Članak 31. — Zahtjevi koji se odnose na prijavljena tijela (Akt EU o UI)

Članak 31. Uredbe (EU) 2024/1689 — Zahtjevi koji se odnose na prijavljena tijela. Službeni tekst, praktično tumačenje, ključne obveze i implikacije za usklađenost.

Sažetak službenog teksta

Članak 31. Uredbe (EU) 2024/1689 uspostavlja uvjete koje tijelo za ocjenu sukladnosti mora ispuniti prije nego što ga država članica može prijaviti Europskoj komisiji kao tijelo nadležno za provođenje neovisnih ocjena sukladnosti sustava UI visokog rizika.

Članak nameće zahtjeve u više dimenzija. Prvo, tijelo mora biti osnovano prema nacionalnom pravu i imati pravnu osobnost. Drugo, mora biti neovisno od sustava UI koje ocjenjuje, od njihovih pružatelja i od svakog komercijalnog, financijskog ili drugog pritiska koji bi mogao ugroziti njegovu prosudbu; ni tijelo ni njegovo osoblje ne smiju biti projektant, razvojni inženjer, proizvođač, dobavljač, instalater, kupac, vlasnik, korisnik ili održavatelj sustava UI koje ocjenjuju. Treće, tijelo i njegovo osoblje moraju posjedovati potrebnu tehničku kompetentnost — uključujući relevantno iskustvo s tehnologijama UI i praksama podataka — te moraju održavati tu kompetentnost kroz kontinuiranu izobrazbu. Četvrto, tijelo mora biti financijski stabilno i nositi odgovarajuće osiguranje od odgovornosti. Peto, tijelo mora imati dokumentirane postupke za postupanje sa sukobima interesa, za povjerljivost informacija dobivenih tijekom ocjene i za zaštitu interesa pružatelja i trećih strana. Konačno, tijelo mora sudjelovati u aktivnostima koordinacije na razini Unije i surađivati s tijelima za nadzor tržišta i tijelima za obavješćivanje.

Kada prijavljeno tijelo podugovori zadatke ili koristi podružnicu, mora osigurati da ti subjekti ispunjavaju iste zahtjeve te zadržava punu odgovornost za njihov rad.

Što ovo znači u praksi

Članak 31. primarno je usmjeren na tijela za ocjenu sukladnosti koja traže status prijavljenog tijela, i na nacionalna tijela za obavješćivanje odgovorna za njihovo ocjenjivanje i određivanje. Ne nameće izravne obveze pružateljima UI, ali njegovi zahtjevi oblikuju ekosustav u kojemu pružatelji moraju djelovati.

Za tijela za ocjenu sukladnosti, usklađenost s člankom 31. znači poduzimanje sveobuhvatne interne vježbe pripravnosti prije podnošenja zahtjeva za obavijest. To uključuje strukturalni pregled radi provjere neovisnosti od pružatelja i lanaca opskrbe, zapošljavanje ili prekvalifikaciju osoblja s praktičnim stručnim znanjem u strojnom učenju, upravljanju podacima i specifičnom domenu primjene sustava UI koji se ocjenjuju (na primjer, medicinski uređaji, biometrički sustavi ili kritična infrastruktura). Tijela moraju uspostaviti dokumentirane sustave upravljanja koji pokrivaju povjerljivost, sukobe interesa i osiguranje kvalitete te moraju osigurati odgovarajuće profesionalno osiguranje od odgovornosti.

Za pružatelje UI sustava visokog rizika koji zahtijevaju neovisnu ocjenu sukladnosti prema članku 43. — na primjer, sustave navedene u Prilogu III. za koje usklađena norma ne pokriva sve zahtjeve — odabir prijavljenog tijela znači provjeru da je tijelo propisno navedeno u bazi podataka NANDO i da opseg njegove obavijesti pokriva relevantni sektor primjene UI. Pružatelji bi trebali provjeriti i aranžmane podugovaranja tijela i potvrditi da su podružnice koje provode ocjene same usklađene.

Nacionalna tijela za obavješćivanje moraju izraditi okvire za ocjenjivanje koji strogo testiraju podnositelje zahtjeva prema svakom kriteriju iz članka 31. te uspostaviti postupke praćenja radi provjere kontinuirane sukladnosti nakon obavijesti, budući da je kontinuirano ispunjavanje ovih zahtjeva uvjet za održavanje statusa prijavljenog tijela.

