Článek 35 — Identifikační čísla a seznamy oznámených subjektů (nařízení EU o AI)

Článek 35 nařízení (EU) 2024/1689 — Identifikační čísla a seznamy oznámených subjektů. Oficiální znění, praktický výklad, klíčové povinnosti a důsledky pro soulad s předpisy.

Shrnutí úředního textu

Článek 35 nařízení (EU) 2024/1689 (nařízení EU o AI) stanovuje administrativní a transparentní rámec pro identifikaci a veřejný seznam oznámených subjektů působících v rámci tohoto nařízení. Článek ukládá povinnosti zejména Evropské komisi a oznamovacím orgánům členských států.

Podle článku 35 je Komise povinna přidělit každému oznámenému subjektu identifikační číslo. V zásadní věci platí, že pokud je subjekt oznámen podle více než jednoho aktu Unie, obdrží jediné identifikační číslo, čímž je zajištěna konzistentnost v rámci jednotlivých legislativních nástrojů. Komise je dále povinna zveřejnit a udržovat veřejně přístupný seznam všech oznámených subjektů, včetně jejich identifikačních čísel a činností, pro něž byly oznámeny. Tento seznam musí být průběžně aktualizován.

Členské státy mají doplňující povinnost: musí informovat Komisi o jakýchkoli změnách statusu oznámeného subjektu — včetně udělení nových oznámení a případných omezení, pozastavení nebo odejmutí stávajících oznámení. Komise pak odpovídá za promítnutí těchto změn do veřejného seznamu bez zbytečného odkladu.

Článek se nachází v kapitole 4 hlavy III, která upravuje celkovou architekturu oznamování: kdo může posuzovat shodu systémů AI s vysokým rizikem, za jakých podmínek a s jakým dohledem. Článek 35 se konkrétně zabývá vrstvou identifikace a viditelnosti této architektury a zajišťuje, aby trh — včetně poskytovatelů hledajících posouzení, navazujících nasazovatelů a národních orgánů — mohl spolehlivě zjistit, které subjekty jsou oprávněny, pro jaký rozsah, a zda toto oprávnění zůstává platné.

Praktický dopad

Článek 35 má přímý provozní dopad na tři kategorie subjektů: poskytovatele systémů AI s vysokým rizikem, samotné oznámené subjekty a národní oznamovací orgány.

Pro poskytovatele hledající posouzení shody třetí stranou podle přílohy VI nebo v rámci plné trasy systému řízení kvality poskytuje článek 35 primární ověřovací mechanismus. Před uzavřením smlouvy s oznámeným subjektem by měl poskytovatel konzultovat databázi Komise NANDO, aby potvrdil, že subjekt má platné oznámení podle nařízení EU o AI pokrývající konkrétní kategorii produktu nebo typ systému AI. Spoléhat na subjekt, jehož oznámení vypršelo, bylo pozastaveno nebo nikdy formálně nerozšířeno na rozsah nařízení o AI, vytváří mezeru v souladu s předpisy, která by mohla zneplatnit certifikát posouzení shody.

Pro oznámené subjekty vytváří článek 35 nepřímou povinnost spolupracovat s jejich národním oznamovacím orgánem, aby zajistily, že jakákoli změna v jejich provozním rozsahu nebo stavu oprávnění je neprodleně sdělena. Subjekt rozšiřující rozsah posuzování — například přidání nové kategorie vysokého rizika, jako jsou systémy biometrické kategorizace — nemůže legitimně jednat v rámci tohoto rozšířeného rozsahu, dokud oznámení nebylo aktualizováno a promítnuto do seznamu Komise.

Pro národní oznamovací orgány je povinnost procesní, ale zásadní: změny statusu subjektu musí být neprodleně sděleny Komisi. Zpoždění vytvářejí okno, ve kterém je veřejný seznam nepřesný, což může uvádět poskytovatele v omyl nebo narušovat opatření dohledu nad trhem přijatá orgány v jiných členských státech.

Konkrétně by právní tým nebo tým pro dodržování předpisů připravující posouzení shody měl vytvořit kontrolní krok, který křížově porovná identifikační číslo vybraného oznámeného subjektu v NANDO, ověří, že rozsah oznámení odpovídá klasifikaci rizika systému, a zkontroluje, zda se v záznamu nevyskytují žádná omezení ani pozastavení.

