verificarea, validarea, testarea, supravegherea și controlul acestor aplicații.

(2) Titularul de autorizație trebuie să elaboreze proceduri și să asigure mijloacele tehnice și administrative necesare, inclusiv stații tehnice, echipamente și programe software adecvate pentru verificarea, validarea, testarea, supravegherea și controlul aplicațiilor bazate pe IA destinate utilizării în instalațiile nucleare și în activitățile aferente acestora, la nivelul celor mai noi standarde și bune practici recunoscute la nivel internațional, aplicabile în domeniul nuclear.

Articolul 6

(1) Titularul de autorizație trebuie să asigure, în cadrul organizației proprii, suficient personal pregătit și calificat pentru verificarea, validarea, testarea, supravegherea și controlul aplicațiilor care utilizează IA, identificate conform prevederilor din art. 2.

(2) Personalul responsabil pentru verificarea, validarea, testarea, supravegherea și controlul aplicațiilor care utilizează IA trebuie să aibă competențele necesare pentru a înțelege atât proiectul și funcționarea instalației nucleare, cât și modul în care au fost dezvoltate și funcționează aplicațiile bazate pe inteligența artificială. Aceste competențe trebuie definite în cadrul proceselor sistemului de management și trebuie bazate pe o analiză sistematică a sarcinilor și a necesităților de pregătire și calificare.

(3) Personalul responsabil pentru verificarea, validarea, testarea, supravegherea și controlul aplicațiilor bazate pe IA trebuie să înțeleagă capacitățile și limitările relevante ale acestor aplicații și să monitorizeze în mod corespunzător funcționarea acestora, inclusiv în vederea depistării și abordării anomaliilor, disfuncționalităților și performanțelor neașteptate.

(4) Toate produsele aplicațiilor bazate pe IA, inclusiv previziunile, conținutul, recomandările, deciziile, rapoartele, documentele, înregistrările rezultate din utilizarea acestor aplicații trebuie identificate în mod explicit ca fiind generate de IA sau cu ajutorul IA, după caz, și trebuie verificate, validate, testate și aprobate de specialiștii umani, inclusiv de personalul de conducere responsabil pentru procesele în care se utilizează aplicații bazate pe IA din cadrul organizației proprii a titularului de autorizație, înainte de implementare în activități care intră în scopul celor prevăzute la art. 2.

(5) Se recomandă ca personalul responsabil pentru aprobarea produselor aplicațiilor bazate pe IA să aibă cel puțin 10 ani de experiență în activitățile tehnice specifice de proiectare, amplasare, construcție și montaj, punere în funcțiune, exploatare, respectiv dezafectare a unei instalații nucleare, în domeniile de expertiză prevăzute la art. 2, după caz. Pentru fiecare aplicație bazată pe IA trebuie identificați specialiștii, din cadrul organizației proprii a titularului de autorizație, responsabili pentru verificarea, validarea, testarea și aprobarea rezultatelor aplicației în vederea utilizării. Aceste informații fac parte din documentația care trebuie transmisă la CNCAN în vederea aprobării utilizării aplicațiilor bazate pe IA.

(6) Verificarea, validarea și testarea aplicațiilor bazate pe IA trebuie efectuată și documentată de personal care deține calificările, expertiza și experiența necesare și care nu a fost implicat în dezvoltarea aplicațiilor respective.

(7) Verificarea, validarea și testarea aplicațiilor bazate pe IA trebuie să includă cel puțin următoarele:

a) verificarea și validarea datelor utilizate în procesele de IA;

b) testarea funcționalității aplicațiilor într-o varietate de condiții și scenarii relevante pentru domeniul de utilizare;

c) asigurarea că aplicațiile bazate pe IA nu interferează cu sistemele instalațiilor nucleare care au funcții de securitate nucleară, securitate radiologică, protecție fizică, control de garanții nucleare, securitate cibernetică sau rol în răspunsul la situații de urgență.

Articolul 7

(1) Aplicațiile bazate pe IA destinate instalațiilor nucleare trebuie să utilizeze:

a) date specifice pentru tehnologia, proiectul, amplasamentul și exploatarea instalațiilor nucleare respective;

b) date generice aplicabile proiectului instalațiilor nucleare, în măsura în care acestea nu diferă semnificativ de proiectul actual al instalațiilor, așa cum sunt construite, puse în funcțiune și exploatate;

c) standardele și codurile tehnice relevante și compatibile;

d) legislația aplicabilă instalațiilor nucleare și activităților aferente;

e) procesele și procedurile sistemului de management al titularului de autorizație.

(2) Datele utilizate pentru antrenarea și operarea aplicațiilor bazate pe IA trebuie să fie precise, relevante și protejate împotriva accesului neautorizat.

