Artykuł 33 — Podmioty zależne jednostek notyfikowanych i podwykonawstwo (Akt o AI UE)

Artykuł 33 Rozporządzenia (UE) 2024/1689 — Podmioty zależne jednostek notyfikowanych i podwykonawstwo. Oficjalny tekst, praktyczna interpretacja, kluczowe obowiązki i implikacje dla zgodności.

Streszczenie oficjalnego tekstu

Artykuł 33 Rozporządzenia (UE) 2024/1689 reguluje warunki, na których jednostki notyfikowane mogą delegować działania w zakresie oceny zgodności do podmiotów zależnych lub zewnętrznych podwykonawców. Artykuł stanowi, że jednostka notyfikowana zamierzająca zlecić podwykonawstwo konkretnych zadań oceny zgodności lub skorzystać z podmiotu zależnego do wykonania takich zadań musi najpierw uzyskać zgodę klienta na takie uzgodnienie.

W przypadku stosowania uzgodnień dotyczących podwykonawstwa lub podmiotów zależnych, jednostka notyfikowana jest zobowiązana zapewnić, że podwykonawca lub podmiot zależny spełnia te same wymagania ustanowione dla jednostek notyfikowanych w odniesieniu do konkretnych delegowanych zadań. Obowiązek ten odzwierciedla wymagania dotyczące kwalifikacji, bezstronności i działalności operacyjnej określone w innych miejscach w Rozdziale 4 Tytułu III.

Co istotne, Artykuł 33 nakłada jednoznaczną odpowiedzialność na jednostkę notyfikowaną: musi ona ponosić pełną odpowiedzialność za pracę wykonywaną przez podwykonawców i podmioty zależne, niezależnie od tego, gdzie te podmioty są ustanowione — czy to w UE, czy w państwie trzecim. Jednostka notyfikowana jest również zobowiązana do przechowywania do dyspozycji swojego organu notyfikującego wszelkiej dokumentacji dotyczącej oceny kwalifikacji podwykonawcy lub podmiotu zależnego oraz pracy wykonywanej przez te podmioty w ramach delegacji.

Artykuł ten zapewnia, że delegacja zadań oceny zgodności nie może być wykorzystywana do obchodzenia rygorystycznych wymagań, które same jednostki notyfikowane muszą spełniać, oraz że odpowiedzialność pozostaje skoncentrowana na poziomie jednostki formalnie wyznaczonej przez organ notyfikujący.

Co oznacza to w praktyce

Artykuł 33 bezpośrednio dotyczy jednostek notyfikowanych działających na mocy Aktu o AI UE, ich spółek dominujących, podmiotów zależnych oraz wszelkich zewnętrznych dostawców usług, których angażują do wykonywania części prac w zakresie oceny zgodności dla systemów AI wysokiego ryzyka.

Dla jednostki notyfikowanej dążącej do rozszerzenia swojej działalności lub wykorzystania specjalistycznej wiedzy, podwykonawstwo i korzystanie z podmiotów zależnych oferuje elastyczność operacyjną — jednak ta elastyczność wiąże się ze ścisłymi wymogami w zakresie odpowiedzialności. Przed zaangażowaniem podwykonawcy jednostka notyfikowana musi zweryfikować, że podwykonawca spełnia odpowiednie wymagania kwalifikacyjne mające zastosowanie do jednostek notyfikowanych w odniesieniu do tych konkretnych zadań. Ogólna umowa z dostawcą jest niewystarczająca; należy przeprowadzić i udokumentować merytoryczną ocenę zgodności kompetencji i niezależności podwykonawcy.

Klient oceny zgodności — zazwyczaj dostawca systemu AI wysokiego ryzyka — musi wyraźnie wyrazić zgodę na jakiekolwiek uzgodnienie dotyczące podwykonawstwa. W praktyce oznacza to, że umowy dotyczące usług oceny zgodności powinny z góry regulować kwestię podwykonawstwa, określając, czy zgoda jest udzielana ogólnie, czy musi być uzyskiwana indywidualnie.

Dla dostawców systemów AI poddawanych ocenie zgodności przez stronę trzecią, Artykuł 33 zapewnia prawo do przejrzystości: muszą oni wiedzieć, kto przeprowadza ocenę i mieć możliwość wniesienia sprzeciwu. Dostawcy powinni uwzględnić w swoich umowach z jednostkami notyfikowanymi klauzule dotyczące ujawniania informacji o podwykonawstwie oraz zweryfikować, że zaangażowani podwykonawcy posiadają odpowiednie kwalifikacje.

Dla jednostek notyfikowanych z międzynarodowymi strukturami grupowymi Artykuł 33 jest szczególnie istotny: praca wykonywana przez podmiot zależny spoza UE w imieniu jednostki notyfikowanej wchodzi w zakres stosowania przepisów, a ustanowiona w UE jednostka notyfikowana pozostaje odpowiedzialna za jakość i zgodność tej pracy.

