Článek 22 — Zplnomocnění zástupci poskytovatelů usazených mimo Unii (EU AI Act)

Článek 22 nařízení (EU) 2024/1689 — Zplnomocnění zástupci poskytovatelů usazených mimo Unii. Oficiální text, praktický výklad, klíčové povinnosti a důsledky pro soulad s předpisy.

Shrnutí oficiálního textu

Článek 22 nařízení (EU) 2024/1689 zavádí povinný vstupní mechanismus pro poskytovatele systémů AI s vysokým rizikem a modelů AI pro obecné účely, kteří jsou usazeni ve třetích zemích, ale uvádějí tyto systémy nebo modely na trh Unie nebo je zpřístupňují v Unii.

Tito poskytovatelé musí ještě před zpřístupněním svého systému AI nebo modelu GPAI v EU určit — prostřednictvím písemného pověření — zplnomocněného zástupce usazeného v Unii. Pověření musí tomuto zástupci umožnit plnění vymezeného souboru úkolů jménem poskytovatele: ověřit, že EU prohlášení o shodě a požadovaná technická dokumentace byly řádně vypracovány; zajistit registraci v databázi EU podle článku 71; a fungovat jako jediné identifikovatelné kontaktní místo pro Úřad pro AI a vnitrostátní příslušné orgány ve všech záležitostech týkajících se souladu s nařízením.

Zplnomocněný zástupce musí být zahrnut do povinných registračních informací a musí mít přístup k dostatečné dokumentaci, aby mohl plnit své povinnosti. Zástupce má průběžnou povinnost spolupracovat s příslušnými orgány a neprodleně upozornit poskytovatele na jakékoli zjištěné riziko nebo nesoulad. Je důležité zdůraznit, že jmenování zplnomocněného zástupce nezprošťuje poskytovatele ze třetí země jeho vlastních povinností vyplývajících z nařízení; obě strany nesou samostatné odpovědnosti, přičemž odpovědnost zástupce vzniká konkrétně z úkolů přidělených v pověření.

Co to znamená v praxi

Článek 22 funguje jako ekvivalent konceptu „odpovědné osoby" nebo „zplnomocněného zástupce" z nařízení EU AI Act, který je již dobře znám z právních předpisů o bezpečnosti výrobků, jako je nařízení o zdravotnických prostředcích a nařízení o obecné bezpečnosti výrobků. Jeho praktickým účinkem je zajistit, aby právně identifikovatelný subjekt s fyzickou přítomností uvnitř EU byl vždy dostupný regulátorům, bez ohledu na to, kde sídlí vývojář systému AI.

Na koho se to vztahuje. Každá společnost mimo EU — ať už vývojář základního modelu se sídlem v USA, softwarová firma z oblasti robotiky se sídlem v Singapuru nebo poskytovatel HR technologií se sídlem ve Velké Británii — která nabízí systém AI s vysokým rizikem nebo model GPAI zákazníkům, provozovatelům nebo uživatelům v EU, musí tuto strukturu zavést. To zahrnuje společnosti distribuující prostřednictvím prodejců v EU nebo cloudových tržišť: povinnost se váže k poskytovateli, nikoli k distribučnímu kanálu.

Co je třeba udělat. Poskytovatel musí identifikovat fyzickou nebo právnickou osobu usazenou v členském státě EU, uzavřít písemné pověření upřesňující oprávněné úkoly zástupce, zajistit, aby zástupce měl kopie (nebo bezpečný přístup k) příslušné technické dokumentaci a prohlášením o shodě, a zaregistrovat údaje zástupce v databázi EU podle článku 71.

Konkrétní příklad. Kanadská společnost vyvíjející nástroj AI pro hodnocení úvěruschopnosti klasifikovaný jako vysoce rizikový podle přílohy III musí před přijetím jakékoli banky z EU jako zákazníka uzavřít smlouvu s advokátní kanceláří, poradenskou firmou v oblasti souladu s předpisy nebo specializovanou dceřinou společností usazenou v EU jako svým zplnomocněným zástupcem. Název, adresa a kontaktní údaje tohoto zástupce se objevují v databázi EU a v produktové dokumentaci, čímž francouzské nebo německé orgány dozoru nad trhem získají okamžité domácí kontaktní místo.

Průběžná povinnost. Pověření není jednorázovým podáním. Zástupce musí zůstat dostupný, udržovat dokumentaci aktuální a neprodleně eskalovat jakýkoli zjištěný nesoulad k poskytovateli.

