Artykuł 24 — Obowiązki dystrybutorów (rozporządzenie UE w sprawie AI)

Artykuł 24 rozporządzenia (UE) 2024/1689 — Obowiązki dystrybutorów. Oficjalny tekst, praktyczna interpretacja, kluczowe obowiązki i implikacje dla zgodności.

Streszczenie oficjalnego tekstu

Artykuł 24 rozporządzenia (UE) 2024/1689 ustanawia obowiązki spoczywające na dystrybutorach systemów AI wysokiego ryzyka w rozumieniu Artykułu 3(7). Przed udostępnieniem systemu AI wysokiego ryzyka na rynku dystrybutorzy muszą zweryfikować, że nosi on wymagane oznakowanie CE zgodności, że towarzyszy mu kopia deklaracji zgodności UE wydanej przez dostawcę oraz że niezbędne instrukcje użytkowania są dostarczone w języku, który może być łatwo zrozumiany przez użytkowników w państwie członkowskim, w którym system jest udostępniany.

Dystrybutorzy są zobowiązani do weryfikacji, że dostawca i, w stosownych przypadkach, importer spełnili swoje odpowiednie obowiązki wynikające z Artykułów 16 i 23. Gdy dystrybutor ma podstawy sądzić, że system AI wysokiego ryzyka nie jest zgodny z wymogami rozporządzenia, musi powstrzymać się od udostępniania systemu do czasu przywrócenia zgodności. Jeżeli system stanowi ryzyko, dystrybutor musi odpowiednio poinformować dostawcę lub importera oraz właściwe organy nadzoru rynku.

Dystrybutorzy muszą również współpracować z dostawcami, importerami i właściwymi organami na żądanie oraz przekazywać wszystkie informacje i dokumentację będące w ich posiadaniu, niezbędne do wykazania zgodności systemu AI wysokiego ryzyka. Obowiązki dotyczące przechowywania odpowiedniej dokumentacji mają zastosowanie przez okres dziesięciu lat po udostępnieniu systemu. Kluczowe znaczenie ma to, że artykuł ustanawia warunki, w których dystrybutor przejmuje pełne obowiązki dostawcy: gdy wprowadza system do obrotu pod własną nazwą, istotnie go modyfikuje lub zmienia jego przeznaczenie w sposób spełniający próg klasyfikacji wysokiego ryzyka.

Co to oznacza w praktyce

Artykuł 24 bezpośrednio dotyczy każdej firmy, która dystrybuuje systemy AI wysokiego ryzyka bez ich tworzenia — sprzedawców detalicznych wyrobów medycznych opartych na AI, odsprzedawców systemów biometrycznych opartych na AI lub operatorów platform dostarczających narzędzia AI stron trzecich klientom korporacyjnym. Artykuł nakłada punkt kontroli należytej staranności przed każdą czynnością dystrybucji.

Konkretnie, dystrybutor musi przeprowadzić kontrolę zgodności przed każdym wprowadzeniem do obrotu: potwierdzić, że oznakowanie CE jest obecne i ważne, uzyskać i zachować kopię deklaracji zgodności UE oraz zapewnić, że dokumentacja produktu i instrukcje użytkowania są przetłumaczone lub w inny sposób dostępne w odpowiednim języku państwa członkowskiego. Nie są to zadania jednorazowe — mają zastosowanie za każdym razem, gdy system jest udostępniany.

Jeżeli audyt, skarga klienta lub wewnętrzny przegląd ujawni problem ze zgodnością, dystrybutor nie może kontynuować dystrybucji i musi natychmiast eskalować sprawę do dostawcy lub importera oraz, jeżeli istnieje ryzyko dla zdrowia, bezpieczeństwa lub praw podstawowych, do organów nadzoru rynku, takich jak krajowe organy ds. AI wyznaczone na mocy Artykułu 70.

Przepis dotyczący eskalacji roli jest szczególnie doniosły. Dystrybutor, który zmienia markę systemu AI wysokiego ryzyka, dokonuje modyfikacji funkcjonalnych zmieniających wydajność lub przeznaczenie albo zmienia kontekst wdrożenia w istotny sposób, zostaje przeklasyfikowany jako dostawca. W tym momencie przejmuje pełen zestaw obowiązków wynikających z Artykułu 16, w tym ocenę zgodności, rejestrację w bazie danych UE, monitorowanie pourynkowe i dokumentację techniczną. Przedsiębiorstwa powinny przeprowadzić ćwiczenie z mapowania prawnego przed modyfikacją jakiegokolwiek nabytego systemu AI, aby ustalić, czy próg modyfikacji jest przekroczony.

