21. cikk — Együttműködés az illetékes hatóságokkal (EU AI-rendelet)

Az (EU) 2024/1689 rendelet 21. cikke — Együttműködés az illetékes hatóságokkal. Hivatalos szöveg, gyakorlati értelmezés, főbb kötelezettségek és megfelelőségi következmények.

A hivatalos szöveg összefoglalása

Az (EU) 2024/1689 rendelet (az EU AI-rendelet) 21. cikke általános kötelezettséget állapít meg a nagy kockázatú AI-rendszerek szolgáltatói számára, hogy kérésre együttműködjenek az illetékes nemzeti hatóságokkal. E rendelkezés értelmében a szolgáltatóknak — és adott esetben meghatalmazott képviselőiknek — minden szükséges információt és dokumentációt el kell juttatniuk az illetékes hatóságokhoz annak bizonyítása érdekében, hogy a szóban forgó nagy kockázatú AI-rendszer megfelel a III. cím 2. fejezetében meghatározott követelményeknek. Ez az együttműködési kötelezettség kiterjed magához az AI-rendszerhez való hozzáférés biztosítására is, ha az illetékes hatóság úgy ítéli meg, hogy az ilyen hozzáférés szükséges felügyeleti vagy piacfelügyeleti feladatainak ellátásához.

A cikk a Rendelet szélesebb körű piacfelügyeleti keretrendszerében működik, és a tagállamoknak a X. cím értelmében biztosított végrehajtási hatáskörökkel együttesen kell értelmezni. Nem teremt proaktív közzétételei kötelezettséget a szokásos üzleti tevékenység során; sokkal inkább egy felügyeleti szerv formális vagy informális kérésére aktiválódik. A kötelezettség hatókörében feltétel nélküli: a szolgáltatók nem tagadhatják meg az együttműködést kereskedelmi titoktartásra, üzleti titokra vagy tulajdonosi aggályra hivatkozva, bár a Rendelet külön biztosítékokat tartalmaz a hatóságok által kezelt bizalmas információk kezelésére vonatkozóan. A 21. cikk hatékonyan híd szerepét tölti be a szolgáltatókra kirótt megfelelőségi kötelezettségek és a tagállamok és az Európai AI-hivatal által létrehozott szabályozási infrastruktúra végrehajtási kapacitása között.

Mit jelent ez a gyakorlatban

A nagy kockázatú AI-rendszerek szolgáltatói számára a 21. cikk megköveteli, hogy mindenkor fenntartsanak egy strukturált, auditálásra kész megfelelőségi álláspontot — nem csupán a megfelelőségi értékelés időpontjában. Amikor egy nemzeti piacfelügyeleti hatóság, egy megbízás alapján eljáró bejelentett szervezet vagy az Európai AI-hivatal vizsgálatot kezdeményez, a szolgáltatónak képesnek kell lennie arra, hogy haladéktalanul válaszoljon átfogó műszaki dokumentációval, megfelelőségi értékelési eredményekkel, kockázatkezelési nyilvántartásokkal és forgalomba hozatal utáni megfigyelési adatokkal.

Kire vonatkozik. Az EU piacán nagy kockázatú AI-rendszereket (a III. mellékletben felsorolt vagy az I. melléklet ágazati jogszabályai által lefedett) forgalomba hozó szolgáltatók az elsődleges kötelezettségviselők. A harmadik országbeli szolgáltatók nevében eljáró meghatalmazott képviselők megbízatásuk keretein belül ugyanolyan kötelezettséget viselnek. Az üzembe helyezők nem a 21. cikk elsődleges címzettjei, de bevonhatók az együttműködési eljárásokba, ha egy hatóság igényli az operatív adataikat vagy az üzembe helyezett rendszerhez való hozzáférést.

Konkrét példák. Az AI-alapú diagnosztikai eszközt integráló orvosi eszközök gyártójának kérésre át kell adnia a teljes műszaki fájlt, beleértve a képzési adatok leírásait, az érvényesítési protokollokat és az üzembe helyezés utáni megfigyelési naplókat. A III. melléklet alapján nagy kockázatúként besorolt, AI-támogatott önéletrajz-szűrő eszközt alkalmazó toborzónak meg kell könnyítenie a hatóság hozzáférését a rendszer döntési logikájához és konfigurációs paramétereihez, ha vizsgálat indul.

Működési felkészülés. A szervezeteknek ki kell jelölniük egy szabályozási összekötő funkciót, verziókontrollált műszaki dokumentációt kell fenntartaniuk, és belső protokollt kell létrehozniuk a hatósági kérelmekre, ideértve azokat a jogi felülvizsgálati határidőket, amelyek nem akadályozzák az időszerű együttműködést.

