Articolul 22 — Reprezentanții autorizați ai furnizorilor stabiliți în afara Uniunii (Legea UE privind IA)

Articolul 22 din Regulamentul (UE) 2024/1689 — Reprezentanții autorizați ai furnizorilor stabiliți în afara Uniunii. Textul oficial, interpretarea practică, obligațiile cheie și implicațiile privind conformitatea.

Rezumatul textului oficial

Articolul 22 din Regulamentul (UE) 2024/1689 stabilește un mecanism obligatoriu de acces pentru furnizorii de sisteme de IA cu risc ridicat și modele de IA de uz general care sunt stabiliți în țări terțe, dar care introduc acele sisteme sau modele pe piața Uniunii sau le pun în funcțiune în Uniune.

Astfel de furnizori trebuie, înainte de a pune la dispoziție sistemul lor de IA sau modelul GPAI în UE, să desemneze — prin mandat scris — un reprezentant autorizat stabilit în Uniune. Mandatul trebuie să abiliteze acel reprezentant să îndeplinească un set definit de sarcini în numele furnizorului: să verifice că declarația de conformitate UE și documentația tehnică necesară au fost întocmite în mod corespunzător; să asigure înregistrarea în baza de date a UE menționată la articolul 71; și să acționeze ca unic punct de contact identificabil pentru Biroul pentru IA și pentru autoritățile naționale competente în toate aspectele privind conformitatea cu Regulamentul.

Reprezentantul autorizat trebuie inclus în informațiile obligatorii de înregistrare și trebuie să aibă acces la documentație suficientă pentru a-i permite să își îndeplinească obligațiile. Reprezentantul operează sub o obligație continuă de a coopera cu autoritățile competente și de a alerta furnizorul imediat cu privire la orice risc sau neconformitate identificată. Important este că desemnarea unui reprezentant autorizat nu exonerează furnizorul din țara terță de propriile sale obligații în temeiul Regulamentului; ambele părți au responsabilități distincte, răspunderea reprezentantului apărând în mod specific din sarcinile atribuite în mandat.

Ce înseamnă aceasta în practică

Articolul 22 funcționează ca echivalentul Legii UE privind IA al conceptelor de „persoană responsabilă" sau „reprezentant autorizat" deja familiare din legislația privind siguranța produselor, cum ar fi Regulamentul privind dispozitivele medicale și Regulamentul general privind siguranța produselor. Efectul său practic este de a asigura că o entitate identificabilă juridic cu prezență fizică în interiorul UE este întotdeauna accesibilă de către autorități de reglementare, indiferent de locul în care se află sediul central al dezvoltatorului sistemului de IA.

Cine este afectat. Orice companie din afara UE — fie că este un dezvoltator de model de bază cu sediul în SUA, o firmă de software de robotică cu sediul în Singapore sau un furnizor de HR-tech cu sediul în Regatul Unit — care oferă un sistem de IA cu risc ridicat sau un model GPAI clienților, utilizatorilor sau operatorilor din UE trebuie să pună această structură în aplicare. Aceasta include companiile care distribuie prin revânzători din UE sau piețe cloud: obligația revine furnizorului, nu canalului de distribuție.

Ce trebuie făcut. Furnizorul trebuie să identifice o persoană fizică sau juridică cu sediul într-un stat membru al UE, să încheie un mandat scris care să specifice sarcinile autorizate ale reprezentantului, să se asigure că reprezentantul deține copii ale (sau acces securizat la) documentației tehnice relevante și declarațiilor de conformitate, și să înregistreze datele reprezentantului în baza de date a UE în temeiul articolului 71.

Exemplu concret. O companie canadiană care dezvoltă un instrument de evaluare a creditului bazat pe IA, clasificat ca risc ridicat în temeiul Anexei III, trebuie să contracteze o casă de avocatură stabilită în UE, un consultant de conformitate sau o filială-entitate juridică dedicată ca reprezentant autorizat înainte de a integra orice bancă din UE ca client. Numele, adresa și datele de contact ale acelui reprezentant apar în baza de date a UE și în documentația produsului, oferind autorităților franceze sau germane de supraveghere a pieței un punct de contact intern imediat.

Obligație continuă. Mandatul nu este o depunere unică. Reprezentantul trebuie să rămână accesibil, să mențină documentația actualizată și să escaladeze orice neconformitate identificată către furnizor cu promptitudine.

