Yeni Tüzüğün en belirgin yönü, dijital bir müdahalenin fiziksel bir kazaya yol açabileceğinin açıkça kabul edilmesidir.
Bir kontrol parametresinin yetkisiz biçimde değiştirilmesi, uzaktan erişimin kötüye kullanılması veya güvenlik yazılımının bozulması, yalnız bilgi işlem konusu değil aynı zamanda bir makine güvenliği problemidir.
Bu nedenle ağ bağlantısı, uzaktan servis, yazılım güncellemesi, USB erişimi, kullanıcı yetkileri ve güvenlikle ilgili parametrelerin korunması risk değerlendirmesinin parçası haline gelmelidir. Tüzük belirli sayıda “siber test”i şart koşmamakta, dijital müdahalenin tehlikeli duruma yol açmasını önleyecek güvenlik bütünlüğünün tasarlanmasını ve kanıtlanmasını istemektedir.
Makine öğrenmesi bakımından da her yapay zekâ kullanımı otomatik olarak yüksek riskli değerlendirilmemektedir. Kritik eşik, makine öğrenmesiyle tamamen veya kısmen kendi kendine evrilen davranışın bir güvenlik fonksiyonunu sağlamasıdır. Ek-I Bölüm A’da bu nitelikteki belirli güvenlik bileşenleri ve gömülü sistemler ayrıca sayılmıştır.
Örneğin, bir kamera yalnız kalite kusuru tespit ediyorsa, sırf yapay zekâ kullanıyor diye Ek-I Bölüm A sonucu doğmaz. Aynı kamera insanı algılayarak makinenin tehlikeli hareketini durduran güvenlik fonksiyonunun parçasıysa ve çalışma sırasında makine öğrenmesiyle davranışını değiştirebiliyorsa sınıflandırma farklılaşır.
Mevzuat dayanağı ve kaynak: Regulation (EU) 2023/1230, Ek I Bölüm A; Ek III 1.1.9 ve 1.2.1.