Članak 21. — Suradnja s nadležnim tijelima (Uredba EU o AI)

Članak 21. Uredbe (EU) 2024/1689 — Suradnja s nadležnim tijelima. Službeni tekst, praktično tumačenje, ključne obveze i implikacije za usklađenost.

Sažetak službenog teksta

Članak 21. Uredbe (EU) 2024/1689 (Uredba EU o AI) uspostavlja opću obvezu za pružatelje visokorizičnih AI sustava da surađuju s nadležnim nacionalnim tijelima na zahtjev. Prema ovoj odredbi, pružatelji — i, gdje je primjenjivo, njihovi ovlašteni predstavnici — moraju nadležnim tijelima dostaviti sve informacije i dokumentaciju potrebnu za dokazivanje da predmetni visokorizični AI sustav ispunjava zahtjeve utvrđene u Poglavlju 2. Glave III. Ova obveza suradnje proteže se na odobravање pristupa samom AI sustavu kada nadležno tijelo smatra da je takav pristup potreban za ispunjavanje njegovih nadzornih ili tržišno-nadzornih dužnosti.

Članak djeluje unutar šireg okvira nadzora tržišta Uredbe i mora se tumačiti u skladu s ovlastima za provedbu dodijeljenim nacionalnim tijelima prema Glavi X. Ne stvara proaktivnu obvezu otkrivanja u redovnom poslovanju; umjesto toga, aktivira se formalnim ili neformalnim zahtjevom nadzornog tijela. Obveza je bezuvjetna u opsegu: pružatelji ne mogu odbiti suradnju na temelju poslovne povjerljivosti, poslovne tajne ili vlasničkih briga, iako Uredba predviđa posebne zaštitne mjere za postupanje s povjerljivim informacijama od strane tijela. Članak 21. učinkovito funkcionira kao most između obveza sukladnosti nametnute pružateljima i provedbenog kapaciteta regulatorne infrastrukture uspostavljene od strane država članica i Europskog ureda za AI.

Što to znači u praksi

Za pružatelje visokorizičnih AI sustava, članak 21. zahtijeva da se u svakom trenutku održava strukturiran, na reviziju spreman položaj usklađenosti — ne samo u trenutku procjene sukladnosti. Kada nacionalno tržišno nadzorno tijelo, prijavljeno tijelo koje djeluje po ovlaštenju, ili Europski ured za AI pokrene istragu, pružatelj mora biti u mogućnosti brzo odgovoriti s iscrpnom tehničkom dokumentacijom, rezultatima procjene sukladnosti, evidencijom upravljanja rizicima i podacima praćenja nakon stavljanja na tržište.

Na koga se odnosi. Pružatelji koji stavljaju visokorizične AI sustave (navedene u Prilogu III. ili pokrivene sektorskim zakonodavstvom Priloga I.) na tržište EU-a su primarni nositelji obveza. Ovlašteni predstavnici koji djeluju u ime pružatelja iz trećih zemalja nose istu obvezu u okviru svog mandata. Implementatori nisu primarne adresate članka 21., ali mogu biti uvučeni u postupke suradnje gdje njihovi operativni podaci ili pristup implementiranom sustavu zahtijeva tijelo.

Konkretni primjeri. Proizvođač medicinskih uređaja koji integrira AI-pokretani dijagnostički alat mora, na zahtjev, predati cijelu tehničku datoteku uključujući opise podataka za obuku, protokole validacije i zapisnike praćenja nakon implementacije. Zapošljavatelj koji implementira AI-potpomognut alat za pregledavanje životopisa koji je kategoriziran kao visokorizičan prema Prilogu III. mora olakšati pristup tijela logici odlučivanja sustava i konfiguracijskim parametrima ako se otvori istraga.

Operativna priprema. Organizacije bi trebale imenovati funkciju regulatorne veze, održavati verzijama kontroliranu tehničku dokumentaciju i uspostaviti interni protokol za zahtjeve tijela, uključujući pravne rokove pregleda koji ne ometaju pravovremenu suradnju.

