Článek 44 — Certifikáty (nařízení EU o AI)

Článek 44 nařízení (EU) 2024/1689 — Certifikáty. Oficiální znění, praktický výklad, klíčové povinnosti a důsledky pro zajištění souladu.

Shrnutí oficiálního textu

Článek 44 nařízení (EU) 2024/1689 stanoví pravidla pro certifikáty vydávané oznámenými subjekty v souvislosti s posouzením shody vysoce rizikových systémů AI. Podle tohoto článku musí být certifikáty vydané oznámenými subjekty vyhotoveny v jednom z úředních jazyků členského státu EU, v němž je oznámený subjekt usazen, nebo v jazyce přijatelném pro tento subjekt.

Článek stanoví maximální dobu platnosti čtyř let pro jakýkoli vydaný certifikát s možností obnovení po novém posouzení shody. Oznámené subjekty jsou povinny vést registry všech certifikátů, které vydávají, včetně těch, které byly odmítnuty, pozastaveny nebo staženy. Tyto registry musí být na žádost zpřístupněny vnitrostátním příslušným orgánům.

Článek 44 dále ukládá, že pokud oznámený subjekt pozastaví, omezí nebo stáhne certifikát, musí informovat příslušný orgán dozoru nad trhem členského státu, v němž je poskytovatel usazen, jakož i ostatní oznámené subjekty působící v rámci stejných postupů posouzení shody. Evropská komise musí být rovněž informována v případech, kdy se certifikáty týkají systémů s přeshraničními důsledky.

Důležité je, že článek zavádí zásadu vzájemného uznávání: certifikáty vydané oznámenými subjekty v jednom členském státě jsou platné v celé Evropské unii, aniž by bylo vyžadováno opětovné certifikování, čímž se podporuje fungování jednotného trhu EU pro vysoce rizikové systémy AI.

Co to znamená v praxi

Článek 44 je ústřední pro praktické řízení posouzení shody třetí stranou pro vysoce rizikové systémy AI zahrnuté v příloze III nařízení EU o AI. Přímo se dotýká poskytovatelů vysoce rizikových systémů AI, kteří jsou povinni podstoupit posouzení shody oznámeným subjektem namísto vlastního hodnocení.

Pro poskytovatele znamená čtyřleté omezení platnosti, že průběžný přístup na trh závisí na pravidelném opětovném certifikování. Poskytovatelé musí sledovat data vypršení platnosti certifikátů a včas zahájit postupy obnovy, aby se předešlo mezerám ve stavu shody, které by bránily zákonné registraci na trhu. Pozastavený nebo stažený certifikát vyžaduje okamžitá opatření: systém nesmí být uveden na trh ani do provozu, dokud není situace vyřešena.

Pro oznámené subjekty článek ukládá přísné povinnosti v oblasti vedení záznamů a oznamování. Jakékoli nepříznivé rozhodnutí — odmítnutí, omezení, pozastavení nebo stažení — musí být systematicky sděleno vnitrostátním orgánům a partnerským oznámeným subjektům, čímž se zajistí koordinované prosazování v celé EU.

Konkrétní příklad: Poskytovatel systému AI pro biometrickou identifikaci certifikovaného v Německu německým oznámeným subjektem může tento systém zákonně uvádět na trh ve Francii, Španělsku a ve všech ostatních členských státech EU, aniž by musel získávat oddělené vnitrostátní certifikáty. Pokud však oznámený subjekt při dohledu zjistí, že systém již nesplňuje požadavky článků 9–15 a certifikát pozastaví, musí poskytovatel neprodleně zastavit distribuci v celé EU a informovat níže postavené uživatele.

Zásada vzájemného uznávání je praktickým opatřením pro usnadnění obchodu, avšak klade značné komerční zájmy na udržení jednoho certifikátu v platnosti.

