Artykuł 32 — Domniemanie zgodności jednostek notyfikowanych (Akt o AI UE)

Artykuł 32 Rozporządzenia (UE) 2024/1689 — Domniemanie zgodności jednostek notyfikowanych. Tekst oficjalny, interpretacja praktyczna, kluczowe obowiązki i implikacje dla zgodności.

Streszczenie tekstu oficjalnego

Artykuł 32 Rozporządzenia (UE) 2024/1689 ustanawia domniemanie zgodności dla jednostek notyfikowanych, które stosują normy zharmonizowane przyjęte na podstawie prawa Unii Europejskiej. W szczególności, gdy jednostka oceny zgodności wykazuje zgodność z kryteriami określonymi w normach zharmonizowanych — lub z odpowiednimi częściami tych norm — których odniesienia zostały opublikowane w Dzienniku Urzędowym Unii Europejskiej, uznaje się, że jednostka ta spełnia wymagania określone w Artykule 31 w zakresie, w jakim mające zastosowanie normy zharmonizowane obejmują te wymagania.

Artykuł 31 ustanawia merytoryczne kryteria, które jednostka oceny zgodności musi spełnić, zanim organ notyfikujący państwa członkowskiego będzie mógł ją notyfikować do Komisji Europejskiej: niezależność, kompetencje techniczne, bezstronność, stabilność finansową, pokrycie odpowiedzialności, obowiązki zachowania poufności oraz odpowiednie struktury wewnętrznego zarządzania. Artykuł 32 tworzy uproszczoną ścieżkę dowodową, za pomocą której jednostka może wykazać zgodność z tymi kryteriami poprzez odniesienie do opublikowanych norm zharmonizowanych, zamiast wymagać oceny każdego kryterium od podstaw w każdym indywidualnym przypadku.

Domniemanie jest wzruszalne i warunkowe: ma zastosowanie wyłącznie w zakresie, w jakim dane normy zharmonizowane faktycznie obejmują odpowiednie wymagania Artykułu 31. Tam, gdzie istnieją luki — czy to dlatego, że nie opublikowano żadnej normy, czy dlatego, że norma nie odnosi się do określonego wymagania — zgodność musi być wykazana innymi dowodami. Artykuł ten pełni zatem funkcję skrótu conformity w szerszych ramach merytorycznej odpowiedzialności, zachowując integralność systemu jednostek notyfikowanych przy jednoczesnym zmniejszeniu obciążeń administracyjnych dla dobrze zarządzanych jednostek oceny.

Co to oznacza w praktyce

Artykuł 32 ma znaczenie przede wszystkim dla jednostek oceny zgodności ubiegających się o status notyfikowany na podstawie Aktu o AI UE oraz dla krajowych organów notyfikujących, które oceniają ich wnioski.

Dla jednostki oceny zgodności pragnącej działać jako jednostka notyfikowana dla systemów AI wysokiego ryzyka praktyczna ścieżka na podstawie Artykułu 32 jest co do zasady prosta: zidentyfikować normy zharmonizowane, których odniesienia Komisja opublikowała w Dzienniku Urzędowym, wykazać zgodność z tymi normami — zazwyczaj poprzez akredytację przez krajową jednostkę akredytującą działającą na podstawie Rozporządzenia (WE) nr 765/2008 — i skorzystać z domniemania, gdy organ notyfikujący rozpatruje wniosek na podstawie Artykułu 28 i następnych.

W praktyce najbardziej odpowiednią normą zharmonizowaną dla jednostek oceny zgodności działających w sektorze AI będzie prawdopodobnie ISO/IEC 17065 (dla jednostek certyfikujących produkty) lub ISO/IEC 17020 (dla jednostek inspekcyjnych), obok wszelkich norm zharmonizowanych specyficznych dla AI, które Komisja opracowuje i do których odsyła na podstawie Artykułu 40. Do czasu opublikowania norm zharmonizowanych specyficznych dla AI jednostki muszą opierać się na istniejących normach i wykazywać, w jaki sposób odpowiadają one kryteriom Artykułu 31.

Dla organów notyfikujących — krajowych organów wyznaczonych na podstawie Artykułu 28 — Artykuł 32 upraszcza nakład pracy związany z oceną. Gdy jednostka oceny zgodności przedstawia ważne certyfikaty akredytacji w odniesieniu do opublikowanych norm zharmonizowanych, organ może traktować objęte wymagania jako spełnione bez przeprowadzania niezależnej weryfikacji każdego kryterium. Nie eliminuje to obowiązków nadzorczych: organy notyfikujące zachowują obowiązki monitorowania na podstawie Artykułu 33 i muszą działać, jeżeli jednostka notyfikowana następnie nie utrzyma zgodności.

Dla dostawców systemów AI wysokiego ryzyka Artykuł 32 ma znaczenie pośrednie: stanowi podstawę zaufania, że jednostki notyfikowane oceniające ich systemy zostały zweryfikowane według rygorystycznych, publicznie znanych norm.

