Artikel 44 — Certifikater (EU's AI-forordning)

Artikel 44 i forordning (EU) 2024/1689 — Certifikater. Officiel tekst, praktisk fortolkning, centrale forpligtelser og konsekvenser for overholdelse.

Sammenfatning af den officielle tekst

Artikel 44 i forordning (EU) 2024/1689 fastlægger reglerne for certifikater udstedt af bemyndigede organer i forbindelse med overensstemmelsesvurdering af højrisiko-AI-systemer. I henhold til denne artikel skal certifikater udstedt af bemyndigede organer udarbejdes på ét af de officielle sprog i den EU-medlemsstat, hvori det bemyndigede organ er etableret, eller på et sprog, der er acceptabelt for dette organ.

Artiklen fastsætter en maksimal gyldighedsperiode på fire år for ethvert udstedt certifikat med mulighed for fornyelse efter en ny overensstemmelsesvurdering. Bemyndigede organer er forpligtet til at føre registre over alle certifikater, de udsteder, herunder dem der er blevet afslået, suspenderet eller trukket tilbage. Disse registre skal på anmodning stilles til rådighed for de nationale kompetente myndigheder.

Artikel 44 pålægger endvidere, at når et bemyndiget organ suspenderer, begrænser eller trækker et certifikat tilbage, skal det underrette den relevante markedsovervågningsmyndighed i den medlemsstat, hvori udbyderen er etableret, samt de øvrige bemyndigede organer, der opererer under de samme overensstemmelsesvurderingsprocedurer. Europa-Kommissionen skal ligeledes underrettes, hvor certifikater vedrører systemer med grænseoverskridende konsekvenser.

Vigtigt er det, at artiklen fastlægger et princip om gensidig anerkendelse: certifikater udstedt af bemyndigede organer i én medlemsstat er gyldige i hele Den Europæiske Union uden krav om gencertificering, hvilket understøtter funktionen af EU's indre marked for højrisiko-AI-systemer.

Hvad dette betyder i praksis

Artikel 44 er central for den praktiske administration af tredjepartsoverensstemmelsesvurdering for højrisiko-AI-systemer, der er omfattet af bilag III til EU's AI-forordning. Den berører direkte udbydere af højrisiko-AI-systemer, der er forpligtet til at undergå overensstemmelsesvurdering af et bemyndiget organ frem for selvevaluering.

For udbydere betyder firårsloftet, at løbende markedsadgang afhænger af periodisk gencertificering. Udbydere skal følge certifikaternes udløbsdatoer og igangsætte fornyelsesprocedurer i god tid for at undgå huller i overensstemmelsesstatussen, der ville forhindre lovlig markedsplacering. Et suspenderet eller tilbagetrukket certifikat kræver øjeblikkelig handling: systemet må ikke bringes i omsætning eller tages i brug, før situationen er løst.

For bemyndigede organer pålægger artiklen strenge forpligtelser til journalføring og underretning. Enhver ugunstig afgørelse — afslag, begrænsning, suspension eller tilbagetrækning — skal systematisk meddeles til de nationale myndigheder og de ligestillede bemyndigede organer, hvilket sikrer koordineret håndhævelse i hele EU.

Konkret eksempel: En udbyder af et biometrisk identifikations-AI-system certificeret i Tyskland af et tysk bemyndiget organ kan lovligt markedsføre dette system i Frankrig, Spanien og alle andre EU-medlemsstater uden at indhente separate nationale certifikater. Men hvis det bemyndigede organ under overvågning finder, at systemet ikke længere opfylder kravene i artikel 9–15 og suspenderer certifikatet, skal udbyderen straks standse distributionen i hele EU og underrette efterfølgende brugere.

Princippet om gensidig anerkendelse er en praktisk handelsfaciliteringsforanstaltning, men det sætter betydelige kommercielle interesser på spil i forbindelse med opretholdelse af et enkelt certifikat i god stand.

