Artikel 40 — Harmoniserede standarder og standardiseringsresultater (EU's AI-forordning)

Artikel 40 i forordning (EU) 2024/1689 — Harmoniserede standarder og standardiseringsresultater. Officiel tekst, praktisk fortolkning, centrale forpligtelser og konsekvenser for overholdelse.

Resumé af den officielle tekst

Artikel 40 i forordning (EU) 2024/1689 fastlægger rollen for harmoniserede standarder i forbindelse med dokumentation af overensstemmelse med de krav, der gælder for højrisiko-AI-systemer i henhold til EU's AI-forordning. Når udbydere af højrisiko-AI-systemer anvender harmoniserede standarder — eller relevante dele heraf — hvis referencer er offentliggjort i Den Europæiske Unions Tidende, anses disse systemer for at overensstemme med kravene i afsnit III, kapitel 3, for så vidt de pågældende krav er dækket af de gældende harmoniserede standarder.

Artiklen giver Europa-Kommissionen beføjelse til at udstede standardiseringsanmodninger til de europæiske standardiseringsorganisationer (CEN, CENELEC og ETSI) i overensstemmelse med forordning (EU) nr. 1025/2012 om europæisk standardisering. Disse anmodninger pålægger ESO'erne at udvikle harmoniserede standarder, der operationaliserer forordningens materielle krav.

Artikel 40 behandler også situationer, hvor harmoniserede standarder endnu ikke eksisterer, eller deres referencer ikke er offentliggjort. I sådanne tilfælde kan Kommissionen vedtage fælles specifikationer i henhold til artikel 41, hvilket sikrer, at udbydere har en defineret teknisk vej til at dokumentere overensstemmelse, selv i fravær af formelle harmoniserede standarder.

Bestemmelsen trækker en klar sondring mellem frivillig anvendelse af standarder og obligatorisk overholdelse af de underliggende retlige krav. Anvendelse af en harmoniseret standard er ikke obligatorisk, men giver en afkræftelig formodning om overensstemmelse, hvilket reducerer bevisbyrden for udbydere under overensstemmelsesvurderingsprocedurer gennemført i henhold til artikel 43 og 44.

Hvad dette betyder i praksis

For udbydere af højrisiko-AI-systemer er artikel 40 et centralt overholdelsesinstrument. I stedet for at konstruere et helt særskilt teknisk argument for, hvordan hvert retligt krav er opfyldt, kan udbydere tilpasse deres systemer til offentliggjorte harmoniserede standarder og drage fordel af overensstemmelsesformodningen. Dette forenkler i betydelig grad overensstemmelsesvurderingsprocessen, navnlig for systemer, der er underlagt tredjepartsvurdering af bemyndigede organer.

I praksis ville en udbyder, der udvikler et AI-baseret medicinsk udstyr, der falder ind under bilag I til forordningen, konsultere Den Europæiske Unions Tidende for at identificere, hvilke harmoniserede standarder der er offentliggjort for de relevante krav — for eksempel standarder vedrørende risikostyring, datakvalitet eller cybersikkerhed. Implementering af disse standarder som en del af systemets design og kvalitetsstyringsproCES giver udbyder mulighed for at hævde overensstemmelse med de tilsvarende artikler i forordningen uden at kræve, at det bemyndigede organ uafhængigt verificerer overholdelse fra grundlæggende principper.

For udbydere, der vælger ikke at anvende harmoniserede standarder — eller hvor der endnu ikke findes nogen gældende standard — falder byrden på dem med hensyn til at dokumentere, gennem tekniske filer og overensstemmelsesvurderingsbevis, hvordan et tilsvarende beskyttelsesniveau opnås. Dette er en mulig, men mere krævende vej, der kræver tæt samarbejde med det bemyndigede organ og potentielt mere omfattende afprøvning og dokumentation.

Importører og deployere bør verificere, at de udbydere, hvis systemer de bringer i omsætning eller tager i brug, korrekt har identificeret og anvendt de relevante standarder, da dette påvirker gyldigheden af EU-overensstemmelseserklæringen og CE-mærkningen.

Den praktiske indvirkning af artikel 40 vil vokse progressivt, efterhånden som standardiseringspipelinen modnes. I de tidlige faser af forordningens anvendelse vil der kun være begrænsede harmoniserede standarder til rådighed, hvilket medfører større afhængighed af fælles specifikationer og særskilte tekniske vurderinger.

