Artikkel 31 — Teavitatud asutustele esitatavad nõuded (EL AI määrus)

Määruse (EL) 2024/1689 artikkel 31 — Teavitatud asutustele esitatavad nõuded. Ametlik tekst, praktiline tõlgendus, põhikohustused ja vastavuse tagamise mõju.

Ametliku teksti kokkuvõte

Määruse (EL) 2024/1689 artikkel 31 kehtestab tingimused, millele vastavushindamisasutus peab vastama, enne kui liikmesriik saab teavitada teda Euroopa Komisjonile kui asutusest, kes on pädev läbi viima suure riskiga tehisintellektisüsteemide kolmanda isiku vastavushindamisi.

Artikkel seab nõuded mitmes dimensioonis. Esiteks peab asutus olema asutatud riikliku õiguse alusel ja omama juriidilise isiku staatust. Teiseks peab ta olema sõltumatu tehisintellektisüsteemidest, mida ta hindab, nende pakkujatest ning mis tahes ärilistest, rahalistest või muudest survetest, mis võiksid kompromiteerida tema otsustusvõimet; ei asutus ega tema töötajad tohi olla nende tehisintellektisüsteemide, mida nad hindavad, projekteerija, arendaja, tootja, tarnija, paigaldaja, ostja, omanik, kasutaja või hooldustöötaja. Kolmandaks peavad asutusel ja tema töötajatel olema vajalik tehniline pädevus — sealhulgas asjakohane kogemus tehisintellektitehnoloogiate ja andmepraktikatega — ning nad peavad seda pädevust pidevkoolituse kaudu säilitama. Neljandaks peab asutus olema finantsiliselt usaldusväärne ja omama piisavat vastutuskindlustust. Viiendaks peavad asutusel olema dokumenteeritud protsessid huvide konfliktide käsitlemiseks, hindamise käigus saadud teabe konfidentsiaalsuse tagamiseks ning pakkujate ja kolmandate isikute huvide kaitsmiseks. Lõpuks peab asutus osalema koordineerimistegevuses liidu tasandil ja tegema koostööd turujärelevalveasutuste ning teavitavate asutustega.

Kui teavitatud asutus annab ülesandeid allhanke korras edasi või kasutab tütarettevõtjat, peab ta tagama, et need üksused vastavad samadele nõuetele, ning säilitab täieliku vastutuse nende töö eest.

Mida see praktikas tähendab

Artikkel 31 on suunatud peamiselt teavitatud asutuse staatust taotlevatele vastavushindamisasutustele ning riiklikele teavitavatele asutustele, kes vastutavad nende hindamise ja määramise eest. See ei kohusta otseselt tehisintellekti pakkujaid, kuid selle nõuded kujundavad ökosüsteemi, milles pakkujad peavad tegutsema.

Vastavushindamisasutuste jaoks tähendab artikli 31 järgimine põhjalikku siseauditit enne teavitamistaotluse esitamist. See hõlmab strukturaalset ülevaatust sõltumatuse kontrollimiseks pakkujatest ja tarneahelatest, personali värbamist või ümberõpet käsilkäes kogemusega masinõppe, andmehalduse ja hinnatavate tehisintellektisüsteemide konkreetse rakendusvaldkonna (näiteks meditsiiniseadmete, biomeetriliste süsteemide või kriitilise infrastruktuuri) alal. Asutused peavad kehtestama dokumenteeritud juhtimissüsteemid, mis hõlmavad konfidentsiaalsust, huvide konflikti ja kvaliteeditagamist, ning tagama asjakohase erialase vastutuskindlustuse.

Suure riskiga tehisintellektisüsteemide pakkujate jaoks, kellel on vaja artikli 43 kohast kolmanda isiku vastavushindamist — näiteks Annex III-s loetletud süsteemid, mida ühtlustatud standard täielikult ei kata — tähendab teavitatud asutuse valimine kontrollimist, et asutus on nõuetekohaselt kantud NANDO andmebaasi ja et tema teavituse ulatus hõlmab asjakohast tehisintellekti rakendusvaldkonda. Pakkujad peaksid kontrollima ka asutuse alltöövõtukorraldusi ning veenduma, et tütarettevõtjatest hindajad vastavad ise nõuetele.

Riiklikud teavitavad asutused peavad looma hindamisraamistikud, mis testivad taotlejaid rangelt iga artikli 31 kriteeriumi alusel, ning kehtestama järelevalvemenetlused jätkuva vastavuse kontrollimiseks pärast teavitamist, kuna nende nõuete jätkuv täitmine on teavitatud staatuse säilitamise tingimus.