Főbb kötelezettségek

• Dokumentáció rendelkezésre bocsátása kérésre. A szolgáltatóknak minden szükséges információt és műszaki dokumentációt el kell juttatniuk az illetékes hatóságokhoz a III. cím 2. fejezete szerinti megfelelőség értékeléséhez, beleértve a 11. cikk szerinti műszaki fájlt és a 12. cikk alapján vezetett naplókat.
• Hozzáférés biztosítása az AI-rendszerhez. Ha az illetékes hatóság megállapítja, hogy az AI-rendszer megvizsgálása vagy azzal való interakció szükséges, a szolgáltatóknak indokolatlan késedelem vagy akadályozás nélkül kell elősegíteniük az ilyen hozzáférést.
• Meghatalmazott képviselőkön keresztüli együttműködés. A harmadik országbeli szolgáltatóknak biztosítaniuk kell, hogy az EU-ban letelepedett meghatalmazott képviselőjük fel legyen hatalmazva arra, hogy nevükben teljes mértékben teljesítse az együttműködési kötelezettségeket, a 22. cikk előírásai szerint.
• Információk visszakereshető formában való megőrzése. A 21. cikk gyakorlati hasznossága attól függ, hogy a dokumentáció aktuális, pontos és visszakereshető legyen. A szolgáltatók nem engedhetik meg, hogy a műszaki nyilvántartások elavulttá vagy elérhetetlenné váljanak a kérelem beérkezésekor.
• Tartózkodás az akadályozástól. Minden olyan cselekmény vagy mulasztás, amely megakadályozza, késlelteti vagy meghiúsítja a felügyeleti vizsgálatot — beleértve a szelektív közzétételt, a nyilvántartások megsemmisítését vagy a hozzáférési hitelesítő adatok visszatartását — a 21. cikk megsértését jelenti, és szankciókat vonhat maga után a 99. cikk alapján.
• Az együttműködés kiterjesztése a forgalomba hozatal utáni felügyeleti tevékenységekre. A 21. cikk szerinti együttműködés nem korlátozódik a forgalomba hozatal előtti megfelelőségi ellenőrzésekre; az a nagy kockázatú AI-rendszer teljes életciklusa alatt folyamatos felügyeleti ellenőrzést foglal magában.

Kapcsolat más cikkekkel

A 21. cikk a szolgáltatói kötelezettségek és a szabályozási végrehajtás metszéspontján helyezkedik el, és nem értelmezhető elszigetelten. Közvetlenül függ a 11. cikktől (műszaki dokumentáció) és a 12. cikktől (nyilvántartás-kezelés és naplózás), mivel ezek a rendelkezések határozzák meg azt az információtestet, amelyet a szolgáltatónak képesnek kell lennie rendelkezésre bocsátani. Kapcsolódik a 17. cikkhez (minőségirányítási rendszer), amely a dokumentációs készséget megalapozó szervezeti folyamatokat szabályozza. A 22. cikk (meghatalmazott képviselők) operacionalizálja a 21. cikket a harmadik országbeli szolgáltatók számára azáltal, hogy megjelöli, ki viseli az együttműködési kötelezettségeket az EU-ban. A végrehajtás oldalán a 21. cikk a X. cím (74-76. cikk) piacfelügyeleti rezsimjébe, az Európai AI-hivatal VIII. cím szerinti hatásköreibe és a 99. cikk szankciókeretébe táplálkozik, amely szankciókat rendel az együttműködés megtagadásához. A 9. cikk (kockázatkezelés) szintén releváns, mivel a hatóságok megvizsgálhatják, hogy a kockázat-azonosítási és -csökkentési nyilvántartások megfelelőek-e. A 21. cikk 13. cikkel (átláthatóság) és 14. cikkel (emberi felügyelet) együttes olvasása teljes képet ad arról az információs környezetről, amelyet a szolgáltatóknak fenn kell tartaniuk.

Megfelelőségi ütemterv

Az EU AI-rendelet 2024. augusztus 1-jén lépett hatályba, az Európai Unió Hivatalos Lapjában való közzétételét követő huszadik napon. Rendelkezései fokozatos ütemterv szerint alkalmazandók:

• 2025. február 2. — Alkalmazandóvá váltak az elfogadhatatlan kockázatú AI-gyakorlatokra vonatkozó tilalmak (II. cím). A 21. cikk maga még nem volt hatályban a nagy kockázatú rendszerek esetében.
• 2025. augusztus 2. — Alkalmazandóvá váltak az általános célú AI-modellekre vonatkozó rendelkezések (VIII. cím) és az Európai AI-hivatal kötelezettségei.
• 2026. augusztus 2. — A 21. cikk, a III. cím kötelezettségeinek teljes körével együtt a III. mellékletben felsorolt nagy kockázatú AI-rendszerek esetében (kivéve azokat, amelyekre korábbi ágazati jog vonatkozik), alkalmazandóvá válik. Azoknak a szolgáltatóknak, amelyek rendszerei e kategóriába tartoznak, erre az időpontra teljes mértékben együttműködésre kész állapotban kell lenniük.
• 2027. augusztus 2. — Az I. mellékletben felsorolt uniós harmonizációs jogszabályok (pl. orvosi eszközök, gépek, repülés) hatálya alá tartozó nagy kockázatú AI-rendszerek, amelyek már megfelelőségértékelési eljárások tárgyát képezik, eddig az időpontig kapnak haladékot, mielőtt a teljes AI-rendelet nagy kockázatú kötelezettségei, köztük a 21. cikk, alkalmazandóvá válnak az örökölt termékekre.

A szolgáltatóknak az alkalmazandó dátumukig tartó időszakot nem türelmi időként, hanem végrehajtási időként kell kezelniük: a műszaki dokumentációnak, a naplózási infrastruktúrának és a belső együttműködési protokolloknak jóval a határidő előtt működőképesnek kell lenniük.