Άρθρο 63 — Παρεκκλίσεις από ορισμένες απαιτήσεις που ισχύουν για συστήματα ΤΝ υψηλού κινδύνου για ορισμένους φορείς (Νόμος ΕΕ για την ΤΝ)

Άρθρο 63 του Κανονισμού (ΕΕ) 2024/1689 — Παρεκκλίσεις από ορισμένες απαιτήσεις που ισχύουν για συστήματα ΤΝ υψηλού κινδύνου για ορισμένους φορείς. Επίσημο κείμενο, πρακτική ερμηνεία, βασικές υποχρεώσεις και επιπτώσεις συμμόρφωσης.

Σύνοψη Επίσημου Κειμένου

Το Άρθρο 63 του Κανονισμού (ΕΕ) 2024/1689 (Νόμος ΕΕ για την ΤΝ), που εντάσσεται στον Τίτλο VI — Μέτρα Υποστήριξης της Καινοτομίας, θεσπίζει στοχευμένες παρεκκλίσεις από ορισμένες απαιτήσεις του Κεφαλαίου III, Τμήμα 2, οι οποίες σε διαφορετική περίπτωση θα ίσχυαν πλήρως για παρόχους και λοιπούς φορείς συστημάτων ΤΝ υψηλού κινδύνου.

Οι κύριοι δικαιούχοι είναι οι πολύ μικρές επιχειρήσεις κατά την έννοια της Σύστασης 2003/361/ΕΚ της Επιτροπής (επιχειρήσεις με λιγότερους από 10 εργαζομένους και ετήσιο κύκλο εργασιών ή σύνολο ισολογισμού που δεν υπερβαίνει τα 2 εκατομμύρια ευρώ). Για τέτοιους παρόχους, το Άρθρο 63 επιτρέπει απλουστευμένη προσέγγιση στις υποχρεώσεις συστήματος διαχείρισης ποιότητας που ορίζει το Άρθρο 17, επιτρέποντας την εφαρμογή διαδικασιών και πολιτικών κατά τρόπο ανάλογο με το μέγεθος και την επιχειρησιακή ικανότητα του φορέα, αντί μέσω του ολοκληρωμένου τεκμηριωμένου συστήματος που οφείλουν να εγκαθιδρύσουν οι μεγαλύτεροι πάροχοι.

Το Άρθρο 63 αντιμετωπίζει επίσης φορείς δημόσιων φορέων που αναπτύσσουν συστήματα ΤΝ υψηλού κινδύνου, αναγνωρίζοντας ότι οι δομές προμηθειών και διακυβέρνησής τους μπορεί να διαφέρουν ουσιαστικά από αυτές των εμπορικών φορέων. Ορισμένες υποχρεώσεις τεκμηρίωσης και συμμόρφωσης μπορούν να προσαρμοστούν όταν ένας δημόσιος φορέας ενεργεί αποκλειστικά ως χρήστης και το σύστημα προμηθεύεται από εξωτερικό πάροχο που διατηρεί τις κύριες υποχρεώσεις παρόχου.

Κρίσιμο σημείο είναι ότι το άρθρο διατηρεί το ουσιαστικό κατώφλι ασφάλειας: οι παρεκκλίσεις αφορούν τη διαδικαστική μορφή και κλίμακα, όχι τις υποκείμενες απαιτήσεις ακρίβειας, αξιοπιστίας, κυβερνοασφάλειας, διακυβέρνησης δεδομένων, διαφάνειας και ανθρώπινης εποπτείας. Όλοι οι φορείς, ανεξαρτήτως μεγέθους, πρέπει ακόμα να διασφαλίζουν ότι τα συστήματα ΤΝ υψηλού κινδύνου πληρούν τις τεχνικές απαιτήσεις των Άρθρων 9 έως 15 και παραμένουν υποκείμενα σε υποχρεώσεις εποπτείας αγοράς.

Τι Σημαίνει αυτό στην Πράξη

Το Άρθρο 63 είναι μέσο αναλογικότητας. Η πρακτική του επίδραση είναι η μείωση της διοικητικής επιβάρυνσης για τους μικρότερους συμμετέχοντες στην αγορά και για ορισμένους αναπτύσσοντες φορείς του δημόσιου τομέα, χωρίς να διακυβεύονται οι στόχοι ασφάλειας του Κανονισμού.

