Artykuł 35 — Numery identyfikacyjne i wykazy jednostek notyfikowanych (unijne rozporządzenie w sprawie AI)

Artykuł 35 rozporządzenia (UE) 2024/1689 — Numery identyfikacyjne i wykazy jednostek notyfikowanych. Tekst oficjalny, interpretacja praktyczna, kluczowe obowiązki i implikacje dla zgodności.

Streszczenie tekstu oficjalnego

Artykuł 35 rozporządzenia (UE) 2024/1689 (unijne rozporządzenie w sprawie AI) ustanawia administracyjne i przejrzystościowe ramy regulujące identyfikację i publiczne wykazywanie jednostek notyfikowanych działających na podstawie rozporządzenia. Artykuł nakłada obowiązki przede wszystkim na Komisję Europejską i organy notyfikujące państw członkowskich.

Na mocy Artykułu 35 Komisja jest zobowiązana do nadania każdej jednostce notyfikowanej numeru identyfikacyjnego. Co istotne, w przypadku gdy jednostka jest notyfikowana na podstawie więcej niż jednego aktu Unii, otrzymuje jeden numer identyfikacyjny, zapewniając spójność między instrumentami prawnymi. Komisja jest ponadto zobowiązana do publicznego udostępnienia wykazu wszystkich jednostek notyfikowanych, wraz z ich numerami identyfikacyjnymi i działaniami, do których zostały notyfikowane. Wykaz ten musi być aktualizowany na bieżąco.

Państwa członkowskie ponoszą uzupełniający obowiązek: muszą informować Komisję o wszelkich zmianach statusu jednostki notyfikowanej — w tym o udzielaniu nowych notyfikacji oraz wszelkich ograniczeniach, zawieszeniach lub wycofaniach istniejących notyfikacji. Komisja jest następnie odpowiedzialna za odzwierciedlenie tych zmian w publicznym wykazie bez zbędnej zwłoki.

Artykuł funkcjonuje w ramach Rozdziału 4 Tytułu III, który reguluje ogólną architekturę notyfikacji: kto może oceniać zgodność systemów AI wysokiego ryzyka, na jakich warunkach i pod jakim nadzorem. Artykuł 35 odnosi się konkretnie do warstwy identyfikacji i widoczności tej architektury, zapewniając, że rynek — w tym dostawcy poszukujący oceny, podmioty stosujące produkty niższego szczebla i organy krajowe — może wiarygodnie ustalić, które jednostki są upoważnione, w jakim zakresie i czy to upoważnienie jest nadal aktualne.

Co to oznacza w praktyce

Artykuł 35 ma bezpośrednie implikacje operacyjne dla trzech kategorii podmiotów: dostawców systemów AI wysokiego ryzyka, samych jednostek notyfikowanych i krajowych organów notyfikujących.

Dla dostawców poszukujących oceny zgodności przez stronę trzecią na podstawie Załącznika VI lub pełnej trasy systemu zarządzania jakością, Artykuł 35 zapewnia podstawowy mechanizm weryfikacji. Przed zaangażowaniem jednostki notyfikowanej dostawca powinien skonsultować się z bazą danych NANDO Komisji, aby potwierdzić, że jednostka posiada ważną notyfikację na podstawie unijnego rozporządzenia w sprawie AI, obejmującą konkretną kategorię produktów lub typ systemu AI będący przedmiotem zapytania. Poleganie na jednostce, której notyfikacja wygasła, została zawieszona lub nigdy formalnie nie została rozszerzona na zakres rozporządzenia w sprawie AI, tworzy lukę w zgodności, która może unieważnić certyfikat oceny zgodności.

Dla jednostek notyfikowanych Artykuł 35 tworzy pośredni obowiązek współpracy z krajowym organem notyfikującym w celu zapewnienia, że wszelkie zmiany w ich zakresie operacyjnym lub statusie upoważnienia są niezwłocznie przekazywane. Jednostka rozszerzająca zakres oceny — na przykład dodająca nową kategorię wysokiego ryzyka, taką jak systemy kategoryzacji biometrycznej — nie może zgodnie z prawem działać w ramach rozszerzonego zakresu do czasu aktualizacji notyfikacji i odzwierciedlenia jej w wykazie Komisji.

Dla krajowych organów notyfikujących obowiązek ma charakter proceduralny, ale istotny: zmiany w statusie jednostki muszą być niezwłocznie przekazywane Komisji. Opóźnienia tworzą okno, w którym publiczny wykaz jest niedokładny, co może wprowadzać dostawców w błąd lub osłabiać działania nadzoru rynku podejmowane przez organy w innych państwach członkowskich.

W praktyce zespół prawny lub ds. zgodności przygotowujący się do oceny zgodności powinien zbudować krok listy kontrolnej, który skrzyżuje numer identyfikacyjny wybranej jednostki notyfikowanej w NANDO, zweryfikuje, że zakres notyfikacji odpowiada klasyfikacji ryzyka systemu, i sprawdzi, czy wobec tego wpisu nie widnieją żadne ograniczenia ani zawieszenia.

