40. cikk — Harmonizált szabványok és szabványosítási teljesítmények (EU mesterséges intelligenciáról szóló rendelet)

Az (EU) 2024/1689 rendelet 40. cikke — Harmonizált szabványok és szabványosítási teljesítmények. Hivatalos szöveg, gyakorlati értelmezés, főbb kötelezettségek és megfelelőségi következmények.

A hivatalos szöveg összefoglalója

Az (EU) 2024/1689 rendelet 40. cikke meghatározza a harmonizált szabványok szerepét az EU mesterséges intelligenciáról szóló rendelet értelmében a magas kockázatú MI-rendszerekre alkalmazandó követelményeknek való megfelelőség igazolásában. Ha a magas kockázatú MI-rendszerek szolgáltatói olyan harmonizált szabványokat — vagy azok releváns részeit — alkalmaznak, amelyek hivatkozásait az Európai Unió Hivatalos Lapjában közzétették, akkor ezeket a rendszereket vélelmezetten megfelelőnek kell tekinteni a III. cím 3. fejezetének követelményeivel szemben, amennyiben ezeket a követelményeket az alkalmazandó harmonizált szabványok lefedik.

A cikk felhatalmazza az Európai Bizottságot, hogy szabványosítási kéréseket intézzen az európai szabványügyi szervezetekhez (CEN, CENELEC és ETSI) az európai szabványosításról szóló 1025/2012/EU rendelettel összhangban. Ezek a kérések arra irányítják az ESO-kat, hogy olyan harmonizált szabványokat dolgozzanak ki, amelyek operacionalizálják az aktus érdemi követelményeit.

A 40. cikk azokat a helyzeteket is kezeli, amikor harmonizált szabványok még nem léteznek, vagy hivatkozásaikat nem tették közzé. Ilyen esetekben a Bizottság a 41. cikk alapján közös specifikációkat fogadhat el, biztosítva, hogy a szolgáltatók még formális harmonizált szabványok hiányában is rendelkezzenek meghatározott technikai úttal a megfelelőség bizonyításához.

A rendelkezés egyértelmű különbséget tesz a szabványok önkéntes alkalmazása és a mögöttes jogi követelményeknek való kötelező megfelelés között. A harmonizált szabvány alkalmazása nem kötelező, de megdönthető megfelelőségi vélelmet teremt, csökkentve a szolgáltatókra háruló bizonyítási terhet a 43. és 44. cikk alapján lefolytatott megfelelőségértékelési eljárások során.

Mit jelent ez a gyakorlatban

A magas kockázatú MI-rendszerek szolgáltatói számára a 40. cikk központi megfelelőségi eszköz. Ahelyett, hogy teljesen egyedi technikai érvelést konstruálnának arról, hogyan teljesítenek minden egyes jogi követelményt, a szolgáltatók rendszereiket közzétett harmonizált szabványokhoz igazíthatják, és élvezhetik a megfelelőségi vélelem előnyeit. Ez jelentősen leegyszerűsíti a megfelelőségértékelési folyamatot, különösen a bejelentett szervek által végzett harmadik fél általi értékelés tárgyát képező rendszerek esetében.

A gyakorlatban az a szolgáltató, aki az aktus I. melléklete alá tartozó MI-alapú orvosi eszközt fejleszt, a Hivatalos Lapban megvizsgálná, hogy mely harmonizált szabványokat tették közzé a vonatkozó követelmények tekintetében — például a kockázatkezeléssel, az adatminőséggel vagy a kiberbiztonságal foglalkozó szabványokat. Ezeknek a szabványoknak a rendszer tervezésébe és minőségirányítási folyamatába való beépítése lehetővé teszi a szolgáltató számára, hogy az aktus megfelelő cikkeinek való megfelelőséget kinyilváníthassa anélkül, hogy a bejelentett szervnek az alapelvektől kiindulva kellene önállóan ellenőriznie a megfelelőséget.

Azon szolgáltatók esetében, akik nem kívánnak harmonizált szabványokat alkalmazni — vagy ahol még nem létezik alkalmazandó szabvány — a teher rájuk hárul, hogy műszaki dokumentumokkal és megfelelőségértékelési bizonyítékokkal igazolják, hogyan érik el az egyenértékű védelmi szintet. Ez megvalósítható, de igényesebb út, amely szoros együttműködést igényel a bejelentett szervvel, és esetlegesen kiterjedtebb tesztelést és dokumentációt.

Az importőröknek és az üzemeltetőknek ellenőrizniük kell, hogy azok a szolgáltatók, akiknek rendszereit forgalomba hozzák vagy üzembe helyezik, helyesen azonosították és alkalmazták-e a vonatkozó szabványokat, mivel ez befolyásolja az EU megfelelőségi nyilatkozat és a CE-jelölés érvényességét.

A 40. cikk gyakorlati hatása fokozatosan növekedni fog, ahogy a szabványosítási folyamat érik. Az aktus alkalmazásának korai szakaszában korlátozott számú harmonizált szabvány lesz elérhető, ami nagyobb mértékben teszi szükségessé a közös specifikációkra és az egyedi technikai értékelésekre való támaszkodást.

