Член 22 — Упълномощени представители на доставчици, установени извън Съюза (Закон за ИИ на ЕС)

Член 22 от Регламент (ЕС) 2024/1689 — Упълномощени представители на доставчици, установени извън Съюза. Официален текст, практическо тълкуване, ключови задължения и последици за съответствието.

Резюме на официалния текст

Член 22 от Регламент (ЕС) 2024/1689 установява задължителен механизъм за достъп за доставчиците на системи с висок риск за ИИ и модели с общо предназначение за ИИ, установени в трети страни, но пускащи тези системи или модели на пазара на Съюза или въвеждащи ги в експлоатация в Съюза.

Такива доставчици трябва, преди да предоставят своята система за ИИ или модел GPAI в ЕС, да определят — чрез писмен мандат — упълномощен представител, установен в Съюза. Мандатът трябва да упълномощи представителя да изпълнява определен набор от задачи от името на доставчика: проверка дали ЕС декларацията за съответствие и изискваната техническа документация са надлежно изготвени; гарантиране на регистрацията в базата данни на ЕС, посочена в член 71; и действие като единна идентифицируема точка за контакт с Офиса за ИИ и с националните компетентни органи по всички въпроси, свързани със съответствието с Регламента.

Упълномощеният представител трябва да бъде включен в задължителната информация за регистрация и трябва да има достъп до достатъчна документация, за да може да изпълнява задълженията си. Представителят действа при продължаващо задължение да си сътрудничи с компетентните органи и да предупреждава незабавно доставчика за всеки установен риск или несъответствие. Важно е, че назначаването на упълномощен представител не освобождава доставчика от трета страна от собствените му задължения по Регламента; двете страни носят отделни отговорности, като отговорността на представителя произтича конкретно от задачите, приписани в мандата.

Практически смисъл

Член 22 функционира като еквивалент по Закона за ИИ на ЕС на концепциите за „отговорно лице" или „упълномощен представител", вече познати от законодателството за безопасност на продуктите, като Регламента за медицинските изделия и Регламента за обща безопасност на продуктите. Практическият му ефект е да гарантира, че юридически идентифицируем субект с физическо присъствие в ЕС е винаги достъпен за регулаторите, независимо от местонахождението на централата на разработчика на системата за ИИ.

Кого засяга. Всяка компания извън ЕС — независимо дали е базиран в САЩ разработчик на фундаментален модел, сингапурска фирма за роботизиран софтуер или базиран в Обединеното кралство доставчик на HR технологии — която предлага система с висок риск за ИИ или модел GPAI на клиенти, ползватели или потребители в ЕС, трябва да въведе тази структура. Това включва компании, разпространяващи чрез реселъри в ЕС или облачни пазари: задължението е обвързано с доставчика, а не с канала за разпространение.

Какво трябва да се направи. Доставчикът трябва да идентифицира физическо или юридическо лице, намиращо се в държава членка на ЕС, да сключи писмен мандат, определящ упълномощените задачи на представителя, да гарантира, че представителят притежава копия или защитен достъп до съответната техническа документация и декларации за съответствие, и да регистрира данните на представителя в базата данни на ЕС по член 71.

Конкретен пример. Канадска компания, разработваща инструмент за оценка на кредитоспособността с помощта на ИИ, класифициран като висок риск по Annex III, трябва да сключи договор с адвокатска кантора, консултантска фирма за съответствие или специализирано дъщерно дружество в ЕС като свой упълномощен представител, преди да приеме каквато и да е банка от ЕС като клиент. Наименованието, адресът и данните за контакт на представителя се появяват в базата данни на ЕС и в продуктовата документация, осигурявайки на французките или германските органи за пазарен надзор незабавна вътрешна точка за контакт.

Текущо задължение. Мандатът не е еднократна регистрация. Представителят трябва да остане достъпен, да поддържа документацията актуална и да ескалира незабавно всяко установено несъответствие пред доставчика.

