Член 33 — Дъщерни дружества на нотифицирани органи и подизпълнение (Закон за ИИ на ЕС)

Член 33 от Регламент (ЕС) 2024/1689 — Дъщерни дружества на нотифицирани органи и подизпълнение. Официален текст, практическа интерпретация, ключови задължения и последици за съответствие.

Резюме на официалния текст

Член 33 от Регламент (ЕС) 2024/1689 урежда условията, при които нотифицираните органи могат да делегират дейности по оценяване на съответствието на дъщерни дружества или външни подизпълнители. Членът установява, че нотифициран орган, желаещ да възложи на подизпълнители конкретни задачи по оценяване на съответствието или да използва дъщерно дружество за извършването на такива задачи, трябва първо да получи съгласието на клиента за това споразумение.

Когато се използват споразумения за подизпълнение или дъщерни дружества, от нотифицирания орган се изисква да гарантира, че подизпълнителят или дъщерното дружество отговаря на същите изисквания, установени за нотифицираните органи по отношение на конкретните делегирани задачи. Това задължение отразява изискванията за квалификация, безпристрастност и оперативна дейност, установени другаде в Глава 4 на Дял III.

От решаващо значение, член 33 поставя недвусмислена отговорност върху нотифицирания орган: той трябва да поеме пълна отговорност за работата, извършена от подизпълнители и дъщерни дружества, независимо от това къде са установени тези образувания — дали в ЕС или в трета страна. Нотифицираният орган е задължен също да предоставя на нотифициращия орган цялата релевантна документация относно оценката на квалификациите на подизпълнителя или дъщерното дружество и работата, извършена от тези образувания по делегирането.

Този член гарантира, че делегирането на задачи по оценяване на съответствието не може да се използва за заобикаляне на строгите изисквания, на които самите нотифицирани органи трябва да отговарят, и че отчетността остава концентрирана на равнището на органа, официално определен от нотифициращия орган.

Какво означава това на практика

Член 33 пряко засяга нотифицираните органи, действащи съгласно Закона за ИИ на ЕС, техните корпоративни майки, дъщерни дружества и всякакви доставчици на трети страни, ангажирани от тях за извършване на части от работата по оценяване на съответствието на системи за ИИ с висок риск.

За нотифициран орган, желаещ да разширява операциите си или да използва специализирана експертиза, подизпълнението и използването на дъщерни дружества предлагат оперативна гъвкавост — но тази гъвкавост идва с строги изисквания за отчетност. Преди да ангажира подизпълнител, нотифицираният орган трябва да провери, че подизпълнителят изпълнява съответните изисквания за квалификация, приложими за нотифицираните органи за тези конкретни задачи. Общ договор с доставчик е недостатъчен; трябва да бъде проведена и документирана съществена оценка на съответствието на компетентността и независимостта на подизпълнителя.

Клиентът по оценяването на съответствието — обикновено доставчикът на системата за ИИ с висок риск — трябва изрично да даде съгласие за всяко споразумение за подизпълнение. На практика това означава, че договорните споразумения за услуги по оценяване на съответствието следва да разглеждат подизпълнението предварително, като се посочи дали съгласието е дадено като цяло или трябва да се търси за всеки конкретен случай.

За доставчиците на системи за ИИ, преминаващи оценяване на съответствието от трета страна, член 33 предоставя право на прозрачност: те трябва да знаят кой извършва оценяването и да имат възможност да възразят. Доставчиците следва да включат клаузи за разкриване на подизпълнението в споразуменията си с нотифицирани органи и да проверят, че всички ангажирани подизпълнители са подходящо квалифицирани.

За нотифицирани органи с международни групови структури, член 33 е особено релевантен: работата, извършена от дъщерно дружество извън ЕС от името на нотифицирания орган, попада в обхвата, и нотифицираният орган, установен в ЕС, остава отговорен за качеството и съответствието на тази работа.

