Artikla 23 — Maahantuojien velvollisuudet (EU:n tekoälylaki)

Asetuksen (EU) 2024/1689 artikla 23 — Maahantuojien velvollisuudet. Virallinen teksti, käytännön tulkinta, keskeiset velvollisuudet ja vaatimustenmukaisuuden vaikutukset.

Virallisen tekstin yhteenveto

Asetuksen (EU) 2024/1689 (EU:n tekoälylaki) artikla 23 vahvistaa korkean riskin tekoälyjärjestelmien maahantuojille kuuluvat vaatimustenmukaisuusvelvollisuudet. Artikla sisältyy III osaston 3 lukuun, jossa säädetään toimittajien, käyttöönottajien, maahantuojien ja jakelijoiden velvollisuuksista.

Artiklan 23 mukaan maahantuojan on ennen korkean riskin tekoälyjärjestelmän saattamista markkinoille varmistettava, että:

1. toimittaja on suorittanut asianmukaisen vaatimustenmukaisuuden arviointimenettelyn;
2. toimittaja on laatinut liitteen IV edellyttämän teknisen dokumentaation;
3. järjestelmässä on vaadittu CE-merkintä ja sen mukana toimitetaan EU:n vaatimustenmukaisuusvakuutus ja käyttöohjeet;
4. toimittaja on nimennyt unionissa valtuutetun edustajan artiklan 22 mukaisesti.

Jos maahantuojalla on syytä uskoa, että järjestelmä ei ole asetuksen mukainen, hänen on kiellettävä sen saattaminen markkinoille, kunnes vaatimustenmukaisuus on varmistettu. Jos järjestelmä aiheuttaa artiklan 6 mukaisen hyväksymättömän riskin, maahantuojan on ilmoitettava asiasta toimittajalle, valtuutetulle edustajalle ja asianomaisille markkinavalvontaviranomaisille.

Maahantuojien on myös varmistettava, että korkean riskin tekoälyjärjestelmän vaatimustenmukaisuus ei vaarannu varastointi- tai kuljetusolosuhteissa heidän vastuullaan ollessaan. Heidän on ilmoitettava oma nimensä, rekisteröity toiminimensä tai merkkinsä ja postiosoitteensa järjestelmässä tai sen pakkauksessa. Lisäksi maahantuojien on säilytettävä kopio EU:n vaatimustenmukaisuusvakuutuksesta ja teknisestä dokumentaatiosta kymmenen vuotta ja tehtävä täysimääräistä yhteistyötä toimivaltaisten viranomaisten kanssa.

Mitä tämä tarkoittaa käytännössä

Artiklalla 23 on välittömiä ja konkreettisia vaikutuksia mihin tahansa EU:hun sijoittautuneeseen yhteisöön, joka hankkii ja saattaa EU:n markkinoille korkean riskin tekoälyjärjestelmän, jonka on kehittänyt unionin ulkopuolelle sijoittautunut toimittaja.

Ketä se koskee. Eurooppalainen jakelija, joka tuo maahan yhdysvaltalaisen ohjelmistoyrityksen kehittämän korkean riskin tekoälypohjaisen rekrytointityökalun, on tämän artiklan mukainen maahantuoja. Samoin EU:n tytäryhtiö, joka saattaa emoyhtiönsä (kolmannen maan) korkean riskin tekoälypohjaisen lääketieteellisen diagnostiikkajärjestelmän Euroopan markkinoille, käsitellään maahantuojana ja sille kuuluvat jäljempänä kuvatut velvollisuudet. Sitä vastoin, jos EU:n ulkopuolinen toimittaja nimeää valtuutetun edustajan toimimaan puolestaan, maahantuojan rooli ja siihen liittyvät velvollisuudet ovat erillisiä kyseisen edustajan roolista.

