Artykuł 22 — Upoważnieni przedstawiciele dostawców mających siedzibę poza Unią (ustawa o AI UE)

Artykuł 22 rozporządzenia (UE) 2024/1689 — Upoważnieni przedstawiciele dostawców mających siedzibę poza Unią. Tekst oficjalny, interpretacja praktyczna, kluczowe obowiązki i implikacje dotyczące zgodności.

Podsumowanie tekstu oficjalnego

Artykuł 22 rozporządzenia (UE) 2024/1689 ustanawia obowiązkowy mechanizm dostępu dla dostawców wysokiego ryzyka systemów AI i modeli AI ogólnego przeznaczenia, którzy mają siedzibę w państwach trzecich, ale wprowadzają te systemy lub modele na rynek Unii lub oddają je do użytku na terenie Unii.

Tacy dostawcy muszą, przed udostępnieniem swojego systemu AI lub modelu GPAI w UE, wyznaczyć — na podstawie pisemnego pełnomocnictwa — upoważnionego przedstawiciela mającego siedzibę w Unii. Pełnomocnictwo musi upoważniać tego przedstawiciela do wykonywania określonego zestawu zadań w imieniu dostawcy: weryfikacji, czy unijna deklaracja zgodności i wymagana dokumentacja techniczna zostały właściwie sporządzone; zapewnienia rejestracji w bazie danych UE, o której mowa w artykule 71; oraz pełnienia funkcji jedynego identyfikowalnego punktu kontaktowego dla Biura ds. AI i krajowych właściwych organów we wszystkich kwestiach dotyczących zgodności z rozporządzeniem.

Upoważniony przedstawiciel musi być uwzględniony w obowiązkowych informacjach rejestracyjnych i musi mieć dostęp do wystarczającej dokumentacji, aby mógł wypełniać swoje obowiązki. Przedstawiciel działa na podstawie ciągłego obowiązku współpracy z właściwymi organami i niezwłocznego informowania dostawcy o każdym zidentyfikowanym ryzyku lub niezgodności. Ważne jest, że wyznaczenie upoważnionego przedstawiciela nie zwalnia dostawcy z państwa trzeciego z jego własnych obowiązków wynikających z rozporządzenia; obie strony ponoszą odrębne obowiązki, a odpowiedzialność przedstawiciela wynika konkretnie z zadań przypisanych mu w pełnomocnictwie.

Co to oznacza w praktyce

Artykuł 22 funkcjonuje jako odpowiednik ustawy o AI UE koncepcji „osoby odpowiedzialnej" lub „upoważnionego przedstawiciela" już znanych z przepisów dotyczących bezpieczeństwa produktów, takich jak rozporządzenie w sprawie wyrobów medycznych i rozporządzenie w sprawie ogólnego bezpieczeństwa produktów. Jego praktyczny skutek polega na zapewnieniu, że podmiot prawnie identyfikowalny z fizyczną obecnością na terenie UE jest zawsze osiągalny dla organów regulacyjnych, niezależnie od tego, gdzie mieści się siedziba dewelopera systemu AI.

Kogo dotyczy. Każda firma spoza UE — niezależnie od tego, czy jest to deweloper modelu bazowego z siedzibą w USA, firma zajmująca się oprogramowaniem robotycznym z siedzibą w Singapurze czy sprzedawca HR-tech z siedzibą w Wielkiej Brytanii — która oferuje wysokiego ryzyka system AI lub model GPAI klientom, wdrażającym lub użytkownikom z UE, musi wprowadzić tę strukturę. Dotyczy to również firm dystrybuujących za pośrednictwem unijnych dystrybutorów lub platform chmurowych: obowiązek spoczywa na dostawcy, a nie na kanale dystrybucji.

Co należy zrobić. Dostawca musi zidentyfikować osobę fizyczną lub prawną z siedzibą w państwie członkowskim UE, zawrzeć pisemne pełnomocnictwo określające upoważnione zadania przedstawiciela, zapewnić, że przedstawiciel posiada kopie (lub bezpieczny dostęp do) odpowiedniej dokumentacji technicznej i deklaracji zgodności, oraz zarejestrować dane przedstawiciela w bazie danych UE zgodnie z artykułem 71.

Konkretny przykład. Kanadyjska firma opracowująca narzędzie do oceny zdolności kredytowej oparte na AI, sklasyfikowane jako wysokiego ryzyka zgodnie z załącznikiem III, musi przed nawiązaniem współpracy z jakimkolwiek bankiem unijnym jako klientem zawrzeć umowę z kancelarią prawną, konsultantem ds. zgodności lub dedykowaną spółką zależną jako swoim upoważnionym przedstawicielem mającym siedzibę w UE. Nazwa, adres i dane kontaktowe tego przedstawiciela pojawiają się w bazie danych UE i w dokumentacji produktu, zapewniając francuskim lub niemieckim organom nadzoru rynku natychmiastowy krajowy punkt kontaktowy.

Ciągły obowiązek. Pełnomocnictwo nie jest jednorazowym zgłoszeniem. Przedstawiciel musi pozostawać osiągalny, dbać o aktualność dokumentacji i niezwłocznie eskalować wszelkie stwierdzone niezgodności do dostawcy.