Για παρόχους πολύ μικρών επιχειρήσεων, η σημαντικότερη ανακούφιση αφορά τα συστήματα διαχείρισης ποιότητας του Άρθρου 17. Αντί να διατηρούν πλήρως τεκμηριωμένο ΣΔΠ με ορισμένους ρόλους, διαδικασίες διαχείρισης αλλαγών, σχέδια παρακολούθησης μετά τη διάθεση στην αγορά και συστηματικό έλεγχο εκδόσεων, μια πολύ μικρή επιχείρηση μπορεί να εφαρμόσει ισοδύναμη διακυβέρνηση μέσω απλούστερων εσωτερικών διαδικασιών — για παράδειγμα, συνοπτικό έγγραφο πολιτικής, ορισμένο υπεύθυνο πρόσωπο και βασικό μητρώο περιστατικών — εφόσον αυτά τα μέτρα αντιμετωπίζουν επαρκώς τον κίνδυνο. Οι υποχρεώσεις τεχνικής τεκμηρίωσης του Άρθρου 11 και οι διαδικασίες αξιολόγησης συμμόρφωσης των Άρθρων 43–44 εξακολουθούν να ισχύουν πλήρως, όπως και οι υποχρεώσεις εγγραφής στη βάση δεδομένων της ΕΕ βάσει του Άρθρου 71.

Για αναπτύσσοντες φορείς δημόσιους, το Άρθρο 63 αναγνωρίζει ότι, όταν μια αναθέτουσα αρχή προμηθεύεται σύστημα ΤΝ υψηλού κινδύνου, οι κύριες υποχρεώσεις συμμόρφωσης βαρύνουν τον πάροχο. Οι υποχρεώσεις του αναπτύσσοντος φορέα βάσει του Άρθρου 26 — συμπεριλαμβανομένων εκτιμήσεων αντίκτυπου στα θεμελιώδη δικαιώματα, ορισμού ανθρώπινης εποπτείας και καταγραφής — παραμένουν ανέπαφες, αλλά το Άρθρο 63 παρέχει πλαισιακή σαφήνεια ότι οι εν λόγω φορείς δεν αναμένεται να αναπαράγουν τεχνική τεκμηρίωση πλευράς παρόχου που δεν διαθέτουν.

Πρακτικό παράδειγμα: Μια νεοφυής επιχείρηση δύο ατόμων στον τομέα της νομικής τεχνολογίας που διαθέτει στην αγορά σύστημα ΤΝ για αναθεώρηση συμβολαίων (Παράρτημα III, σημείο 5(α) — πρόσβαση σε νομική βοήθεια) πρέπει να διεξαγάγει αξιολόγηση συμμόρφωσης και να εγγράψει το σύστημα, αλλά μπορεί να τεκμηριώσει τη διαδικασία διαχείρισης κινδύνου μέσω απλοποιημένης εσωτερικής διαδικασίας αντί τυπικού ΣΔΠ ευθυγραμμισμένου με ISO. Ένας μεγάλος δήμος που αναπτύσσει το ίδιο σύστημα από τρίτο πάροχο παραμένει υποκείμενος σε υποχρεώσεις αναπτύσσοντος φορέα αλλά δεν αναμένεται να παράγει τον τεχνικό φάκελο του παρόχου.

Οι φορείς θα πρέπει να τεκμηριώνουν την επιλεξιμότητά τους για παρεκκλίσεις — συγκεκριμένα την κατάταξή τους ως πολύ μικρής επιχείρησης — ως μέρος των αρχείων συμμόρφωσής τους, καθώς οι αρχές εποπτείας αγοράς μπορεί να ζητήσουν αποδεικτικά στοιχεία.

