Článek 40 — Harmonizované normy a výstupy normalizace (Zákon EU o AI)

Článek 40 nařízení (EU) 2024/1689 — Harmonizované normy a výstupy normalizace. Oficiální text, praktický výklad, klíčové povinnosti a důsledky pro shodu.

Shrnutí oficiálního textu

Článek 40 nařízení (EU) 2024/1689 stanoví úlohu harmonizovaných norem při prokazování shody s požadavky vztahujícími se na vysoce rizikové systémy AI podle Zákona EU o AI. Pokud poskytovatelé vysoce rizikových systémů AI aplikují harmonizované normy — nebo jejich příslušné části — jejichž reference byly zveřejněny v Úředním věstníku Evropské unie, má se za to, že tyto systémy splňují požadavky hlavy III, kapitoly 3, pokud jsou tyto požadavky pokryty příslušnými harmonizovanými normami.

Článek zmocňuje Evropskou komisi k vydávání žádostí o normalizaci evropským normalizačním organizacím (CEN, CENELEC a ETSI) v souladu s nařízením (EU) č. 1025/2012 o evropské normalizaci. Tyto žádosti směřují ESO k vypracování harmonizovaných norem, které operacionalizují věcné požadavky zákona.

Článek 40 rovněž řeší situace, kdy harmonizované normy dosud neexistují nebo jejich reference nebyly zveřejněny. V takových případech může Komise přijmout společné specifikace podle článku 41, čímž zajistí, že poskytovatelé mají definovanou technickou cestu k prokázání shody i při absenci formálních harmonizovaných norem.

Ustanovení jasně rozlišuje mezi dobrovolnou aplikací norem a povinným dodržováním základních právních požadavků. Aplikace harmonizované normy není povinná, ale zakládá vyvratitelnou domněnku shody, čímž snižuje důkazní břemeno pro poskytovatele během postupů posouzení shody prováděných podle článků 43 a 44.

Co to znamená v praxi

Pro poskytovatele vysoce rizikových systémů AI je článek 40 ústředním nástrojem pro zajištění shody. Místo aby konstruovali zcela vlastní technickou argumentaci pro způsob, jakým je každý právní požadavek splněn, mohou poskytovatelé sladit své systémy se zveřejněnými harmonizovanými normami a využívat domněnky shody. To výrazně zjednodušuje proces posouzení shody, zejména pro systémy podléhající posouzení třetí stranou prostřednictvím oznámených subjektů.

V praxi by poskytovatel vyvíjející zdravotnický prostředek s AI spadající pod přílohu I zákona konzultoval Úřední věstník, aby zjistil, které harmonizované normy byly zveřejněny pro příslušné požadavky — například normy zabývající se řízením rizik, kvalitou dat nebo kybernetickou bezpečností. Implementace těchto norem jako součásti návrhu systému a procesu řízení jakosti umožňuje poskytovateli prokázat shodu s odpovídajícími články zákona, aniž by oznámený subjekt musel nezávisle ověřovat shodu od základních principů.

Pro poskytovatele, kteří se rozhodnou harmonizované normy neaplikovat — nebo pokud žádná příslušná norma dosud neexistuje — leží břemeno na nich, aby prostřednictvím technických souborů a důkazů z posouzení shody dokumentovali, jak je dosaženo rovnocenné úrovně ochrany. To je schůdná, ale náročnější cesta, vyžadující úzkou spolupráci s oznámeným subjektem a potenciálně rozsáhlejší testování a dokumentaci.

Dovozci a provozovatelé by měli ověřit, že poskytovatelé, jejichž systémy uvádějí na trh nebo do provozu, správně identifikovali a aplikovali příslušné normy, neboť to ovlivňuje platnost EU prohlášení o shodě a označení CE.

Praktický dopad článku 40 bude postupně růst, jak se normalizační procesy vyvíjejí. Na počátku uplatňování zákona bude k dispozici omezený počet harmonizovaných norem, což bude klást větší nároky na společné specifikace a vlastní technická posouzení.

