Articolul 33 — Filiale ale organismelor notificate și subcontractare (Regulamentul UE privind IA)

Articolul 33 din Regulamentul (UE) 2024/1689 — Filiale ale organismelor notificate și subcontractare. Text oficial, interpretare practică, obligații esențiale și implicații pentru conformitate.

Rezumatul textului oficial

Articolul 33 din Regulamentul (UE) 2024/1689 reglementează condițiile în care organismele notificate pot delega activitățile de evaluare a conformității filialelor sau subcontractanților externi. Articolul stabilește că un organism notificat care dorește să subcontracteze sarcini specifice de evaluare a conformității sau să utilizeze o filială pentru a îndeplini astfel de sarcini trebuie să obțină mai întâi consimțământul clientului pentru respectivul acord.

Atunci când sunt utilizate acorduri de subcontractare sau de filiale, organismul notificat este obligat să se asigure că subcontractantul sau filiala îndeplinesc aceleași cerințe stabilite pentru organismele notificate în ceea ce privește sarcinile specifice delegate. Această obligație reflectă cerințele de calificare, imparțialitate și operaționale stabilite în altă parte în Capitolul 4 din Titlul III.

În mod esențial, Articolul 33 plasează o responsabilitate neechivocă asupra organismului notificat: acesta trebuie să își asume deplina responsabilitate pentru lucrările efectuate de subcontractanți și filiale, indiferent de locul în care aceste entități sunt stabilite — fie în UE, fie într-o țară terță. Organismul notificat este, de asemenea, obligat să păstreze la dispoziția autorității sale notificatoare toată documentația relevantă privind evaluarea calificărilor subcontractantului sau filialei și lucrările efectuate de aceste entități în cadrul delegării.

Acest articol asigură că delegarea sarcinilor de evaluare a conformității nu poate fi utilizată pentru a ocoli cerințele stricte pe care organismele notificate înseși trebuie să le îndeplinească și că responsabilitatea rămâne concentrată la nivelul organismului desemnat oficial de autoritatea notificatoare.

Ce înseamnă aceasta în practică

Articolul 33 afectează direct organismele notificate care operează în temeiul Regulamentului UE privind IA, societățile lor mamă, filialele și orice furnizori de servicii terți pe care îi angajează pentru a efectua părți din lucrările de evaluare a conformității pentru sistemele de IA cu risc ridicat.

Pentru un organism notificat care dorește să își extindă operațiunile sau să valorifice expertiza specializată, subcontractarea și utilizarea filialelor oferă flexibilitate operațională — dar această flexibilitate vine cu cerințe stricte de responsabilitate. Înainte de a angaja un subcontractant, organismul notificat trebuie să verifice că subcontractantul satisface cerințele de calificare relevante aplicabile organismelor notificate pentru acele sarcini specifice. Un contract general cu un furnizor este insuficient; trebuie efectuată și documentată o evaluare substanțială a conformității competenței și independenței subcontractantului.

Clientul evaluării conformității — de obicei furnizorul sistemului de IA cu risc ridicat — trebuie să consimtă explicit la orice acord de subcontractare. În practică, aceasta înseamnă că acordurile contractuale pentru serviciile de evaluare a conformității ar trebui să abordeze subcontractarea de la bun început, specificând dacă consimțământul este acordat în general sau trebuie solicitat de la caz la caz.

Pentru furnizorii de sisteme de IA supuși evaluării conformității de către terți, Articolul 33 oferă un drept la transparență: aceștia trebuie să știe cine efectuează evaluarea și să aibă posibilitatea de a obiecta. Furnizorii ar trebui să includă clauze de divulgare a subcontractării în acordurile lor cu organismele notificate și să verifice că subcontractanții angajați sunt corespunzător calificați.

Pentru organismele notificate cu structuri de grup internaționale, Articolul 33 este deosebit de relevant: lucrările efectuate de o filială din afara UE în numele organismului notificat intră în domeniul de aplicare, iar organismul notificat cu sediul în UE rămâne responsabil pentru calitatea și conformitatea acelor lucrări.