Ключови задължения

• Задължителен писмен мандат. Доставчикът трябва да предостави на упълномощения представител официален, писмен мандат, преди да пусне системата с висок риск за ИИ или модела GPAI на пазара на ЕС, като изрично определя кои задачи представителят е оправомощен да изпълнява от името на доставчика.
• Изискване за установяване в ЕС. Упълномощеният представител трябва да бъде физическо или юридическо лице, установено в Европейския съюз; представител, базиран в трета страна — включително държави от ЕАСТ в ЕИП, необхванати от договорености за еквивалентност — не отговаря на това изискване.
• Достъп до документация и проверка. Представителят трябва да провери, че ЕС декларацията за съответствие и техническата документация, изисквани по членове 11 и 18, са надлежно изготвени, и трябва да поддържа достъп до тези документи за срока на мандата.
• Регистрация в базата данни на ЕС. Представителят е отговорен за гарантиране, че информацията на доставчика — включително собствените данни за контакт на представителя — е регистрирана в базата данни на ЕС, посочена в член 71, и че регистрацията се поддържа актуална.
• Точка за контакт с органите. Упълномощеният представител служи като основна точка за контакт с Офиса за ИИ и националните компетентни органи по всички въпроси, свързани с проверките за съответствие, пазарния надзор и прилагането, отнасящи се до системата за ИИ или модела GPAI в обхвата.
• Задължение за предупреждение и сътрудничество. Представителят трябва незабавно да информира доставчика за всеки установен риск за здравето, безопасността или основните права или за всяко подозрение за несъответствие, което е дошло до неговото внимание, и трябва да си сътрудничи изцяло с компетентните органи при поискване, включително като им предоставя документация и достъп до записи.

Връзка с други членове

Член 22 функционира в рамките на по-широката рамка на глава 3, уреждаща задълженията на доставчиците и ползвателите, и трябва да се чете заедно с няколко други разпоредби.

Член 16 определя пълния списък на задълженията, приложими за доставчиците на системи с висок риск за ИИ; член 22 на практика делегира вътрешното изпълнение на тези задължения на упълномощения представител, когато доставчикът е установен извън ЕС.

Членове 11 и 18 определят задълженията за техническа документация и съхранение на записи, чието изпълнение представителят трябва да провери, преди системата да бъде пусната на пазара.

Член 71 установява базата данни на ЕС, в която трябва да бъдат регистрирани данните на представителя, което прави член 22 предпоставка за законна регистрация от страна на доставчиците от трети страни.

Член 53 урежда задълженията, специфични за доставчиците на модели с общо предназначение за ИИ; член 22 разширява изискването за упълномощен представител върху тази категория, потвърждавайки, че доставчиците на GPAI извън ЕС са изправени пред еквивалентни задължения за достъп до пазара.

Членове 74 и 75 относно пазарния надзор се обслужват пряко от член 22: компетентните органи упражняват надзорните си правомощия спрямо упълномощения представител като вътрешна точка за прилагане, когато действителният доставчик е недостъпен.

График за съответствие

Законът за ИИ на ЕС (Регламент 2024/1689) влезе в сила на 1 август 2024 г., двадесет дни след публикуването в Официален вестник. Прилагането е поетапно:

• 2 февруари 2025 г. — Разпоредбите за забранените практики за ИИ (член 5) станаха приложими. Член 22 все още не се прилага самостоятелно на този етап, но доставчиците вече следва да преценяват дали техните системи попадат в обхвата на системи с висок риск или GPAI.
• 2 август 2025 г. — Задълженията, приложими за моделите с общо предназначение за ИИ (дял V, включително член 53), стават приложими. Тъй като член 22 изрично обхваща доставчиците на модели GPAI, доставчиците на GPAI от трети страни трябва да разполагат с упълномощен представител до тази дата.
• 2 декември 2026 г. — Системите с висок риск за ИИ, изброени в Annex III, вече предмет на съществуващото законодателство на ЕС за безопасност на продуктите, трябва да спазват пълната верига от задължения на доставчиците, включително изискванията за упълномощен представител по член 22.
• 2 август 2027 г. — Всички останали системи с висок риск за ИИ, изброени в Annex III, стават предмет на пълния набор от задължения. Доставчиците от трети страни на тези системи, които все още не са определили упълномощен представител, ще бъдат в нарушение от тази дата.

Доставчиците, пускащи за първи път системи с висок риск на пазара на ЕС след 2 август 2024 г., следва да третират изискването за упълномощен представител като предпоставка за достъп до пазара от самото начало, а не да чакат съответната дата на прилагане за тяхната категория системи.