Ключови задължения

• Предварително съгласие на клиента: Нотифицираният орган трябва да получи изричното съгласие на клиента по оценяването на съответствието, преди да възложи на подизпълнители дадена задача или да използва дъщерно дружество за извършване на дейности по оценяване на съответствието.
• Еквивалентност на изискванията: Подизпълнителите и дъщерните дружества трябва да отговарят на същите изисквания, приложими за самия нотифициран орган за конкретните делегирани задачи по оценяване на съответствието, включително компетентност, безпристрастност и оперативни стандарти.
• Запазване на пълна отговорност: Нотифицираният орган запазва пълна правна и регулаторна отговорност за цялата работа, извършена от подизпълнители и дъщерни дружества; тази отчетност не може да бъде прехвърлена, делегирана или договорно отречена.
• Нотификация до нотифициращия орган: Нотифицираният орган трябва да информира своя нотифициращ орган за споразуменията за подизпълнение и дейностите на дъщерните дружества и трябва да предостави цялата релевантна документация относно квалификациите на подизпълнителите и работата, която са извършили.
• Документация и водене на регистри: Нотифицираният орган трябва да поддържа изчерпателни регистри на оценките на квалификацията на подизпълнителите и резултатите от делегираните задачи по оценяване на съответствието, достъпни за нотифициращия орган при поискване.
• Географски обхват: Задълженията се прилагат независимо дали подизпълнителят или дъщерното дружество е установено в Европейския съюз или в трета страна.

Връзка с други членове

Член 33 трябва да се чете в тясна връзка с по-широката рамка за нотифицирани органи, установена в Глава 4 на Дял III. Член 28 (Нотифицирани органи) установява съществените изисквания — включително компетентност, независимост и безпристрастност — на които подизпълнителите и дъщерните дружества трябва да отговарят съгласно член 33. Член 29 (Независимост на нотифицираните органи) е еднакво релевантен, тъй като споразуменията за подизпълнение не трябва да компрометират безпристрастността на процеса на оценяване на съответствието. Членове 30 и 31 уреждат процеса на нотификация и определяне на нотифицираните органи и информират за стандартите, на които един орган трябва да отговаря, за да отговаря на условията за извършване на задачи по оценяване на съответствието.

Член 43 (Процедури за оценяване на съответствието на системи за ИИ с висок риск) определя обхвата на дейностите по оценяване на съответствието, за чието извършване са призвани нотифицираните органи, и следователно дейностите, за които се прилагат правилата за подизпълнение на член 33. Член 74 (Пазарно наблюдение) е също от значение, тъй като органите за пазарно наблюдение могат да проверяват дали нотифицираните органи и техните подизпълнители са спазили задълженията по член 33 при разследване на нарушения на съответствието.

График за съответствие

Законът за ИИ на ЕС (Регламент 2024/1689) влезе в сила на 1 август 2024 г. Член 33, като част от рамката, уреждаща нотифицираните органи и техните оперативни изисквания, е подчинен на общия поетапен график за прилагане:

• 1 август 2024 г.: Влизане в сила. Регламентът стана обвързващо право на ЕС.
• 2 февруари 2025 г.: Забраните за практики с ИИ с неприемлив риск се прилагат (Дял II).
• 2 август 2025 г.: Правилата за модели с ИИ с общо предназначение (Дял VIII) и разпоредбите за управление започват да се прилагат.
• 2 декември 2026 г.: Рамката за оценяване на съответствието — включително правилата за нотифицираните органи съгласно Дял III, Глава 4, и следователно член 33 — се прилага за системи за ИИ с висок риск, изброени в Annex I (системи за компонент на безопасност, регулирани от законодателството за хармонизация на Съюза).
• 2 август 2027 г.: Пълно прилагане на задълженията за оценяване на съответствието за системи за ИИ с висок риск, изброени в Annex III, включително оперативните изисквания съгласно член 33 за подизпълнение и използване на дъщерни дружества.

Нотифицираните органи, търсещи определяне съгласно Закона за ИИ на ЕС, следва да третират спазването на член 33 като част от тяхната първоначална готовност за определяне, гарантирайки, че политиките за подизпълнение, рамките за управление на дъщерните дружества и шаблоните за клиентски договори отразяват изискванията на члена значително преди съответните дати за прилагане.