Obligații esențiale

• Consimțământul prealabil al clientului: Organismul notificat trebuie să obțină consimțământul explicit al clientului evaluării conformității înainte de a subcontracta orice sarcină sau de a utiliza o filială pentru a desfășura activități de evaluare a conformității.
• Echivalența cerințelor: Subcontractanții și filialele trebuie să îndeplinească aceleași cerințe aplicabile organismului notificat însuși pentru sarcinile specifice de evaluare a conformității delegate, inclusiv cerințele privind competența, imparțialitatea și standardele operaționale.
• Responsabilitate deplină păstrată: Organismul notificat păstrează deplina responsabilitate juridică și de reglementare pentru toate lucrările efectuate de subcontractanți și filiale; această responsabilitate nu poate fi transferată, delegată sau renunțată contractual.
• Notificarea autorității notificatoare: Organismul notificat trebuie să informeze autoritatea sa notificatoare cu privire la acordurile de subcontractare și activitățile filialelor și trebuie să pună la dispoziție toată documentația relevantă privind calificările subcontractanților și lucrările efectuate de aceștia.
• Documentație și păstrarea evidențelor: Organismul notificat trebuie să mențină evidențe complete ale evaluărilor de calificare ale subcontractanților și rezultatele sarcinilor delegate de evaluare a conformității, disponibile autorității notificatoare la cerere.
• Domeniu de aplicare geografic: Obligațiile se aplică indiferent dacă subcontractantul sau filiala este stabilit în Uniunea Europeană sau într-o țară terță.

Relația cu alte articole

Articolul 33 trebuie citit în strânsă coroborare cu cadrul mai larg pentru organismele notificate stabilit în Capitolul 4 din Titlul III. Articolul 28 (Organisme notificate) stabilește cerințele de fond — inclusiv competența, independența și imparțialitatea — pe care subcontractanții și filialele trebuie să le îndeplinească în temeiul Articolului 33. Articolul 29 (Independența organismelor notificate) este la fel de relevant, deoarece acordurile de subcontractare nu trebuie să compromită imparțialitatea procesului de evaluare a conformității. Articolele 30 și 31 reglementează procesul de notificare și desemnare a organismelor notificate și stabilesc standardele pe care un organism trebuie să le îndeplinească pentru a fi eligibil să efectueze sarcini de evaluare a conformității.

Articolul 43 (Proceduri de evaluare a conformității pentru sistemele de IA cu risc ridicat) definește domeniul de aplicare al activităților de evaluare a conformității pe care organismele notificate sunt chemate să le efectueze și, prin urmare, activitățile cărora li se aplică normele de subcontractare ale Articolului 33. Articolul 74 (Supravegherea pieței) este, de asemenea, relevant, deoarece autoritățile de supraveghere a pieței pot examina dacă organismele notificate și subcontractanții lor au respectat obligațiile din Articolul 33 atunci când investighează neconformități.

Calendarul de conformitate

Regulamentul UE privind IA (Regulamentul 2024/1689) a intrat în vigoare la 1 august 2024. Articolul 33, ca parte a cadrului care reglementează organismele notificate și cerințele lor operaționale, este supus programului general de aplicare treptată:

• 1 august 2024: Intrare în vigoare. Regulamentul devine drept UE obligatoriu.
• 2 februarie 2025: Se aplică interdicțiile privind practicile de IA cu risc inacceptabil (Titlul II).
• 2 august 2025: Normele privind modelele de IA de uz general (Titlul VIII) și dispozițiile de guvernanță încep să se aplice.
• 2 decembrie 2026: Cadrul de evaluare a conformității — inclusiv normele privind organismele notificate în temeiul Titlului III, Capitolul 4, și, prin urmare, Articolul 33 — se aplică sistemelor de IA cu risc ridicat enumerate în Anexa I (sisteme de componente de siguranță reglementate de legislația de armonizare a Uniunii).
• 2 august 2027: Aplicarea deplină a obligațiilor de evaluare a conformității pentru sistemele de IA cu risc ridicat enumerate în Anexa III, inclusiv cerințele operaționale din Articolul 33 privind subcontractarea și utilizarea filialelor.

Organismele notificate care urmăresc desemnarea în temeiul Regulamentului UE privind IA ar trebui să trateze conformitatea cu Articolul 33 ca parte a pregătirii lor inițiale pentru desemnare, asigurându-se că politicile de subcontractare, cadrele de guvernanță a filialelor și șabloanele de contracte cu clienții reflectă cerințele articolului cu mult înainte de datele de aplicare relevante.