Főbb kötelezettségek

• Az alkalmazandó harmonizált szabványok azonosítása: A magas kockázatú MI-rendszerek szolgáltatóinak figyelemmel kell kísérniük az Európai Unió Hivatalos Lapját a rendszerükre és a III. cím 3. fejezete szerinti követelményekre vonatkozó, közzétett harmonizált szabványhivatkozások tekintetében.
• Szabványok alkalmazása a megfelelőségi vélelem kiváltásához: Ha a szolgáltató a megfelelőségi vélelemre kíván támaszkodni, a harmonizált szabványt teljes egészében alkalmazni kell az általa lefedett követelmények tekintetében; a részleges alkalmazás nem terjeszti ki a vélelmet a nem lefedett elemekre.
• A szabványok alkalmazásának dokumentálása a műszaki dokumentációban: A 11. cikk és a IV. melléklet alapján előírt műszaki dokumentációnak egyértelműen meg kell jelölnie, hogy mely harmonizált szabványokat alkalmazták, és hogyan kapcsolódnak ezek a megfelelő jogi követelményekhez.
• Hiányosságok kezelése ott, ahol szabványok nem léteznek: Ha egyetlen harmonizált szabvány sem fed le egy adott követelményt, a szolgáltatóknak alternatív eszközökkel kell bizonyítaniuk a megfelelőséget, beleértve a 41. cikk alapján elfogadott közös specifikációkat vagy független műszaki bizonyítékokat, és ezt a megközelítést meg kell dokumentálniuk megfelelőségértékelési irataikban.
• A frissített vagy visszavont szabványok nyomon követése: Ha egy harmonizált szabványt felülvizsgálnak, vagy hivatkozását visszavonják a Hivatalos Lapból, a szolgáltatóknak értékelniük kell, hogy meglévő megfelelőségi dokumentációjuk érvényes-e, és szükség esetén frissíteniük kell rendszereiket és műszaki dokumentumaikat.
• Részvétel a szabványosítási folyamatokban: A szolgáltatóknak, különösen azoknak, amelyek a gyorsan fejlődő MI-alkalmazásokat használó ágazatokban tevékenykednek, részt kell venniük a releváns szabványügyi szervezetek és ágazati munkacsoportok munkájában annak biztosítása érdekében, hogy a kialakuló szabványok tükrözzék a valós technikai gyakorlatot, és értelmes megfelelőségi utakat támogassanak.

Kapcsolat más cikkekkel

A 40. cikk eljárási hídként működik a III. cím 3. fejezete érdemi követelményei (9–15. és 17. cikk) és az 5. fejezet megfelelőségértékelési eljárásai között. A 41. cikkel együtt kell olvasni, amely a Bizottság által elfogadott közös specifikációkat biztosít alternatívaként arra az esetre, ha a harmonizált szabványok hiányoznak vagy elégtelenek. A 43. cikk szabályozza a megfelelőségértékelési eljárásokat, amelyekben a 40. cikk által teremtett vélelemre támaszkodnak, a 44. cikk pedig a bejelentett szervek szerepét foglalja magában a harmadik fél általi értékelésekben.

A cikk kapcsolódik a 11. cikkhez és a IV. melléklethez is a műszaki dokumentáció tekintetében, mivel a szabvány alkalmazásának bizonyítékának a műszaki dokumentumban kell szerepelnie, valamint a 17. cikkhez a minőségirányítási rendszerekről, amelyeknek tartalmazniuk kell a vonatkozó szabványok azonosítására és alkalmazására vonatkozó folyamatokat. A 48. cikk, amely az EU megfelelőségi nyilatkozatot fedi, az a downstream eszköz, amellyel a szolgáltató formálisan érvényesíti a 40. cikk alapján megállapított megfelelőségi vélelmet. Az általános célú MI-modellek (GPAI) szolgáltatói esetében a szabványosítással a VIII. cím külön foglalkozik; a 40. cikk kifejezetten a III. cím szerinti magas kockázatú MI-rendszerekre vonatkozik.

Megfelelőségi ütemterv

A 40. cikk 2024. augusztus 1-jén lépett hatályba, azon a napon, amikor az EU mesterséges intelligenciáról szóló rendeletet közzétették az Európai Unió Hivatalos Lapjában, és kötelező joggá vált. Gyakorlati alkalmazása azonban a kötelezettségek fokozatos bevezetéséhez kapcsolódik:

• 2024. augusztus: Az aktus hatályba lép; a CEN-nek, a CENELEC-nek és az ETSI-nek szóló szabványosítási megbízások elkezdődnek vagy felgyorsulnak.
• 2025. február: Az 5. cikk szerinti tiltott MI-gyakorlatok alkalmazandóvá válnak; a 40. cikk ebben a szakaszban nincs közvetlenül érintve.
• 2025. augusztus: A VIII. cím szerinti GPAI-modell kötelezettségek alkalmazandóvá válnak; a 40. cikk továbbra is specifikus a magas kockázatú MI-rendszerekre, és nem szabályozza a GPAI-szabványokat.
• 2026. december: A III. mellékletben felsorolt magas kockázatú MI-rendszereknek (az I. melléklet termékjogszabályai által lefedettektől eltérőknek) meg kell felelniük a III. cím követelményeinek. A szolgáltatóknak eddig az időpontig azonosítaniuk és alkalmazniuk kell a vonatkozó harmonizált szabványokat; ahol közzétett szabványok állnak rendelkezésre, az azokra támaszkodó megfelelőségértékeléseket el kell végezni.
• 2027. augusztus: Az I. melléklet ágazati jogszabályai (orvosi eszközök, gépek, repülés stb.) által szabályozott termékekbe beágyazott magas kockázatú MI-rendszereknek meg kell felelniük a követelményeknek. A harmonizált szabványok teljes körű lefedettségét ekkorra fejlettebbnek várják, bár a szolgáltatóknak nem szabad teljes lefedettséget feltételezniük, és a hiányosságokat figyelembe véve kell tervezniük.

A szolgáltatókat erősen ajánlott, hogy kövessék nyomon a Bizottság szabványosítási kéréseit és a CEN-CENELEC JTC 21 (az MI-szabványosítási közös műszaki bizottság) munkaprogramjait annak előrevetítésére, hogy mely szabványok mikor lesznek elérhetők, ami lehetővé teszi a megfelelőségi ütemtervek megfelelő megtervezését.