Centrale forpligtelser

• Certifikater skal have en defineret gyldighedsperiode, der ikke overstiger fire år; fornyelse kræver en ny overensstemmelsesvurdering, der påviser fortsat overholdelse af de gældende krav.
• Bemyndigede organer skal føre fuldstændige registre over alle certifikater, der er udstedt, afslået, suspenderet, begrænset eller trukket tilbage, og gøre disse registre tilgængelige for de nationale kompetente myndigheder på anmodning.
• Ugunstige certifikatafgørelser skal straks meddeles den relevante nationale markedsovervågningsmyndighed, andre bemyndigede organer, der opererer under de samme procedurer, og, hvor det er relevant, Europa-Kommissionen.
• Udbydere skal ophøre med markedsaktiviteter, hvis et certifikat suspenderes eller trækkes tilbage, indtil overensstemmelse er genoprettet, og et gyldigt certifikat er opnået.
• Gensidig anerkendelse gælder i hele EU: et certifikat udstedt af et korrekt udpeget bemyndiget organ i én medlemsstat er gyldigt i alle medlemsstater uden krav om gencertificering.
• Certifikater skal udarbejdes på sproget i det udstedende bemyndigede organs medlemsstat eller på et andet gensidigt aftalt officielt EU-sprog, hvilket sikrer tilgængelighed for nationale myndigheder.

Forhold til andre artikler

Artikel 44 befinder sig inden for afsnit III, kapitel 5 (Standarder, overensstemmelsesvurdering, certifikater og registrering) og skal læses i tæt sammenhæng med de omgivende bestemmelser. Artikel 43 definerer de gældende overensstemmelsesvurderingsprocedurer — herunder de betingelser, under hvilke tredjepartsinddragelse af et bemyndiget organ er obligatorisk frem for valgfri — og fastlægger den forudgående proces, som artikel 44 regulerer med hensyn til certifikatstyring.

Artikel 31–39 definerer de krav, som bemyndigede organer selv skal opfylde for at blive udpeget, og de forpligtelser, de bærer som akkrediterede overensstemmelsesvurderingsorganer. Integriteten af certifikatordningen i artikel 44 afhænger helt af disse organers kompetence.

Artikel 9–15 fastsætter de materielle krav til højrisiko-AI-systemer — risikostyring, datastyring, gennemsigtighed, menneskelig overvågning, nøjagtighed og robusthed — som certifikater vurderes i forhold til. Et certifikat i henhold til artikel 44 er i det væsentlige et bemyndiget organs attestation om, at disse bestemmelser er opfyldt.

Artikel 45 omhandler appellprocedurer, der er tilgængelige for udbydere, når et bemyndiget organ afslår, suspenderer eller trækker et certifikat tilbage, og udgør det proceduremæssige supplement til artikel 44's materielle regler. Artikel 51 regulerer de registreringsforpligtelser, der følger af certificering, og knytter certifikater til EU-databasen over højrisiko-AI-systemer.

Overholdelses-tidslinje

Artikel 44 blev en del af EU-retten ved ikrafttrædelsen af forordning (EU) 2024/1689 den 2. august 2024. Den praktiske anvendelse er imidlertid styret af den fasede implementeringsplan:

• 2. februar 2025 — Bestemmelser om forbudte AI-praksisser (afsnit II) begyndte at finde anvendelse. Artikel 44 var endnu ikke operativ.
• 2. august 2025 — Regler om AI-modeller til generelle formål (afsnit VIII) og governance-forpligtelser begyndte at finde anvendelse.
• 2. december 2026 — Artikel 44 træder fuldt i kraft for størstedelen af de højrisiko-AI-systemer, der er anført i bilag III, herunder dem inden for områder som uddannelse, beskæftigelse, essentielle tjenester, retshåndhævelse og grænseforvaltning. Udbydere, der bringer sådanne systemer i omsætning eller tager dem i brug, skal have et gyldigt certifikat, hvor tredjepartsoverensstemmelsesvurdering er påkrævet.
• 2. august 2027 — Udvidet frist for højrisiko-AI-systemer, der er omfattet af eksisterende EU-produktsikkerhedslovgivning (bilag I-systemer), hvilket giver disse sektorer yderligere tid til at tilpasse eksisterende bemyndigede organrelationer og overensstemmelsesrammer til den nye AI-lovs certifikatordning.

Udbydere, der forventer at kræve et certifikat i henhold til artikel 44, bør tage kontakt til bemyndigede organer i god tid inden december 2026-fristen, i betragtning af den forventede efterspørgsel på vurderingskapacitet og den tid, der er nødvendig for at gennemføre en grundig overensstemmelsesvurdering i henhold til artikel 9–15.