22. cikk — Az Unión kívül letelepedett szolgáltatók meghatalmazott képviselői (EU AI Act)

Az (EU) 2024/1689 rendelet 22. cikke — Az Unión kívül letelepedett szolgáltatók meghatalmazott képviselői. Hivatalos szöveg, gyakorlati értelmezés, főbb kötelezettségek és megfelelési következmények.

A hivatalos szöveg összefoglalása

Az (EU) 2024/1689 rendelet 22. cikke kötelező kapumechanizmust állapít meg a harmadik országokban letelepedett, de az Unió piacán értékesített vagy az Unión belül üzembe vett nagy kockázatú MI-rendszerek és általános célú MI-modellek szolgáltatói számára.

Az ilyen szolgáltatóknak — mielőtt MI-rendszerüket vagy GPAI-modelljüket az EU-ban elérhetővé teszik — írásban meg kell bízniuk egy, az Unióban letelepedett meghatalmazott képviselőt. A megbízatásnak fel kell hatalmaznia a képviselőt a meghatározott feladatok elvégzésére a szolgáltató nevében: annak ellenőrzésére, hogy az uniós megfelelőségi nyilatkozatot és a szükséges technikai dokumentációt megfelelően elkészítették-e; a 71. cikkben említett uniós adatbázisban való regisztráció biztosítására; valamint az MI Hivatal és a nemzeti illetékes hatóságok számára a rendelet szerinti megfeleléssel kapcsolatos összes ügyben egyetlen azonosítható kapcsolattartó pontként való működésre.

A meghatalmazott képviselőt be kell foglalni a kötelező regisztrációs adatokba, és hozzáféréssel kell rendelkeznie elegendő dokumentációhoz ahhoz, hogy kötelezettségeit teljesíthesse. A képviselő folyamatos kötelezettség alatt áll, hogy együttműködjön az illetékes hatóságokkal, és azonnal tájékoztassa a szolgáltatót az általa azonosított kockázatokról vagy nem megfelelőségekről. Fontos, hogy a meghatalmazott képviselő kijelölése nem mentesíti a harmadik országbeli szolgáltatót a rendelet szerinti saját kötelezettségei alól; mindkét fél megkülönböztetett felelősséggel rendelkezik, a képviselő felelőssége kifejezetten a megbízatásban meghatározott feladatokból ered.

Mit jelent ez a gyakorlatban

A 22. cikk az EU MI-törvény megfelelője a termékbiztonsági jogszabályokban — például az orvostechnikai eszközökről szóló rendeletben és az általános termékbiztonsági rendeletben — már jól ismert „felelős személy" vagy „meghatalmazott képviselő" fogalmaknak. Gyakorlati hatása az, hogy biztosítja, hogy mindig elérhető legyen egy jogilag azonosítható, az EU-n belüli fizikai jelenléttel rendelkező jogalany a szabályozók számára, függetlenül attól, hogy a MI-rendszer fejlesztője hol van bejegyezve.

Érintett felek. Minden nem uniós vállalat — legyen az egy amerikai alapmodellfejlesztő, egy szingapúri robotikai szoftvercég vagy egy brit HR-tech értékesítő —, amely nagy kockázatú MI-rendszert vagy GPAI-modellt kínál uniós ügyfeleknek, üzembe helyezőknek vagy felhasználóknak, köteles ezt a struktúrát felállítani. Ebbe beletartoznak az uniós viszonteladókon vagy felhőpiactereken keresztül forgalmazó vállalatok is: a kötelezettség a szolgáltatóhoz kapcsolódik, nem az értékesítési csatornához.

Mit kell tenni. A szolgáltatónak azonosítania kell egy uniós tagállamban székhellyel rendelkező természetes vagy jogi személyt, írásos megbízást kell kötnie a képviselő felhatalmazott feladatait meghatározva, biztosítania kell, hogy a képviselő rendelkezzen másolatokkal (vagy biztonságos hozzáféréssel) a vonatkozó technikai dokumentációhoz és megfelelőségi nyilatkozatokhoz, és a 71. cikk szerinti uniós adatbázisban be kell jegyeztetnie a képviselő adatait.

Konkrét példa. Egy kanadai cég, amely a III. melléklet alapján nagy kockázatúnak minősített MI-alapú hitelbírálati eszközt fejleszt, egy uniós székhelyű ügyvédi irodát, megfelelési tanácsadói céget vagy egy célzott jogi egység leányvállalatot kell felfogadnia meghatalmazott képviselőként, mielőtt bármely uniós bankot ügyféllé fogadna. A képviselő neve, címe és elérhetőségei szerepelnek az uniós adatbázisban és a termékdokumentációban, közvetlen belföldi kapcsolattartó pontot biztosítva a francia vagy német piacfelügyeleti hatóságoknak.

Folyamatos kötelezettség. A megbízatás nem egyszeri bejelentés. A képviselőnek elérhetőnek kell maradnia, naprakészen kell tartania a dokumentációt, és az azonosított nem megfelelőségeket haladéktalanul jeleznie kell a szolgáltatónak.

