Artikel 22 — Gemachtigde vertegenwoordigers van buiten de Unie gevestigde aanbieders (EU AI-wet)

Artikel 22 van Verordening (EU) 2024/1689 — Gemachtigde vertegenwoordigers van buiten de Unie gevestigde aanbieders. Officiële tekst, praktische interpretatie, belangrijkste verplichtingen en nalevingsimplicaties.

Samenvatting officiële tekst

Artikel 22 van Verordening (EU) 2024/1689 stelt een verplicht gatewaymechanisme in voor aanbieders van hoog-risico AI-systemen en AI-modellen voor algemene doeleinden die in derde landen zijn gevestigd maar die systemen of modellen op de Uniemarkt brengen of binnen de Unie in gebruik stellen.

Dergelijke aanbieders moeten, vóór het beschikbaar stellen van hun AI-systeem of GPAI-model in de EU, bij schriftelijk mandaat een in de Unie gevestigde gemachtigde vertegenwoordiger aanwijzen. Het mandaat moet die vertegenwoordiger in staat stellen een bepaald aantal taken namens de aanbieder uit te voeren: het verifiëren dat de EU-conformiteitsverklaring en de vereiste technische documentatie naar behoren zijn opgesteld; het waarborgen van registratie in de EU-databank bedoeld in artikel 71; en het fungeren als enig identificeerbaar contactpunt voor het AI-bureau en voor nationale bevoegde autoriteiten in alle aangelegenheden die betrekking hebben op de naleving van de Verordening.

De gemachtigde vertegenwoordiger moet worden opgenomen in de verplichte registratie-informatie en moet toegang hebben tot voldoende documentatie om zijn verplichtingen te kunnen nakomen. De vertegenwoordiger heeft een voortdurende plicht om samen te werken met bevoegde autoriteiten en om de aanbieder onmiddellijk te informeren over elk geïdentificeerd risico of niet-naleving. Belangrijk is dat de aanstelling van een gemachtigde vertegenwoordiger de aanbieder uit het derde land niet ontslaat van zijn eigen verplichtingen uit hoofde van de Verordening; beide partijen dragen afzonderlijke verantwoordelijkheden, waarbij aansprakelijkheid voor de vertegenwoordiger specifiek voortvloeit uit de in het mandaat opgedragen taken.

Wat dit in de praktijk betekent

Artikel 22 functioneert als het equivalent van de EU AI-wet voor de concepten "verantwoordelijke persoon" of "gemachtigde vertegenwoordiger" die al bekend zijn uit productveiligheidsregelgeving zoals de Verordening betreffende medische hulpmiddelen en de Verordening algemene productveiligheid. Het praktische effect ervan is te waarborgen dat een juridisch identificeerbare entiteit met een fysieke aanwezigheid binnen de EU altijd bereikbaar is voor toezichthouders, ongeacht waar het hoofdkantoor van de ontwikkelaar van het AI-systeem is gevestigd.

Wie er mee te maken heeft. Elk niet-EU-bedrijf — of het nu een in de VS gevestigde foundationmodelaanbieder is, een in Singapore gevestigd robotica-softwarebedrijf of een in het VK gevestigde HR-techverkoper — dat een hoog-risico AI-systeem of een GPAI-model aanbiedt aan EU-klanten, gebruikers of inzetters, moet deze structuur opzetten. Dit geldt ook voor bedrijven die distribueren via EU-resellers of cloudmarktplaatsen: de verplichting is van toepassing op de aanbieder, niet op het distributiekanaal.

Wat er gedaan moet worden. De aanbieder moet een natuurlijke of rechtspersoon gevestigd in een EU-lidstaat identificeren, een schriftelijk mandaat sluiten waarin de gemachtigde taken van de vertegenwoordiger worden gespecificeerd, ervoor zorgen dat de vertegenwoordiger exemplaren van (of beveiligde toegang tot) de relevante technische documentatie en conformiteitsverklaringen heeft, en de gegevens van de vertegenwoordiger registreren in de EU-databank op grond van artikel 71.

Concreet voorbeeld. Een Canadees bedrijf dat een op AI gebaseerde kredietscoretool ontwikkelt die krachtens bijlage III als hoog-risico is geclassificeerd, moet vóór het aanboren van een EU-bank als klant een in de EU gevestigd advocatenkantoor, nalevingsconsultancy of een daartoe bestemde rechtspersoon-dochteronderneming contracteren als gemachtigde vertegenwoordiger. De naam, het adres en de contactgegevens van die vertegenwoordiger verschijnen in de EU-databank en op productdocumentatie, zodat Franse of Duitse markttoezichtautoriteiten een onmiddellijk binnenlands contactpunt hebben.

Voortdurende verplichting. Het mandaat is geen eenmalige aanmelding. De vertegenwoordiger moet bereikbaar blijven, documentatie actueel houden en eventuele geconstateerde niet-conformiteit tijdig escaleren naar de aanbieder.