Mitä toimia vaaditaan ennen järjestelmän saattamista markkinoille. Maahantuojien on suoritettava toimittajan vaatimustenmukaisuuspaketin asianmukainen tarkastus: heidän on varmistettava, että vaatimustenmukaisuuden arviointi on valmis, tarkastettava vaatimustenmukaisuusvakuutus, varmistettava CE-merkintä ja tarkistettava, että tekninen dokumentaatio (liite IV) on olemassa ja saatavilla. Kyse ei ole pinnallisesta rastittamisharjoituksesta — jos dokumentaatio puuttuu tai on perusteltuja syitä epäillä vaatimustenmukaisuutta, maahantuojan on keskeytettävä prosessi.

Jatkuvat velvollisuudet. Kun järjestelmä on markkinoilla, maahantuojien on säilytettävä oma kopio vakuutuksesta ja dokumentaatiosta vuosikymmenen ajan, kiinnitettävä yhteystietonsa järjestelmään tai pakkaukseen ja raportoitava vakavista vaaratilanteista tai vaatimustenvastaisuuksista markkinavalvontaviranomaisille. Heidän on myös tehtävä yhteistyötä kansallisten viranomaisten pyytämissä markkinoiden jälkeisen valvonnan toimissa tai tutkimuksissa ja varmistettava, ettei mikään varastointi tai logistinen käsittely heikennä järjestelmän vaatimustenmukaisuusominaisuuksia.

Käytännön esimerkki: EU:hun sijoittautunut terveydenhuollon teknologiamaahantuoja, joka tuo maahan liitteessä III luetellun kolmannen maan tekoälypohjaisen triagejärjestelmän, on suoritettava täysimääräinen dokumentaatiotarkastus, vahvistettava CE-merkintä, merkittävä tuote EU-osoitteellaan ja säilytettävä asiakirjat kymmenen vuotta — ennen kuin yhtään sairaalaa lähestytään asiakkaana.

Keskeiset velvollisuudet

• Markkinoille saattamista edeltävä vaatimustenmukaisuuden tarkastus. Vahvistettava, että toimittaja on suorittanut soveltuvan vaatimustenmukaisuuden arviointimenettelyn artiklan 43 mukaisesti ja että kaikki vaadittu dokumentaatio — tekninen tiedosto (liite IV) ja EU:n vaatimustenmukaisuusvakuutus — on saatavilla ja ajan tasalla.
• CE-merkinnän ja tuotemerkinnän tarkastus. Varmistettava, että korkean riskin tekoälyjärjestelmässä on voimassa oleva CE-merkintä ja että maahantuojan oma nimi, tavaramerkki tai merkki sekä postiosoite näkyvät järjestelmässä tai sen pakkauksessa tai mukana toimitetuissa asiakirjoissa.
• Kielto saattaa vaatimustenvastaisia järjestelmiä markkinoille. Pidättäydyttävä saattamasta markkinoille mitään korkean riskin tekoälyjärjestelmää, jos on perusteltua syytä uskoa, ettei se ole asetuksen mukainen tai aiheuttaa hyväksymättömän riskin; ilmoitettava asiasta toimittajalle, valtuutetulle edustajalle ja asianomaisille markkinavalvontaviranomaisille.
• Dokumentaation säilyttäminen. Säilytettävä kopiot EU:n vaatimustenmukaisuusvakuutuksesta ja teknisestä dokumentaatiosta kymmenen vuotta markkinoille saattamisen tai käyttöön ottamisen päivämäärästä, ja asetettava ne toimivaltaisten viranomaisten saataville pyynnöstä.
• Vaaratilanteiden ja vaatimustenvastaisuuksien raportointi. Ilmoitettava välittömästi asianomaisille kansallisille markkinavalvontaviranomaisille ja toimittajalle, jos jo markkinoille saatetun järjestelmän todetaan olevan vaatimustenvastainen tai aiheuttavan riskin, ja tehtävä yhteistyötä vaadittujen korjaavien tai tutkivien toimenpiteiden kanssa.
• Vaatimustenmukaisuusehtojen säilyttäminen. Varmistettava, että maahantuojan vastuulla olevat varastointi-, käsittely- ja kuljetusjärjestelyt eivät vaaranna korkean riskin tekoälyjärjestelmän vaatimustenmukaisuutta III osaston 2 luvussa vahvistettujen vaatimusten suhteen.