Ključne obveze

• Dostaviti dokumentaciju na zahtjev. Pružatelji moraju nadležnim tijelima dostaviti sve informacije i tehničku dokumentaciju potrebnu za procjenu sukladnosti s Poglavljem 2. Glave III., uključujući tehničku datoteku zahtijevanu prema članku 11. i zapisnike koje se vode prema članku 12.
• Odobriti pristup AI sustavu. Kada nadležno tijelo utvrdi da je inspekcija ili interakcija s AI sustavom potrebna, pružatelji moraju olakšati takav pristup bez nepotrebnog odgađanja ili ometanja.
• Surađivati putem ovlaštenih predstavnika. Pružatelji iz trećih zemalja moraju osigurati da je njihov ovlašteni predstavnik s poslovnim nastanom u EU-u ovlašten u potpunosti ispuniti obveze suradnje u njihovo ime, kako se zahtijeva prema članku 22.
• Čuvati informacije u dostupnom obliku. Praktična korisnost članka 21. ovisi o tome da dokumentacija bude aktualna, točna i dostupna. Pružatelji ne smiju dopustiti da tehnički zapisi postanu zastarjeli ili nedostupni u trenutku primitka zahtjeva.
• Suzdržati se od ometanja. Svaki čin ili propust koji ometa, odgađa ili frustrira nadzornu istragu — uključujući selektivno otkrivanje, uništavanje zapisa ili uskraćivanje pristupnih akreditiva — predstavlja kršenje članka 21. i može pokrenuti kazne prema članku 99.
• Proširiti suradnju na aktivnosti nadzora nakon stavljanja na tržište. Suradnja prema članku 21. nije ograničena na provjere sukladnosti prije stavljanja na tržište; obuhvaća kontinuirani nadzorni nadzor kroz cijeli životni ciklus visokorizičnog AI sustava.

Odnos s ostalim člancima

Članak 21. nalazi se na raskrižju obveza pružatelja i regulatorne provedbe te se ne može tumačiti izolirano. Izravno ovisi o članku 11. (tehnička dokumentacija) i članku 12. (vođenje evidencije i zapisivanje), budući da te odredbe definiraju korpus informacija koje pružatelj mora biti u mogućnosti dostaviti. Povezuje se s člankom 17. (sustav upravljanja kvalitetom), koji uređuje organizacijske procese koji podupiru dokumentarnu spremnost. Članak 22. (ovlašteni predstavnici) operacionalizira članak 21. za pružatelje iz trećih zemalja imenujući tko snosi obveze suradnje u EU-u. Na strani provedbe, članak 21. ulazi u tržišno nadzorni režim Glave X (članci 74.-76.), ovlasti Europskog ureda za AI prema Glavi VIII. i kazneni okvir članka 99., koji vezuje sankcije za nesuradnju. Članak 9. (upravljanje rizicima) također je relevantan, jer tijela mogu ispitivati jesu li zapisi identifikacije i smanjenja rizika adekvatni. Čitanje članka 21. zajedno s člancima 13. (transparentnost) i 14. (ljudski nadzor) daje potpunu sliku informacijskog okruženja koje pružatelji moraju održavati.

Vremenski okvir usklađenosti

Uredba EU o AI stupila je na snagu 1. kolovoza 2024., dvadeset dana nakon objave u Službenom listu. Njezine odredbe primjenjuju se po faznom rasporedu:

• 2. veljače 2025. — Postale su primjenjive zabrane AI praksi neprihvatljivog rizika (Glava II.). Članak 21. sam po sebi još nije bio na snazi za visokorizične sustave.
• 2. kolovoza 2025. — Postale su primjenjive odredbe o AI modelima opće namjene (Glava VIII.) i obveze Europskog ureda za AI.
• 2. kolovoza 2026. — Članak 21., zajedno s punim skupom obveza Glave III. za visokorizične AI sustave navedene u Prilogu III. (osim onih pokrivenih ranijim sektorskim zakonodavstvom), postaje primjenjiv. Pružatelji čiji sustavi spadaju u ovu kategoriju moraju biti u potpunosti spremni za suradnju do tog datuma.
• 2. kolovoza 2027. — Visokorizični AI sustavi koji se uređuju harmonizacijskim zakonodavstvom Unije navedenim u Prilogu I. (npr. medicinski uređaji, strojevi, zrakoplovstvo) koji su već podložni postupcima procjene sukladnosti imaju do ovog datuma prije nego što se pune obveze visokorizičnog AI Akta, uključujući članak 21., primjenjuju na naslijeđene proizvode.

Pružatelji bi trebali tretirati razdoblje koje vodi do njihovog primjenjivog datuma ne kao razdoblje grace, već kao vrijeme implementacije: tehnička dokumentacija, infrastruktura za zapisivanje i interni protokoli suradnje trebali bi biti operativni znatno unaprijed od roka.