Articolul 31 — Cerințe privind organismele notificate (Regulamentul UE privind IA)

Articolul 31 din Regulamentul (UE) 2024/1689 — Cerințe privind organismele notificate. Text oficial, interpretare practică, obligații esențiale și implicații pentru conformitate.

Rezumatul textului oficial

Articolul 31 din Regulamentul (UE) 2024/1689 stabilește condițiile pe care un organism de evaluare a conformității trebuie să le îndeplinească înainte ca un stat membru să îl poată notifica Comisiei Europene ca organism competent să efectueze evaluări ale conformității de către terți ale sistemelor de IA cu risc ridicat.

Articolul impune cerințe pe mai multe dimensiuni. În primul rând, organismul trebuie să fie înființat în temeiul dreptului național și să aibă personalitate juridică. În al doilea rând, trebuie să fie independent față de sistemele de IA pe care le evaluează, față de furnizorii acestora și față de orice presiune comercială, financiară sau de altă natură care ar putea compromite judecata sa; nici organismul, nici personalul său nu poate fi proiectantul, dezvoltatorul, producătorul, furnizorul, instalatorul, cumpărătorul, proprietarul, utilizatorul sau responsabilul cu întreținerea sistemelor de IA pe care le evaluează. În al treilea rând, organismul și personalul său trebuie să dețină competența tehnică necesară — inclusiv experiență relevantă cu tehnologiile de IA și practicile privind datele — și trebuie să mențină această competență prin formare continuă. În al patrulea rând, organismul trebuie să fie stabil din punct de vedere financiar și să dețină o asigurare de răspundere civilă adecvată. În al cincilea rând, organismul trebuie să dispună de procese documentate pentru gestionarea conflictelor de interese, pentru confidențialitatea informațiilor obținute în cursul evaluării și pentru protejarea intereselor furnizorilor și ale terților. În cele din urmă, organismul trebuie să participe la activitățile de coordonare la nivelul Uniunii și să coopereze cu autoritățile de supraveghere a pieței și cu autoritățile de notificare.

Atunci când un organism notificat subcontractează sarcini sau utilizează o filială, trebuie să se asigure că acele entități îndeplinesc aceleași cerințe și își păstrează răspunderea deplină pentru lucrările acestora.

Ce înseamnă aceasta în practică

Articolul 31 este adresat în principal organismelor de evaluare a conformității care urmăresc statutul de organism notificat și autorităților naționale de notificare responsabile pentru evaluarea și desemnarea acestora. Nu impune obligații directe furnizorilor de IA, dar cerințele sale modelează ecosistemul în care furnizorii trebuie să opereze.

Pentru organismele de evaluare a conformității, respectarea articolului 31 presupune desfășurarea unui exercițiu intern cuprinzător de pregătire înainte de a solicita notificarea. Acesta include efectuarea unei analize structurale pentru verificarea independenței față de furnizori și lanțurile de aprovizionare, recrutarea sau reconversia profesională a personalului cu expertiză practică în domeniul învățării automate, guvernanței datelor și al domeniului specific de aplicare al sistemelor de IA care urmează să fie evaluate (de exemplu, dispozitive medicale, sisteme biometrice sau infrastructuri critice). Organismele trebuie să implementeze sisteme de management documentate care să acopere confidențialitatea, conflictele de interese și asigurarea calității și trebuie să obțină o asigurare de răspundere profesională adecvată.

Pentru furnizorii de IA ai sistemelor cu risc ridicat care necesită o evaluare a conformității de către terți în temeiul articolului 43 — de exemplu, sisteme enumerate în Anexa III pentru care nicio normă armonizată nu acoperă cerințele integrale — alegerea unui organism notificat înseamnă verificarea faptului că organismul este înscris corespunzător în baza de date NANDO și că domeniul său de notificare acoperă sectorul relevant de aplicare al IA. Furnizorii ar trebui, de asemenea, să verifice acordurile de subcontractare ale organismului și să confirme că evaluatorii filialelor sunt ei înșiși conformi.

Autoritățile naționale de notificare trebuie să construiască cadre de evaluare care să testeze riguros solicitanții în raport cu fiecare criteriu al articolului 31 și trebuie să instituie proceduri de monitorizare pentru verificarea conformității continue după notificare, deoarece satisfacerea continuă a acestor cerințe este o condiție pentru menținerea statutului notificat.

