Articolul 28 — Autoritățile de notificare (Regulamentul UE privind IA)

Articolul 28 din Regulamentul (UE) 2024/1689 — Autoritățile de notificare. Text oficial, interpretare practică, obligații esențiale și implicații pentru conformitate.

Rezumatul Textului Oficial

Articolul 28 din Regulamentul (UE) 2024/1689 (Regulamentul UE privind IA) stabilește cadrul pentru autoritățile de notificare — organismele naționale responsabile de desemnarea, monitorizarea și supravegherea organismelor de evaluare a conformității (organisme notificate) care evaluează sistemele de IA cu risc ridicat.

În temeiul Articolului 28, fiecare stat membru trebuie să desemneze cel puțin o autoritate de notificare responsabilă de: stabilirea și desfășurarea procedurilor necesare pentru evaluarea și desemnarea organismelor de evaluare a conformității; notificarea acestor organisme Comisiei Europene și celorlalte state membre; și asigurarea monitorizării continue a organismelor notificate pentru a garanta conformitatea permanentă cu cerințele prevăzute la Articolul 31.

Autoritatea de notificare trebuie să fie structurată astfel încât să evite conflictele de interese cu organismele de evaluare a conformității pe care le supraveghează. Trebuie să fie independentă din punct de vedere operațional față de aceste organisme și să dispună de competență tehnică și resurse suficiente pentru a-și îndeplini funcțiile în mod eficace. Statele membre pot atribui rolul de autoritate de notificare unui organism național existent — inclusiv unei autorități de supraveghere a pieței — cu condiția că sunt îndeplinite criteriile necesare de independență.

Articolul 28 impune în continuare autorităților de notificare să pună la dispoziția publicului informații privind procedurile lor de evaluare și notificare și să coopereze cu Comisia și cu autoritățile de notificare ale celorlalte state membre, inclusiv prin intermediul instrumentului electronic de notificare al Comisiei legat de baza de date NANDO. Orice modificare a unei notificări — inclusiv suspendarea, restricționarea sau retragerea — trebuie comunicată prompt prin intermediul acestui sistem.

Ce Înseamnă Aceasta în Practică

Articolul 28 funcționează în principal la nivelul instituțional al statelor membre, dar implicațiile sale practice se extind la furnizorii de sisteme de IA cu risc ridicat care necesită evaluarea conformității de către terți înainte de a fi introduse pe piața UE.

Pentru guvernele statelor membre, obligația imediată este de natură administrativă: fiecare stat trebuie să desemneze sau să stabilească formal o autoritate de notificare și să comunice această desemnare Comisiei. Statele membre care dețin o infrastructură existentă de organisme notificate în temeiul legislației de armonizare sectorială (cum ar fi pentru dispozitive medicale în temeiul Regulamentului (UE) 2017/745 sau mașini în temeiul Directivei 2006/42/CE) vor extinde sau adapta de regulă acele structuri pentru a acoperi cerințele specifice IA.

Pentru furnizorii de sisteme de IA cu risc ridicat, autoritatea de notificare este gardianul accesului la organismele de evaluare a conformității acreditate. Dacă sistemul unui furnizor se încadrează în categoriile din Anexa I care impun evaluarea obligatorie a conformității de către terți, furnizorul trebuie să colaboreze cu un organism notificat care a fost desemnat formal de o autoritate națională de notificare și înscris în baza de date NANDO. Furnizorii ar trebui să verifice că orice organism de evaluare a conformității cu care colaborează deține o notificare valabilă și actualizată care acoperă categoria relevantă de sisteme de IA.

În practică, un furnizor care introduce pe piața UE, de exemplu, un sistem de clasificare biometrică sau o componentă de securitate bazată pe IA în mașinile industriale trebuie să:

1. Stabilească dacă sistemul lor declanșează evaluarea obligatorie a conformității de către terți.
2. Selecteze un organism notificat înscris în NANDO în domeniul de aplicare relevant.
3. Se supună procedurii de evaluare a conformității supravegheate de acel organism.
4. Asigure că organismul notificat rămâne valabil desemnat pe durata întregului ciclu de viață al produsului.

Funcția de monitorizare a autorității de notificare înseamnă că, dacă un organism notificat își pierde desemnarea — din cauza constatărilor de neconformitate —, orice certificate emise de acesta pot fi afectate, creând un risc de conformitate în aval pentru furnizorii care dețin acele certificate.