Suhde muihin artikloihin

Artiklaa 23 ei voi lukea erillään. Se liittyy läheisesti artiklaan 16 (Toimittajien velvollisuudet), jossa vahvistetaan perustavanlaatuiset vaatimustenmukaisuusvelvollisuudet, joiden noudattamista maahantuoja tarkastaa ennen markkinoille saattamista. Artiklaan 22 (Valtuutetut edustajat) viitataan suoraan: maahantuojan on vahvistettava, että tällainen edustaja on nimetty, ja erotettava maahantuojan rooli edustajan roolista. Artikla 43 (Vaatimustenmukaisuuden arviointi) määrittelee menettelyt, joiden valmistumisen maahantuojan on varmistettava.

Dokumentaation osalta liite IV täsmentää teknisen dokumentaation, jonka olemassaolon maahantuojan on tarkastettava, ja artikla 47 sääntelee järjestelmän mukana toimitettavaa EU:n vaatimustenmukaisuusvakuutusta. Markkinoille saattamisen jälkeisten velvollisuuksien osalta artikla 72 (Markkinoille saattamisen jälkeinen seuranta) ja artikla 73 (Vakavien vaaratilanteiden raportointi) tarjoavat kehyksen, jonka puitteissa maahantuojien raportointivelvollisuudet toimivat. Artikla 25 (Jakelijoiden velvollisuudet) on luonnollinen täydentävä säännös, joka selventää, miten velvollisuudet eroavat, kun järjestelmä siirtyy toimitusketjussa pidemmälle maahantuojan ohi.

Vaatimustenmukaisuuden aikataulu

EU:n tekoälylaki tuli voimaan 1. elokuuta 2024, kaksikymmentä päivää sen julkaisemisen jälkeen virallisessa lehdessä. Sen säännöksiä sovelletaan kuitenkin vaiheistettuna:

• 2. helmikuuta 2025 — Kiellot hyväksymättömän riskin tekoälykäytännöistä (II osasto, artikla 5) tulivat sovellettaviksi. Maahantuojat eivät suoraan kuulu näiden kieltojen piiriin, mutta heidän on oltava tietoisia, etteivät heidän tuomansa järjestelmät saa kuulua näihin luokkiin.
• 2. elokuuta 2025 — Yleiskäyttöisiä tekoälymalleja (VIII osasto) ja hallintarakenteita koskevat säännökset tulivat sovellettaviksi. Artikla 23 ei suoraan koske GPAI-malleja.
• 2. elokuuta 2026 — III osaston mukaiset korkean riskin tekoälyjärjestelmiä koskevat velvollisuudet, mukaan lukien artikla 23, tulevat täysimääräisesti sovellettaviksi liitteessä III tarkoitettujen järjestelmien (korkean riskin tekoälyjärjestelmien pääluokka) osalta. Näiden järjestelmien maahantuojien on oltava täysin vaatimustenmukaisia tästä päivämäärästä alkaen.
• 2. elokuuta 2027 — Pidennetty määräaika liitteessä I tarkoitetuille korkean riskin tekoälyjärjestelmille (turvakomponentit olemassa olevan unionin yhdenmukaistamislainsäädännön nojalla), jotka oli jo saatettu markkinoille ennen 2. elokuuta 2026.

Maahantuojien tulisi pitää 2. elokuuta 2026 ehdottomana määräaikana asianmukaisen huolellisuuden ja dokumentointiprosessien käyttöönotolle kaikkien toimitusketjussaan olevien liitteen III mukaisten korkean riskin tekoälyjärjestelmien osalta.