Põhikohustused

• Sõltumatus ja erapooletus: Teavitatud asutus, selle kõrgem juhtkond ja vastavushindamisülesannete täitmise eest vastutavad töötajad ei tohi olla hinnatavate tehisintellektisüsteemide projekteerija, arendaja, tootja, tarnija ega kasutaja ning peavad olema vabad mis tahes mõjust — ärilisest, rahalisest või muust —, mis võiks mõjutada nende objektiivsust.
• Tehniline pädevus: Asutus peab tõendama piisavaid teadmisi ja kogemusi tehisintellektitehnoloogiate, andmete ja andmehalduse, küberturvalisuse ning hinnatavate süsteemide konkreetse rakendusvaldkonna alal ning tagama, et töötajad läbivad pidevkoolituse, et sammu pidada tehnoloogiliste arengutega.
• Juriidiline isik ja rahaline stabiilsus: Asutus peab olema riikliku õiguse alusel seaduslikult asutatud üksus ning suutma tõendada rahalist usaldusväärsust ja omama piisavat vastutuskindlustust oma hindamistegevuse katteks.
• Dokumenteeritud juhtimissüsteemid: Asutus peab rakendama dokumenteeritud menetlusi huvide konfliktide käsitlemiseks, äriliselt tundliku teabe konfidentsiaalsuse kaitsmiseks ning pakkujatelt saadud kaebuste ja edasikaebuste haldamiseks.
• Alltöövõtu ja tütarettevõtjate reeglid: Ülesannete allhanke korras edasiandmisel või tütarettevõtjale delegeerimisel peab teavitatud asutus kontrollima, et alltöövõtja või tütarettevõtja täidab kõiki artikli 31 nõudeid, teavitama pakkujat enne alltöövõtu rakendamist ning säilitab täieliku õigusliku vastutuse tulemuste eest.
• Koostöö ja osalemine: Teavitatud asutus peab tegema koostööd riiklike turujärelevalveasutuste ja teavitavate asutustega ning osalema AI määruse raamistiku alusel teavitatud asutuste jaoks loodud liidu tasandi koordineerimisrühmades.

Seos teiste artiklitega

Artikkel 31 asub III jaotise 4. peatükis, mis reguleerib kogu teavitava asutuse ja teavitatud asutuse raamistikku. Seda tuleb lugeda koos artikliga 28, mis määratleb teavitavate asutuste kohustused, artikliga 29, mis sätestab teavitamistaotluste nõuded ja komisjoni teavitamismenetluse, ning artikliga 30, mis käsitleb teavitavate asutuste asutamist ja ülesandeid riiklikul tasandil.

Järgnevana seostub artikkel 31 otseselt artikliga 33, mis täpsustab teavitatud asutuste tegevuskohustusi pärast määramist — sealhulgas nende kohustust viia hindamisi läbi vastavalt artiklitele 43 ja 44 — ning artikliga 44, mis reguleerib teavitatud asutuste väljastatud sertifikaate ning nende peatamise või tagasivõtmise tingimusi. Artikkel 43 määrab täpselt, millal on kolmanda isiku vastavushindamine teavitatud asutuse poolt kohustuslik ja millal võib pakkuja tugineda sisemisele kontrollile. Artikkel 49 ELi vastavusdeklaratsiooni ja artikkel 50 CE-märgise kohta on allavoolu tulemid, mis sõltuvad kehtivast teavitatud asutuse sertifikaadist, kui see on nõutud.

Vastavuse ajakava

Määrus (EL) 2024/1689 jõustus 1. augustil 2024. EL AI määrus kohaldub järkjärgulistena:

• 2. veebruar 2025: Vastuvõetamatu riskiga tehisintellektipraktikate keelud (II jaotis) hakkasid kohalduma.
• 2. august 2025: Üldotstarbeliste tehisintellektimudelite reeglid (VIII jaotis) ja liikmesriikide juhtimiskohustused muutusid kohaldatavaks.
• 2. august 2026: Annex III-s loetletud suure riskiga tehisintellektisüsteemide peamised kohustused — sealhulgas vastavushindamisnõuded artikli 43 alusel ning seetõttu teavitatud asutuste tegevusnõuded artikli 31 alusel — muutuvad täielikult kohaldatavaks.
• 2. august 2027: Pikendatud tähtaeg teatud suure riskiga tehisintellektisüsteemide jaoks, mis on samuti Annex I-s loetletud liidu ühtlustamisõiguse alusel reguleeritud toodete (nt meditsiiniseadmed ja masinad) ohutuskomponendid.

Praktikas peavad vastavushindamisasutused, kes soovivad tegutseda 2. augustiks 2026, olema alustanud taotlusmenetlust hyvyviss ette enne seda kuupäeva, arvestades riikliku hindamise ja ametliku komisjoni teavitamise jaoks kuluvat aega. Seetõttu oodati liikmesriikidelt teavitava asutuse raamistike ja hindamismenetluste kehtestamist hiljemalt 2025. aasta keskpaigaks.