Βασικές Υποχρεώσεις

• Θέσπιση αναλογικών διαδικασιών διαχείρισης ποιότητας: Πάροχοι πολύ μικρών επιχειρήσεων πρέπει να εφαρμόζουν εσωτερικές διαδικασίες που καλύπτουν την ουσία των υποχρεώσεων του Άρθρου 17 — διαχείριση κινδύνου, διακυβέρνηση δεδομένων, τεκμηρίωση, παρακολούθηση μετά τη διάθεση στην αγορά — κατάλληλα κλιμακωμένες ανάλογα με το μέγεθός τους και το προφίλ κινδύνου του συστήματος ΤΝ, ακόμη και αν όχι μέσω τυπικού τεκμηριωμένου ΣΔΠ.
• Διατήρηση πλήρους τεχνικής τεκμηρίωσης: Οι παρεκκλίσεις του Άρθρου 63 δεν μειώνουν τις απαιτήσεις τεχνικής τεκμηρίωσης βάσει του Άρθρου 11 και του Παραρτήματος IV. Οι πάροχοι πρέπει ακόμα να παράγουν, να διατηρούν και να καθιστούν διαθέσιμη τεκμηρίωση που αποδεικνύει τη συμμόρφωση.
• Ολοκλήρωση ισχύουσας αξιολόγησης συμμόρφωσης: Όλοι οι πάροχοι συστημάτων ΤΝ υψηλού κινδύνου, συμπεριλαμβανομένων των πολύ μικρών επιχειρήσεων, πρέπει να ολοκληρώνουν τη διαδικασία αξιολόγησης συμμόρφωσης βάσει του Άρθρου 43 πριν διαθέσουν ένα σύστημα στην αγορά ή το θέσουν σε λειτουργία.
• Εγγραφή στη βάση δεδομένων του Νόμου ΕΕ για την ΤΝ: Οι υποχρεώσεις εγγραφής βάσει του Άρθρου 71 ισχύουν ανεξαρτήτως μεγέθους φορέα· οι πολύ μικρές επιχειρήσεις πρέπει να εγγράφουν τα συστήματα ΤΝ υψηλού κινδύνου στη δημόσια βάση δεδομένων της ΕΕ που τηρείται από την Επιτροπή.
• Διατήρηση ανθρώπινης εποπτείας και απαιτήσεων ασφάλειας: Οι τεχνικές απαιτήσεις βάσει των Άρθρων 9–15 (διαχείριση κινδύνου, διακυβέρνηση δεδομένων, διαφάνεια, ακρίβεια, αξιοπιστία, κυβερνοασφάλεια και ανθρώπινη εποπτεία) δεν εξαιρούνται και πρέπει να εκπληρώνονται πλήρως από όλους τους παρόχους ανεξαρτήτως μεγέθους.
• Τεκμηρίωση επιλεξιμότητας παρέκκλισης: Φορείς που βασίζονται σε παρεκκλίσεις του Άρθρου 63 πρέπει να τηρούν αρχεία που αποδεικνύουν την αναγνωρισμένη ιδιότητά τους (π.χ. κατάταξη ως πολύ μικρής επιχείρησης ή ιδιότητα αναπτύσσοντος φορέα δημόσιου φορέα) για να τεκμηριώνουν την προσέγγιση συμμόρφωσής τους έναντι των εθνικών αρχών εποπτείας αγοράς.

Σχέση με Άλλα Άρθρα

Το Άρθρο 63 λειτουργεί ως τροποποιητής αναλογικότητας εντός του ευρύτερου πλαισίου συμμόρφωσης με τα συστήματα ΤΝ υψηλού κινδύνου και πρέπει να διαβάζεται σε συνδυασμό με διάφορες άλλες διατάξεις.

Το Άρθρο 17 (Συστήματα διαχείρισης ποιότητας) είναι το κύριο άρθρο από το οποίο αντλούνται οι παρεκκλίσεις για πολύ μικρές επιχειρήσεις· το Άρθρο 63 προϋποθέτει και περιορίζει αυτές τις παρεκκλίσεις. Τα Άρθρα 9–15 ορίζουν το μη παρεκκλίσιμο τεχνικό κατώφλι που το Άρθρο 63 ρητά διατηρεί. Το Άρθρο 26 διέπει τις υποχρεώσεις αναπτύσσοντος φορέα και είναι σχετικό με τις διατάξεις παρέκκλισης για δημόσιους φορείς. Το Άρθρο 11 και το Παράρτημα IV ορίζουν απαιτήσεις τεχνικής τεκμηρίωσης που παραμένουν πλήρως ισχύουσες.

