43. cikk — Megfelelőségértékelés (EU mesterséges intelligencia rendelet)

Az (EU) 2024/1689 rendelet 43. cikke — Megfelelőségértékelés. Hivatalos szöveg, gyakorlati értelmezés, főbb kötelezettségek és megfelelőségi vonatkozások.

A hivatalos szöveg összefoglalója

Az (EU) 2024/1689 rendelet 43. cikke meghatározza azokat a megfelelőségértékelési eljárásokat, amelyeket a nagy kockázatú MI-rendszerek szolgáltatóinak követniük kell, mielőtt a rendszert az Európai Unió piacára hoznák vagy üzembe helyezik.

Az I. mellékletben felsorolt uniós harmonizációs jogszabályok hatálya alá tartozó nagy kockázatú MI-rendszerek esetén — mint például a Gépirányelvnek, az Orvostechnikai eszközök rendeletének vagy a polgári légiközlekedés biztonsági szabályainak hatálya alá tartozó termékek — az adott ágazati jogszabályok alapján alkalmazandó megfelelőségértékelési eljárást kell alkalmazni, kiegészítve az MI-rendelet III. cím 2. fejezetének követelményeivel. Ha az ágazati jogszabályok nem írják elő harmadik fél bevonását, a szolgáltatónak az MI-rendelet VI. mellékletében meghatározott belső ellenőrzési eljárást kell követnie.

A III. mellékletben felsorolt nagy kockázatú MI-rendszerek esetén a 43. cikk két utat biztosít. Alapértelmezés szerint a szolgáltatók a VI. melléklet szerinti belső ellenőrzési eljárást követik. Azonban ha a rendszer magában foglalja természetes személyek valós idejű vagy utólagos távazonosítását biometrikus adatok alapján (kivéve a 6. cikk (3) bekezdése alapján kizártakat), vagy ha nem létezik valamennyi vonatkozó követelményt lefedő harmonizált szabvány, és nem fogadtak el közös specifikációt, az értékelést a VII. mellékletnek megfelelően bejelentett szervnek kell elvégeznie.

Minden nagy kockázatú MI-rendszert, amely az EU megfelelőségi nyilatkozat vagy tanúsítvány megszerzése után lényeges módosításon esik át, új megfelelőségértékelésnek kell alávetni. A cikk azt is megerősíti, hogy a bejelentett szerveket az értékelések elvégzése előtt be kell jelenteni a Bizottságnak és a tagállami hatóságoknak, és a kiadott tanúsítványok visszavonásig érvényben maradnak.

Mit jelent ez a gyakorlatban

A III. mellékletben felsorolt nagy kockázatú MI-rendszerek legtöbb szolgáltatója számára — amelyek olyan területeket fednek le, mint a foglalkoztatási szűrés, az oktatás, a hitelminősítés, a kritikus infrastruktúra-kezelés és az igazságszolgáltatás — a 43. cikk azt jelenti, hogy a belső önértékelés az alapértelmezett megfelelőségi út. A szolgáltató minőségirányítási rendszerének, műszaki dokumentációjának és megfelelőségi nyilvántartásainak rendben kell lenniük, mielőtt aláírják a megfelelőségi nyilatkozatot és felhelyezik a CE-jelölést. Külső auditor nem szükséges, kivéve ha a rendszer a bejelentett szerv bevonását előíró kategóriák egyikébe tartozik.

Azon szolgáltatók számára, amelyek rendszerei az I. melléklet szerinti ágazati jogszabályok hatálya alá tartoznak — például egy IIb osztályú orvostechnikai eszközbe beépített vagy biztonsági szempontból kritikus repülési berendezésben alkalmazott MI-rendszer esetén — az MI-rendelet szerinti megfelelőségértékelés rárakódik az ágazati eljárásra. Ez a gyakorlatban azt jelenti, hogy az Orvostechnikai eszközök rendelete alapján már kijelölt bejelentett szervet vagy a vonatkozó repülési hatóságot kell bevonni, biztosítva, hogy az adott szerv MI-specifikus követelmények értékelésére is illetékes legyen.

A 43. cikk operatív szempontból legjelentősebb aktiváló tényezője a lényeges módosítás utáni megfelelőségértékelés megismétlésének követelménye. A fejlesztőcsapatoknak és termékmenedzsereknek ezért formális változáskezelési ellenőrzési pontot kell beépíteniük az MI fejlesztési életciklusba: minden olyan frissítést, amely megváltoztatja a rendszer rendeltetését, teljesítményjellemzőit vagy kockázati profilját, a telepítés előtt a lényeges módosítás meghatározásával szemben kell értékelni.

Az importőrök és a forgalmazók nem felelnek maguk a megfelelőségértékelés elvégzéséért, de ellenőrizniük kell, hogy a szolgáltató elvégezte-e az eljárást, és hogy a dokumentáció rendelkezésre áll-e. A szabályozott szektorokban működő üzemeltetőknek a szállítói átvilágítás részeként meg kell kérniük az alkalmazandó értékelési út megerősítését.

