Artigo 35 — Números de identificação e listas de organismos notificados (Regulamento UE IA)

Artigo 35 do Regulamento (UE) 2024/1689 — Números de identificação e listas de organismos notificados. Texto oficial, interpretação prática, obrigações fundamentais e implicações para a conformidade.

Resumo do Texto Oficial

O Artigo 35 do Regulamento (UE) 2024/1689 (o Regulamento UE IA) estabelece o quadro administrativo e de transparência que regula a identificação e a listagem pública dos organismos notificados que operam ao abrigo do regulamento. O artigo impõe obrigações principalmente à Comissão Europeia e às autoridades de notificação dos Estados-Membros.

Ao abrigo do Artigo 35, a Comissão é obrigada a atribuir um número de identificação a cada organismo notificado. De forma crucial, quando um organismo é notificado ao abrigo de mais de um ato da União, recebe um único número de identificação, garantindo consistência entre os instrumentos legislativos. A Comissão é ainda obrigada a disponibilizar publicamente uma lista de todos os organismos notificados, incluindo os seus números de identificação e as atividades para as quais foram notificados. Esta lista deve ser mantida atualizada.

Os Estados-Membros têm uma obrigação complementar: devem informar a Comissão de quaisquer alterações ao estatuto de um organismo notificado — incluindo a concessão de novas notificações e quaisquer restrições, suspensões ou retiradas de notificações existentes. A Comissão é então responsável por refletir essas alterações na lista pública sem demora injustificada.

O artigo opera no âmbito do Capítulo 4 do Título III, que regula a arquitetura global da notificação: quem pode avaliar a conformidade dos sistemas de IA de alto risco, em que condições e com que supervisão. O Artigo 35 aborda especificamente a camada de identificação e visibilidade dessa arquitetura, garantindo que o mercado — incluindo os fornecedores que procuram avaliação, os implementadores a jusante e as autoridades nacionais — possa identificar de forma fiável quais os organismos autorizados, para que âmbito, e se essa autorização permanece atual.

O que Isto Significa na Prática

O Artigo 35 tem implicações operacionais diretas para três categorias de atores: fornecedores de sistemas de IA de alto risco, os próprios organismos notificados e as autoridades de notificação nacionais.

Para os fornecedores que procuram uma avaliação de conformidade por terceiros ao abrigo do Anexo VI ou pela via do sistema de gestão da qualidade completo, o Artigo 35 fornece o mecanismo de verificação primário. Antes de envolver um organismo notificado, um fornecedor deve consultar a base de dados NANDO da Comissão para confirmar que o organismo possui uma notificação válida ao abrigo do Regulamento UE IA, cobrindo a categoria de produto específica ou o tipo de sistema de IA em questão. Confiar num organismo cuja notificação expirou, foi suspensa ou nunca foi formalmente alargada ao âmbito do Regulamento IA cria uma lacuna de conformidade que pode invalidar um certificado de avaliação de conformidade.

Para os organismos notificados, o Artigo 35 cria uma obrigação indireta de cooperar com a sua autoridade de notificação nacional para garantir que qualquer alteração no seu âmbito operacional ou no estatuto de autorização seja prontamente comunicada. Um organismo que alargue o seu âmbito de avaliação — por exemplo, adicionando uma nova categoria de alto risco, como os sistemas de categorização biométrica — não pode legitimamente atuar ao abrigo desse âmbito alargado até que a notificação seja atualizada e refletida na lista da Comissão.

Para as autoridades de notificação nacionais, a obrigação é processual mas consequente: as alterações no estatuto de um organismo devem ser comunicadas à Comissão prontamente. Os atrasos criam uma janela durante a qual a lista pública é imprecisa, potencialmente enganando os fornecedores ou prejudicando as ações de fiscalização do mercado tomadas por autoridades noutros Estados-Membros.

Em termos concretos, uma equipa jurídica ou de conformidade que se prepara para uma avaliação de conformidade deve incorporar uma etapa de lista de verificação que cruze o número de identificação do organismo notificado selecionado no NANDO, verifique se o âmbito da notificação corresponde à classificação de risco do sistema e confirme que não aparecem restrições ou suspensões contra esse registo.

