Článek 33 — Dceřiné společnosti oznámených subjektů a subdodávky (EU AI Act)

Článek 33 nařízení (EU) 2024/1689 — Dceřiné společnosti oznámených subjektů a subdodávky. Oficiální text, praktický výklad, klíčové povinnosti a důsledky pro soulad s předpisy.

Shrnutí oficiálního textu

Článek 33 nařízení (EU) 2024/1689 upravuje podmínky, za nichž mohou oznámené subjekty delegovat činnosti posuzování shody na dceřiné společnosti nebo externí subdodavatele. Článek stanoví, že oznámený subjekt, který si přeje zadat konkrétní úkoly posuzování shody subdodavateli nebo pověřit jejich prováděním dceřinou společnost, musí nejprve získat souhlas klienta s takovým ujednáním.

Pokud jsou využívána subdodavatelská nebo dceřinošpodářská ujednání, je oznámený subjekt povinen zajistit, aby subdodavatel nebo dceřiná společnost splňovala stejné požadavky stanovené pro oznámené subjekty, pokud jde o konkrétní delegované úkoly. Tato povinnost odráží požadavky na kvalifikaci, nestrannost a provoz stanovené jinde v kapitole 4 hlavy III.

Zásadně článek 33 jednoznačně přiřazuje odpovědnost oznámenému subjektu: musí nést plnou odpovědnost za práci provedenou subdodavateli a dceřinými společnostmi bez ohledu na to, kde jsou tyto subjekty usazeny — zda v rámci EU nebo ve třetí zemi. Oznámený subjekt je rovněž povinen zpřístupnit svému notifikujícímu orgánu veškerou příslušnou dokumentaci týkající se posouzení kvalifikací subdodavatele nebo dceřiné společnosti a práce provedené těmito subjekty v rámci delegování.

Tento článek zajišťuje, že delegování úkolů posuzování shody nelze využít k obcházení přísných požadavků, které musí sami oznámené subjekty splňovat, a že odpovědnost zůstává soustředěna na úrovni subjektu formálně označeného notifikujícím orgánem.

Co to znamená v praxi

Článek 33 přímo ovlivňuje oznámené subjekty působící podle zákona EU AI Act, jejich mateřské společnosti, dceřiné společnosti a veškeré poskytovatele služeb třetích stran, které pověřují prováděním části prací posuzování shody pro vysoce rizikové systémy AI.

Pro oznámený subjekt, který se snaží rozšířit svou činnost nebo využít specializovaných odborných znalostí, nabízejí subdodávky a využívání dceřiných společností provozní flexibilitu — avšak tato flexibilita je spojena s přísnými požadavky na odpovědnost. Před zapojením subdodavatele musí oznámený subjekt ověřit, že subdodavatel splňuje příslušné kvalifikační požadavky platné pro oznámené subjekty pro tyto konkrétní úkoly. Obecná smlouva s dodavatelem nestačí; musí být provedeno a zdokumentováno věcné posouzení shody způsobilosti a nezávislosti subdodavatele.

Klient posuzování shody — zpravidla poskytovatel vysoce rizikového systému AI — musí výslovně souhlasit s jakýmkoli subdodavatelským ujednáním. V praxi to znamená, že smluvní ujednání pro služby posuzování shody by měla otázku subdodávek řešit předem, s upřesněním, zda je souhlas udělen obecně nebo musí být v každém případě vyžádán zvlášť.

Pro poskytovatele systémů AI procházející posuzováním shody třetí stranou poskytuje článek 33 právo na transparentnost: musí vědět, kdo provádí posuzování, a mít možnost vznést námitky. Poskytovatelé by měli do svých smluv s oznámenými subjekty zahrnout doložky o zveřejnění subdodávek a ověřit, že zapojení subdodavatelé jsou vhodně kvalifikováni.

Pro oznámené subjekty s mezinárodní skupinovou strukturou je článek 33 zvláště relevantní: práce prováděná mimoevropskou dceřinou společností jménem oznámeného subjektu spadá do jeho působnosti a oznámený subjekt se sídlem v EU zůstává odpovědný za kvalitu a soulad takové práce.