Kluczowe obowiązki

• Weryfikacja zgodności przed dystrybucją: Przed udostępnieniem systemu AI wysokiego ryzyka potwierdzić, że oznakowanie CE, deklaracja zgodności UE i dostępne instrukcje użytkowania są obecne i kompletne.
• Zawieszenie systemów niezgodnych: Jeżeli istnieje podstawa do sądzenia, że system nie jest zgodny z rozporządzeniem (UE) 2024/1689, natychmiast wstrzymać dystrybucję i powiadomić dostawcę, importera oraz, w przypadku istnienia ryzyka, właściwy organ nadzoru rynku.
• Współpraca z organami: Na żądanie udostępnić wszystkie informacje i dokumentację będące w posiadaniu dystrybutora w celu wykazania zgodności oraz współpracować z dochodzeniami prowadzonymi przez właściwe organy.
• Przechowywanie dokumentacji przez dziesięć lat: Przechowywać całą odpowiednią dokumentację dotyczącą zgodności przez dziesięć lat od daty udostępnienia systemu AI wysokiego ryzyka na rynku.
• Przejęcie obowiązków dostawcy: Gdy dystrybutor wprowadza system do obrotu pod własną nazwą lub znakiem towarowym, istotnie go modyfikuje lub zmienia jego przeznaczenie na zastosowanie wysokiego ryzyka, musi przejąć wszystkie obowiązki dostawcy wynikające z Artykułu 16.
• Zgłaszanie ryzyka: Jeżeli dystrybuowany system stwarza ryzyko dla zdrowia, bezpieczeństwa lub praw podstawowych, dystrybutor musi niezwłocznie poinformować dostawcę lub importera oraz właściwe organy nadzoru rynku, podając szczegóły dotyczące niezgodności i wszelkich działań naprawczych.

Związek z innymi artykułami

Artykuł 24 mieści się w Tytule III, Rozdziale 3, który reguluje pełny łańcuch odpowiedzialności za systemy AI wysokiego ryzyka. Jest ściśle powiązany z Artykułem 16 (obowiązki dostawców), ponieważ Artykuł 24 wielokrotnie posługuje się obowiązkami dostawcy jako punktem odniesienia zgodności, który dystrybutorzy muszą weryfikować i, w określonych okolicznościach, bezpośrednio przejmować. Artykuł 23 (obowiązki importerów) jest bezpośrednim odpowiednikiem: dystrybutorzy muszą weryfikować, że importerzy wypełnili własne kontrole przed dystrybucją. Artykuł 3 zawiera definicje dystrybutora, dostawcy, importera i istotnej modyfikacji, które determinują, które obowiązki mają zastosowanie.

Artykuł 47 (deklaracja zgodności UE) i Artykuł 48 (oznakowanie CE) definiują dokumentację i oznakowanie, które dystrybutorzy są zobowiązani sprawdzić. Artykuły 72 do 74 dotyczące monitorowania pourynkowego i zgłaszania poważnych incydentów krzyżują się z obowiązkami dystrybutorów, gdy ryzyko materializuje się po dystrybucji. Nadzór rynku i obowiązki egzekwowania wynikające z Artykułów 74 do 83 regulują sposób, w jaki właściwe organy współdziałają z dystrybutorami przy dochodzeniach dotyczących niezgodności.

Harmonogram zgodności

Rozporządzenie UE w sprawie AI weszło w życie 1 sierpnia 2024 r. (20 dni po publikacji w Dzienniku Urzędowym 12 lipca 2024 r.). Harmonogram stosowania etapowego jest następujący:

• 2 lutego 2025 r. — Zakazy dotyczące praktyk AI niedopuszczalnego ryzyka (Tytuł II, Artykuł 5) stały się obowiązujące.
• 2 sierpnia 2025 r. — Obowiązki dotyczące modeli AI ogólnego przeznaczenia (Tytuł VIII) i przepisy dotyczące zarządzania stały się obowiązujące.
• 2 sierpnia 2026 r. — Obowiązki z Artykułu 24 stosuje się w pełni do dystrybutorów systemów AI wysokiego ryzyka wymienionych w Załączniku III (autonomiczne systemy AI wysokiego ryzyka w sektorach takich jak edukacja, zatrudnienie, egzekwowanie prawa i dostęp do podstawowych usług).
• 2 sierpnia 2027 r. — Obowiązki z Artykułu 24 stosuje się do dystrybutorów systemów AI wysokiego ryzyka wbudowanych w produkty objęte unijnym prawodawstwem harmonizacyjnym wymienionym w Załączniku I (np. maszyny, wyroby medyczne, sprzęt lotnictwa cywilnego).

Dystrybutorzy wprowadzający systemy z Załącznika III do obrotu powinni już prowadzić przygotowania do zgodności, biorąc pod uwagę termin 2 sierpnia 2026 r. Podmioty zajmujące się wyłącznie systemami wbudowanymi w produkty z Załącznika I mają dodatkowy czas, ale powinny bez zwłoki rozpocząć należytą staranność w zakresie łańcucha dostaw oraz procesy dokumentacyjne.