Artykuł 39 — Jednostki oceny zgodności z państw trzecich (Akt o AI UE)

Artykuł 39 rozporządzenia (UE) 2024/1689 — Jednostki oceny zgodności z państw trzecich. Tekst oficjalny, praktyczna interpretacja, kluczowe obowiązki i implikacje dla zgodności.

Podsumowanie tekstu oficjalnego

Artykuł 39 rozporządzenia (UE) 2024/1689 (Akt o AI UE) reguluje warunki, na których jednostki oceny zgodności ustanowione w państwach trzecich — to jest w krajach spoza Unii Europejskiej — mogą być uznawane i notyfikowane w celu przeprowadzania ocen zgodności systemów AI wysokiego ryzyka na podstawie rozporządzenia.

Artykuł ustanawia wąską, lecz ważną furtkę: jednostki oceny zgodności z państw trzecich mogą być notyfikowane wyłącznie w przypadku, gdy dwustronna lub wielostronna umowa międzynarodowa między Unią a zainteresowanym państwem trzecim wyraźnie tak przewiduje. W przypadku braku kwalifikującej umowy międzynarodowej żadna jednostka z państwa trzeciego nie może działać jako jednostka notyfikowana na podstawie Aktu o AI UE.

W przypadku istnienia ważnej umowy międzynarodowej jednostki z państw trzecich ubiegające się o notyfikację muszą spełniać te same wymagania nałożone na jednostki oceny zgodności z siedzibą w UE na podstawie rozdziału 4 tytułu III. Oznacza to, że muszą wykazać kompetencje techniczne, bezstronność organizacyjną i niezależność operacyjną równoważną tej wymaganej od europejskich jednostek notyfikowanych. Notyfikacja jest przetwarzana przez właściwy organ notyfikujący państwa członkowskiego zgodnie ze standardową procedurą notyfikacji określoną w poprzednich artykułach rozdziału 4. Artykuł zapewnia zatem, że każde rozszerzenie ram oceny zgodności poza granice UE zachowuje integralność, równoważność i egzekwowalność systemu ustanowionego przez rozporządzenie.

Co to oznacza w praktyce

Artykuł 39 jest przede wszystkim istotny dla dostawców systemów AI wysokiego ryzyka działających w jurysdykcjach objętych umowami handlowymi UE lub umowami o wzajemnym uznawaniu, a także dla jednostek oceny zgodności z siedzibą w państwach trzecich, które dążą do świadczenia usług certyfikacji w ramach Aktu o AI UE.

W praktyce artykuł oznacza, że laboratorium badawcze lub jednostka certyfikacyjna z siedzibą na przykład w Zjednoczonym Królestwie, Japonii lub innym kraju, z którym UE zawarła odpowiednią umowę międzynarodową, mogłaby co do zasady zostać wyznaczona jako jednostka notyfikowana dla celów Aktu o AI UE — pod warunkiem że umowa wyraźnie obejmuje oceny zgodności na podstawie Aktu o AI, a jednostka spełnia wszystkie mające zastosowanie wymagania. W momencie wejścia rozporządzenia w życie żadna umowa o wzajemnym uznawaniu specyficzna dla Aktu o AI nie była jeszcze zawarta, co oznacza, że przepis działa prospektywnie: tworzy podstawę prawną dla przyszłego uznania, nie aktywując sam z siebie żadnej konkretnej jednostki z państwa trzeciego.

Dla dostawców systemów AI wysokiego ryzyka ma to konkretne implikacje: dopóki nie zostaną zawarte kwalifikujące umowy międzynarodowe i jednostki nie zostaną formalnie notyfikowane, nie mogą oni polegać na ocenach przeprowadzonych przez jednostkę z państwa trzeciego w celu wypełnienia obowiązków oceny zgodności wynikających z artykułów 43 i 44. Żaden certyfikat ani sprawozdanie z audytu wydane przez jednostkę, która nie została ważnie notyfikowana na podstawie ścieżki z artykułu 39, nie będzie spełniać wymagań Aktu o AI UE, niezależnie od jakości technicznej oceny.

Zespoły ds. zgodności powinny zatem monitorować rozwój umów handlowych UE oraz bazę danych NANDO (New Approach Notified and Designated Organisations) pod kątem ewentualnych przyszłych notyfikacji jednostek z państw trzecich na podstawie niniejszego przepisu.

