Artykuł 44 — Certyfikaty (Akt UE o AI)

Artykuł 44 Rozporządzenia (UE) 2024/1689 — Certyfikaty. Tekst oficjalny, praktyczna interpretacja, kluczowe obowiązki i implikacje dla zgodności.

Streszczenie Tekstu Oficjalnego

Artykuł 44 Rozporządzenia (UE) 2024/1689 ustanawia zasady regulujące certyfikaty wydawane przez jednostki notyfikowane w związku z oceną zgodności systemów AI wysokiego ryzyka. Na mocy tego artykułu certyfikaty wydawane przez jednostki notyfikowane muszą być sporządzone w jednym z oficjalnych języków państwa członkowskiego UE, w którym jednostka notyfikowana ma siedzibę, lub w języku akceptowalnym dla tej jednostki.

Artykuł ustanawia maksymalny okres ważności wynoszący cztery lata dla każdego wydanego certyfikatu, z możliwością odnowienia po przeprowadzeniu nowej oceny zgodności. Jednostki notyfikowane są zobowiązane do prowadzenia rejestrów wszystkich wydanych przez siebie certyfikatów, w tym tych, które zostały odmówione, zawieszone lub wycofane. Rejestry te muszą być udostępniane krajowym właściwym organom na żądanie.

Artykuł 44 nakazuje ponadto, że gdy jednostka notyfikowana zawiesza, ogranicza lub wycofuje certyfikat, musi powiadomić właściwy organ nadzoru rynku państwa członkowskiego, w którym dostawca ma siedzibę, a także inne jednostki notyfikowane działające w ramach tych samych procedur oceny zgodności. Komisja Europejska musi być również informowana, gdy certyfikaty dotyczą systemów o transgranicznym znaczeniu.

Co istotne, artykuł ustanawia zasadę wzajemnego uznawania: certyfikaty wydawane przez jednostki notyfikowane w jednym państwie członkowskim są ważne na terenie całej Unii Europejskiej bez konieczności ponownej certyfikacji, stanowiąc podstawę funkcjonowania jednolitego rynku UE dla systemów AI wysokiego ryzyka.

Co To Oznacza w Praktyce

Artykuł 44 jest kluczowy dla praktycznej administracji oceną zgodności przez stronę trzecią dla systemów AI wysokiego ryzyka objętych Załącznikiem III do Aktu UE o AI. Ma on bezpośredni wpływ na dostawców systemów AI wysokiego ryzyka, którzy zobowiązani są do przeprowadzenia oceny zgodności przez jednostkę notyfikowaną, a nie samodzielnej oceny.

Dla dostawców czteroletni limit ważności oznacza, że ciągły dostęp do rynku zależy od okresowej recertyfikacji. Dostawcy muszą śledzić daty wygaśnięcia certyfikatów i z wyprzedzeniem wszczynać procedury odnowienia, aby uniknąć luk w statusie zgodności, które uniemożliwiałyby legalne wprowadzenie na rynek. Zawieszony lub wycofany certyfikat wymaga natychmiastowego działania: system nie może być wprowadzany na rynek ani oddawany do użytku do czasu rozwiązania sytuacji.

Dla jednostek notyfikowanych artykuł nakłada rygorystyczne obowiązki w zakresie prowadzenia dokumentacji i powiadamiania. Każda niekorzystna decyzja — odmowa, ograniczenie, zawieszenie lub wycofanie — musi być systematycznie przekazywana organom krajowym i jednostkom notyfikowanym działającym na takich samych zasadach, zapewniając skoordynowane egzekwowanie przepisów w całej UE.

Konkretny przykład: Dostawca systemu AI do identyfikacji biometrycznej, certyfikowanego w Niemczech przez niemiecką jednostkę notyfikowaną, może legalnie wprowadzać ten system na rynek we Francji, Hiszpanii i wszystkich innych państwach członkowskich UE bez uzyskiwania odrębnych krajowych certyfikatów. Jednak jeśli podczas nadzoru jednostka notyfikowana stwierdzi, że system nie spełnia już wymagań artykułów 9–15 i zawiesi certyfikat, dostawca musi niezwłocznie wstrzymać dystrybucję w całej UE i powiadomić dalszych użytkowników.

Zasada wzajemnego uznawania jest praktycznym środkiem ułatwiającym handel, ale stawia znaczące interesy handlowe na utrzymaniu jednego certyfikatu w dobrym stanie.