Klíčové povinnosti

• Certifikáty musí mít stanovenou dobu platnosti nepřesahující čtyři roky; obnovení vyžaduje nové posouzení shody prokazující trvalé splnění příslušných požadavků.
• Oznámené subjekty musí vést úplné registry všech vydaných, odmítnutých, pozastavených, omezených nebo stažených certifikátů a zpřístupnit tyto registry vnitrostátním příslušným orgánům na žádost.
• Nepříznivá rozhodnutí o certifikátech musí být neprodleně oznámena příslušnému vnitrostátnímu orgánu dozoru nad trhem, ostatním oznámeným subjektům působícím v rámci stejných postupů a případně Evropské komisi.
• Poskytovatelé musí ukončit aktivity na trhu, pokud je certifikát pozastaven nebo stažen, dokud není shoda obnovena a získán platný certifikát.
• Vzájemné uznávání se uplatňuje v celé EU: certifikát vydaný řádně určeným oznámeným subjektem v jednom členském státě je platný ve všech členských státech bez požadavků na opětovné certifikování.
• Certifikáty musí být vyhotoveny v jazyce členského státu vydávajícího oznámeného subjektu nebo v jiném vzájemně dohodnutém úředním jazyce EU, čímž se zajistí přístupnost pro vnitrostátní orgány.

Vztah k ostatním článkům

Článek 44 je součástí hlavy III, kapitoly 5 (Normy, posouzení shody, certifikáty a registrace) a musí být čten v úzké souvislosti s okolními ustanoveními. Článek 43 vymezuje příslušné postupy posouzení shody — včetně podmínek, za nichž je povinná účast třetí strany v podobě oznámeného subjektu, na rozdíl od dobrovolné — a stanoví předchozí proces, který článek 44 upravuje z hlediska správy certifikátů.

Články 31–39 vymezují požadavky, které musí oznámené subjekty samy splňovat, aby mohly být určeny, a povinnosti, které nesou jako akreditované subjekty posuzování shody. Integrita systému certifikátů podle článku 44 závisí zcela na způsobilosti těchto subjektů.

Články 9–15 stanoví věcné požadavky na vysoce rizikové systémy AI — řízení rizik, správu dat, transparentnost, lidský dohled, přesnost a spolehlivost — na základě nichž jsou certifikáty posuzovány. Certifikát podle článku 44 je v podstatě potvrzením oznámeného subjektu, že tato ustanovení jsou splněna.

Článek 45 upravuje odvolací postupy dostupné poskytovatelům v případech, kdy oznámený subjekt odmítne, pozastaví nebo stáhne certifikát, čímž poskytuje procesní doplněk k věcným pravidlům článku 44. Článek 51 upravuje registrační povinnosti navazující na certifikaci a propojuje certifikáty s databází EU pro vysoce rizikové systémy AI.

Harmonogram dodržování předpisů

Článek 44 se stal součástí práva EU vstupem v platnost nařízení (EU) 2024/1689 dne 2. srpna 2024. Jeho praktické uplatňování se však řídí postupným harmonogramem provádění:

• 2. února 2025 — Ustanovení o zakázaných praktikách AI (hlava II) začala platit. Článek 44 ještě nebyl v platnosti.
• 2. srpna 2025 — Pravidla pro modely AI pro obecné použití (hlava VIII) a povinnosti v oblasti správy začala platit.
• 2. prosince 2026 — Článek 44 se stává plně účinným pro většinu vysoce rizikových systémů AI uvedených v příloze III, včetně těch v oblastech vzdělávání, zaměstnanosti, základních služeb, vymáhání práva a správy hranic. Poskytovatelé uvádějící takové systémy na trh nebo do provozu musí mít platný certifikát, je-li vyžadováno posouzení shody třetí stranou.
• 2. srpna 2027 — Prodloužený termín pro vysoce rizikové systémy AI zahrnuté stávajícími předpisy EU o bezpečnosti výrobků (systémy podle přílohy I), čímž se těmto odvětvím poskytuje dodatečný čas na sladění stávajících vztahů s oznámenými subjekty a rámců shody s novým systémem certifikátů podle zákona o AI.

Poskytovatelé, kteří předpokládají, že budou potřebovat certifikát podle článku 44, by se měli obrátit na oznámené subjekty s dostatečným předstihem před termínem v prosinci 2026, a to s ohledem na očekávanou poptávku po kapacitě posuzování a čas potřebný k provedení důkladného posouzení shody podle článků 9–15.