Artikel 34 — Operationelle forpligtelser for bemyndigede organer (EU's AI-forordning)

Artikel 34 i forordning (EU) 2024/1689 — Operationelle forpligtelser for bemyndigede organer. Officiel tekst, praktisk fortolkning, centrale forpligtelser og konsekvenser for overensstemmelse.

Resumé af officiel tekst

Artikel 34 i forordning (EU) 2024/1689 fastsætter de operationelle forpligtelser, som bemyndigede organer skal overholde på løbende basis, efter de er udpeget. Artiklen kræver, at bemyndigede organer foretager overensstemmelsesvurderinger i overensstemmelse med de procedurer, der er specificeret i Annex VII i forordningen, og sikrer konsistens, upartiskhed og teknisk stringens gennem hele processen.

Bemyndigede organer er forpligtet til at opretholde og på anmodning stille til rådighed for den bemyndigende myndighed dokumenterede procedurer, der dækker alle overensstemmelsesvurderingsaktiviteter, de udfører. De skal have tilstrækkeligt mange kvalificerede medarbejdere med de nødvendige kompetencer, kvalifikationer og erfaringer, der er relevante for de specifikke typer AI-systemer og risikodomæner, de er udpeget til.

Artiklen pålægger en streng fortrolighedsforpligtelse: bemyndigede organer og deres personale skal behandle alle oplysninger opnået i forbindelse med deres vurderingsaktiviteter som fortrolige, med forbehold af forpligtelser over for den relevante nationale myndighed. Interessekonflikter skal systematisk identificeres, dokumenteres og undgås. Bemyndigede organer er forpligtet til at tegne og opretholde passende erhvervsansvarsforsikring svarende til deres aktiviteter.

Hvor et bemyndiget organ giver specifikke vurderingsopgaver i underentreprise eller baserer sig på et datterselskab, forbliver det fuldt ansvarligt for kvaliteten og resultatet af arbejdet. Underleverandører skal opfylde de samme krav som det bemyndigede organ, og den udbyder, der er underlagt vurdering, skal underrettes om eventuelle underentrepriseordninger, inden de finder sted.

Endelig skal bemyndigede organer deltage i relevante koordineringsaktiviteter og samarbejde med kompetente myndigheder, markedsovervågningsmyndigheder og andre bemyndigede organer for at sikre en sammenhængende anvendelse af overensstemmelsesvurderingsprocedurerne på tværs af EU.

Hvad dette betyder i praksis

For organisationer, der opererer som eller søger at blive bemyndigede organer, omsættes artikel 34 til en krævende og løbende overholdelsesbyrde snarere end en engangsudpegelsesøvelse.

For bemyndigede organer betyder artiklen at etablere og opretholde robuste interne ledelsessystemer, der dokumenterer hvert trin i hver overensstemmelsesvurdering. Personalebeslutninger skal drives af dokumenteret teknisk kompetence specifik for de AI-domæner, der er dækket — et bemyndiget organ, der er udpeget til medicinske AI-systemer, skal f.eks. kunne dokumentere, at dets vurderere forstår både AI-metodologi og den relevante regulatoriske kontekst for medicinsk udstyr. Personalelister, uddannelsesregistre og kompetencematricer vil alle være underlagt granskning af den bemyndigende myndighed.

Politikker for interessekonflikter skal gå ud over skriftlige forpligtelser. Bemyndigede organer skal aktivt screene for relationer mellem deres personale og de udbydere, der indgiver til vurdering, og skal dokumentere resultatet af hver screening. Hvor en konflikt identificeres, skal det berørte personale udelukkes fra den relevante vurdering.

Med hensyn til underentreprise kræves praktisk due diligence, inden noget arbejde delegeres: skriftlige aftaler, kompetenceverifikation og forudgående underretning til AI-systemudbyderen. Det bemyndigede organ kan ikke frasige sig ansvaret for underentreprisearbejde, hvis vurderingen senere viser sig at være mangelfuld.

For udbydere af højrisiko-AI-systemer er artikel 34 i høj grad proceduremæssig baggrund — men den er vigtig ved valg af bemyndiget organ. Udbydere bør verificere, at et kandidatbemyndiget organ har et aktuelt udpegelsesomfang, der dækker deres produktkategori, har tilstrækkelig forsikring og har offentliggjort gennemsigtige procedurer. Udbydere bevarer også retten til at blive informeret om underentrepriseordninger og kan inddrage dette i deres vurderingsplanlægning.

Bemyndigede organer skal også bidrage til den bredere EU-tilsynsarkitektur, dele oplysninger med Det Europæiske Kontor for Kunstig Intelligens og bidrage til harmoniserede vurderingsstandarder, efterhånden som de udvikles.

