Artikel 39 — Overensstemmelsesvurderingsorganer fra tredjelande (EU's AI-forordning)

Artikel 39 i forordning (EU) 2024/1689 — Overensstemmelsesvurderingsorganer fra tredjelande. Officiel tekst, praktisk fortolkning, centrale forpligtelser og compliance-konsekvenser.

Resumé af den officielle tekst

Artikel 39 i forordning (EU) 2024/1689 (EU's AI-forordning) omhandler de betingelser, hvorunder overensstemmelsesvurderingsorganer etableret i tredjelande — det vil sige lande uden for Den Europæiske Union — kan anerkendes og notificeres med henblik på at foretage overensstemmelsesvurderinger af højrisiko-AI-systemer i henhold til forordningen.

Artiklen etablerer en snæver men vigtig adgang: overensstemmelsesvurderingsorganer fra tredjelande kan kun notificeres, hvor en bilateral eller multilateral international aftale mellem Unionen og det pågældende tredjeland udtrykkeligt foreskriver en sådan anerkendelse. I mangel af en kvalificerende international aftale kan intet organ fra et tredjeland fungere som bemyndiget organ i henhold til EU's AI-forordning.

Hvor der eksisterer en gyldig international aftale, skal organer fra tredjelande, der ønsker at blive notificeret, opfylde de samme krav, som stilles til EU-etablerede overensstemmelsesvurderingsorganer i henhold til kapitel 4 i afsnit III. Det betyder, at de skal påvise teknisk kompetence, organisatorisk upartiskhed og driftsmæssig uafhængighed svarende til det, der kræves af europæiske bemyndigede organer. Notificering behandles af den kompetente notificerende myndighed i en medlemsstat i overensstemmelse med den standardnotificeringsprocedure, der er fastsat i de foregående artikler i kapitel 4. Artiklen sikrer dermed, at enhver udvidelse af rammen for overensstemmelsesvurdering ud over EU's grænser bevarer integriteten, ækvivalensen og håndhævbarheden af det system, der er etableret ved forordningen.

Hvad dette betyder i praksis

Artikel 39 er primært relevant for udbydere af højrisiko-AI-systemer, der opererer på tværs af jurisdiktioner, der er omfattet af EU's handelsaftaler eller aftaler om gensidig anerkendelse, og for overensstemmelsesvurderingsorganer etableret i tredjelande, der ønsker at tilbyde certificeringstjenester i henhold til EU's AI-forordning.

I praktisk forstand betyder artiklen, at et testlaboratorium eller certificeringsorgan baseret i f.eks. Det Forenede Kongerige, Japan eller et andet land, som EU har indgået en relevant international aftale med, i princippet kan udpeges som bemyndiget organ til formålene i EU's AI-forordning — forudsat at aftalen udtrykkeligt dækker overensstemmelsesvurderinger i henhold til AI-forordningen, og at organet opfylder alle gældende krav. På tidspunktet for forordningens ikrafttræden var der endnu ikke indgået nogen AI-forordningsspecifikke aftaler om gensidig anerkendelse, hvilket betyder, at bestemmelsen fungerer fremadrettet: den skaber retsgrundlaget for fremtidig anerkendelse uden selv at aktivere noget specifikt organ fra et tredjeland.

For udbydere af højrisiko-AI-systemer har dette en konkret konsekvens: indtil der indgås kvalificerende internationale aftaler, og organer er formelt notificeret, kan de ikke basere sig på vurderinger foretaget af et organ fra et tredjeland til at opfylde deres overensstemmelsesvurderingsforpligtelser i henhold til artikel 43 og 44. Ethvert certifikat eller revisionsrapport udstedt af et organ, der ikke er gyldigt notificeret via artikel 39-vejen, vil ikke opfylde kravene i EU's AI-forordning, uanset den tekniske kvalitet af vurderingen.

Compliance-teams bør derfor overvåge udviklingen af EU's handelsaftaler og NANDO-databasen (New Approach Notified and Designated Organisations) for eventuelle fremtidige notificeringer af organer fra tredjelande i henhold til denne bestemmelse.