Kluczowe Obowiązki

• Certyfikaty muszą mieć określony okres ważności nieprzekraczający czterech lat; odnowienie wymaga przeprowadzenia nowej oceny zgodności wykazującej ciągłe spełnianie obowiązujących wymagań.
• Jednostki notyfikowane muszą prowadzić kompletne rejestry wszystkich wydanych, odmówionych, zawieszonych, ograniczonych lub wycofanych certyfikatów i udostępniać te rejestry krajowym właściwym organom na żądanie.
• O niekorzystnych decyzjach certyfikacyjnych należy niezwłocznie powiadomić właściwy krajowy organ nadzoru rynku, inne jednostki notyfikowane działające w ramach tych samych procedur oraz, w stosownych przypadkach, Komisję Europejską.
• Dostawcy muszą zaprzestać działalności rynkowej jeśli certyfikat zostanie zawieszony lub wycofany, do czasu przywrócenia zgodności i uzyskania ważnego certyfikatu.
• Wzajemne uznawanie obowiązuje w całej UE: certyfikat wydany przez prawidłowo wyznaczoną jednostkę notyfikowaną w jednym państwie członkowskim jest ważny we wszystkich państwach członkowskich, bez wymogów ponownej certyfikacji.
• Certyfikaty muszą być sporządzone w języku państwa członkowskiego wydającej jednostki notyfikowanej lub w innym wzajemnie uzgodnionym oficjalnym języku UE, zapewniając dostępność dla organów krajowych.

Związek z Innymi Artykułami

Artykuł 44 mieści się w Tytule III, Rozdziale 5 (Normy, Ocena Zgodności, Certyfikaty i Rejestracja) i należy go czytać w ścisłym powiązaniu z otaczającymi przepisami. Artykuł 43 definiuje mające zastosowanie procedury oceny zgodności — w tym warunki, w których udział strony trzeciej — jednostki notyfikowanej jest obowiązkowy lub opcjonalny — ustanawiając proces nadrzędny, który artykuł 44 reguluje pod względem zarządzania certyfikatami.

Artykuły 31–39 definiują wymagania, które muszą spełniać same jednostki notyfikowane, aby zostać wyznaczonymi, oraz obowiązki, które ponoszą jako akredytowane organy oceny zgodności. Integralność systemu certyfikatów na mocy artykułu 44 zależy całkowicie od kompetencji tych jednostek.

Artykuły 9–15 określają wymagania merytoryczne dla systemów AI wysokiego ryzyka — zarządzanie ryzykiem, zarządzanie danymi, przejrzystość, nadzór człowieka, dokładność i odporność — względem których oceniane są certyfikaty. Certyfikat na podstawie artykułu 44 stanowi zasadniczo poświadczenie jednostki notyfikowanej, że te przepisy są spełnione.

Artykuł 45 dotyczy procedur odwoławczych dostępnych dla dostawców, gdy jednostka notyfikowana odmawia, zawiesza lub wycofuje certyfikat, stanowiąc uzupełnienie proceduralne do merytorycznych zasad artykułu 44. Artykuł 51 reguluje obowiązki rejestracyjne następujące po certyfikacji, łącząc certyfikaty z bazą danych UE systemów AI wysokiego ryzyka.

Harmonogram Zgodności

Artykuł 44 stał się częścią prawa UE z chwilą wejścia w życie Rozporządzenia (UE) 2024/1689 w dniu 2 sierpnia 2024 r. Jednak jego praktyczne stosowanie jest regulowane fazowym harmonogramem wdrożenia:

• 2 lutego 2025 r. — Zaczęły obowiązywać przepisy dotyczące zakazanych praktyk AI (Tytuł II). Artykuł 44 nie był jeszcze operacyjny.
• 2 sierpnia 2025 r. — Zaczęły obowiązywać zasady dotyczące modeli AI ogólnego przeznaczenia (Tytuł VIII) oraz obowiązki w zakresie zarządzania.
• 2 grudnia 2026 r. — Artykuł 44 staje się w pełni operacyjny dla większości systemów AI wysokiego ryzyka wymienionych w Załączniku III, w tym tych w obszarach takich jak edukacja, zatrudnienie, usługi podstawowe, egzekwowanie prawa i zarządzanie granicami. Dostawcy wprowadzający takie systemy na rynek lub oddający je do użytku muszą posiadać ważny certyfikat, gdy wymagana jest ocena zgodności przez stronę trzecią.
• 2 sierpnia 2027 r. — Przedłużony termin dla systemów AI wysokiego ryzyka objętych istniejącym prawodawstwem UE dotyczącym bezpieczeństwa produktów (systemy z Załącznika I), dając tym sektorom dodatkowy czas na dostosowanie istniejących relacji z jednostkami notyfikowanymi i ram zgodności do nowego systemu certyfikatów Aktu o AI.

Dostawcy, którzy przewidują konieczność uzyskania certyfikatu na podstawie artykułu 44, powinni nawiązać kontakt z jednostkami notyfikowanymi na długo przed terminem grudniowym 2026 r., biorąc pod uwagę oczekiwane zapotrzebowanie na moce oceny i czas wymagany do przeprowadzenia dokładnej oceny zgodności na podstawie artykułów 9–15.