Kluczowe obowiązki

• Jednostki oceny zgodności z państw trzecich mogą być notyfikowane wyłącznie wtedy, gdy umowa międzynarodowa między Unią Europejską a odpowiednim państwem trzecim wyraźnie przewiduje taką notyfikację — brak umowy oznacza brak uznania.
• Jednostki ubiegające się o notyfikację na podstawie artykułu 39 muszą spełniać pełen zestaw wymagań mających zastosowanie do jednostek oceny zgodności z siedzibą w UE na podstawie rozdziału 4 tytułu III, w tym kryteria kompetencji technicznych, bezstronności i niezależności.
• Notyfikacja jednostek z państw trzecich musi następować zgodnie ze standardową procedurą notyfikacji mającą zastosowanie na podstawie rozporządzenia, prowadzoną przez organ notyfikujący państwa członkowskiego.
• Dostawcy systemów AI wysokiego ryzyka muszą weryfikować, czy każda angażowana przez nich jednostka oceny zgodności jest ważnie notyfikowana — niezależnie od tego, czy ma siedzibę w UE, czy w państwie trzecim — zanim polegają na ocenie tej jednostki w celu wykazania zgodności.
• Państwa członkowskie i Komisja muszą zapewnić, że każda umowa międzynarodowa stanowiąca podstawę notyfikacji jednostki z państwa trzeciego zachowuje równoważność i egzekwowalność ram oceny zgodności Aktu o AI UE.

Związek z innymi artykułami

Artykuł 39 znajduje się w tytule III, rozdziale 4 (Organy notyfikujące i jednostki notyfikowane) i należy go czytać łącznie z otaczającymi artykułami tego rozdziału. Artykuły 33 i 34 ustanawiają ogólne wymagania i obowiązki mające zastosowanie do jednostek notyfikowanych; artykuł 35 reguluje samą procedurę notyfikacji; a artykuły 36 i 37 dotyczą zmian w notyfikacjach i kwestionowania kompetencji jednostki notyfikowanej. Ponieważ artykuł 39 stosuje te same wymagania w całości do jednostek z państw trzecich, nie może być interpretowany w oderwaniu od nich.

Poza rozdziałem 4 artykuł 39 łączy się z artykułem 43, który określa procedury oceny zgodności mające zastosowanie do systemów AI wysokiego ryzyka, oraz artykułem 44, który reguluje certyfikaty wydawane przez jednostki notyfikowane. Każda jednostka z państwa trzeciego notyfikowana na podstawie artykułu 39 musi wydawać certyfikaty w pełni spełniające artykuł 44. Artykuł ten łączy się również z szerszymi ramami prawa handlu międzynarodowego UE oraz kompetencjami Unii w zakresie zawierania umów dwustronnych i wielostronnych na mocy Traktatu o funkcjonowaniu Unii Europejskiej.

Harmonogram zgodności

Akt o AI UE wszedł w życie 1 sierpnia 2024 r., dwadzieścia dni po opublikowaniu w Dzienniku Urzędowym. Rozporządzenie stosuje się w fazach:

• 2 lutego 2025 r. — Zakazy dotyczące praktyk AI o niedopuszczalnym ryzyku (tytuł II) stały się stosowane.
• 2 sierpnia 2025 r. — Przepisy dotyczące modeli AI ogólnego przeznaczenia (tytuł VIII) i struktur zarządzania stały się stosowane.
• 2 sierpnia 2026 r. — Większość obowiązków dla systemów AI wysokiego ryzyka wymienionych w załączniku III, w tym wymagania dotyczące oceny zgodności na podstawie tytułu III, staje się stosowana. Jest to podstawowa data stosowalności artykułu 39 w praktyce, gdyż reguluje on ramy jednostek notyfikowanych stanowiące podstawę tych ocen.
• 2 sierpnia 2027 r. — Przedłużony termin dla systemów AI wysokiego ryzyka objętych załącznikiem I (systemy składników bezpieczeństwa regulowane na podstawie istniejącego unijnego prawodawstwa harmonizacyjnego) na zapewnienie zgodności.

Sam artykuł 39 obowiązuje prawnie od sierpnia 2024 r., jednak jego operacyjne znaczenie krystalizuje się od sierpnia 2026 r., gdy dostawcy systemów AI wysokiego ryzyka będą musieli ukończyć oceny zgodności przez ważnie notyfikowane jednostki. Organizacje powinny z odpowiednim wyprzedzeniem przed tą datą zacząć identyfikować odpowiednie jednostki notyfikowane — i monitorować wszelkie kwalifikujące umowy międzynarodowe, które mogą aktywować jednostki z państw trzecich na podstawie artykułu 39.