35. cikk — Az értesített szervezetek azonosítószámai és listái (EU MI-rendelet)

Az (EU) 2024/1689 rendelet 35. cikke — Az értesített szervezetek azonosítószámai és listái. Hivatalos szöveg, gyakorlati értelmezés, főbb kötelezettségek és megfelelési következmények.

A hivatalos szöveg összefoglalója

Az (EU) 2024/1689 rendelet (az EU MI-rendelete) 35. cikke megállapítja azt az igazgatási és átláthatósági keretet, amely a rendelet alapján működő értesített szervezetek azonosítását és nyilvános listázását szabályozza. A cikk kötelezettségeket ró elsősorban az Európai Bizottságra és a tagállamok értesítő hatóságaira.

A 35. cikk alapján a Bizottság köteles azonosítószámot rendelni minden értesített szervezethez. Döntő fontosságú, hogy ha egy szervezetet egynél több uniós jogszabály alapján értesítettek, egyetlen azonosítószámot kap, biztosítva az egységességet a jogszabályi eszközök között. A Bizottságnak ezenkívül nyilvánosan hozzáférhető listát kell közzétennie az összes értesített szervezetről, beleértve azok azonosítószámait és az értesítés tárgyát képező tevékenységeket. Ezt a listát naprakészen kell tartani.

A tagállamokat kiegészítő kötelezettség terheli: értesíteniük kell a Bizottságot az értesített szervezet státuszának bármely változásáról — beleértve az új értesítések megadását, valamint a meglévő értesítések bármely korlátozását, felfüggesztését vagy visszavonását. A Bizottság ezután felelős azért, hogy ezeket a változásokat indokolatlan késedelem nélkül tükrözze a nyilvános listán.

A cikk a III. cím 4. fejezetében működik, amely az értesítés általános architektúráját szabályozza: ki értékelheti a nagy kockázatú MI-rendszerek megfelelőségét, milyen feltételek mellett és milyen felügyelettel. A 35. cikk kifejezetten az architektúra azonosítási és láthatósági rétegével foglalkozik, biztosítva, hogy a piac — beleértve az értékelést kereső szolgáltatókat, az alsóbb szintű üzembe helyezőket és a nemzeti hatóságokat — megbízhatóan azonosíthassa, mely szervezetek jogosultak, milyen hatállyal, és hogy az engedélyük érvényes-e.

Mit jelent ez a gyakorlatban

A 35. cikknek közvetlen operatív következményei vannak három kategóriájú szereplő számára: a nagy kockázatú MI-rendszerek szolgáltatói, maguk az értesített szervezetek és a nemzeti értesítő hatóságok.

A VI. melléklet vagy a teljes minőségirányítási rendszer útja alapján harmadik fél általi megfelelőségértékelést kereső szolgáltatók számára a 35. cikk az elsődleges ellenőrzési mechanizmust biztosítja. Értesített szervezet megbízása előtt a szolgáltatónak konzultálnia kell a Bizottság NANDO adatbázisával annak megerősítésére, hogy a szervezet érvényes értesítéssel rendelkezik az EU MI-rendelete alapján, amely lefedi az adott termékkateg óriát vagy MI-rendszer típust. Olyan szervezetre támaszkodni, amelynek értesítése lejárt, felfüggesztés alatt áll, vagy soha nem terjedt ki formálisan az MI-rendelet hatályára, megfelelési hiányosságot teremt, amely érvénytelenítheti a megfelelőségértékelési tanúsítványt.

Az értesített szervezetek számára a 35. cikk közvetett kötelezettséget teremt arra, hogy együttműködjenek nemzeti értesítő hatóságukkal annak biztosítása érdekében, hogy működési hatályuk vagy engedélyezési státuszuk bármely változása haladéktalanul közlésre kerüljön. Az értékelési hatályát bővítő szervezet — például egy új nagy kockázatú kategória, például biometrikus kategorizálási rendszerek hozzáadásával — nem járhat el törvényesen az adott kibővített hatályon belül, amíg az értesítés nem frissült és nem tükröződik a Bizottság listáján.

A nemzeti értesítő hatóságok számára a kötelezettség eljárási jellegű, de következményes: a szervezet státuszának változásait haladéktalanul közölni kell a Bizottsággal. A késedelmek olyan időszakot teremtenek, amelynek során a nyilvános lista pontatlan, ami potenciálisan félrevezetheti a szolgáltatókat, vagy alááshatja más tagállamok hatóságai által hozott piacfelügyeleti intézkedéseket.

Konkrétan, a megfelelőségértékelésre felkészülő jogi vagy megfelelési csapatnak be kell építenie egy ellenőrzési lista lépést, amely kereszthivatkozásokat végez a kiválasztott értesített szervezet azonosítószámával a NANDO-ban, ellenőrzi, hogy az értesítés hatálya megfelel-e a rendszer kockázati besorolásának, és ellenőrzi, hogy nem szerepel-e korlátozás vagy felfüggesztés az adott rekord ellen.