Εντός του Τίτλου VI, το Άρθρο 63 συνυπάρχει με τα Άρθρα 57–62 (ρυθμιστικά sandboxes ΤΝ) και τα Άρθρα 64–68 (μέτρα υποστήριξης για ΜΜΕ και δοκιμές), σχηματίζοντας συνεκτικό πλαίσιο υποστήριξης ΜΜΕ. Το Άρθρο 9 του Τίτλου I (η γενική υποχρέωση αναλογικότητας που ισχύει για όλους τους παρόχους) παρέχει το κανονιστικό αιτιολογικό που διέπει τα ειδικά μέτρα ανακούφισης του Άρθρου 63. Το Άρθρο 71 (βάση δεδομένων ΕΕ) και το Άρθρο 43 (αξιολόγηση συμμόρφωσης) θεσπίζουν υποχρεώσεις που το Άρθρο 63 δεν τροποποιεί.

Χρονοδιάγραμμα Συμμόρφωσης

Ο Νόμος ΕΕ για την ΤΝ τέθηκε σε ισχύ την 1η Αυγούστου 2024, είκοσι ημέρες μετά τη δημοσίευσή του στην Επίσημη Εφημερίδα.

Το σταδιακό πρόγραμμα εφαρμογής που σχετίζεται με το Άρθρο 63 έχει ως εξής:

• 2 Φεβρουαρίου 2025 — Οι απαγορεύσεις πρακτικών ΤΝ μη αποδεκτού κινδύνου (Άρθρο 5) κατέστησαν εφαρμοστέες. Το Άρθρο 63 δεν σχετίζεται με αυτό το στάδιο.
• 2 Αυγούστου 2025 — Οι υποχρεώσεις μοντέλων ΤΝ γενικού σκοπού (Τίτλος III, Κεφάλαιο V) και οι διατάξεις διακυβέρνησης κατέστησαν εφαρμοστέες. Οι παρεκκλίσεις του Άρθρου 63 δεν ισχύουν για παρόχους GPAI.
• 2 Αυγούστου 2026 — Το πλήρες πλαίσιο συστημάτων ΤΝ υψηλού κινδύνου βάσει του Τίτλου III, Κεφάλαιο III, Τμήμα 2 — συμπεριλαμβανομένων των απαιτήσεων από τις οποίες το Άρθρο 63 προβλέπει παρεκκλίσεις — καθίσταται εφαρμοστέο για τα συστήματα που απαριθμούνται στο Παράρτημα III (αυτόνομα συστήματα ΤΝ υψηλού κινδύνου, συμπεριλαμβανομένων βιομετρικών, κρίσιμης υποδομής, εκπαίδευσης, απασχόλησης, βασικών υπηρεσιών, επιβολής νόμου, μετανάστευσης και διαχείρισης της δικαιοσύνης). Οι παρεκκλίσεις του Άρθρου 63 καθίστανται εφαρμοστέες από αυτή την ημερομηνία για τους αναγνωρισμένους φορείς.
• 2 Αυγούστου 2027 — Τα συστήματα ΤΝ υψηλού κινδύνου που ενσωματώνονται σε προϊόντα που καλύπτονται από την εναρμονισμένη νομοθεσία του Παραρτήματος I (μηχανήματα, ιατροτεχνολογικά προϊόντα, πολιτική αεροπορία, μηχανοκίνητα οχήματα κ.λπ.) υπάγονται στο πλήρες πλαίσιο. Οι παρεκκλίσεις του Άρθρου 63 επεκτείνονται στους αναγνωρισμένους φορείς σε εκείνους τους τομείς προϊόντων από αυτή την ημερομηνία.

Οι φορείς που επιδιώκουν να βασιστούν σε παρεκκλίσεις του Άρθρου 63 θα πρέπει να αρχίσουν εσωτερικές αξιολογήσεις επιλεξιμότητας και αναλογικό σχεδιασμό συμμόρφωσης καλά πριν από την ισχύουσα ημερομηνία για την κατηγορία του συστήματός τους.