Obligații cheie

• Mandat scris obligatoriu. Furnizorul trebuie să acorde reprezentantului autorizat un mandat formal, scris înainte de introducerea pe piața UE a sistemului de IA cu risc ridicat sau a modelului GPAI, specificând în mod explicit sarcinile pe care reprezentantul este abilitat să le îndeplinească în numele furnizorului.
• Cerința de stabilire în UE. Reprezentantul autorizat trebuie să fie o persoană fizică sau juridică stabilită în interiorul Uniunii Europene; un reprezentant cu sediul într-o țară terță — inclusiv statele EFTA din SEE care nu sunt acoperite de un acord de echivalență — nu satisface această cerință.
• Accesul la documentație și verificarea acesteia. Reprezentantul trebuie să verifice că declarația de conformitate UE și documentația tehnică necesară în temeiul articolelor 11 și 18 au fost întocmite în mod corespunzător și trebuie să mențină accesul la acele documente pe durata mandatului.
• Înregistrarea în baza de date a UE. Reprezentantul este responsabil pentru a se asigura că informațiile furnizorului — inclusiv propriile date de contact ale reprezentantului — sunt înregistrate în baza de date a UE menționată la articolul 71 și că înregistrarea este menținută actualizată.
• Punct de contact pentru autorități. Reprezentantul autorizat servește ca punct de contact principal pentru Biroul pentru IA și autoritățile naționale competente pentru toate solicitările privind conformitatea, supravegherea pieței și aplicarea legii referitoare la sistemul de IA sau modelul GPAI în domeniu.
• Obligația de alertare și cooperare. Reprezentantul trebuie să informeze prompt furnizorul cu privire la orice risc pentru sănătate, siguranță sau drepturi fundamentale sau orice suspiciune de neconformitate care ajunge la cunoștința sa și trebuie să coopereze pe deplin cu autoritățile competente la cerere, inclusiv să le furnizeze documentație și acces la registre.

Relația cu alte articole

Articolul 22 operează în cadrul mai larg al Capitolului 3 care reglementează obligațiile furnizorilor și operatorilor și trebuie citit alături de mai multe alte dispoziții.

Articolul 16 stabilește lista completă a obligațiilor aplicabile furnizorilor de sisteme de IA cu risc ridicat; articolul 22 delegă efectiv executarea internă a acelor obligații reprezentantului autorizat atunci când furnizorul este stabilit în afara UE.

Articolele 11 și 18 definesc obligațiile privind documentația tehnică și păstrarea evidențelor pe care reprezentantul trebuie să verifice că au fost îndeplinite înainte ca sistemul să fie introdus pe piață.

Articolul 71 stabilește baza de date a UE în care trebuie înregistrate datele reprezentantului, făcând din articolul 22 o condiție prealabilă pentru înregistrarea legală de către furnizorii din țări terțe.

Articolul 53 reglementează obligații specifice furnizorilor de modele de IA de uz general; articolul 22 extinde cerința de reprezentant autorizat la această categorie, consolidând faptul că furnizorii de GPAI din afara UE se confruntă cu obligații echivalente de control al accesului.

Articolele 74 și 75 privind supravegherea pieței sunt direct deservite de articolul 22: autoritățile competente își exercită puterile de supraveghere față de reprezentantul autorizat ca ancoră internă de aplicare a legii atunci când furnizorul real este inaccesibil.

Calendar de conformitate

Legea UE privind IA (Regulamentul 2024/1689) a intrat în vigoare la 1 august 2024, la douăzeci de zile după publicarea în Jurnalul Oficial. Aplicarea este etapizată:

• 2 februarie 2025 — Dispozițiile privind practicile de IA interzise (articolul 5) au devenit aplicabile. Articolul 22 nu se aplică încă în mod izolat în această etapă, dar furnizorii ar trebui deja să evalueze dacă sistemele lor se încadrează în domeniul de aplicare cu risc ridicat sau GPAI.
• 2 august 2025 — Obligațiile aplicabile modelelor de IA de uz general (Titlul V, inclusiv articolul 53) devin aplicabile. Deoarece articolul 22 acoperă în mod explicit furnizorii de modele GPAI, furnizorii de GPAI din țări terțe trebuie să aibă reprezentantul autorizat instituit până la această dată.
• 2 decembrie 2026 — Sistemele de IA cu risc ridicat enumerate în Anexa III care sunt deja supuse legislației UE existente privind siguranța produselor trebuie să respecte întregul lanț de obligații ale furnizorului, inclusiv cerințele privind reprezentantul autorizat din articolul 22.
• 2 august 2027 — Toate celelalte sisteme de IA cu risc ridicat enumerate în Anexa III devin supuse setului complet de obligații. Furnizorii din țări terțe ai acelor sisteme care nu au desemnat încă un reprezentant autorizat vor fi în breșă începând cu această dată.

Furnizorii care introduc pentru prima dată sisteme cu risc ridicat pe piața UE după 2 august 2024 ar trebui să trateze cerința de reprezentant autorizat ca o condiție prealabilă de acces la piață de la bun început, mai degrabă decât să aștepte data relevantă de aplicare pentru categoria lor de sistem.