Článek 43 — Posuzování shody (Akt EU o umělé inteligenci)

Článek 43 nařízení (EU) 2024/1689 — Posuzování shody. Oficiální text, praktický výklad, klíčové povinnosti a důsledky pro dodržování předpisů.

Shrnutí oficiálního textu

Článek 43 nařízení (EU) 2024/1689 stanoví postupy posuzování shody, které musí poskytovatelé vysoce rizikových systémů AI dodržovat před uvedením systému na trh nebo jeho uvedením do provozu v Evropské unii.

Pro vysoce rizikové systémy AI, na něž se vztahují harmonizační právní předpisy Unie uvedené v příloze I — jako jsou produkty podléhající směrnici o strojních zařízeních, nařízení o zdravotnických prostředcích nebo bezpečnostním pravidlům civilního letectví — platí postup posuzování shody použitelný podle těchto odvětvových předpisů, doplněný o požadavky kapitoly 2 hlavy III Aktu o AI. Pokud odvětvové předpisy nevyžadují zapojení třetí strany, musí poskytovatel postupovat podle postupu interní kontroly stanoveného v příloze VI Aktu o AI.

Pro vysoce rizikové systémy AI uvedené v příloze III stanoví článek 43 dvě cesty. Výchozím postupem je postup interní kontroly podle přílohy VI. Pokud však systém zahrnuje biometrickou identifikaci fyzických osob v reálném čase nebo na dálku po skončení akce (s výjimkou těch, které jsou vyloučeny čl. 6 odst. 3), nebo pokud neexistuje harmonizovaná norma pokrývající všechny příslušné požadavky a nebyla přijata žádná společná specifikace, musí posuzování provést oznámený subjekt v souladu s přílohou VII.

Jakýkoliv vysoce rizikový systém AI, který projde podstatnou modifikací poté, co obdržel prohlášení EU o shodě nebo certifikát, musí být podroben novému posuzování shody. Článek rovněž potvrzuje, že oznámené subjekty musí být před prováděním posuzování oznámeny Komisi a orgánům členských států a že vydané certifikáty zůstávají platné, pokud nejsou odňaty.

Co to znamená v praxi

Pro většinu poskytovatelů vysoce rizikových systémů AI uvedených v příloze III — zahrnující oblasti jako výběr zaměstnanců, vzdělávání, kreditní scoring, správu kritické infrastruktury a výkon spravedlnosti — znamená článek 43, že výchozí cestou posuzování shody je interní sebehodnocení. Systém řízení jakosti poskytovatele, technická dokumentace a záznamy o shodě musí být v pořádku dříve, než je podepsáno prohlášení o shodě a připojeno označení CE. Není vyžadován žádný externí auditor, pokud systém nespadá do jedné z kategorií, které nařizují zapojení oznámeného subjektu.

Pro poskytovatele, jejichž systémy spadají pod odvětvové právní předpisy podle přílohy I — například systém AI zabudovaný ve zdravotnickém prostředku třídy IIb nebo v bezpečnostně kritickém leteckém vybavení — je posuzování shody podle Aktu o AI vrstveno na existující odvětvový postup. V praxi to znamená zapojení oznámeného subjektu již určeného podle nařízení o zdravotnických prostředcích nebo příslušného leteckého orgánu a zajištění toho, aby byl tento subjekt způsobilý i k posuzování požadavků specifických pro AI.

Nejvýznamnějším operačním spouštěčem v článku 43 je požadavek opakovat posuzování shody po podstatné modifikaci. Vývojové týmy a produktoví manažeři musí proto do svého životního cyklu vývoje AI zabudovat formální kontrolní bod pro řízení změn: každá aktualizace, která mění zamýšlený účel, výkonnostní charakteristiky nebo rizikový profil systému, musí být před nasazením vyhodnocena z hlediska definice podstatné modifikace.

Dovozci a distributoři nejsou sami odpovědni za provádění posuzování shody, ale musí ověřit, že poskytovatel postup dokončil a že dokumentace je k dispozici. Provozovatelé působící v regulovaných odvětvích by měli v rámci náležité due diligence vůči dodavatelům požádat o potvrzení příslušné cesty posuzování.