(3) Datele prevăzute la alin. (1) și (2) includ următoarele categorii de date:

a) datele de antrenament, utilizate pentru antrenarea unui sistem de IA prin adaptarea parametrilor săi care pot fi învățați;

b) date de validare, utilizate pentru a furniza o evaluare a sistemului de IA antrenat și pentru a-i ajusta parametrii care nu pot fi învățați și procesul său de învățare, printre altele, pentru a preveni subadaptarea sau supraadaptarea;

c) datele de testare, utilizate pentru a furniza o evaluare independentă a sistemului de IA, în scopul de a confirma performanța preconizată a sistemului respectiv înainte de punerea sa în funcțiune.

(4) Titularul de autorizație trebuie să demonstreze că fiecare aplicație bazată pe IA a fost pregătită și antrenată astfel încât să acorde prioritate securității nucleare în toate recomandările, deciziile, activitățile, previziunile, produsele și rezultatele generate.

(5) Pentru fiecare aplicație bazată pe IA, titularul de autorizație trebuie să demonstreze că aceasta se utilizează exclusiv în domeniul și limitele pentru care a fost antrenată, verificată, validată și testată; de asemenea, trebuie să demonstreze cum se asigură gestionarea riscurilor, calitatea și relevanța seturilor de date utilizate, elaborarea și actualizarea documentației tehnice și păstrarea înregistrărilor, transparența și furnizarea de informații către implementatori, supravegherea umană, robustețea, acuratețea și securitatea cibernetică.

Articolul 8

Titularul de autorizație trebuie să își stabilească politicile, principiile și cerințele privind scopul, domeniul, amploarea și gradul de detaliu ale verificării, validării, testării și supravegherii aplicațiilor bazate pe IA, care să reflecte o abordare gradată, luând în considerare următorii factori:

a) specificul și complexitatea instalației nucleare;

b) importanța aplicației bazate pe IA, ținând cont de activitățile pentru care se intenționează utilizarea acesteia și impactul asupra domeniilor prevăzute la art. 2;

c) complexitatea aplicației;

d) riscurile asociate funcționării defectuoase sau utilizării greșite a aplicației;

e) experiența de utilizare, respectiv noutatea și unicitatea aplicației.

Articolul 9

(1) Pentru fiecare aplicație bazată pe IA, titularul de autorizație trebuie să includă în documentația aferentă, specifică instalației nucleare respective, elaborată în conformitate cu cerințele din normele în vigoare și cu prevederile din sistemul de management al titularului de autorizație, care trebuie transmisă la CNCAN pentru aprobare, cel puțin următoarele informații, după caz:

a) obiectivul, scopul și domeniul de utilizare, sarcinile specifice, precum și caracteristicile, capabilitățile și limitările performanței aplicației;

b) politicile de utilizare acceptabile aplicabile și modul în care aplicația interacționează sau poate fi utilizată pentru a interacționa cu sisteme hardware sau software, inclusiv cu alte sisteme de IA care nu fac parte din aplicația de IA în sine, după caz;

c) standardele, ghidurile și specificațiile conform cărora a fost elaborată aplicația;

d) proiectarea, arhitectura, logica de funcționare, modelele, relevanța diverșilor parametri, metodologiile și tehnicile de antrenare și programele software de IA utilizate;

e) metodele și etapele parcurse pentru dezvoltarea aplicației, inclusiv, dacă este cazul, recurgerea la sisteme sau instrumente preantrenate furnizate de terți și modul în care acestea au fost utilizate, integrate sau modificate;

f) informații privind datele generale utilizate pentru antrenare, testare și validare, după caz, inclusiv tipul și proveniența datelor și metodologiile de organizare, numărul de puncte de date, domeniul de aplicare și principalele caracteristici ale acestora; modul în care au fost obținute și selectate datele, precum și toate celelalte măsuri de detectare a caracterului inadecvat al surselor de date și metode de detectare a prejudecăților identificabile, după caz;

g) sursele de date specifice folosite în pregătirea și antrenarea aplicației în vederea utilizării în instalații nucleare și rapoartele privind evaluarea acestora din punctul de vedere al relevanței și aplicabilității; pentru aplicațiile destinate activităților de natură tehnică, sursele de date includ experimentele, testele, specificațiile și manualele de proiectare, documentele, specificațiile și desenele tehnice care descriu proiectul instalației nucleare, așa cum a fost construită și pusă în funcțiune, studiile, analizele și activitățile de monitorizare privind parametrii relevanți pentru amplasamentul instalației nucleare, limitele și condițiile tehnice de operare, analizele, evaluările și rapoartele de securitate nucleară, manualele și procedurile de operare, testare, întreținere și inspecție, standardele, normele și procedurile tehnice aplicabile, precum și orice alte documente tehnice relevante pentru proiectul, amplasamentul și operarea instalației nucleare respective și a sistemelor, structurilor, componentelor și echipamentelor aferente acesteia;

