Artikel 35 — Identificatienummers en lijsten van aangemelde instanties (EU-AI-verordening)

Artikel 35 van Verordening (EU) 2024/1689 — Identificatienummers en lijsten van aangemelde instanties. Officiële tekst, praktische interpretatie, belangrijkste verplichtingen en implicaties voor naleving.

Samenvatting van de officiële tekst

Artikel 35 van Verordening (EU) 2024/1689 (de EU-AI-verordening) stelt het administratieve en transparantiekader vast dat de identificatie en de openbare vermelding van aangemelde instanties die onder de verordening opereren, regelt. Het artikel legt verplichtingen op hoofdzakelijk aan de Europese Commissie en aan de aanmeldende autoriteiten van de lidstaten.

Op grond van Artikel 35 is de Commissie verplicht aan elke aangemelde instantie een identificatienummer toe te kennen. Cruciaal is dat wanneer een instantie onder meer dan één Uniehandeling is aangemeld, zij één enkel identificatienummer ontvangt, wat consistentie over wetgevingsinstrumenten heen waarborgt. De Commissie is verder verplicht een lijst van alle aangemelde instanties openbaar beschikbaar te stellen, inclusief hun identificatienummers en de activiteiten waarvoor zij zijn aangemeld. Deze lijst moet actueel worden gehouden.

Lidstaten dragen een aanvullende verplichting: zij moeten de Commissie informeren over eventuele wijzigingen in de status van een aangemelde instantie — waaronder de verlening van nieuwe aanmeldingen en eventuele beperkingen, schorsingen of intrekkingen van bestaande aanmeldingen. De Commissie is vervolgens verantwoordelijk voor het zonder onnodige vertraging weerspiegelen van die wijzigingen in de openbare lijst.

Het artikel opereert binnen Hoofdstuk 4 van Titel III, dat de algehele architectuur van aanmelding regelt: wie de conformiteit van hoog-risico AI-systemen mag beoordelen, onder welke voorwaarden en met welk toezicht. Artikel 35 richt zich specifiek op de identificatie- en zichtbaarheidslaag van die architectuur, en zorgt ervoor dat de markt — inclusief aanbieders die beoordeling zoeken, downstream-gebruikers en nationale autoriteiten — betrouwbaar kan vaststellen welke instanties gemachtigd zijn, voor welk toepassingsgebied, en of die machtiging nog actueel is.

Wat dit in de praktijk betekent

Artikel 35 heeft directe operationele implicaties voor drie categorieën actoren: aanbieders van hoog-risico AI-systemen, aangemelde instanties zelf en nationale aanmeldende autoriteiten.

Voor aanbieders die een conformiteitsbeoordeling door derden zoeken op grond van Bijlage VI of de volledige kwaliteitsmanagementsysteemroute, biedt Artikel 35 het primaire verificatiemechanisme. Voordat zij een aangemelde instantie inschakelen, dient een aanbieder de NANDO-database van de Commissie te raadplegen om te bevestigen dat de instantie een geldige aanmelding heeft onder de EU-AI-verordening, die de specifieke productcategorie of het type AI-systeem in kwestie dekt. Vertrouwen op een instantie waarvan de aanmelding is verlopen, geschorst of nooit formeel uitgebreid naar het toepassingsgebied van de AI-verordening, creëert een nalevingskloof die een conformiteitsbeoordelingscertificaat ongeldig kan maken.

Voor aangemelde instanties schept Artikel 35 een indirecte verplichting om samen te werken met hun nationale aanmeldende autoriteit om ervoor te zorgen dat elke wijziging in hun operationeel toepassingsgebied of vergunningsstatus tijdig wordt doorgegeven. Een instantie die haar beoordelingstoepassingsgebied uitbreidt — bijvoorbeeld door een nieuwe hoog-risico categorie toe te voegen zoals biometrische categoriseringsystemen — mag niet legitiem handelen onder dat uitgebreide toepassingsgebied totdat de aanmelding is bijgewerkt en weerspiegeld op de Commissielijst.

Voor nationale aanmeldende autoriteiten is de verplichting procedureel maar consequent: wijzigingen in de status van een instantie moeten onmiddellijk aan de Commissie worden meegedeeld. Vertragingen creëren een venster waarin de openbare lijst onnauwkeurig is, wat aanbieders mogelijk misleidt of markttoezichtacties ondermijnt die worden ondernomen door autoriteiten in andere lidstaten.

Concreet dient een juridisch of compliance-team dat zich voorbereidt op een conformiteitsbeoordeling een checkliststap in te bouwen waarbij het identificatienummer van de geselecteerde aangemelde instantie in NANDO wordt gecontroleerd, wordt geverifieerd dat het toepassingsgebied van de aanmelding overeenkomt met de risicoklassificatie van het systeem, en wordt nagegaan of er geen beperkingen of schorsingen tegen dat dossier verschijnen.

