Článek 31 — Požadavky na oznámené subjekty (EU AI Act)

Článek 31 nařízení (EU) 2024/1689 — Požadavky na oznámené subjekty. Oficiální text, praktický výklad, klíčové povinnosti a důsledky pro soulad s předpisy.

Shrnutí oficiálního textu

Článek 31 nařízení (EU) 2024/1689 stanoví podmínky, které musí subjekt posuzování shody splňovat, než jej členský stát může oznámit Evropské komisi jako subjekt způsobilý k provádění posuzování shody vysoce rizikových systémů AI třetí stranou.

Článek ukládá požadavky v několika dimenzích. Za prvé, subjekt musí být zřízen podle vnitrostátního práva a mít právní subjektivitu. Za druhé, musí být nezávislý na systémech AI, které posuzuje, na jejich poskytovatelích a na jakémkoli obchodním, finančním nebo jiném tlaku, který by mohl ohrozit jeho úsudek; subjekt ani jeho zaměstnanci nesmí být projektantem, vývojářem, výrobcem, dodavatelem, instalatérem, kupujícím, vlastníkem, uživatelem ani správcem posuzovaných systémů AI. Za třetí, subjekt a jeho zaměstnanci musí mít potřebnou technickou způsobilost — včetně příslušných zkušeností s technologiemi AI a datovými postupy — a musí ji udržovat prostřednictvím průběžného vzdělávání. Za čtvrté, subjekt musí být finančně zdravý a mít přiměřené pojištění odpovědnosti. Za páté, subjekt musí mít zdokumentované postupy pro řešení střetů zájmů, pro zachování důvěrnosti informací získaných při posuzování a pro ochranu zájmů poskytovatelů a třetích stran. A konečně se musí subjekt účastnit koordinačních činností na úrovni Unie a spolupracovat s orgány dohledu nad trhem a notifikujícími orgány.

Pokud oznámený subjekt zadává úkoly subdodavateli nebo využívá dceřinou společnost, musí zajistit, aby tyto subjekty splňovaly stejné požadavky, a nese plnou odpovědnost za jejich práci.

Co to znamená v praxi

Článek 31 je primárně určen subjektům posuzování shody usilujícím o status oznámeného subjektu a vnitrostátním notifikujícím orgánům odpovědným za jejich hodnocení a označování. Neukládá přímé povinnosti poskytovatelům AI, ale jeho požadavky formují ekosystém, v němž musí poskytovatelé působit.

Pro subjekty posuzování shody znamená soulad s článkem 31 provedení komplexního interního hodnocení připravenosti před podáním žádosti o oznámení. To zahrnuje strukturální přezkum k ověření nezávislosti na poskytovatelích a dodavatelských řetězcích, nábor nebo přeškolení zaměstnanců s praktickými odbornými znalostmi v oblasti strojového učení, správy dat a konkrétní oblasti použití posuzovaných systémů AI (například zdravotnické prostředky, biometrické systémy nebo kritická infrastruktura). Subjekty musí zavést zdokumentované systémy řízení zahrnující důvěrnost, střet zájmů a zajišťování kvality a musí si sjednat přiměřené pojištění profesní odpovědnosti.

Pro poskytovatele vysoce rizikových systémů AI vyžadujících posuzování shody třetí stranou podle článku 43 — například systémy uvedené v příloze III, pro které harmonizovaná norma nepokrývá veškeré požadavky — znamená výběr oznámeného subjektu ověření, zda je subjekt řádně uveden v databázi NANDO a zda jeho rozsah oznámení pokrývá příslušný sektor použití AI. Poskytovatelé by měli rovněž ověřit subdodavatelská ujednání subjektu a potvrdit, že dceřiní hodnotitelé sami splňují požadavky.

Vnitrostátní notifikující orgány musí vybudovat rámce hodnocení, které důsledně testují žadatele podle každého kritéria článku 31, a zavést postupy monitorování k ověření průběžného souladu po oznámení, neboť trvalé splňování těchto požadavků je podmínkou zachování statusu oznámeného subjektu.