Klíčové povinnosti

• Identifikace příslušných harmonizovaných norem: Poskytovatelé vysoce rizikových systémů AI musí sledovat Úřední věstník Evropské unie, kde jsou zveřejňovány reference na harmonizované normy relevantní pro jejich systém a požadavky podle hlavy III, kapitoly 3.
• Aplikace norem za účelem uplatnění domněnky shody: Pokud se poskytovatel rozhodne opírat o domněnku shody, musí být harmonizovaná norma aplikována v plném rozsahu pro požadavky, které pokrývá; částečná aplikace nerozšiřuje domněnku na nepokryté prvky.
• Dokumentace aplikace norem v technické dokumentaci: Technická dokumentace požadovaná podle článku 11 a přílohy IV musí jasně uvádět, které harmonizované normy byly aplikovány a jak se vztahují k odpovídajícím právním požadavkům.
• Řešení mezer, kde normy neexistují: Pokud žádná harmonizovaná norma nepokrývá konkrétní požadavek, musí poskytovatelé prokázat shodu alternativními prostředky, včetně společných specifikací přijatých podle článku 41 nebo nezávislých technických důkazů, a tento přístup musí dokumentovat ve svém spisu posouzení shody.
• Sledování aktualizovaných nebo zrušených norem: Pokud je harmonizovaná norma revidována nebo její reference stažena z Úředního věstníku, musí poskytovatelé posoudit, zda jejich stávající dokumentace shody zůstává platná, a odpovídajícím způsobem aktualizovat své systémy a technické soubory.
• Zapojení do normalizačních procesů: Poskytovatelé, zejména ti v odvětvích s rychle se vyvíjejícími aplikacemi AI, by se měli zapojit do příslušných normalizačních orgánů a průmyslových pracovních skupin, aby zajistili, že vznikající normy odrážejí reálnou technickou praxi a podporují smysluplné cesty ke shodě.

Vztah k ostatním článkům

Článek 40 funguje jako procesní most mezi věcnými požadavky hlavy III, kapitoly 3 (články 9–15 a 17) a postupy posouzení shody v kapitole 5. Měl by být čten společně s článkem 41, který stanovuje společné specifikace přijaté Komisí jako alternativu v případě absence nebo nedostatečnosti harmonizovaných norem. Článek 43 upravuje postupy posouzení shody, v nichž je uplatňována domněnka vytvořená článkem 40, a článek 44 pokrývá úlohu oznámených subjektů při posouzeních třetí stranou.

Článek se také váže na článek 11 a přílohu IV o technické dokumentaci, neboť důkazy o aplikaci norem musí být obsaženy v technickém souboru, a na článek 17 o systémech řízení jakosti, které musí zahrnovat procesy pro identifikaci a aplikaci příslušných norem. Článek 48, pokrývající EU prohlášení o shodě, je navazujícím nástrojem, prostřednictvím něhož poskytovatel formálně uplatňuje domněnku shody stanovenou podle článku 40. Pro poskytovatele modelů pro obecné účely je normalizace řešena odděleně podle hlavy VIII; článek 40 se vztahuje konkrétně na vysoce rizikové systémy AI podle hlavy III.

Harmonogram shody

Článek 40 vstoupil v platnost dne 1. srpna 2024, kdy byl Zákon EU o AI zveřejněn v Úředním věstníku Evropské unie a stal se závazným právem. Jeho praktické uplatňování je však vázáno na postupné zavádění povinností:

• Srpen 2024: Zákon vstoupí v platnost; mandáty na normalizaci pro CEN, CENELEC a ETSI začínají nebo se urychlují.
• Únor 2025: Stávají se použitelnými zakázané praktiky v oblasti AI podle článku 5; článek 40 není v této fázi přímo dotčen.
• Srpen 2025: Stávají se použitelnými povinnosti pro modely pro obecné účely podle hlavy VIII; článek 40 zůstává specifický pro vysoce rizikové systémy AI a neupravuje normy pro obecné účely.
• Prosinec 2026: Vysoce rizikové systémy AI uvedené v příloze III (jiné než ty pokryté produktovou legislativou podle přílohy I) musí splňovat požadavky hlavy III. Poskytovatelé by měli do tohoto data identifikovat a aplikovat příslušné harmonizované normy; kde jsou zveřejněné normy k dispozici, musí být dokončena posouzení shody na nich založená.
• Srpen 2027: Vysoce rizikové systémy AI zabudované v produktech upravených sektorovou legislativou podle přílohy I (zdravotnické prostředky, strojní zařízení, letectví atd.) musí splňovat požadavky. Očekává se, že do tohoto data bude pokrytí harmonizovanými normami více rozvinuto, ačkoli poskytovatelé by neměli předpokládat úplné pokrytí a musí plánovat s ohledem na mezery.

Poskytovatelům se důrazně doporučuje sledovat žádosti Komise o normalizaci a pracovní programy CEN-CENELEC JTC 21 (společného technického výboru pro normalizaci AI), aby předvídali, které normy budou k dispozici a kdy, a mohli tak plánovat harmonogramy shody.