Belangrijkste verplichtingen

• Verplicht schriftelijk mandaat. De aanbieder moet de gemachtigde vertegenwoordiger een formeel, schriftelijk mandaat verlenen vóór het op de EU-markt brengen van het hoog-risico AI-systeem of GPAI-model, waarin expliciet wordt vermeld welke taken de vertegenwoordiger bevoegd is namens de aanbieder uit te voeren.
• Vestigingsvereiste in de EU. De gemachtigde vertegenwoordiger moet een in de Europese Unie gevestigde natuurlijke of rechtspersoon zijn; een in een derde land gevestigde vertegenwoordiger — inclusief EER-EVA-staten die niet onder een gelijkwaardigheidsregeling vallen — voldoet niet aan deze vereiste.
• Toegang tot en verificatie van documentatie. De vertegenwoordiger moet verifiëren dat de EU-conformiteitsverklaring en de technische documentatie vereist op grond van artikelen 11 en 18 naar behoren zijn opgesteld, en moet gedurende de looptijd van het mandaat toegang tot die documenten behouden.
• Registratie in de EU-databank. De vertegenwoordiger is verantwoordelijk voor het waarborgen dat de informatie van de aanbieder — inclusief de eigen contactgegevens van de vertegenwoordiger — is geregistreerd in de EU-databank bedoeld in artikel 71, en dat de registratie actueel wordt gehouden.
• Contactpunt voor autoriteiten. De gemachtigde vertegenwoordiger fungeert als primair contactpunt voor het AI-bureau en nationale bevoegde autoriteiten voor alle nalevings-, markttoezicht- en handhavingsvragen met betrekking tot het AI-systeem of GPAI-model dat in de scope valt.
• Plicht tot waarschuwen en samenwerken. De vertegenwoordiger moet de aanbieder onmiddellijk informeren over elk risico voor de gezondheid, veiligheid of grondrechten of enig vermoeden van niet-conformiteit dat te zijner kennis komt, en moet volledig samenwerken met bevoegde autoriteiten op verzoek, inclusief het verstrekken van documentatie en toegang tot registers.

Relatie tot andere artikelen

Artikel 22 werkt binnen het bredere kader van hoofdstuk 3 dat de verplichtingen van aanbieders en gebruikers regelt en moet worden gelezen in samenhang met verschillende andere bepalingen.

Artikel 16 bevat de volledige lijst van verplichtingen die van toepassing zijn op aanbieders van hoog-risico AI-systemen; artikel 22 delegeert de binnenlandse uitvoering van die verplichtingen effectief aan de gemachtigde vertegenwoordiger wanneer de aanbieder buiten de EU is gevestigd.

Artikelen 11 en 18 definiëren de technische documentatie- en registratieverplichtingen die de vertegenwoordiger moet verifiëren alvorens het systeem op de markt wordt gebracht.

Artikel 71 stelt de EU-databank in waarin de gegevens van de vertegenwoordiger moeten worden geregistreerd, waardoor artikel 22 een vereiste is voor rechtmatige registratie door aanbieders uit derde landen.

Artikel 53 regelt verplichtingen die specifiek zijn voor aanbieders van AI-modellen voor algemene doeleinden; artikel 22 breidt de vereiste voor gemachtigde vertegenwoordigers uit tot deze categorie, waarmee wordt bevestigd dat GPAI-aanbieders buiten de EU gelijkwaardige poortwachtersverplichtingen hebben.

Artikelen 74 en 75 over markttoezicht worden rechtstreeks bediend door artikel 22: bevoegde autoriteiten oefenen hun toezichthoudende bevoegdheden uit jegens de gemachtigde vertegenwoordiger als binnenlands handhavingsanker wanneer de feitelijke aanbieder onbereikbaar is.

Nalevingstijdlijn

De EU AI-wet (Verordening 2024/1689) is op 1 augustus 2024 in werking getreden, twintig dagen na publicatie in het Publicatieblad. De toepassing is gefaseerd:

• 2 februari 2025 — Bepalingen over verboden AI-praktijken (artikel 5) zijn van toepassing geworden. Artikel 22 is in dit stadium nog niet afzonderlijk van toepassing, maar aanbieders moeten al beoordelen of hun systemen binnen de hoog-risico- of GPAI-reikwijdte vallen.
• 2 augustus 2025 — Verplichtingen die van toepassing zijn op AI-modellen voor algemene doeleinden (titel V, inclusief artikel 53) worden van toepassing. Omdat artikel 22 uitdrukkelijk betrekking heeft op GPAI-modelaanbieders, moeten aanbieders van GPAI-modellen uit derde landen vóór deze datum hun gemachtigde vertegenwoordiger hebben aangesteld.
• 2 december 2026 — Hoog-risico AI-systemen die zijn vermeld in bijlage III en die reeds onderworpen zijn aan bestaande EU-productveiligheidsregelgeving, moeten voldoen aan de volledige keten van aanbiederverplichtingen, inclusief de vereisten voor gemachtigde vertegenwoordigers van artikel 22.
• 2 augustus 2027 — Alle resterende hoog-risico AI-systemen die zijn vermeld in bijlage III worden onderworpen aan de volledige reeks verplichtingen. Aanbieders uit derde landen van die systemen die nog geen gemachtigde vertegenwoordiger hebben aangewezen, zullen met ingang van deze datum in overtreding zijn.

Aanbieders die voor het eerst na 2 augustus 2024 hoog-risicosystemen op de EU-markt brengen, moeten de vereiste voor gemachtigde vertegenwoordigers vanaf het begin als vereiste voor markttoegang beschouwen, in plaats van te wachten op de relevante toepassingsdatum voor hun systeemcategorie.