Obligații Esențiale

• Statele membre trebuie să desemneze o autoritate de notificare: Fiecare stat membru este obligat să desemneze formal cel puțin un organism național ca autoritate de notificare pentru organismele de evaluare a conformității în domeniul IA și să comunice această desemnare Comisiei Europene.
• Cerința de independență: Autoritatea de notificare trebuie să fie organizată astfel încât să fie independentă din punct de vedere operațional față de organismele de evaluare a conformității pe care le desemnează și monitorizează, evitând orice conflicte de interese.
• Competență și resurse: Autoritățile de notificare trebuie să dețină expertiză tehnică suficientă, personal și resurse pentru a desfășura evaluarea, desemnarea și monitorizarea continuă a organismelor notificate în raport cu criteriile din Articolul 31.
• Proceduri transparente: Autoritățile de notificare trebuie să pună la dispoziția publicului procedurile lor de evaluare și notificare și să utilizeze instrumentul electronic de notificare al Comisiei (legat de baza de date NANDO) pentru toate notificările, actualizările, suspendările și retragerile.
• Monitorizare continuă: Autoritățile de notificare sunt responsabile de supravegherea continuă a organismelor notificate pentru a se asigura că acestea mențin competența și conformitatea necesare; trebuie să investigheze plângerile și să ia măsuri corective atunci când sunt constatate deficiențe.
• Cooperare transfrontalieră: Autoritățile de notificare trebuie să coopereze între ele și cu Comisia, partajând informații relevante pentru competența și conduita organismelor notificate în vederea menținerii unor standarde consecvente pe piața unică.

Relația cu Alte Articole

Articolul 28 reprezintă fundamentul structural al Capitolului 4 (Titlul III) și trebuie citit împreună cu articolele care urmează imediat. Articolul 29 specifică cerințele detaliate pe care trebuie să le îndeplinească autoritățile de notificare în sine — inclusiv independența, imparțialitatea și absența conflictelor de interese. Articolul 30 reglementează procesul de aplicare prin care organismele de evaluare a conformității solicită notificarea, stabilind ce informații trebuie prezentate și evaluate de autoritatea de notificare. Articolul 31 stabilește cerințele de fond pe care trebuie să le îndeplinească organismele notificate pentru a obține sau a menține desemnarea.

Mai general, Articolul 28 se conectează cu Articolul 43, care specifică ce sisteme de IA cu risc ridicat din Anexa I sunt supuse evaluării obligatorii a conformității de către terți — făcând organismele notificate, și prin urmare autoritățile de notificare, relevante din punct de vedere operațional. Articolul se leagă de asemenea de Articolul 74 și de cadrul mai amplu de supraveghere a pieței: autoritățile de notificare și autoritățile de supraveghere a pieței pot fi același organism, iar cooperarea lor este esențială pentru o aplicare eficace. Infrastructura bazei de date NANDO la care face referire Articolul 28 stă la baza obligațiilor de transparență care se regăsesc în toate capitolele privind evaluarea conformității.

Calendarul de Conformitate

Regulamentul UE privind IA a intrat în vigoare la 1 august 2024, declanșând un calendar de aplicare etapizat cu termene diferite pentru diferite obligații.

Articolul 28, ca parte a cadrului instituțional și de guvernanță pentru organismele notificate, se încadrează în dispozițiile aplicabile sistemelor de IA cu risc ridicat în temeiul Anexei I (sisteme acoperite de legislația de armonizare a Uniunii). Infrastructura de evaluare a conformității — inclusiv desemnarea formală a autorităților de notificare — trebuie să fie operațională în timp util pentru a sprijini aplicarea obligațiilor privind riscul ridicat.

Date de referință esențiale:

• 1 august 2024 — Regulamentul intră în vigoare; statele membre încep activitățile pregătitoare pentru desemnarea autorităților.
• 2 februarie 2025 — Practicile de IA interzise în temeiul Articolului 5 devin aplicabile; fără impact direct asupra Articolului 28, dar marchează începutul aplicării etapizate.
• 2 august 2025 — Obligațiile privind modelele GPAI (Titlul VIII) și dispozițiile de guvernanță devin aplicabile; se așteaptă orientări ale Comisiei privind procedurile organismelor notificate.
• 2 august 2026 — Sistemele de IA cu risc ridicat în temeiul Anexei III (sisteme de sine stătătoare cu risc ridicat, de exemplu în domeniul ocupării forței de muncă, educației, aplicării legii) devin supuse obligațiilor integrale; autoritățile de notificare trebuie să fie pe deplin operaționale cel târziu la această dată.
• 2 august 2027 — Sistemele de IA cu risc ridicat care sunt componente de securitate ale produselor deja acoperite de legislația de armonizare a Uniunii (sisteme din Anexa I) devin pe deplin supuse cerințelor de evaluare a conformității din Regulamentul privind IA; aceasta este data până la care infrastructura autorității de notificare și a organismelor notificate în temeiul Articolului 28 trebuie să fie pe deplin funcțională pentru categoriile de produse moștenite.

Furnizorii și autoritățile naționale ar trebui să utilizeze intervalul 2024–2026 pentru a identifica autoritatea de notificare competentă în statul membru relevant și pentru a confirma că sunt disponibile organisme notificate cu domeniu de aplicare adecvat pentru categoria lor de produse.