Članak 22. — Ovlašteni zastupnici pružatelja s poslovnim nastanom izvan Unije (Akt EU-a o umjetnoj inteligenciji)

Članak 22. Uredbe (EU) 2024/1689 — Ovlašteni zastupnici pružatelja s poslovnim nastanom izvan Unije. Službeni tekst, praktično tumačenje, ključne obveze i implikacije za usklađenost.

Sažetak službenog teksta

Članak 22. Uredbe (EU) 2024/1689 uspostavlja obvezni pristupni mehanizam za pružatelje visokorizičnih sustava UI i modela UI opće namjene koji imaju poslovni nastan u trećim zemljama, ali koji stavljaju te sustave ili modele na tržište Unije ili ih puštaju u upotrebu unutar Unije.

Takvi pružatelji moraju, prije stavljanja sustava UI ili modela GPAI na raspolaganje u EU-u, odrediti — pisanom ovlašću — ovlaštenog zastupnika s poslovnim nastanom u Uniji. Ovlast mora ovlastiti tog zastupnika za obavljanje definiranog skupa zadaća u ime pružatelja: provjera da su EU izjava o sukladnosti i potrebna tehnička dokumentacija pravilno izrađene; osiguravanje registracije u bazi podataka EU-a iz članka 71.; te djelovanje kao jedina prepoznatljiva kontaktna točka za Ured za UI i za nacionalna nadležna tijela u svim pitanjima usklađenosti s Uredbom.

Ovlašteni zastupnik mora biti uključen u obvezne informacije za registraciju i mora imati pristup dovoljnoj dokumentaciji kako bi mogao ispuniti svoje obveze. Zastupnik djeluje pod stalnom dužnošću suradnje s nadležnim tijelima i promptnog upozoravanja pružatelja na bilo koji identificirani rizik ili nesukladnost. Važno je da imenovanje ovlaštenog zastupnika ne oslobađa pružatelja iz treće zemlje od njegovih vlastitih obveza prema Uredbi; obje strane nose posebne odgovornosti, a odgovornost zastupnika nastaje posebno iz zadaća pripisanih u ovlasti.

Što to znači u praksi

Članak 22. funkcionira kao ekvivalent Akta EU-a o UI za koncepte "odgovorne osobe" ili "ovlaštenog zastupnika" koji su već poznati iz zakonodavstva o sigurnosti proizvoda, poput Uredbe o medicinskim uređajima i Uredbe o općoj sigurnosti proizvoda. Njegov praktični učinak je osiguranje da je pravno prepoznatljivi subjekt s fizičkom prisutnošću unutar EU-a uvijek dostupan regulatorima, bez obzira gdje se nalazi sjedište developera sustava UI.

Na koga se to odnosi. Svaka tvrtka izvan EU-a — bila to američka tvrtka za razvoj temeljnih modela, singapurska tvrtka za softver za robotiku ili britanska HR-tech tvrtka — koja nudi visokorizični sustav UI ili model GPAI kupcima, korisnicima ili krajnjim korisnicima u EU-u mora uspostaviti ovu strukturu. To uključuje tvrtke koje distribuiraju putem EU reselera ili platformi u oblaku: obveza se odnosi na pružatelja, a ne na distribucijski kanal.

Što se mora učiniti. Pružatelj mora identificirati fizičku ili pravnu osobu s poslovnim nastanom u državi članici EU-a, sklopiti pisanu ovlast kojom se specificiraju ovlaštene zadaće zastupnika, osigurati da zastupnik drži kopije (ili siguran pristup) relevantne tehničke dokumentacije i izjava o sukladnosti te registrirati pojedinosti zastupnika u bazi podataka EU-a prema članku 71.

Konkretan primjer. Kanadska tvrtka koja razvija AI alat za kreditno bodovanje klasificiran kao visokorizičan prema Prilogu III. mora ugovoriti odvjetničku tvrtku, konzultantsku tvrtku za usklađenost ili namjenski pravni subjekt s poslovnim nastanom u EU-u kao ovlaštenog zastupnika prije prihvaćanja bilo koje EU banke kao klijenta. Ime, adresa i kontaktni podaci tog zastupnika pojavljuju se u bazi podataka EU-a i na dokumentaciji proizvoda, dajući francuskim ili njemačkim tijelima za nadzor tržišta neposrednu domaću kontaktnu točku.

Trajna obveza. Ovlast nije jednokratno podnošenje. Zastupnik mora ostati dostupan, ažurirati dokumentaciju i promptno eskalirati svaku identificiranu nesukladnost pružatelju.