Klíčové povinnosti

• Zvolte správnou cestu posuzování: Poskytovatelé musí určit, zda jejich vysoce rizikový systém AI spadá pod odvětvové právní předpisy podle přílohy I nebo pod přílohu III, a uplatnit odpovídající postup (interní kontrola podle přílohy VI nebo posuzování oznámeným subjektem podle přílohy VII, je-li to vyžadováno).
• Proveďte posuzování před uvedením na trh: Posuzování shody musí být dokončeno a prohlášení EU o shodě podepsáno dříve, než je systém uveden na trh Unie nebo do provozu — nikoli zpětně.
• Zapojte oznámený subjekt, je-li to vyžadováno: Systémy zahrnující biometrickou identifikaci na dálku v reálném čase pro účely orgánů činných v trestním řízení nebo systémy, pro které neexistuje použitelná harmonizovaná norma a žádná společná specifikace nepokrývá všechny požadavky, vyžadují posuzování třetí stranou akreditovaným oznámeným subjektem.
• Integrujte posuzování AI do odvětvových postupů: U produktů podle přílohy I musí být posuzování shody specifické pro AI sladěno — a pokud možno integrováno — se stávajícím odvětvovým posuzováním shody, přičemž se použije stejný oznámený subjekt, je-li způsobilý.
• Opakujte posuzování po podstatné modifikaci: Jakákoli podstatná modifikace vysoce rizikového systému AI, který již prošel posuzováním shody, spouští povinné nové posuzování před tím, než může být modifikovaný systém nasazen nebo uváděn na trh.
• Udržujte dokumentaci pro přezkum po uvedení na trh: Poskytovatelé musí uchovávat technickou dokumentaci, záznamy systému řízení jakosti a prohlášení o shodě po dobu deseti let od uvedení systému na trh a zpřístupnit je na žádost příslušným vnitrostátním orgánům.

Vztah k dalším článkům

Článek 43 nelze číst izolovaně. Je procesním vyjádřením věcných požadavků stanovených v článcích 8 až 15 (kapitola 2 hlavy III), které definují technické a řídicí standardy, jež musí vysoce rizikové systémy AI splňovat — včetně řízení rizik, správy dat, transparentnosti, lidského dohledu, přesnosti a odolnosti vůči kybernetickým hrozbám. Definice toho, co představuje vysoce rizikový systém AI — a tedy co spouští použití článku 43 — je stanovena článkem 6 ve spojení s přílohami I a III.

Postup interní kontroly uvedený v článku 43 je podrobně popsán v příloze VI, zatímco postup oznámeného subjektu je stanoven v příloze VII. Článek 44 upravuje certifikáty vydávané oznámenými subjekty po posuzování podle přílohy VII, včetně podmínek pro pozastavení a odejmutí. Článek 45 se zabývá povinnostmi oznámeného subjektu při posuzování. Článek 47 upravuje prohlášení EU o shodě, které musí poskytovatelé vypracovat po dokončení postupu. Článek 48 spojuje dokončení posuzování shody s právem připojit označení CE podle článku 49.

Pro poskytovatele, jejichž systémy se rovněž kvalifikují jako modely AI pro obecné účely se systémovým rizikem, je třeba vzít v úvahu interakci s povinnostmi podle hlavy VIII souběžně s článkem 43.

Harmonogram dodržování předpisů

Nařízení (EU) 2024/1689 vstoupilo v platnost dne 1. srpna 2024, dvacet dní po svém zveřejnění v Úředním věstníku Evropské unie dne 12. července 2024.

Článek 43 se nevztahuje okamžitě na všechny vysoce rizikové systémy AI. Postupný harmonogram uplatňování stanovený článkem 113 znamená, že:

• 2. února 2025 — Stala se použitelnými zakázaná použití AI s nepřijatelným rizikem (hlava II). Článek 43 ještě nebyl v platnosti.
• 2. srpna 2025 — Staly se použitelnými povinnosti pro modely AI pro obecné účely (hlava VIII). Povinnosti posuzování shody podle článku 43 ještě nebyly v platnosti pro většinu vysoce rizikových systémů.
• 2. srpna 2026 — Článek 43 se plně použije na poskytovatele vysoce rizikových systémů AI uvedených v příloze III (samostatné vysoce rizikové systémy AI v oblastech jako biometrie, zaměstnanost, vzdělávání a kritická infrastruktura).
• 2. srpna 2027 — Lhůta, do níž se povinnosti včetně posuzování shody vztahují na vysoce rizikové systémy AI zabudované v produktech podle přílohy I, které se již řídí harmonizačními právními předpisy Unie a byly uvedeny na trh před srpnem 2026.

Poskytovatelé by měli pro účely interního plánování považovat lhůtu srpen 2026 za závazné datum dodržování předpisů a zajistit, aby systémy řízení jakosti, technická dokumentace a postupy posuzování byly funkční s dostatečným předstihem.