Kluczowe obowiązki

• Komisja Europejska musi nadać każdej jednostce notyfikowanej jeden numer identyfikacyjny, spójny we wszystkich aktach Unii, na podstawie których ta jednostka działa.
• Komisja musi publikować i prowadzić publicznie dostępny, aktualny wykaz wszystkich jednostek notyfikowanych, wraz z ich numerami identyfikacyjnymi i notyfikowanym zakresem.
• Państwa członkowskie i ich organy notyfikujące muszą informować Komisję bez zbędnej zwłoki o wszelkich udzieleniach, ograniczeniach, zawieszeniach lub wycofaniach notyfikacji.
• Komisja musi aktualizować publiczny wykaz w celu odzwierciedlenia zmian statusu jednostki notyfikowanej bez zbędnej zwłoki po powiadomieniu przez państwo członkowskie.
• Jednostki notyfikowane nie mogą działać poza notyfikowanym zakresem; każde rozszerzenie zakresu wymaga formalnej aktualizacji notyfikacji, zanim jednostka będzie mogła przeprowadzać oceny w ramach tego rozszerzonego zakresu.
• Dostawcy muszą przed zaangażowaniem jednostki notyfikowanej zweryfikować, że aktualny wpis jednostki w bazie danych Komisji obejmuje odpowiednie działanie i że jej status jest prawidłowy.

Związek z innymi artykułami

Artykułu 35 nie można czytać w izolacji; stanowi on część spójnych ram w Rozdziale 4 Tytułu III.

Artykuł 28 definiuje wymagania, które muszą spełniać same organy notyfikujące — krajowe instytucje odpowiedzialne za ustanawianie i prowadzenie procedur notyfikacji — zapewniając instytucjonalne podstawy, na których opierają się przepływy notyfikacji z Artykułu 35. Artykuł 29 określa szczegółowe wymagania dotyczące wniosków, które jednostka oceniająca zgodność musi spełnić przed notyfikacją, natomiast Artykuł 30 reguluje samą procedurę notyfikacji, w tym formalną komunikację do Komisji, która uruchamia wpis na podstawie Artykułu 35. Artykuł 31 dotyczy domniemania zgodności dla jednostek notyfikowanych certyfikowanych na podstawie odpowiednich norm zharmonizowanych.

Operacyjnie Artykuł 35 łączy się z Artykułami 43 i 44, które regulują procedury oceny zgodności dla systemów AI wysokiego ryzyka i wynikające z nich certyfikaty — dokumenty, których ważność jest nieodłącznie związana ze statusem jednostki wystawiającej jako prawidłowo wpisanej na podstawie Artykułu 35. Artykuł 74 (nadzór rynku) opiera się również na dokładnych wpisach na podstawie Artykułu 35, ponieważ organy koordynujące nadzór transgraniczny muszą identyfikować, która jednostka wystawiła dany certyfikat i czy ta jednostka pozostaje upoważniona.

Harmonogram zgodności

Unijne rozporządzenie w sprawie AI weszło w życie 1 sierpnia 2024 r., dwadzieścia dni po publikacji w Dzienniku Urzędowym. Stosowanie jest etapowe:

• 2 lutego 2025 r. — Zakazy dotyczące niedopuszczalnych praktyk AI (Tytuł II) stały się stosowane.
• 2 sierpnia 2025 r. — Przepisy dotyczące modeli AI ogólnego przeznaczenia (Tytuł VIII) i obowiązki zarządzania stały się stosowane.
• 2 sierpnia 2026 r. — Większość Tytułu III, w tym ramy jednostek notyfikowanych w Rozdziale 4, staje się w pełni stosowana dla systemów AI wysokiego ryzyka wymienionych w Załączniku III, z wyjątkiem tych objętych przedłużonym terminem poniżej.
• 2 sierpnia 2027 r. — Przedłużony termin dla systemów AI wysokiego ryzyka objętych istniejącymi przepisami harmonizacyjnymi Unii wymienionymi w Załączniku I (np. maszyny, wyroby medyczne), dający tym sektorom dodatkowy czas na włączenie wymogów oceny zgodności rozporządzenia w sprawie AI do istniejących przepływów pracy certyfikacji.

Sam Artykuł 35, jako część infrastruktury jednostek notyfikowanych, staje się operacyjnie istotny równolegle ze stosowaniem wymogów oceny zgodności Rozdziału 4. Państwa członkowskie i Komisja powinny zapewnić, że procedury notyfikacji, przypisywanie numerów identyfikacyjnych i publiczna baza danych są w pełni operacyjne przed datą sierpnia 2026 r., tak aby dostawcy systemów AI wysokiego ryzyka mogli angażować zgodne jednostki notyfikowane od momentu, gdy obowiązkowe wymogi oceny zgodności zaczną mieć zastosowanie.