Centrale forpligtelser

• Identificere gældende harmoniserede standarder: Udbydere af højrisiko-AI-systemer skal overvåge Den Europæiske Unions Tidende for offentliggjorte referencer til harmoniserede standarder, der er relevante for deres system og kravene i henhold til afsnit III, kapitel 3.
• Anvende standarder for at udløse overensstemmelsesformodningen: Når en udbyder vælger at basere sig på overensstemmelsesformodningen, skal den harmoniserede standard anvendes fuldt ud for de krav, den dækker; delvis anvendelse udvider ikke formodningen til udækkede elementer.
• Dokumentere anvendelsen af standarder i teknisk dokumentation: Den tekniske dokumentation, der kræves i henhold til artikel 11 og bilag IV, skal tydeligt identificere, hvilke harmoniserede standarder der er anvendt, og hvordan de svarer til de tilsvarende retlige krav.
• Håndtere mangler, hvor standarder ikke eksisterer: Når ingen harmoniseret standard dækker et specifikt krav, skal udbydere dokumentere overensstemmelse gennem alternative midler, herunder fælles specifikationer vedtaget i henhold til artikel 41 eller uafhængigt teknisk bevis, og skal dokumentere denne tilgang i deres overensstemmelsesvurderingsfil.
• Holde sig orienteret om opdaterede eller tilbagetrukne standarder: Når en harmoniseret standard revideres, eller dens reference trækkes tilbage fra Den Europæiske Unions Tidende, skal udbydere vurdere, om deres eksisterende overholdelses dokumentation forbliver gyldig, og opdatere deres systemer og tekniske filer i overensstemmelse hermed.
• Deltage i standardiseringsprocesser: Udbydere, navnlig dem i sektorer med hurtigt udviklende AI-applikationer, bør engagere sig med relevante standardiseringsorganer og branchearbejdsgrupper for at sikre, at nye standarder afspejler reel teknisk praksis og understøtter meningsfulde overensstemmelsesprocesser.

Forholdet til andre artikler

Artikel 40 fungerer som den proceduremæssige bro mellem de materielle krav i afsnit III, kapitel 3 (artikel 9–15 og 17) og overensstemmelsesvurderingsprocedurerne i kapitel 5. Den bør læses i sammenhæng med artikel 41, som indeholder bestemmelser om fælles specifikationer vedtaget af Kommissionen som alternativ, når harmoniserede standarder er fraværende eller utilstrækkelige. Artikel 43 regulerer de overensstemmelsesvurderingsprocedurer, hvori formodningen skabt af artikel 40 påberåbes, og artikel 44 dækker de bemyndigede organers rolle ved tredjepartsvurderinger.

Artiklen har også forbindelse til artikel 11 og bilag IV om teknisk dokumentation, da bevis for standardanvendelse skal fremgå af den tekniske fil, og til artikel 17 om kvalitetsstyringssystemer, som skal indeholde processer til identifikation og anvendelse af relevante standarder. Artikel 48, der dækker EU-overensstemmelseserklæringen, er det efterfølgende instrument, hvorigennem udbyderen formelt hævder overensstemmelsesformodningen etableret i henhold til artikel 40. For udbydere af GPAI-modeller behandles standardisering separat i henhold til afsnit VIII; artikel 40 gælder specifikt for højrisiko-AI-systemer under afsnit III.

Overholdelstidslinje

Artikel 40 trådte i kraft den 1. august 2024, den dato EU's AI-forordning blev offentliggjort i Den Europæiske Unions Tidende og blev bindende ret. Dens praktiske anvendelse er imidlertid knyttet til den fasede indfasning af forpligtelser:

• August 2024: Forordningen træder i kraft; standardiseringsmandater til CEN, CENELEC og ETSI påbegyndes eller accelereres.
• Februar 2025: Forbudte AI-praksisser i henhold til artikel 5 finder anvendelse; artikel 40 er ikke direkte berørt på dette tidspunkt.
• August 2025: Forpligtelser for GPAI-modeller i henhold til afsnit VIII finder anvendelse; artikel 40 forbliver specifik for højrisiko-AI-systemer og regulerer ikke GPAI-standarder.
• December 2026: Højrisiko-AI-systemer opført i bilag III (bortset fra dem, der er dækket af bilag I-produktlovgivning) skal overholde kravene i afsnit III. Udbydere bør på dette tidspunkt have identificeret og anvendt relevante harmoniserede standarder; hvor der er offentliggjorte standarder til rådighed, skal overensstemmelsesvurderinger, der baserer sig på disse, være afsluttet.
• August 2027: Højrisiko-AI-systemer integreret i produkter, der er reguleret af sektorlovgivning i bilag I (medicinsk udstyr, maskiner, luftfart osv.), skal overholde kravene. Fuld harmoniseret standarddækning forventes at være mere udviklet på dette tidspunkt, men udbydere bør ikke forudsætte fuldstændig dækning og skal planlægge for mangler.

Udbydere rådes kraftigt til at overvåge Kommissionens standardiseringsanmodninger og arbejdsprogrammerne for CEN-CENELEC JTC 21 (det fælles tekniske udvalg for AI-standardisering) for at forudse, hvilke standarder der vil være tilgængelige og hvornår, så overholdelstidslinjer kan planlægges i overensstemmelse hermed.