Klíčové povinnosti

• Předchozí souhlas klienta: Oznámený subjekt musí před zadáním jakéhokoli úkolu subdodavateli nebo použitím dceřiné společnosti k provádění činností posuzování shody získat výslovný souhlas klienta posuzování shody.
• Rovnocennost požadavků: Subdodavatelé a dceřiné společnosti musí splňovat stejné požadavky, které platí pro samotný oznámený subjekt pro konkrétní delegované úkoly posuzování shody, včetně způsobilosti, nestrannosti a provozních standardů.
• Plně zachovaná odpovědnost: Oznámený subjekt si zachovává úplnou právní a regulatorní odpovědnost za veškerou práci provedenou subdodavateli a dceřinými společnostmi; tuto odpovědnost nelze přenést, delegovat ani smluvně odmítnout.
• Oznámení notifikujícímu orgánu: Oznámený subjekt musí informovat svůj notifikující orgán o subdodavatelských ujednáních a činnostech dceřiných společností a zpřístupnit veškerou příslušnou dokumentaci týkající se kvalifikací subdodavatelů a jimi provedené práce.
• Dokumentace a vedení záznamů: Oznámený subjekt musí vést komplexní záznamy o hodnoceních kvalifikací subdodavatelů a výstupech delegovaných úkolů posuzování shody, dostupné notifikujícímu orgánu na vyžádání.
• Zeměpisný rozsah: Povinnosti se uplatní bez ohledu na to, zda je subdodavatel nebo dceřiná společnost usazena v Evropské unii nebo ve třetí zemi.

Vztah k dalším článkům

Článek 33 musí být vykládán v úzké souvislosti se širším rámcem pro oznámené subjekty stanoveným v kapitole 4 hlavy III. Článek 28 (Oznámené subjekty) stanoví věcné požadavky — včetně způsobilosti, nezávislosti a nestrannosti — které musí subdodavatelé a dceřiné společnosti splňovat podle článku 33. Článek 29 (Nezávislost oznámených subjektů) je rovněž relevantní, neboť subdodavatelská ujednání nesmí ohrozit nestrannost procesu posuzování shody. Články 30 a 31 upravují postup oznamování a označování oznámených subjektů a informují o normách, které musí subjekt splňovat, aby mohl být způsobilý k provádění úkolů posuzování shody.

Článek 43 (Postupy posuzování shody pro vysoce rizikové systémy AI) vymezuje rozsah činností posuzování shody, k jejichž provádění jsou oznámené subjekty povolány, a tedy i činnosti, na které se vztahují pravidla pro subdodávky podle článku 33. Relevantní je rovněž článek 74 (Tržní dohled), neboť orgány tržního dohledu mohou při vyšetřování selhání dodržování předpisů prověřovat, zda oznámené subjekty a jejich subdodavatelé dodrželi povinnosti podle článku 33.

Časový harmonogram souladu s předpisy

Zákon EU AI Act (nařízení 2024/1689) vstoupil v platnost 1. srpna 2024. Článek 33, jakožto součást rámce upravujícího oznámené subjekty a jejich provozní požadavky, podléhá obecnému postupnému harmonogramu uplatňování:

• 1. srpna 2024: Vstup v platnost. Nařízení se stává závazným právem EU.
• 2. února 2025: Uplatňují se zákazy nepřijatelných postupů v oblasti AI (hlava II).
• 2. srpna 2025: Začínají se uplatňovat pravidla pro modely AI pro obecné účely (hlava VIII) a ustanovení o správě.
• 2. prosince 2026: Rámec posuzování shody — včetně pravidel pro oznámené subjekty podle hlavy III, kapitoly 4, a tedy článku 33 — se vztahuje na vysoce rizikové systémy AI uvedené v příloze I (systémy bezpečnostních součástí regulované harmonizačními právními předpisy Unie).
• 2. srpna 2027: Plné uplatnění povinností posuzování shody pro vysoce rizikové systémy AI uvedené v příloze III, včetně provozních požadavků podle článku 33 pro subdodávky a využívání dceřiných společností.

Oznámené subjekty usilující o označení podle zákona EU AI Act by měly soulad s článkem 33 považovat za součást své počáteční připravenosti na označení a zajistit, aby zásady subdodávek, rámce správy dceřiných společností a vzory klientských smluv odrážely požadavky článku s dostatečným předstihem před příslušnými daty uplatňování.