Centrale forpligtelser

• Overensstemmelsesvurderingsorganer fra tredjelande kan kun notificeres, hvor en international aftale mellem Den Europæiske Union og det relevante tredjeland udtrykkeligt foreskriver en sådan notificering — ingen aftale, ingen anerkendelse.
• Organer, der søger notificering i henhold til artikel 39, skal opfylde det fulde sæt krav, der gælder for EU-etablerede overensstemmelsesvurderingsorganer i henhold til kapitel 4 i afsnit III, herunder kriterier for teknisk kompetence, upartiskhed og uafhængighed.
• Notificering af organer fra tredjelande skal følge den standardnotificeringsprocedure, der gælder i henhold til forordningen, og føres gennem en notificerende myndighed i en medlemsstat.
• Udbydere af højrisiko-AI-systemer skal verificere, at ethvert overensstemmelsesvurderingsorgan, de anvender, er gyldigt notificeret — uanset om det er EU-baseret eller fra et tredjeland — inden de baserer sig på dette organs vurdering til at påvise overensstemmelse.
• Medlemsstaterne og Kommissionen skal sikre, at enhver international aftale, der underbygger notificering af organer fra tredjelande, opretholder ækvivalensen og håndhævbarheden af rammen for overensstemmelsesvurdering i henhold til EU's AI-forordning.

Sammenhæng med andre artikler

Artikel 39 er placeret i afsnit III, kapitel 4 (Notificerende myndigheder og bemyndigede organer) og skal læses i sammenhæng med de omgivende artikler i dette kapitel. Artikel 33 og 34 fastlægger de generelle krav og forpligtelser, der gælder for bemyndigede organer; artikel 35 regulerer selve notificeringsproceduren; og artikel 36 og 37 behandler ændringer i notificeringer og anfægtelse af bemyndigede organers kompetence. Da artikel 39 anvender disse samme krav fuldt ud på organer fra tredjelande, kan den ikke fortolkes isoleret fra dem.

Ud over kapitel 4 forbinder artikel 39 sig med artikel 43, der specificerer de procedurer for overensstemmelsesvurdering, der gælder for højrisiko-AI-systemer, og artikel 44, der regulerer certifikater udstedt af bemyndigede organer. Ethvert organ fra et tredjeland, der er notificeret i henhold til artikel 39, skal udstede certifikater, der fuldt ud opfylder artikel 44. Artiklen skærer også ind i den bredere ramme for EU's internationale handelsret og Unionens kompetencer til at indgå bilaterale og multilaterale aftaler i henhold til traktaten om Den Europæiske Unions funktionsmåde.

Tidsplan for compliance

EU's AI-forordning trådte i kraft den 1. august 2024, tyve dage efter offentliggørelsen i Den Europæiske Unions Tidende. Forordningen anvendes i fasede stadier:

• 2. februar 2025 — Forbud mod AI-praksisser med uacceptabel risiko (afsnit II) blev gældende.
• 2. august 2025 — Bestemmelserne om AI-modeller til almen brug (afsnit VIII) og styringsstrukturer blev gældende.
• 2. august 2026 — Størstedelen af forpligtelserne for højrisiko-AI-systemer oplistet i bilag III, herunder krav til overensstemmelsesvurdering i henhold til afsnit III, bliver gældende. Dette er den primære anvendelsesdato for artikel 39 i praksis, da den regulerer det bemyndigede organ-framework, der understøtter disse vurderinger.
• 2. august 2027 — Forlænget frist for højrisiko-AI-systemer omfattet af bilag I (sikkerhedskomponentsystemer reguleret i henhold til eksisterende EU-harmoniseringslovgivning) til at overholde kravene.

Artikel 39 har været retligt i kraft siden august 2024, men dens operationelle relevans tydeliggøres fra august 2026 og frem, hvor udbydere af højrisiko-AI-systemer skal have gennemført overensstemmelsesvurderinger via gyldigt notificerede organer. Organisationer bør begynde at identificere egnede bemyndigede organer — og overvåge eventuelle kvalificerende internationale aftaler, der kan aktivere organer fra tredjelande i henhold til artikel 39 — i god tid inden denne dato.