Klíčové povinnosti

• Evropská komise musí přidělit každému oznámenému subjektu jediné identifikační číslo, které je konzistentní napříč všemi akty Unie, v rámci nichž daný subjekt působí.
• Komise musí zveřejnit a udržovat veřejně přístupný, aktuální seznam všech oznámených subjektů, včetně jejich identifikačních čísel a oznámeného rozsahu.
• Členské státy a jejich oznamovací orgány musí bez zbytečného odkladu informovat Komisi o jakémkoli udělení, omezení, pozastavení nebo odejmutí oznámení.
• Komise musí aktualizovat veřejný seznam tak, aby odrážel změny statusu oznámených subjektů bez zbytečného odkladu po oznámení ze strany členských států.
• Oznámené subjekty nesmějí jednat nad rámec svého oznámeného rozsahu; jakékoli rozšíření rozsahu vyžaduje formální aktualizaci oznámení, než může subjekt provádět posuzování v rámci tohoto rozšířeného rozsahu.
• Poskytovatelé musí před uzavřením smlouvy s oznámeným subjektem ověřit, že aktuální záznam subjektu v databázi Komise pokrývá příslušnou činnost a zůstává platný.

Vztah k jiným článkům

Článek 35 nelze číst izolovaně; tvoří součást uceleného rámce v kapitole 4 hlavy III.

Článek 28 vymezuje požadavky, které musí splňovat samy oznamovací orgány — národní subjekty odpovědné za zřizování a provádění oznamovacích postupů — a poskytuje institucionální základ, na němž závisí oznamovací toky podle článku 35. Článek 29 stanovuje podrobné požadavky na žádost, které musí subjekt posuzování shody splnit, než může být oznámen, zatímco článek 30 upravuje samotný oznamovací postup, včetně formálního sdělení Komisi, které spouští zápis do seznamu podle článku 35. Článek 31 se zabývá domněnkou shody pro oznámené subjekty certifikované podle příslušných harmonizovaných norem.

Provozně se článek 35 vztahuje k článkům 43 a 44, které upravují postupy posuzování shody systémů AI s vysokým rizikem a výsledné certifikáty — dokumenty, jejichž platnost je neoddělitelná od postavení vydávajícího subjektu jako řádně zapsaného podle článku 35. Článek 74 (dohled nad trhem) rovněž závisí na přesných zápisech podle článku 35, protože orgány koordinující přeshraniční dohled potřebují identifikovat, který subjekt vydal daný certifikát a zda tento subjekt zůstává oprávněn.

Časový harmonogram souladu s předpisy

Nařízení EU o AI vstoupilo v platnost dne 1. srpna 2024, dvacet dní po zveřejnění v Úředním věstníku. Uplatňování probíhá postupně:

• 2. února 2025 — Zákazy nepřijatelných praktik v oblasti AI (hlava II) se staly použitelnými.
• 2. srpna 2025 — Ustanovení o modelech umělé inteligence pro obecné účely (hlava VIII) a povinnosti v oblasti správy se staly použitelnými.
• 2. srpna 2026 — Velká část hlavy III, včetně rámce pro oznámené subjekty podle kapitoly 4, se stane plně použitelnou pro systémy AI s vysokým rizikem uvedené v příloze III, s výjimkou těch, na které se vztahuje prodloužená lhůta níže.
• 2. srpna 2027 — Prodloužená lhůta pro systémy AI s vysokým rizikem, na které se vztahují stávající harmonizační právní předpisy Unie uvedené v příloze I (např. strojní zařízení, zdravotnické prostředky), přičemž těmto odvětvím je poskytnuto dodatečné čas na integraci požadavků na posouzení shody nařízení o AI do stávajících certifikačních procesů.

Sám článek 35, jakožto součást infrastruktury pro oznámené subjekty, nabývá provozního významu souběžně s uplatňováním požadavků na posouzení shody podle kapitoly 4. Členské státy a Komise by měly zajistit, aby oznamovací postupy, přidělování identifikačních čísel a veřejná databáze byly plně funkční před datem v srpnu 2026, aby poskytovatelé systémů AI s vysokým rizikem mohli zapojit vyhovující oznámené subjekty od okamžiku, kdy se stanou použitelnými povinnosti pro povinné posouzení shody.