Főbb kötelezettségek

• Kötelező írásbeli megbízás. A szolgáltatónak formális, írásbeli megbízatást kell adnia a meghatalmazott képviselőnek, mielőtt a nagy kockázatú MI-rendszert vagy GPAI-modellt az uniós piacon értékesíti, kifejezetten meghatározva, hogy a képviselő milyen feladatok elvégzésére jogosult a szolgáltató nevében.
• Uniós letelepedési követelmény. A meghatalmazott képviselőnek az Európai Unióban letelepedett természetes vagy jogi személynek kell lennie; a harmadik országban — beleértve az egyenértékűségi megállapodás által nem érintett EGT EFTA-országokban — letelepedett képviselő nem felel meg ennek a követelménynek.
• Dokumentáció-hozzáférés és ellenőrzés. A képviselőnek ellenőriznie kell, hogy az uniós megfelelőségi nyilatkozatot és a 11. és 18. cikk szerinti technikai dokumentációt megfelelően elkészítették-e, és a megbízatás ideje alatt hozzáférést kell biztosítani számára ezekhez a dokumentumokhoz.
• Regisztráció az uniós adatbázisban. A képviselő felelős annak biztosításáért, hogy a szolgáltató adatai — beleértve a képviselő saját elérhetőségeit — regisztrálásra kerüljenek a 71. cikkben említett uniós adatbázisban, és hogy a regisztráció naprakész maradjon.
• Kapcsolattartó pont a hatóságokkal. A meghatalmazott képviselő a MI Hivatal és a nemzeti illetékes hatóságok számára az elsődleges kapcsolattartó pont a hatályba tartozó MI-rendszer vagy GPAI-modell megfelelőségével, piaci felügyeletével és végrehajtásával kapcsolatos valamennyi megkeresés tekintetében.
• Jelzési és együttműködési kötelezettség. A képviselőnek haladéktalanul tájékoztatnia kell a szolgáltatót az általa tudomásra jutott egészséget, biztonságot vagy alapvető jogokat érintő kockázatokról, illetve nem megfelelőség gyanújáról, és kérésre teljes mértékben együtt kell működnie az illetékes hatóságokkal, beleértve a dokumentációhoz való hozzáférés és nyilvántartásokba való betekintés biztosítását.

Kapcsolat más cikkekkel

A 22. cikk a III. fejezet tágabb, a szolgáltatók és üzembe helyezők kötelezettségeit szabályozó keretrendszerében működik, és számos más rendelkezéssel együtt kell értelmezni.

A 16. cikk meghatározza a nagy kockázatú MI-rendszerek szolgáltatóira vonatkozó kötelezettségek teljes listáját; a 22. cikk hatékonyan delegálja ezeknek a kötelezettségeknek a belföldi végrehajtását a meghatalmazott képviselőre, ahol a szolgáltató az EU-n kívül telepedett le.

A 11. és 18. cikk meghatározza azokat a technikai dokumentációs és nyilvántartás-megőrzési kötelezettségeket, amelyeknek a képviselőnek ellenőriznie kell a teljesítését a rendszer piacra helyezése előtt.

A 71. cikk hozza létre azt az uniós adatbázist, amelybe a képviselő adatait be kell jegyezni, így a 22. cikk előfeltételévé válik a harmadik országbeli szolgáltatók törvényes regisztrációjának.

Az 53. cikk szabályozza az általános célú MI-modellek szolgáltatóira vonatkozó konkrét kötelezettségeket; a 22. cikk kiterjeszti a meghatalmazott képviselő követelményét erre a kategóriára is, megerősítve, hogy az EU-n kívüli GPAI-szolgáltatók egyenértékű kapukötelezettségekkel szembesülnek.

A 74. és 75. cikk szerinti piaci felügyeleti rendelkezéseket közvetlenül kiszolgálja a 22. cikk: az illetékes hatóságok a meghatalmazott képviselő felé, mint belföldi végrehajtási horgony felé gyakorolják felügyeleti hatásköreiket, amikor a tényleges szolgáltató elérhetetlen.

Megfelelési menetrend

Az EU MI-törvény (2024/1689 rendelet) 2024. augusztus 1-jén lépett hatályba, húsz nappal a Hivatalos Lapban való közzétételét követően. Az alkalmazás fokozatos:

• 2025. február 2. — A tiltott MI-gyakorlatokra vonatkozó rendelkezések (5. cikk) alkalmazandóvá váltak. A 22. cikk önállóan ebben a szakaszban még nem alkalmazandó, de a szolgáltatóknak már értékelniük kell, hogy rendszereik a nagy kockázatú vagy GPAI-hatókör alá esnek-e.
• 2025. augusztus 2. — Az általános célú MI-modellekre vonatkozó kötelezettségek (V. cím, beleértve az 53. cikket) alkalmazandóvá váltak. Mivel a 22. cikk kifejezetten kiterjed a GPAI-modell-szolgáltatókra, a harmadik országbeli GPAI-szolgáltatóknak erre az időpontra meghatalmazott képviselőt kell kijelölniük.
• 2026. december 2. — A meglévő uniós termékbiztonsági jogszabályok hatálya alá eső, III. mellékletben felsorolt nagy kockázatú MI-rendszereknek meg kell felelniük a teljes szolgáltatói kötelezettség-láncnak, beleértve a 22. cikk szerinti meghatalmazott képviselői követelményeket.
• 2027. augusztus 2. — A III. mellékletben felsorolt összes többi nagy kockázatú MI-rendszer a kötelezettségek teljes körének hatálya alá kerül. Azok a harmadik országbeli szolgáltatók, amelyek ezidáig még nem jelöltek ki meghatalmazott képviselőt, ettől az időponttól kezdve jogsértőnek minősülnek.

Azok a szolgáltatók, akik 2024. augusztus 2. után először helyeznek nagy kockázatú rendszereket az uniós piacra, a meghatalmazott képviselő követelményét piaci hozzáférési előfeltételnek kell tekinteniük a kezdetektől fogva, ahelyett hogy megvárnák a rendszerkategóriájukra vonatkozó alkalmazási dátumot.