Klíčové povinnosti

• Povinné písemné pověření. Poskytovatel musí udělit zplnomocněnému zástupci formální písemné pověření ještě před uvedením systému AI s vysokým rizikem nebo modelu GPAI na trh EU, s výslovným vymezením úkolů, k jejichž výkonu je zástupce jménem poskytovatele oprávněn.
• Požadavek usazení v EU. Zplnomocněný zástupce musí být fyzickou nebo právnickou osobou usazenou uvnitř Evropské unie; zástupce usazený ve třetí zemi — včetně států EHP ESVO, na které se nevztahuje žádné ujednání o rovnocennosti — tento požadavek nesplňuje.
• Přístup k dokumentaci a její ověření. Zástupce musí ověřit, že EU prohlášení o shodě a technická dokumentace požadovaná podle článků 11 a 18 byly řádně vypracovány, a musí po dobu trvání pověření zachovat přístup k těmto dokumentům.
• Registrace v databázi EU. Zástupce je odpovědný za zajištění registrace informací poskytovatele — včetně vlastních kontaktních údajů zástupce — v databázi EU podle článku 71 a za průběžnou aktualizaci registrace.
• Kontaktní místo pro orgány. Zplnomocněný zástupce slouží jako primární kontaktní místo pro Úřad pro AI a vnitrostátní příslušné orgány ve všech záležitostech týkajících se souladu s předpisy, dozoru nad trhem a vymáhání práva v souvislosti s dotčeným systémem AI nebo modelem GPAI.
• Povinnost upozornit a spolupracovat. Zástupce musí neprodleně informovat poskytovatele o jakémkoli riziku pro zdraví, bezpečnost nebo základní práva nebo o jakémkoli podezření na nesoulad, které přijde k jeho vědomí, a musí na žádost plně spolupracovat s příslušnými orgány, včetně poskytnutí dokumentace a přístupu k záznamům.

Vztah k ostatním článkům

Článek 22 funguje v rámci širšího rámce kapitoly 3 upravujícího povinnosti poskytovatelů a provozovatelů a musí být vykládán společně s několika dalšími ustanoveními.

Článek 16 stanoví úplný seznam povinností vztahujících se na poskytovatele systémů AI s vysokým rizikem; článek 22 účinně deleguje domácí plnění těchto povinností na zplnomocněného zástupce v případech, kdy je poskytovatel usazen mimo EU.

Články 11 a 18 definují povinnosti technické dokumentace a vedení záznamů, jejichž splnění musí zástupce ověřit před uvedením systému na trh.

Článek 71 zřizuje databázi EU, v níž musí být registrovány údaje zástupce, čímž se článek 22 stává předpokladem pro zákonnou registraci poskytovateli ze třetích zemí.

Článek 53 upravuje povinnosti specifické pro poskytovatele modelů AI pro obecné účely; článek 22 rozšiřuje požadavek zplnomocněného zástupce na tuto kategorii, čímž potvrzuje, že poskytovatelé GPAI mimo EU čelí rovnocenným povinnostem vstupu na trh.

Články 74 a 75 o dozoru nad trhem jsou přímo naplňovány článkem 22: příslušné orgány vykonávají své dohledové pravomoci vůči zplnomocněnému zástupci jako domácímu donucovacímu kotevnímu bodu, pokud je skutečný poskytovatel nedostupný.

Časový harmonogram souladu s předpisy

Nařízení EU o AI (nařízení 2024/1689) vstoupilo v platnost 1. srpna 2024, dvacet dní po zveřejnění v Úředním věstníku. Uplatňování probíhá postupně:

• 2. února 2025 — Začala se uplatňovat ustanovení o zakázaných praktikách v oblasti AI (článek 5). Článek 22 se v této fázi samostatně neuplatňuje, ale poskytovatelé by již měli posuzovat, zda jejich systémy spadají do rozsahu vysoce rizikových nebo GPAI.
• 2. srpna 2025 — Začaly se uplatňovat povinnosti vztahující se na modely AI pro obecné účely (hlava V, včetně článku 53). Protože článek 22 výslovně zahrnuje poskytovatele modelů GPAI, poskytovatelé GPAI ze třetích zemí musí mít zplnomocněného zástupce určeného do tohoto data.
• 2. prosince 2026 — Systémy AI s vysokým rizikem uvedené v příloze III, které již podléhají stávajícím právním předpisům EU o bezpečnosti výrobků, musí splňovat úplný řetězec povinností poskytovatele, včetně požadavků na zplnomocněného zástupce podle článku 22.
• 2. srpna 2027 — Na všechny zbývající systémy AI s vysokým rizikem uvedené v příloze III se začíná vztahovat úplný soubor povinností. Poskytovatelé těchto systémů ze třetích zemí, kteří dosud neurčili zplnomocněného zástupce, budou od tohoto data v porušení.

Poskytovatelé uvádějící systémy s vysokým rizikem na trh EU poprvé po 2. srpnu 2024 by měli považovat požadavek na zplnomocněného zástupce od samého začátku za předpoklad přístupu na trh, nikoli čekat na příslušné datum použitelnosti pro jejich kategorii systémů.