Centrale forpligtelser

• Overensstemmelsesvurderingsprocedurer: Bemyndigede organer skal foretage alle vurderinger i overensstemmelse med de procedurer, der er fastlagt i Annex VII til forordningen, og opretholde dokumenterede processer for hver vurderingsaktivitet.
• Kompetence og bemanding: Tilstrækkeligt kvalificeret personale skal være til rådighed til enhver tid med ekspertise tilpasset den specifikke type og det specifikke risikodomæne for de AI-systemer, organet er udpeget til.
• Fortrolighed: Alle oplysninger erhvervet i forbindelse med overensstemmelsesvurderingsaktiviteter skal behandles fortroligt, medmindre videregivelse er påkrævet af den relevante nationale myndighed eller af EU-retten.
• Håndtering af interessekonflikter: Bemyndigede organer skal systematisk identificere og udelukke interessekonflikter, dokumentere screeningsprocessen for hver vurdering og sikre upartiskhed på hvert trin.
• Erhvervsansvarsforsikring: Passende forsikring skal opretholdes løbende for at dække det bemyndigede organs overensstemmelsesvurderingsaktiviteter og sikre erstatningsadgang i tilfælde af en fejlagtig eller mangelfuld vurdering.
• Underentreprise og brug af datterselskaber: Hvor opgaver gives i underentreprise eller delegeres til et datterselskab, forbliver det bemyndigede organ fuldt ansvarligt, skal verificere underleverandørens kompetence i henhold til de samme standarder og skal underrette udbyderen, inden underentreprisen finder sted.

Forhold til andre artikler

Artikel 34 befinder sig inden for afsnit III, kapitel 4 (Articles 28–39), som regulerer hele livscyklussen for bemyndigede organer — fra udpegelse til overvågning og tilbagetrækning. Den bygger direkte på Article 33, som fastlægger de materielle krav, et organ skal opfylde for at kvalificere sig til udpegelse, og bør læses i sammenhæng med Article 35, som regulerer overensstemmelsesvurderingsprocessen for højrisiko-AI-systemer i de produktsikkerhedsregulerede sektorer, der er opført i Annex II.

Article 43 (Overensstemmelsesvurdering) specificerer, hvornår tredjepartsinddragelse af bemyndiget organ er obligatorisk, versus hvornår en udbyder kan selvvurdere, hvilket gør det til en væsentlig kontekst for forståelsen af omfanget af forpligtelser i artikel 34. Article 44 omhandler de certifikater, der udstedes efter vurdering, mens Article 45 regulerer de bemyndigede organers forpligtelser med hensyn til disse certifikater, efter de er udstedt, herunder suspension og tilbagetrækning.

Bredere tilsynsansvarlighed forbinder artikel 34 til Article 70 (Fortrolighed) og Articles 74–77, der regulerer markedsovervågningsmyndigheder, da bemyndigede organer skal samarbejde med overvågningsaktiviteter og fremlægge oplysninger til kompetente myndigheder på anmodning.

Tidsplan for overholdelse

Forordning (EU) 2024/1689 trådte i kraft den 1. august 2024, med anvendelse fordelt over flere datoer.

Artikel 34 falder inden for rammen, der regulerer højrisiko-AI-systemer underlagt tredjepartsoverensstemmelsesvurdering. De relevante fasede anvendelsesdatoer er:

• 1. august 2024 — Ikrafttræden. Forordningen blev bindende EU-ret; medlemsstaterne påbegyndte det forberedende arbejde med strukturer for bemyndigende myndigheder.
• Februar 2025 — Forbudte AI-praksisser (Article 5) blev gældende. Forpligtelser for bemyndigede organer var endnu ikke aktive for de fleste højrisikokategorier.
• August 2025 — Forpligtelser for GPAI-modeller blev gældende. Bestemmelser for bemyndigede organer forblev i forberedende fase for højrisikosystemer.
• 2. august 2026 — Fuld anvendelse af bestemmelserne i afsnit III, herunder artikel 34, for højrisiko-AI-systemer opført i Annex III. Bemyndigede organer skal være operationelt overensstemmende og udpegede nationale bemyndigende myndigheder skal være fuldt funktionelle inden denne dato.
• 2. august 2027 — Udvidet frist for højrisiko-AI-systemer, der er dækket af eksisterende EU-harmoniseringslovgivning opført i Annex II, hvor disse systemer bringes på markedet eller tages i brug inden august 2026.

Organisationer, der søger udpegelse som bemyndigede organer, bør have indledt ansøgningsprocessen langt inden august 2026, da udpegelsesprocedurer kræver vurdering af den nationale bemyndigende myndighed og, hvor det er relevant, peer review med inddragelse af Europa-Kommissionen og andre medlemsstater.