Kluczowe obowiązki

• Jednostka oceny zgodności ubiegająca się o skorzystanie z domniemania z Artykułu 32 musi wykazać rzeczywistą zgodność z opublikowanymi normami zharmonizowanymi, a nie jedynie ją deklarować — akredytacja przez krajową jednostkę akredytującą jest standardową drogą do potwierdzenia tego faktu.
• Domniemanie ma zastosowanie wyłącznie w zakresie, w jakim normy zharmonizowane obejmują konkretne wymagania Artykułu 31 w danym przypadku; jednostki muszą oddzielnie udowodnić zgodność z wymaganiami, które nie są objęte dostępnymi normami.
• Organy notyfikujące muszą uznawać domniemanie przy ocenie wniosków o notyfikację, ale zachowują prawo i obowiązek obalenia go, jeżeli dowody wskazują na niezgodność z podstawowymi wymaganiami Artykułu 31.
• Jednostki notyfikowane muszą przez cały okres notyfikacji zachowywać ciągłą zgodność z mającymi zastosowanie normami zharmonizowanymi, nie tylko w momencie wstępnej oceny.
• Jeżeli Komisja nie opublikowała jeszcze odniesień do odpowiednich norm zharmonizowanych w Dzienniku Urzędowym, jednostki oceny zgodności muszą wykazać zgodność z wymaganiami Artykułu 31 za pomocą alternatywnych, weryfikowalnych dowodów.
• Komisja musi publikować odniesienia do odpowiednich norm zharmonizowanych w Dzienniku Urzędowym Unii Europejskiej, aby mechanizm domniemania z Artykułu 32 był operacyjnie dostępny.

Związek z innymi artykułami

Artykułu 32 nie można czytać w oderwaniu od otaczających ram Rozdziału 4. Jego bezpośrednim odniesieniem jest Artykuł 31, który wylicza merytoryczne wymagania dla jednostek notyfikowanych; Artykuł 32 dotyczy wyłącznie mechanizmu dowodowego służącego spełnieniu tych wymagań i nie ma samodzielnej treści merytorycznej.

Artykuł 28 ustanawia organy notyfikujące odpowiedzialne za ocenę i notyfikację jednostek oceny zgodności, a organy te są głównymi podmiotami stosującymi lub odmawiającymi zastosowania domniemania z Artykułu 32 podczas procedur notyfikacji regulowanych przez Artykuły 29 i 30.

Artykuł 33 reguluje obowiązki operacyjne jednostek notyfikowanych po ich wyznaczeniu, w tym obowiązki współpracy z organami notyfikującymi, które są istotne, gdy domniemanie musi być utrzymane w czasie. Artykuł 40 — ustanawiający reżim norm zharmonizowanych dla Aktu o AI w szerszym zakresie — jest mechanizmem, za pomocą którego Komisja opracowuje i do których odsyła normy, na których opiera się Artykuł 32.

Poza Rozdziałem 4 istotny jest Artykuł 43, ponieważ określa procedury oceny zgodności, które jednostki notyfikowane muszą przeprowadzać dla systemów AI wysokiego ryzyka; kompetencje i zarządzanie tych jednostek, zweryfikowane na podstawie Artykułów 31 i 32, bezpośrednio determinują wiarygodność tych ocen.

Harmonogram zgodności

Akt o AI UE wszedł w życie 1 sierpnia 2024 r., dwadzieścia dni po jego publikacji w Dzienniku Urzędowym Unii Europejskiej w dniu 12 lipca 2024 r. Artykuł 32, usytuowany w Tytule III Rozdziale 4, należy do przepisów regulujących infrastrukturę nadzoru nad systemami AI wysokiego ryzyka i nie wchodzi w zakres wczesnych transz stosowania.

Zakazane praktyki AI na podstawie Artykułu 5 stały się stosowane od 2 lutego 2025 r. Obowiązki dotyczące modeli AI ogólnego przeznaczenia na podstawie Tytułu VIII stały się stosowane od 2 sierpnia 2025 r. Obowiązki najściślej związane z Artykułem 32 — pełny reżim oceny zgodności systemów AI wysokiego ryzyka, w tym ramy jednostek notyfikowanych — stają się stosowane stopniowo od 2 sierpnia 2026 r. dla systemów wysokiego ryzyka wymienionych w Załączniku III, z dalszym przedłużeniem do 2 sierpnia 2027 r. dla niektórych systemów AI wysokiego ryzyka już podlegających istniejącemu unijnemu prawodawstwu harmonizacyjnemu wymienionemu w Załączniku I.

Jednostki oceny zgodności zamierzające działać jako jednostki notyfikowane na podstawie Aktu o AI powinny zatem zainicjować procesy akredytacji i notyfikacji na długo przed sierpniem 2026 r., ponieważ procedura notyfikacji na podstawie Artykułów 28–30 obejmuje ocenę przez organ krajowy, notyfikację do Komisji oraz okres oczekiwania przed legalnym wykonywaniem ocen zgodności. Krajowe organy notyfikujące powinny zapewnić, aby ich ramy oceny odzwierciedlały opublikowane normy zharmonizowane w miarę ich dostępności, tak aby mechanizm domniemania z Artykułu 32 był operacyjnie funkcjonalny w momencie pełnego zastosowania reżimu wysokiego ryzyka.