Ključne obveze

• Obvezna pisana ovlast: Pružatelj mora dodijeliti ovlaštenom zastupniku formalnu, pisanu ovlast prije stavljanja visokorizičnog sustava UI ili modela GPAI na tržište EU-a, izričito navodeći koje zadaće zastupnik ima ovlast obavljati u ime pružatelja.
• Zahtjev poslovnog nastana u EU-u: Ovlašteni zastupnik mora biti fizička ili pravna osoba s poslovnim nastanom unutar Europske unije; zastupnik s poslovnim nastanom u trećoj zemlji — uključujući EEA EFTA države koje nisu obuhvaćene sporazumom o ekvivalentnosti — ne zadovoljava ovaj zahtjev.
• Pristup dokumentaciji i provjera: Zastupnik mora provjeriti da su EU izjava o sukladnosti i tehnička dokumentacija koja se zahtijeva prema člancima 11. i 18. pravilno izrađene te mora imati pristup tim dokumentima za trajanje ovlasti.
• Registracija u bazi podataka EU-a: Zastupnik je odgovoran za osiguravanje da su informacije pružatelja — uključujući vlastite kontaktne podatke zastupnika — registrirane u bazi podataka EU-a iz članka 71. te da se registracija drži ažurnom.
• Kontaktna točka za tijela: Ovlašteni zastupnik služi kao primarna kontaktna točka za Ured za UI i nacionalna nadležna tijela za sva pitanja usklađenosti, nadzora tržišta i provedbe u vezi sa sustavom UI ili modelom GPAI u opsegu.
• Dužnost upozorenja i suradnje: Zastupnik mora promptno informirati pružatelja o svakom riziku za zdravlje, sigurnost ili temeljna prava ili svakoj sumnji na nesukladnost koja mu dođe do znanja te mora u potpunosti surađivati s nadležnim tijelima na zahtjev, uključujući dostavljanje dokumentacije i pristupa evidencijama.

Odnos prema ostalim člancima

Članak 22. djeluje unutar šireg okvira Poglavlja 3. koji uređuje obveze pružatelja i korisnika te ga treba čitati uz nekoliko drugih odredbi.

Članak 16. utvrđuje cjelovit popis obveza koji se primjenjuje na pružatelje visokorizičnih sustava UI; članak 22. učinkovito delegira domaće izvršenje tih obveza ovlaštenom zastupniku gdje pružatelj ima poslovni nastan izvan EU-a.

Članci 11. i 18. definiraju obveze tehničke dokumentacije i vođenja evidencija koje zastupnik mora verificirati da su ispunjene prije stavljanja sustava na tržište.

Članak 71. uspostavlja bazu podataka EU-a u kojoj se moraju registrirati pojedinosti zastupnika, čineći članak 22. preduvjetom za zakonitu registraciju pružatelja iz trećih zemalja.

Članak 53. uređuje obveze specifične za pružatelje modela UI opće namjene; članak 22. proširuje zahtjev za ovlaštenim zastupnikom na ovu kategoriju, pojačavajući da pružatelji GPAI izvan EU-a suočavaju se s ekvivalentnim pristupnim obvezama.

Članci 74. i 75. o nadzoru tržišta izravno su opsluženi člankom 22.: nadležna tijela vršit nadzorne ovlasti prema ovlaštenom zastupniku kao domaćem sidru provedbe kada stvarni pružatelj nije dostupan.

Vremenski okvir usklađenosti

Akt EU-a o UI (Uredba 2024/1689) stupio je na snagu 1. kolovoza 2024., dvadeset dana nakon objave u Službenom listu. Primjena je fazna:

• 2. veljače 2025. — Odredbe o zabranjenim praksama UI (članak 5.) postale su primjenjive. Članak 22. se u ovoj fazi još ne primjenjuje izolirano, ali pružatelji već trebaju procjenjivati spadaju li njihovi sustavi u visokorizičan ili GPAI opseg.
• 2. kolovoza 2025. — Obveze koje se primjenjuju na modele UI opće namjene (Glava V., uključujući članak 53.) postaju primjenjive. Budući da članak 22. izričito obuhvaća pružatelje modela GPAI, pružatelji GPAI iz trećih zemalja moraju imati ovlaštenog zastupnika na mjestu do ovog datuma.
• 2. prosinca 2026. — Visokorizični sustavi UI navedeni u Prilogu III. koji su već podložni postojećem zakonodavstvu EU-a o sigurnosti proizvoda moraju ispuniti cjelovit lanac obveza pružatelja, uključujući zahtjeve za ovlaštenim zastupnikom iz članka 22.
• 2. kolovoza 2027. — Svi preostali visokorizični sustavi UI navedeni u Prilogu III. postaju podložni cjelovitom skupu obveza. Pružatelji iz trećih zemalja tih sustava koji još nisu odredili ovlaštenog zastupnika bit će u kršenju od ovog datuma.

Pružatelji koji stavljaju visokorizične sustave na tržište EU-a po prvi put nakon 2. kolovoza 2024. trebaju tretirati zahtjev za ovlaštenim zastupnikom kao preduvjet za pristup tržištu od samog početka, a ne čekati relevantni datum primjene za svoju kategoriju sustava.