Obrigações Fundamentais

• A Comissão Europeia deve atribuir um único número de identificação a cada organismo notificado, consistente em todos os atos da União ao abrigo dos quais esse organismo opera.
• A Comissão deve publicar e manter uma lista publicamente acessível e atualizada de todos os organismos notificados, incluindo os seus números de identificação e o âmbito notificado.
• Os Estados-Membros e as suas autoridades de notificação devem informar a Comissão sem demora injustificada de quaisquer concessões, restrições, suspensões ou retiradas de notificação.
• A Comissão deve atualizar a lista pública para refletir as alterações no estatuto dos organismos notificados sem demora injustificada após a notificação pelo Estado-Membro.
• Os organismos notificados não podem atuar para além do seu âmbito notificado; qualquer alargamento do âmbito requer uma atualização formal da notificação antes que o organismo possa realizar avaliações ao abrigo desse âmbito alargado.
• Os fornecedores devem verificar, antes de envolver um organismo notificado, que a listagem atual do organismo na base de dados da Comissão cobre a atividade relevante e permanece em boa situação.

Relação com Outros Artigos

O Artigo 35 não pode ser lido isoladamente; faz parte de um quadro coerente no âmbito do Capítulo 4 do Título III.

O Artigo 28 define os requisitos que as autoridades de notificação — os organismos nacionais responsáveis pelo estabelecimento e realização dos procedimentos de notificação — devem elas próprias satisfazer, fornecendo a base institucional da qual dependem os fluxos de notificação do Artigo 35. O Artigo 29 estabelece os requisitos detalhados de candidatura que um organismo de avaliação de conformidade deve cumprir antes de poder ser notificado, enquanto o Artigo 30 regula o próprio procedimento de notificação, incluindo a comunicação formal à Comissão que desencadeia uma listagem ao abrigo do Artigo 35. O Artigo 31 aborda a presunção de conformidade para os organismos notificados certificados ao abrigo de normas harmonizadas relevantes.

Operacionalmente, o Artigo 35 conecta-se aos Artigos 43 e 44, que regulam os procedimentos de avaliação de conformidade para sistemas de IA de alto risco e os certificados resultantes — documentos cuja validade é inseparável do estatuto do organismo emissor como devidamente listado ao abrigo do Artigo 35. O Artigo 74 (fiscalização do mercado) também se baseia em listagens precisas ao abrigo do Artigo 35, uma vez que as autoridades que coordenam a supervisão transfronteiriça precisam de identificar qual o organismo que emitiu um determinado certificado e se esse organismo permanece autorizado.

Calendário de Conformidade

O Regulamento UE IA entrou em vigor em 1 de agosto de 2024, vinte dias após a publicação no Jornal Oficial. A aplicação é faseada:

• 2 de fevereiro de 2025 — As proibições sobre práticas de IA de risco inaceitável (Título II) tornaram-se aplicáveis.
• 2 de agosto de 2025 — As disposições sobre modelos de IA de uso geral (Título VIII) e as obrigações de governação tornaram-se aplicáveis.
• 2 de agosto de 2026 — A maior parte do Título III, incluindo o quadro de organismos notificados ao abrigo do Capítulo 4, torna-se plenamente aplicável para os sistemas de IA de alto risco listados no Anexo III, exceto os abrangidos pelo prazo alargado abaixo.
• 2 de agosto de 2027 — Prazo alargado para os sistemas de IA de alto risco abrangidos pela legislação de harmonização da União existente listada no Anexo I (por exemplo, maquinaria, dispositivos médicos), dando a esses setores tempo adicional para integrar os requisitos de avaliação de conformidade do Regulamento IA nos fluxos de trabalho de certificação existentes.

O próprio Artigo 35, como parte da infraestrutura dos organismos notificados, torna-se operacionalmente relevante em paralelo com a aplicação dos requisitos de avaliação de conformidade do Capítulo 4. Os Estados-Membros e a Comissão devem garantir que os procedimentos de notificação, a atribuição de números de identificação e a base de dados pública estejam plenamente operacionais antes da data de agosto de 2026, para que os fornecedores de sistemas de IA de alto risco possam envolver organismos notificados em conformidade a partir do momento em que as obrigações de avaliação de conformidade obrigatória se tornem aplicáveis.