Kluczowe obowiązki

• Obowiązkowe pisemne pełnomocnictwo. Dostawca musi udzielić upoważnionemu przedstawicielowi formalnego, pisemnego pełnomocnictwa przed wprowadzeniem wysokiego ryzyka systemu AI lub modelu GPAI na rynek UE, wyraźnie określając, które zadania przedstawiciel jest upoważniony do wykonywania w imieniu dostawcy.
• Wymóg siedziby w UE. Upoważniony przedstawiciel musi być osobą fizyczną lub prawną mającą siedzibę na terenie Unii Europejskiej; przedstawiciel z siedzibą w państwie trzecim — w tym państwach EFTA należących do EOG nieobjętych porozumieniem o równoważności — nie spełnia tego wymogu.
• Dostęp do dokumentacji i jej weryfikacja. Przedstawiciel musi zweryfikować, czy unijna deklaracja zgodności i dokumentacja techniczna wymagana na mocy artykułów 11 i 18 zostały właściwie sporządzone, i musi zachować dostęp do tych dokumentów przez cały okres trwania pełnomocnictwa.
• Rejestracja w bazie danych UE. Przedstawiciel jest odpowiedzialny za zapewnienie, że informacje dostawcy — w tym własne dane kontaktowe przedstawiciela — są zarejestrowane w bazie danych UE, o której mowa w artykule 71, i że rejestracja jest aktualizowana.
• Punkt kontaktowy dla organów. Upoważniony przedstawiciel pełni funkcję głównego punktu kontaktowego dla Biura ds. AI i krajowych właściwych organów we wszystkich kwestiach dotyczących zgodności, nadzoru rynku i egzekwowania przepisów w odniesieniu do objętego zakresem systemu AI lub modelu GPAI.
• Obowiązek ostrzegania i współpracy. Przedstawiciel musi niezwłocznie informować dostawcę o wszelkich ryzykach dla zdrowia, bezpieczeństwa lub praw podstawowych lub wszelkich podejrzeniach niezgodności, które dojdą do jego wiadomości, i musi w pełni współpracować z właściwymi organami na żądanie, w tym udostępniać im dokumentację i dostęp do rejestrów.

Relacja z innymi artykułami

Artykuł 22 działa w ramach szerszego rozdziału 3, regulującego obowiązki dostawców i podmiotów wdrażających, i musi być odczytywany w połączeniu z kilkoma innymi przepisami.

Artykuł 16 określa pełną listę obowiązków mających zastosowanie do dostawców wysokiego ryzyka systemów AI; artykuł 22 skutecznie deleguje krajowe wykonywanie tych obowiązków na upoważnionego przedstawiciela, gdy dostawca ma siedzibę poza UE.

Artykuły 11 i 18 definiują obowiązki w zakresie dokumentacji technicznej i prowadzenia dokumentacji, które przedstawiciel musi zweryfikować jako spełnione przed wprowadzeniem systemu na rynek.

Artykuł 71 ustanawia bazę danych UE, w której muszą być zarejestrowane dane przedstawiciela, co sprawia, że artykuł 22 jest warunkiem wstępnym dla legalnej rejestracji przez dostawców z państw trzecich.

Artykuł 53 reguluje obowiązki specyficzne dla dostawców modeli AI ogólnego przeznaczenia; artykuł 22 rozszerza wymóg upoważnionego przedstawiciela na tę kategorię, wzmacniając, że dostawcy GPAI spoza UE podlegają równoważnym obowiązkom gatekeepingu.

Artykuły 74 i 75 dotyczące nadzoru rynku są bezpośrednio obsługiwane przez artykuł 22: właściwe organy wykonują swoje uprawnienia nadzorcze wobec upoważnionego przedstawiciela jako krajowej kotwicy egzekwowania, gdy rzeczywisty dostawca jest nieosiągalny.

Harmonogram zgodności

Ustawa o AI UE (rozporządzenie 2024/1689) weszła w życie 1 sierpnia 2024 r., dwadzieścia dni po publikacji w Dzienniku Urzędowym. Stosowanie jest stopniowane:

• 2 lutego 2025 r. — Przepisy dotyczące zakazanych praktyk AI (artykuł 5) stały się stosowane. Artykuł 22 nie ma jeszcze zastosowania w izolacji na tym etapie, ale dostawcy powinni już oceniać, czy ich systemy wchodzą w zakres wysokiego ryzyka lub GPAI.
• 2 sierpnia 2025 r. — Obowiązki mające zastosowanie do modeli AI ogólnego przeznaczenia (tytuł V, w tym artykuł 53) stają się stosowane. Ponieważ artykuł 22 wyraźnie obejmuje dostawców modeli GPAI, dostawcy modeli GPAI z państw trzecich muszą mieć ustanowionego upoważnionego przedstawiciela do tej daty.
• 2 grudnia 2026 r. — Wysokiego ryzyka systemy AI wymienione w załączniku III, które są już objęte istniejącymi przepisami UE dotyczącymi bezpieczeństwa produktów, muszą spełniać pełny łańcuch obowiązków dostawcy, w tym wymogi dotyczące upoważnionego przedstawiciela z artykułu 22.
• 2 sierpnia 2027 r. — Wszystkie pozostałe wysokiego ryzyka systemy AI wymienione w załączniku III podlegają pełnemu zestawowi obowiązków. Dostawcy z państw trzecich tych systemów, którzy nie wyznaczyli jeszcze upoważnionego przedstawiciela, będą w naruszeniu od tej daty.

Dostawcy wprowadzający po raz pierwszy wysokiego ryzyka systemy na rynek UE po 2 sierpnia 2024 r. powinni od samego początku traktować wymóg upoważnionego przedstawiciela jako warunek wstępny dostępu do rynku, zamiast czekać na odpowiednią datę stosowania dla swojej kategorii systemów.