Klíčové povinnosti

• Nezávislost a nestrannost: Oznámený subjekt, jeho vedení a zaměstnanci odpovědní za provádění úkolů posuzování shody nesmí být projektantem, vývojářem, výrobcem, dodavatelem ani uživatelem posuzovaných systémů AI a musí být prosty jakéhokoli vlivu — obchodního, finančního nebo jiného — který by mohl ovlivnit jejich objektivitu.
• Technická způsobilost: Subjekt musí prokázat dostatečné znalosti a zkušenosti v oblasti technologií AI, dat a správy dat, kybernetické bezpečnosti a konkrétní oblasti použití systémů, pro jejichž posuzování je oznámen, a musí zajistit průběžné vzdělávání zaměstnanců, aby udržoval krok s technologickým vývojem.
• Právní subjektivita a finanční stabilita: Subjekt musí být právně konstituovanou entitou podle vnitrostátního práva a musí být schopen prokázat finanční zdraví a mít přiměřené pojištění odpovědnosti pokrývající jeho činnosti posuzování.
• Zdokumentované systémy řízení: Subjekt musí provozovat zdokumentované postupy pro řešení střetů zájmů, ochranu důvěrnosti obchodně citlivých informací a vyřizování stížností a odvolání od poskytovatelů.
• Pravidla pro subdodavatele a dceřiné společnosti: Pokud jsou úkoly zadávány subdodavatelům nebo delegovány na dceřinou společnost, musí oznámený subjekt ověřit, že subdodavatel nebo dceřiná společnost splňují všechny požadavky článku 31, musí o subdodávce informovat poskytovatele předem a nese plnou právní odpovědnost za výstupy.
• Spolupráce a účast: Oznámený subjekt musí spolupracovat s vnitrostátními orgány dohledu nad trhem a notifikujícími orgány a musí se účastnit koordinačních skupin na úrovni Unie zřízených pro oznámené subjekty v rámci AI Act.

Vztah k dalším článkům

Článek 31 je součástí hlavy III, kapitoly 4, která upravuje celý rámec notifikujících orgánů a oznámených subjektů. Musí být vykládán společně s článkem 28, který vymezuje povinnosti notifikujících orgánů, článkem 29, který stanoví požadavky na žádosti o oznámení a postup oznamování Komisi, a článkem 30, který se zabývá zřízením a úkoly notifikujících orgánů na vnitrostátní úrovni.

V návaznosti na článek 31 je přímo propojen s článkem 33, který specifikuje provozní povinnosti oznámených subjektů po jejich označení — včetně povinnosti provádět posuzování v souladu s články 43 a 44 — a s článkem 44, který upravuje certifikáty vydávané oznámenými subjekty a podmínky pro jejich pozastavení nebo stažení. Článek 43 přesně určuje, kdy je povinné posuzování shody třetí stranou prostřednictvím oznámeného subjektu, a kdy se poskytovatel může spolehnout na interní kontrolu. Článek 49 o prohlášení EU o shodě a článek 50 o označení CE jsou výstupy navazující na platný certifikát oznámeného subjektu tam, kde je vyžadován.

Časový harmonogram souladu s předpisy

Nařízení (EU) 2024/1689 vstoupilo v platnost 1. srpna 2024. Zákon EU AI Act se uplatňuje ve fázích:

• 2. února 2025: Začala platit zákazy nepřijatelných postupů v oblasti AI (hlava II).
• 2. srpna 2025: Stala se použitelnými pravidla pro modely AI pro obecné účely (hlava VIII) a povinnosti správy pro členské státy.
• 2. srpna 2026: Hlavní povinnosti pro vysoce rizikové systémy AI uvedené v příloze III — včetně požadavků na posuzování shody podle článku 43, a tedy provozních požadavků na oznámené subjekty podle článku 31 — se stávají plně použitelnými.
• 2. srpna 2027: Prodloužená lhůta pro určité vysoce rizikové systémy AI, které jsou také bezpečnostními součástmi výrobků již podléhajících harmonizačním právním předpisům Unie uvedeným v příloze I (jako jsou zdravotnické prostředky a strojní zařízení).

Z praktického hlediska musí subjekty posuzování shody, které chtějí být funkční k 2. srpnu 2026, zahájit svůj žádostní proces s dostatečným předstihem před tímto datem, s ohledem na čas potřebný pro vnitrostátní hodnocení a formální oznámení Komisi. Členské státy proto měly mít své rámce notifikujících orgánů a postupy hodnocení zavedeny nejpozději do poloviny roku 2025.