Obligații esențiale

• Independență și imparțialitate: Organismul notificat, conducerea sa superioară și personalul responsabil cu efectuarea sarcinilor de evaluare a conformității nu pot fi proiectantul, dezvoltatorul, producătorul, furnizorul sau utilizatorul sistemelor de IA pe care le evaluează și trebuie să fie liberi de orice influență — comercială, financiară sau de altă natură — care ar putea afecta obiectivitatea lor.
• Competență tehnică: Organismul trebuie să demonstreze cunoștințe și experiență suficiente în domeniul tehnologiilor de IA, al datelor și guvernanței datelor, al securității cibernetice și al domeniului specific de aplicare al sistemelor pentru care a fost notificat și trebuie să se asigure că personalul urmează formare continuă pentru a ține pasul cu evoluțiile tehnologice.
• Personalitate juridică și stabilitate financiară: Organismul trebuie să fie o entitate constituită legal în temeiul dreptului național și trebuie să fie capabil să demonstreze sănătatea financiară și să dețină o asigurare de răspundere civilă adecvată pentru a-și acoperi activitățile de evaluare.
• Sisteme de management documentate: Organismul trebuie să aplice proceduri documentate pentru gestionarea conflictelor de interese, protejarea confidențialității informațiilor sensibile din punct de vedere comercial și gestionarea reclamațiilor și căilor de atac din partea furnizorilor.
• Norme privind subcontractarea și filialele: Atunci când sarcinile sunt subcontractate sau delegate unei filiale, organismul notificat trebuie să verifice că subcontractantul sau filiala îndeplinește toate cerințele articolului 31, trebuie să informeze furnizorul înainte de subcontractare și își păstrează responsabilitatea juridică deplină pentru rezultate.
• Cooperare și participare: Organismul notificat trebuie să coopereze cu autoritățile naționale de supraveghere a pieței și cu autoritățile de notificare și trebuie să participe la grupurile de coordonare la nivelul Uniunii înființate pentru organismele notificate în cadrul Regulamentului privind IA.

Relația cu alte articole

Articolul 31 se înscrie în Titlul III, Capitolul 4, care reglementează întregul cadru al autorităților de notificare și al organismelor notificate. Trebuie citit împreună cu articolul 28, care definește obligațiile autorităților de notificare, cu articolul 29, care stabilește cerințele pentru cererile de notificare și procedura de notificare a Comisiei, și cu articolul 30, care abordează înființarea și sarcinile autorităților de notificare la nivel național.

În aval, articolul 31 se conectează direct la articolul 33, care specifică obligațiile operaționale ale organismelor notificate odată desemnate — inclusiv obligația lor de a efectua evaluări în conformitate cu articolele 43 și 44 — și la articolul 44, care reglementează certificatele emise de organismele notificate și condițiile pentru suspendarea sau retragerea acestora. Articolul 43 determină cu exactitate când evaluarea conformității de către terți printr-un organism notificat este obligatorie față de situația în care un furnizor se poate baza pe controlul intern. Articolul 49 privind declarația de conformitate UE și articolul 50 privind marcajul CE sunt rezultatele din aval care depind de un certificat valid al unui organism notificat acolo unde acesta este impus.

Calendarul de conformitate

Regulamentul (UE) 2024/1689 a intrat în vigoare la 1 august 2024. Regulamentul UE privind IA se aplică în etape:

• 2 februarie 2025: Interdicțiile privind practicile de IA cu risc inacceptabil (Titlul II) au început să se aplice.
• 2 august 2025: Normele privind modelele de IA de uz general (Titlul VIII) și obligațiile de guvernanță pentru statele membre au devenit aplicabile.
• 2 august 2026: Principalele obligații pentru sistemele de IA cu risc ridicat enumerate în Anexa III — inclusiv cerințele de evaluare a conformității în temeiul articolului 43 și, prin urmare, cerințele operaționale pentru organismele notificate în temeiul articolului 31 — devin pe deplin aplicabile.
• 2 august 2027: Termen prelungit pentru anumite sisteme de IA cu risc ridicat care sunt, de asemenea, componente de siguranță ale produselor deja supuse legislației de armonizare a Uniunii enumerate în Anexa I (cum ar fi dispozitivele medicale și utilajele).

În termeni practici, organismele de evaluare a conformității care doresc să fie operaționale la 2 august 2026 trebuie să fi inițiat procesul de candidatură cu mult înainte de acea dată, având în vedere timpul necesar pentru evaluarea națională și notificarea formală a Comisiei. Prin urmare, se prevedea că statele membre să aibă implementate cadrele autorităților de notificare și procedurile de evaluare cel târziu până la mijlocul anului 2025.