Artykuł 45 — Obowiązki informacyjne jednostek notyfikowanych (akt w sprawie AI)

Artykuł 45 rozporządzenia (UE) 2024/1689 — Obowiązki informacyjne jednostek notyfikowanych. Oficjalny tekst, praktyczna interpretacja, kluczowe obowiązki i implikacje dla zgodności.

Podsumowanie oficjalnego tekstu

Artykuł 45 rozporządzenia (UE) 2024/1689 ustanawia szczególne obowiązki informacyjne spoczywające na jednostkach notyfikowanych przez cały cykl życia ich działań w zakresie oceny zgodności dotyczących systemów AI wysokiego ryzyka wymienionych w Załączniku III i, w stosownych przypadkach, Załączniku II.

Na podstawie artykułu 45 jednostki notyfikowane są zobowiązane informować organ notyfikujący — krajowy organ odpowiedzialny za ich wyznaczanie i nadzorowanie — o wszystkich przeprowadzonych ocenach zgodności, w tym o tych odmówionych lub wycofanych przed ukończeniem. Ten obowiązek przejrzystości rozciąga się na okoliczności, które mogą wpływać na zakres, warunki lub bieżącą ważność notyfikacji, takie jak zmiany w strukturze, własności, kompetencjach lub zasobach jednostki.

Jednostki notyfikowane muszą ponadto komunikować swojemu organowi notyfikującemu wszelkie wnioski o udzielenie informacji otrzymane od organów nadzoru rynku, umożliwiając skoordynowany nadzór ponad granicami krajowymi. Są one również zobowiązane do zgłaszania skarg, odwołań i innych istotnych informacji dotyczących systemów AI wysokiego ryzyka, które oceniły, na żądanie lub z własnej inicjatywy, gdy sprawa ma znaczenie dla działań regulacyjnych.

Artykuł 45 stanowi ponadto, że jednostki notyfikowane wymieniają informacje między sobą i z Komisją w sprawach związanych z negatywnymi wynikami ocen zgodności, ustanawiając tym samym zbiorowy mechanizm dzielenia się wiedzą. Zapobiega to sytuacji, w której dostawcy poszukują bardziej pobłażliwych oceniających po otrzymaniu odmownej oceny od jednej jednostki notyfikowanej — praktyka ta jest niekiedy określana jako „certificate shopping" (poszukiwanie certyfikatu).

Artykuł ten stanowi kamień węgielny infrastruktury rozliczalności dla systemu jednostek notyfikowanych, zapewniając, że organy krajowe i Komisja sprawują rzeczywisty nadzór nad sposobem przeprowadzania ocen zgodności w całej Unii.

Co to oznacza w praktyce

Dla jednostek notyfikowanych artykuł 45 wprowadza ciągłą, proaktywną kulturę ujawniania informacji, która wykracza daleko poza zwykłe wydawanie lub odmowę certyfikatów. W kategoriach operacyjnych jednostka notyfikowana musi ustanowić wewnętrzne procedury rejestrowania i zgłaszania wszystkich istotnych zdarzeń swojemu krajowemu organowi notyfikującemu, nawet gdy zdarzenia te nie skutkują formalnym certyfikatem.

Rozważmy scenariusz, w którym dostawca systemu AI wysokiego ryzyka używanego przy selekcji kandydatów do pracy przedkłada dokumentację do oceny zgodności, ale jednostka notyfikowana identyfikuje krytyczne luki w dokumentacji technicznej i systemie zarządzania ryzykiem. Nawet jeśli dostawca wycofa wniosek przed wydaniem formalnej odmowy, artykuł 45 wymaga, aby jednostka notyfikowana zgłosiła to wycofanie. Organ notyfikujący i — za pośrednictwem mechanizmów wymiany informacji — inne jednostki notyfikowane są tym samym ostrzegane, że niezgodny system może zostać ponownie przedstawiony gdzie indziej do oceny.

Podobnie, jeśli organ nadzoru rynku — taki jak krajowy organ ochrony konsumentów — skontaktuje się z jednostką notyfikowaną w celu uzyskania informacji o wcześniej ocenionym systemie, który spowodował szkodę, jednostka notyfikowana musi poinformować swój organ notyfikujący o tym wniosku. Tworzy to ścieżkę audytu, która umożliwia skoordynowaną reakcję regulacyjną.

Jednostki notyfikowane muszą również na bieżąco weryfikować swoje wewnętrzne ustalenia dotyczące zasobów i kompetencji. Jeśli stwierdzą, że ich obsada kadrowa lub zdolności techniczne nie obejmują już określonych kategorii systemów AI, muszą niezwłocznie zgłosić tę zmianę, aby zakres ich wyznaczenia mógł zostać dostosowany — chroniąc integralność rynku poprzez zapobieganie ocenom w obszarach, w których jednostka nie posiada rzeczywistej wiedzy fachowej.

Dla dostawców ramy te oznaczają, że odmówiona lub wycofana ocena nie jest zdarzeniem poufnym. Dlatego zaleca się przeprowadzenie należytej staranności przed zaangażowaniem jednostki notyfikowanej.