Főbb kötelezettségek

• Az Európai Bizottságnak egyetlen azonosítószámot kell rendelnie minden értesített szervezethez, egységesen az összes uniós jogszabályban, amelyek alapján az adott szervezet működik.
• A Bizottságnak közzé kell tennie és fenn kell tartania az összes értesített szervezet nyilvánosan hozzáférhető, naprakész listáját, beleértve azok azonosítószámait és értesített hatályát.
• A tagállamoknak és értesítő hatóságaiknak indokolatlan késedelem nélkül értesíteniük kell a Bizottságot az értesítések bármely megadásáról, korlátozásáról, felfüggesztéséről vagy visszavonásáról.
• A Bizottságnak frissítenie kell a nyilvános listát az értesített szervezet státuszának változásait tükrözve, indokolatlan késedelem nélkül a tagállami értesítést követően.
• Az értesített szervezetek nem járhatnak el értesített hatályukon túl; a hatály bármely kiterjesztéséhez az értesítés formális frissítése szükséges, mielőtt a szervezet értékeléseket végezhetne a kiterjesztett hatályon belül.
• A szolgáltatóknak az értesített szervezet megbízása előtt ellenőrizniük kell, hogy a szervezet aktuális listázása a Bizottság adatbázisában lefedi az érintett tevékenységet és érvényes marad.

Kapcsolat más cikkekkel

A 35. cikk nem olvasható önmagában; a III. cím 4. fejezetén belül koherens keret részét képezi.

A 28. cikk meghatározza azokat a követelményeket, amelyeket az értesítő hatóságoknak — az értesítési eljárások létrehozásáért és lefolytatásáért felelős nemzeti szerveknek — maguknak kell teljesíteniük, megteremtve azt az intézményi alapot, amelytől a 35. cikk értesítési áramlásai függnek. A 29. cikk meghatározza azokat a részletes kérelmezési követelményeket, amelyeket egy megfelelőségértékelő szervnek teljesítenie kell, mielőtt értesíthető lenne, míg a 30. cikk magát az értesítési eljárást szabályozza, beleértve a Bizottságnak szóló formális közlést, amely a 35. cikk szerinti listázást indítja el. A 31. cikk a vonatkozó harmonizált szabványok alapján tanúsított értesített szervezetek megfelelési vélelmével foglalkozik.

Operatív szempontból a 35. cikk kapcsolódik a 43. és 44. cikkhez, amelyek a nagy kockázatú MI-rendszerek megfelelőségértékelési eljárásait és az ebből eredő tanúsítványokat szabályozzák — olyan dokumentumokat, amelyek érvényessége elválaszthatatlan a kibocsátó szervezet 35. cikk alapján megfelelően listázott státuszától. A 74. cikk (piacfelügyelet) szintén a pontos 35. cikk szerinti listákon alapul, mivel a határon átnyúló felügyeletet koordináló hatóságoknak azonosítaniuk kell, hogy melyik szervezet adott ki egy adott tanúsítványt, és hogy az adott szervezet még jogosult-e.

Megfelelési ütemterv

Az EU MI-rendelete 2024. augusztus 1-jén lépett hatályba, az Hivatalos Lapban való közzétételét követő huszadik napon. Az alkalmazás fokozatos:

• 2025. február 2. — Hatályba léptek az elfogadhatatlan kockázatú MI-gyakorlatokra vonatkozó tilalmak (II. cím).
• 2025. augusztus 2. — Hatályba léptek az általános célú MI-modellekre vonatkozó rendelkezések (VIII. cím) és az irányítási kötelezettségek.
• 2026. augusztus 2. — A III. cím nagy része, beleértve a 4. fejezet szerinti értesített szervezetek keretrendszerét, teljes mértékben alkalmazhatóvá válik a III. mellékletben felsorolt nagy kockázatú MI-rendszerekre, kivéve az alább említett meghosszabbított határidő alá eső rendszereket.
• 2027. augusztus 2. — Meghosszabbított határidő az I. mellékletben felsorolt meglévő uniós harmonizációs jogszabályok hatálya alá tartozó nagy kockázatú MI-rendszerek számára (pl. gépek, orvostechnikai eszközök), amelyek így további időt kapnak az MI-rendelet megfelelőségértékelési követelményeinek a meglévő tanúsítási munkafolyamatokba való integrálásához.

Maga a 35. cikk, az értesített szervezetek infrastruktúrájának részeként, a 4. fejezet megfelelőségértékelési követelményeinek alkalmazásával párhuzamosan válik operatívan relevánssá. A tagállamoknak és a Bizottságnak biztosítaniuk kell, hogy az értesítési eljárások, az azonosítószámok kiosztása és a nyilvános adatbázis teljes mértékben működőképes legyen a 2026. augusztusi dátum előtt, hogy a nagy kockázatú MI-rendszerek szolgáltatói a kötelező megfelelőségértékelési kötelezettségek alkalmazásának pillanatától megfelelő értesített szervezeteket vonhassanak be.