h) instrucțiunile utilizate în dezvoltarea și antrenarea aplicației, care determină comportamentul și rezultatele acesteia; în particular, se va demonstra modul în care aplicația a fost antrenată, verificată, validată și testată pentru a acorda prioritate securității nucleare în toate recomandările, deciziile, activitățile, previziunile, produsele și rezultatele generate și pentru a respecta legislația, condițiile de autorizare și procedurile aplicabile;

i) o descriere a interfeței cu utilizatorul și a instrucțiunilor de utilizare;

j) criteriile de verificare, validare și testare, precum și rapoartele care atestă verificarea, validarea și testarea aplicației pentru utilizările avute în vedere;

k) măsurile tehnice și administrative prin care se asigură securitatea cibernetică a aplicației;

l) evaluarea riscurilor asociate utilizării aplicației și măsurile tehnice și administrative implementate pentru a elimina sau pentru a reduce la minimum riscurile identificate;

m) justificarea necesității utilizării aplicației bazate pe IA, prin care să se demonstreze că beneficiile așteptate în urma utilizării aplicației depășesc riscurile evaluate;

n) necesitățile și programele de pregătire și calificare pentru personalul care va utiliza aplicația;

o) instrumentele de interfață om-mașină care permit supravegherea aplicației de către persoanele fizice în perioada în care este utilizată; măsurile de supraveghere trebuie să fie proporționale cu riscurile specifice, cu nivelul de autonomie și cu contextul utilizării;

p) experiența anterioară de utilizare în instalații nucleare și activități similare și orice verificări, validări, testări, evaluări de conformitate, certificări și autorizări realizate sau obținute la nivel internațional;

q) managementul calității implementat la dezvoltarea, verificarea, validarea, testarea, supravegherea și controlul utilizării aplicației.

(2) Documentația prevăzută la alin. (1) trebuie să demonstreze cum îndeplinesc aplicațiile bazate pe IA cerințele privind siguranța, utilitatea, relevanța, transparența și fiabilitatea.

(3) Toate aplicațiile bazate pe IA utilizate se vor documenta, se vor revizui, se vor actualiza, după caz, și se vor menține sub controlul titularului de autorizație pe toată durata de viață a instalației nucleare, în conformitate cu prevederile din normele CNCAN în vigoare.

Articolul 10

(1) Utilizarea tuturor aplicațiilor bazate pe IA trebuie să fie transparentă, documentată și trasabilă. Toate rezultatele generate de IA trebuie să fie documentate/ înregistrate pentru a permite o verificare ulterioară în cadrul activităților de audit, evaluare independentă, respectiv în cadrul activităților de control efectuate de CNCAN.

(2) Aplicațiile bazate pe IA trebuie să urmeze un proces definit de management al ciclului de viață, incluzând monitorizarea regulată, actualizările și reantrenarea pentru a menține performanța și siguranța în utilizare.

(3) Modificările și actualizările aplicațiilor bazate pe IA trebuie evaluate, verificate, validate, testate și aprobate înainte de utilizare și trebuie documentate corespunzător pentru a permite trasabilitatea.

(4) Titularul de autorizație trebuie să pună la dispoziția CNCAN rapoarte periodice privind performanța și modificările aduse aplicațiilor IA, inclusiv actualizările algoritmilor și revizuirile datelor.

Articolul 11

(1) Aplicațiile bazate pe IA trebuie să fie protejate împotriva amenințărilor cibernetice. Aceasta include implementarea controalelor de securitate conform legislației în vigoare.

(2) Orice incident de securitate cibernetică legat de aplicațiile IA trebuie raportat la CNCAN, cu detalii privind natura incidentului, impactul potențial și măsurile corective adoptate.

(3) De asemenea, trebuie raportat la CNCAN orice incident care decurge din utilizarea aplicațiilor bazate pe IA și care conduce sau contribuie la un eveniment raportabil conform criteriilor din normele și condițiile de autorizare în vigoare.

Capitolul III — Dispoziții tranzitorii și finale ↑ Contents

Articolul 12

(1) În termen de 1 an de la intrarea în vigoare a prezentelor norme, titularii de autorizație pentru instalațiile nucleare aflate în faza de exploatare trebuie să transmită la CNCAN, spre evaluare, un raport care să prezinte analiza conformității cu cerințele prezentelor norme și un plan cu acțiunile întreprinse pentru implementarea integrală a cerințelor.

(2) Orice solicitare de exceptare de la orice prevedere din prezentele norme trebuie justificată din punct de vedere tehnic și trebuie supusă aprobării CNCAN.

------