Kluczowe obowiązki

• Zgłaszanie odmówionych i wycofanych ocen: Jednostki notyfikowane muszą informować organ notyfikujący o każdej ocenie zgodności, która została odmówiona lub wycofana przez dostawcę przed ukończeniem, w tym o przyczynach, jeśli można je ustalić.
• Ujawnianie okoliczności wpływających na zakres: Wszelkie zmiany w statusie prawnym, własności, starszym personelu, strukturze organizacyjnej lub kompetencjach technicznych jednostki, które mogą wpłynąć na jej notyfikację, muszą być bez zbędnej zwłoki komunikowane organowi notyfikującemu.
• Dzielenie się informacjami z innymi jednostkami notyfikowanymi: Jednostki notyfikowane są zobowiązane do wymiany informacji o negatywnych wynikach oceny i powiązanych kwestiach z równorzędnymi jednostkami notyfikowanymi i z Komisją, zapobiegając poszukiwaniu certyfikatów w Unii.
• Zgłaszanie kontaktów regulacyjnych: Otrzymanie wniosków o udzielenie informacji od organów nadzoru rynku, krajowych właściwych organów lub innych organów regulacyjnych musi być ujawniane organowi notyfikującemu, umożliwiając skoordynowany nadzór.
• Komunikowanie skarg i odwołań: Znaczące skargi, odwołania od decyzji w sprawie oceny oraz informacje z zakresu monitorowania po wprowadzeniu do obrotu dotyczące ocenianych systemów AI muszą być zgłaszane na żądanie lub proaktywnie, gdy jest to uzasadnione.
• Utrzymywanie gotowości do audytów: Jednostki notyfikowane muszą udostępniać organowi notyfikującemu całą stosowną dokumentację, rejestry i dowody swoich działań w zakresie oceny w celu wsparcia bieżącego monitorowania ich wyznaczenia.

Związek z innymi artykułami

Artykuł 45 funkcjonuje w gęstej sieci przepisów regulujących system jednostek notyfikowanych w ramach Tytułu III, Rozdziału 5. Jest on nierozerwalnie związany z artykułem 33, który ustanawia ogólne obowiązki i wymagania, jakie jednostki notyfikowane muszą spełnić, aby uzyskać i utrzymać swoje wyznaczenie, oraz z artykułem 34, który określa zasady dotyczące podmiotów zależnych i podwykonawstwa wpływające na przejrzystość organizacyjną.

Proces notyfikacji i wyznaczania regulowany przez artykuły 35 i 36 zapewnia kontekst instytucjonalny dla artykułu 45: organ notyfikujący, który otrzymuje informacje na podstawie artykułu 45, jest tym samym organem, który może zawiesić lub wycofać notyfikację na podstawie artykułu 35, jeśli ujawnione informacje wskazują na niezgodność.

Artykuł 44 (certyfikaty zgodności) i artykuł 46 (odstępstwo od procedur oceny zgodności) należy czytać obok artykułu 45, ponieważ ustanawiają one wyniki procesu oceny zgodności, którego integralność obowiązki informacyjne artykułu 45 mają chronić.

Na poziomie nadzoru rynku artykuły 74 do 76 opierają się pośrednio na przepływach informacji tworzonych przez artykuł 45, aby funkcjonować skutecznie, podobnie jak mechanizmy koordynacji angażujące Europejską Radę ds. Sztucznej Inteligencji (EAIB) ustanowioną na podstawie artykułu 65.

Harmonogram zgodności

Akt w sprawie AI UE wszedł w życie 1 sierpnia 2024 r., dwadzieścia dni po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej (Dz.U. L 2024/1689, 12 lipca 2024 r.). Artykuł 45 wchodzi w zakres przepisów mających zastosowanie do systemów AI wysokiego ryzyka w ramach Tytułu III.

Etapowy harmonogram stosowania jest następujący:

• 1 sierpnia 2024 r. — Wejście w życie; obowiązki przygotowawcze dla państw członkowskich i Komisji.
• 2 lutego 2025 r. — Zakazane praktyki AI (Tytuł II, artykuł 5) stały się stosowalne.
• 2 sierpnia 2025 r. — Obowiązki dotyczące modeli GPAI (Tytuł VIII) i przepisy dotyczące zarządzania stały się stosowalne; procesy wyznaczania jednostek notyfikowanych miały być operacyjnie zaawansowane do tej daty.
• 2 sierpnia 2026 r. — Artykuł 45, wraz z pełnym zestawem obowiązków Tytułu III Rozdziału 5 dotyczących jednostek notyfikowanych i ocen zgodności dla systemów AI wysokiego ryzyka wymienionych w Załączniku III, staje się w pełni stosowany. Jednostki notyfikowane muszą być w pełni zgodne ze swoimi obowiązkami informacyjnymi od tej daty.
• 2 sierpnia 2027 r. — Przedłużony termin dla niektórych systemów AI wysokiego ryzyka objętych istniejącym prawodawstwem harmonizacyjnym Unii wymienionym w Załączniku II, sekcja 1, dając producentom w tych regulowanych sektorach dodatkowy czas na dostosowanie procesów oceny zgodności.

Organizacje ubiegające się o wyznaczenie jako jednostki notyfikowane powinny mieć swoje procedury zarządzania informacjami i ujawniania informacji wdrożone na długo przed terminem sierpniowym 2026 r., aby zapewnić możliwość wykazania zgodności od pierwszego dnia pełnego stosowania.