Ključne obveze

• Neovisnost i nepristranost: Prijavljeno tijelo, njegovo više rukovodstvo i osoblje odgovorno za provođenje zadataka ocjene sukladnosti ne smiju biti projektant, razvojni inženjer, proizvođač, dobavljač ili korisnik sustava UI koje ocjenjuju, i moraju biti slobodni od svakog utjecaja — komercijalnog, financijskog ili drugog — koji bi mogao utjecati na njihovu objektivnost.
• Tehnička kompetentnost: Tijelo mora demonstrirati dostatno znanje i iskustvo u tehnologijama UI, podacima i upravljanju podacima, kibersigurnosti i specifičnoj domeni primjene sustava za čiju ocjenu je prijavljeno, te mora osigurati da osoblje prolazi kontinuiranu izobrazbu kako bi pratilo tehnološki razvoj.
• Pravna osobnost i financijska stabilnost: Tijelo mora biti pravno konstituirani subjekt prema nacionalnom pravu i mora moći demonstrirati financijsko zdravlje te nositi odgovarajuće osiguranje od odgovornosti za pokrivanje aktivnosti ocjene.
• Dokumentirani sustavi upravljanja: Tijelo mora upravljati dokumentiranim postupcima za postupanje sa sukobima interesa, zaštitu povjerljivosti komercijalno osjetljivih informacija i upravljanje pritužbama i žalbama pružatelja.
• Pravila o podugovaranju i podružnicama: Kada se zadaci podugovore ili delegiraju podružnici, prijavljeno tijelo mora provjeriti da podugovaratelj ili podružnica ispunjava sve zahtjeve iz članka 31., mora informirati pružatelja prije podugovaranja i zadržava punu pravnu odgovornost za rezultate.
• Suradnja i sudjelovanje: Prijavljeno tijelo mora surađivati s nacionalnim tijelima za nadzor tržišta i tijelima za obavješćivanje te sudjelovati u koordinacijskim skupinama na razini Unije osnovanima za prijavljena tijela u okviru Akta EU o UI.

Odnos prema ostalim člancima

Članak 31. smješten je u Naslovu III., Poglavlju 4., koje uređuje cjelokupni okvir tijela za obavješćivanje i prijavljenih tijela. Mora se čitati zajedno s člankom 28., koji definira obveze tijela za obavješćivanje, člankom 29., koji utvrđuje zahtjeve za zahtjeve za obavijest i postupak obavijesti Komisije, te člankom 30., koji se bavi uspostavom i zadacima tijela za obavješćivanje na nacionalnoj razini.

Uzvodno, članak 31. izravno je povezan s člankom 33., koji specificira operativne obveze prijavljenih tijela nakon određivanja — uključujući njihovu dužnost provođenja ocjena u skladu s člancima 43. i 44. — i s člankom 44., koji uređuje certifikate koje izdaju prijavljena tijela i uvjete za njihovu suspenziju ili povlačenje. Članak 43. precizno određuje kada je neovisna ocjena sukladnosti od strane prijavljenog tijela obvezna nasuprot kada se pružatelj može osloniti na internu kontrolu. Članak 49. o EU izjavi o sukladnosti i članak 50. o CE oznaci su nizvodne ishodišne točke koje ovise o valjanom certifikatu prijavljenog tijela gdje je to potrebno.

Vremenski okvir usklađenosti

Uredba (EU) 2024/1689 stupila je na snagu 1. kolovoza 2024. Akt EU o UI primjenjuje se u fazama:

• 2. veljače 2025.: Zabrane o praksama UI neprihvatljivog rizika (Naslov II.) počele su se primjenjivati.
• 2. kolovoza 2025.: Pravila o modelima AI opće namjene (Naslov VIII.) i upravljačke obveze za države članice postale su primjenjive.
• 2. kolovoza 2026.: Glavne obveze za sustave UI visokog rizika navedene u Prilogu III. — uključujući zahtjeve za ocjenu sukladnosti prema članku 43., a time i operativne zahtjeve za prijavljena tijela prema članku 31. — postaju u potpunosti primjenjive.
• 2. kolovoza 2027.: Produženi rok za određene sustave UI visokog rizika koji su također sigurnosne komponente proizvoda koji su već predmet zakonodavstva o usklađivanju Unije navedenog u Prilogu I. (kao što su medicinski uređaji i strojevi).

U praktičnom smislu, tijela za ocjenu sukladnosti koja žele biti operativna 2. kolovoza 2026. moraju bila počela s postupkom podnošenja zahtjeva znatno prije tog datuma, s obzirom na vrijeme potrebno za nacionalnu ocjenu i formalnu obavijest Komisiji. Stoga se od država članica očekivalo da imaju svoje okvire tijela za obavješćivanje i postupke ocjenjivanja uspostavljene najkasnije do sredine 2025.