Belangrijkste verplichtingen

• De Europese Commissie moet aan elke aangemelde instantie één identificatienummer toekennen, consistent over alle Uniehandelingen waaronder die instantie opereert.
• De Commissie moet een publiek toegankelijke, actuele lijst van alle aangemelde instanties publiceren en bijhouden, inclusief hun identificatienummers en aangemeld toepassingsgebied.
• Lidstaten en hun aanmeldende autoriteiten moeten de Commissie zonder onnodige vertraging informeren over eventuele verleeningen, beperkingen, schorsingen of intrekkingen van aanmelding.
• De Commissie moet de openbare lijst bijwerken om wijzigingen in de status van aangemelde instanties te weerspiegelen zonder onnodige vertraging na kennisgeving door de lidstaat.
• Aangemelde instanties mogen niet handelen buiten hun aangemelde toepassingsgebied; elke uitbreiding van het toepassingsgebied vereist een formele update van de aanmelding voordat de instantie beoordelingen mag uitvoeren onder dat uitgebreide toepassingsgebied.
• Aanbieders moeten, voordat zij een aangemelde instantie inschakelen, verifiëren dat de huidige vermelding van de instantie in de Commissie-database de relevante activiteit dekt en in goede staat verkeert.

Relatie met andere artikelen

Artikel 35 kan niet geïsoleerd worden gelezen; het maakt deel uit van een samenhangend kader binnen Hoofdstuk 4 van Titel III.

Artikel 28 definieert de vereisten waaraan aanmeldende autoriteiten — de nationale instanties die verantwoordelijk zijn voor het instellen en uitvoeren van aanmeldingsprocedures — zelf moeten voldoen, en biedt de institutionele basis waarop de aanmeldingsstromen van Artikel 35 steunen. Artikel 29 stelt de gedetailleerde aanvraagvereisten vast waaraan een conformiteitsbeoordelingsinstantie moet voldoen voordat zij kan worden aangemeld, terwijl Artikel 30 de aanmeldingsprocedure zelf regelt, inclusief de formele mededeling aan de Commissie die een vermelding op grond van Artikel 35 triggert. Artikel 31 behandelt het vermoeden van conformiteit voor aangemelde instanties die gecertificeerd zijn onder relevante geharmoniseerde normen.

Operationeel verbindt Artikel 35 zich met de Artikelen 43 en 44, die de conformiteitsbeoordelingsprocedures voor hoog-risico AI-systemen en de daaruit voortvloeiende certificaten regelen — documenten waarvan de geldigheid onlosmakelijk verbonden is met de status van de uitgevende instantie als correct vermeld onder Artikel 35. Artikel 74 (markttoezicht) is ook afhankelijk van nauwkeurige vermeldingen op grond van Artikel 35, aangezien autoriteiten die grensoverschrijdend toezicht coördineren, moeten kunnen identificeren welke instantie een bepaald certificaat heeft afgegeven en of die instantie nog steeds gemachtigd is.

Nalevingstijdlijn

De EU-AI-verordening is op 1 augustus 2024 in werking getreden, twintig dagen na publicatie in het Publicatieblad. De toepassing is gefaseerd:

• 2 februari 2025 — Verboden op AI-praktijken met onaanvaardbaar risico (Titel II) zijn van toepassing geworden.
• 2 augustus 2025 — Bepalingen over AI-modellen voor algemeen gebruik (Titel VIII) en governanceverplichtingen zijn van toepassing geworden.
• 2 augustus 2026 — Het grootste deel van Titel III, inclusief het aangemelde instanties-kader onder Hoofdstuk 4, wordt volledig van toepassing voor hoog-risico AI-systemen vermeld in Bijlage III, met uitzondering van die welke onder de uitgebreide deadline hieronder vallen.
• 2 augustus 2027 — Verlengde deadline voor hoog-risico AI-systemen die onder bestaande Unieharmonisatiewetgeving vermeld in Bijlage I vallen (bijv. machines, medische hulpmiddelen), waardoor die sectoren extra tijd krijgen om de conformiteitsbeoordelingsvereisten van de AI-verordening te integreren in bestaande certificeringsworkflows.

Artikel 35 zelf, als onderdeel van de infrastructuur voor aangemelde instanties, wordt operationeel relevant parallel aan de toepassing van de conformiteitsbeoordelingsvereisten van Hoofdstuk 4. Lidstaten en de Commissie dienen ervoor te zorgen dat aanmeldingsprocedures, toewijzing van identificatienummers en de openbare database volledig operationeel zijn vóór de datum van augustus 2026, zodat aanbieders van hoog-risico AI-systemen compliant aangemelde instanties kunnen inschakelen vanaf het moment dat verplichte conformiteitsbeoordelingsverplichtingen van toepassing worden.