Kluczowe obowiązki

• Uprzednia zgoda klienta: Jednostka notyfikowana musi uzyskać wyraźną zgodę klienta oceny zgodności przed zleceniem jakiegokolwiek zadania podwykonawcy lub skorzystaniem z podmiotu zależnego do wykonywania działań w zakresie oceny zgodności.
• Równoważność wymagań: Podwykonawcy i podmioty zależne muszą spełniać te same wymagania, które mają zastosowanie do samej jednostki notyfikowanej w odniesieniu do konkretnych delegowanych zadań oceny zgodności, w tym wymogi dotyczące kompetencji, bezstronności i standardów operacyjnych.
• Pełna zachowana odpowiedzialność: Jednostka notyfikowana zachowuje pełną odpowiedzialność prawną i regulacyjną za wszelką pracę wykonywaną przez podwykonawców i podmioty zależne; tej odpowiedzialności nie można przenosić, delegować ani zrzekać się w drodze umowy.
• Powiadomienie organu notyfikującego: Jednostka notyfikowana musi informować swój organ notyfikujący o uzgodnieniach dotyczących podwykonawstwa i działalności podmiotów zależnych oraz udostępniać wszelką istotną dokumentację dotyczącą kwalifikacji podwykonawców i wykonywanej przez nich pracy.
• Dokumentacja i prowadzenie rejestrów: Jednostka notyfikowana musi prowadzić kompleksową dokumentację ocen kwalifikacji podwykonawców i wyników delegowanych zadań oceny zgodności, dostępną dla organu notyfikującego na żądanie.
• Zakres geograficzny: Obowiązki mają zastosowanie niezależnie od tego, czy podwykonawca lub podmiot zależny jest ustanowiony w Unii Europejskiej, czy w państwie trzecim.

Związek z innymi artykułami

Artykuł 33 musi być interpretowany w ścisłym powiązaniu z szerszymi ramami dla jednostek notyfikowanych ustanowionymi w Rozdziale 4 Tytułu III. Artykuł 28 (Jednostki notyfikowane) określa wymagania merytoryczne — w tym kompetencje, niezależność i bezstronność — które podwykonawcy i podmioty zależne muszą spełniać na mocy Artykułu 33. Artykuł 29 (Niezależność jednostek notyfikowanych) jest równie istotny, ponieważ uzgodnienia dotyczące podwykonawstwa nie mogą naruszać bezstronności procesu oceny zgodności. Artykuły 30 i 31 regulują proces notyfikacji i wyznaczania jednostek notyfikowanych oraz określają, jakim standardom musi spełniać jednostka, aby kwalifikować się do wykonywania zadań oceny zgodności.

Artykuł 43 (Procedury oceny zgodności dla systemów AI wysokiego ryzyka) definiuje zakres działań w zakresie oceny zgodności, do wykonania których są powołane jednostki notyfikowane, a tym samym działań, do których mają zastosowanie przepisy dotyczące podwykonawstwa z Artykułu 33. Artykuł 74 (Nadzór rynku) jest również istotny, ponieważ organy nadzoru rynku mogą zbadać, czy jednostki notyfikowane i ich podwykonawcy przestrzegali obowiązków wynikających z Artykułu 33 przy badaniu przypadków naruszenia zgodności.

Harmonogram zgodności

Akt o AI UE (Rozporządzenie 2024/1689) wszedł w życie 1 sierpnia 2024 r. Artykuł 33, jako część ram regulujących jednostki notyfikowane i ich wymagania operacyjne, podlega ogólnemu harmonogramowi stopniowego stosowania:

• 1 sierpnia 2024 r.: Wejście w życie. Rozporządzenie staje się wiążącym prawem UE.
• 2 lutego 2025 r.: Zakazy dotyczące praktyk AI wiążących się z niedopuszczalnym ryzykiem zaczynają obowiązywać (Tytuł II).
• 2 sierpnia 2025 r.: Przepisy dotyczące modeli AI ogólnego przeznaczenia (Tytuł VIII) i postanowienia dotyczące zarządzania zaczynają obowiązywać.
• 2 grudnia 2026 r.: Ramy oceny zgodności — w tym przepisy dotyczące jednostek notyfikowanych na mocy Tytułu III, Rozdziału 4, a zatem Artykułu 33 — mają zastosowanie do systemów AI wysokiego ryzyka wymienionych w Załączniku I (systemy składników bezpieczeństwa regulowane przez harmonizacyjne prawodawstwo Unii).
• 2 sierpnia 2027 r.: Pełne zastosowanie obowiązków w zakresie oceny zgodności dla systemów AI wysokiego ryzyka wymienionych w Załączniku III, w tym wymagań operacyjnych wynikających z Artykułu 33 dotyczących podwykonawstwa i korzystania z podmiotów zależnych.

Jednostki notyfikowane dążące do wyznaczenia na mocy Aktu o AI UE powinny traktować zgodność z Artykułem 33 jako część swojej gotowości do wyznaczenia, zapewniając, że polityki dotyczące podwykonawstwa, ramy zarządzania podmiotami zależnymi i szablony umów z klientami odzwierciedlają wymagania artykułu na długo przed odpowiednimi datami stosowania.