Főbb kötelezettségek

• A helyes értékelési út kiválasztása: A szolgáltatóknak meg kell határozniuk, hogy nagy kockázatú MI-rendszerük az I. melléklet szerinti ágazati jogszabályok vagy a III. melléklet hatálya alá tartozik-e, és alkalmazni kell a megfelelő eljárást (belső ellenőrzés a VI. melléklet alapján, vagy bejelentett szervi értékelés a VII. melléklet alapján, ha előírják).
• Értékelés elvégzése a forgalomba hozatal előtt: A megfelelőségértékelést be kell fejezni, és az EU megfelelőségi nyilatkozatot alá kell írni, mielőtt a rendszert az uniós piacra hozzák vagy üzembe helyezik — nem utólag.
• Bejelentett szerv bevonása, ha szükséges: A valós idejű távoli biometrikus azonosítást bűnüldözési célokra alkalmazó rendszerek, vagy amelyekre nem létezik alkalmazandó harmonizált szabvány, és egyetlen közös specifikáció sem fedi le az összes követelményt, akkreditált bejelentett szerv általi harmadik fél értékelést igényelnek.
• MI-értékelés integrálása az ágazati eljárásokba: Az I. melléklet szerinti termékek esetén az MI-specifikus megfelelőségértékelést össze kell hangolni a meglévő ágazati megfelelőségértékeléssel — és ahol lehetséges, be kell integrálni abba —, ugyanazon bejelentett szerv felhasználásával, ahol ez illetékes.
• Újraértékelés lényeges módosítás után: A már megfelelőségértékelésen átesett nagy kockázatú MI-rendszer bármely lényeges módosítása kötelező új értékelést vált ki, mielőtt a módosított rendszer bevezethető vagy forgalmazható.
• Dokumentáció megőrzése a forgalomba hozatal utáni felülvizsgálathoz: A szolgáltatóknak meg kell őrizniük a műszaki dokumentációt, a minőségirányítási nyilvántartásokat és a megfelelőségi nyilatkozatot tíz évig a rendszer forgalomba hozatalát követően, és kérésre a nemzeti illetékes hatóságok rendelkezésére kell bocsátaniuk azokat.

Kapcsolat más cikkekkel

A 43. cikk nem olvasható önmagában. Ez a procedurális kifejeződése a 8–15. cikkekben (III. cím 2. fejezet) meghatározott anyagi jogi követelményeknek, amelyek meghatározzák azokat a technikai és irányítási szabványokat, amelyeknek a nagy kockázatú MI-rendszereknek meg kell felelniük — beleértve a kockázatkezelést, az adatkezelést, az átláthatóságot, az emberi felügyeletet, a pontosságot és a kiberbiztonság robusztusságát. Azt, hogy mi minősül nagy kockázatú MI-rendszernek — és következésképpen mi aktiválja a 43. cikket — a 6. cikk határozza meg az I. és III. melléklettel együtt olvasva.

A 43. cikkben hivatkozott belső ellenőrzési eljárás a VI. mellékletben részletezett, míg a bejelentett szervi eljárás a VII. mellékletben kerül meghatározásra. A 44. cikk szabályozza a bejelentett szervek által a VII. melléklet szerinti értékelés után kiadott tanúsítványokat, beleértve a felfüggesztés és visszavonás feltételeit. A 45. cikk a bejelentett szervek értékelés során fennálló kötelezettségeivel foglalkozik. A 47. cikk az EU megfelelőségi nyilatkozatot tartalmazza, amelyet a szolgáltatóknak az eljárás befejezésekor kell elkészíteniük. A 48. cikk a megfelelőségértékelés befejezéséhez köti a CE-jelölés 49. cikk szerinti felhelyezési jogát.

Azon szolgáltatók esetén, amelyek rendszerei szisztémikus kockázatot jelentő általános célú MI-modellekként is minősülnek, a VIII. cím szerinti kötelezettségekkel való kölcsönhatást is figyelembe kell venni a 43. cikk mellett.

Megfelelőségi ütemterv

Az (EU) 2024/1689 rendelet 2024. augusztus 1-jén lépett hatályba, az Európai Unió Hivatalos Lapjában 2024. július 12-én való közzétételét követő huszadik napon.

A 43. cikk nem alkalmazandó azonnal valamennyi nagy kockázatú MI-rendszerre. A 113. cikk által meghatározott fokozatos alkalmazási ütemterv azt jelenti, hogy:

• 2025. február 2. — Az elfogadhatatlan kockázatú MI-gyakorlatokra vonatkozó tilalmak (II. cím) alkalmazandóvá váltak. A 43. cikk még nem volt hatályban.
• 2025. augusztus 2. — Az általános célú MI-modellekre vonatkozó kötelezettségek (VIII. cím) alkalmazandóvá váltak. A 43. cikk szerinti megfelelőségértékelési kötelezettségek a legtöbb nagy kockázatú rendszer esetén még nem voltak hatályban.
• 2026. augusztus 2. — A 43. cikk teljes mértékben alkalmazandóvá válik a III. mellékletben felsorolt nagy kockázatú MI-rendszerek szolgáltatóira (önálló nagy kockázatú MI-rendszerek olyan területeken, mint a biometria, a foglalkoztatás, az oktatás és a kritikus infrastruktúra).
• 2027. augusztus 2. — Az a határidő, amelyig a kötelezettségek, köztük a megfelelőségértékelés, alkalmazandók az I. melléklet szerinti termékekbe beépített nagy kockázatú MI-rendszerekre, amelyeket az uniós harmonizációs jogszabályok szabályoznak, és amelyeket 2026 augusztusa előtt hoztak forgalomba.

A szolgáltatóknak a 2026. augusztusi határidőt kell az operatív megfelelőségi dátumnak tekinteniük a belső tervezés szempontjából, biztosítva, hogy a minőségirányítási rendszerek, a műszaki dokumentáció és az értékelési eljárások jóval előre legyenek működőképesek.