Articolul 43 — Evaluarea conformității (Actul UE privind IA)

Articolul 43 din Regulamentul (UE) 2024/1689 — Evaluarea conformității. Textul oficial, interpretarea practică, obligațiile cheie și implicațiile privind conformitatea.

Rezumatul Textului Oficial

Articolul 43 din Regulamentul (UE) 2024/1689 stabilește procedurile de evaluare a conformității pe care furnizorii de sisteme de IA cu grad ridicat de risc trebuie să le urmeze înainte de a introduce un sistem pe piață sau de a-l pune în exploatare în Uniunea Europeană.

Pentru sistemele de IA cu grad ridicat de risc acoperite de legislația de armonizare a Uniunii enumerate în Anexa I — cum ar fi produsele supuse Directivei privind mașinile, Regulamentului privind dispozitivele medicale sau normelor de siguranță a aviației civile — se aplică procedura de evaluare a conformității aplicabilă în temeiul legislației sectoriale respective, completată de cerințele Capitolului 2 din Titlul III al Actului privind IA. Atunci când legislația sectorială nu impune implicarea unor terți, furnizorul trebuie să urmeze procedura de control intern stabilită în Anexa VI a Actului privind IA.

Pentru sistemele de IA cu grad ridicat de risc enumerate în Anexa III, articolul 43 prevede două căi. În mod implicit, furnizorii urmează procedura de control intern din Anexa VI. Cu toate acestea, atunci când sistemul implică identificarea biometrică în timp real sau post-teledetecție a persoanelor fizice (altele decât cele excluse prin articolul 6 alineatul (3)), sau atunci când nu există un standard armonizat care să acopere toate cerințele relevante și nu a fost adoptată nicio specificație comună, evaluarea trebuie efectuată de un organism notificat în conformitate cu Anexa VII.

Orice sistem de IA cu grad ridicat de risc care suferă o modificare substanțială după primirea unei declarații de conformitate UE sau a unui certificat trebuie să fie supus unei noi evaluări a conformității. Articolul confirmă, de asemenea, că organismele notificate trebuie notificate Comisiei și autorităților statelor membre înainte de efectuarea evaluărilor și că certificatele emise rămân valabile dacă nu sunt retrase.

Ce Înseamnă Aceasta în Practică

Pentru majoritatea furnizorilor de sisteme de IA cu grad ridicat de risc enumerate în Anexa III — acoperind domenii precum selecția angajaților, educația, scoringul de credit, gestionarea infrastructurilor critice și administrarea justiției — articolul 43 înseamnă că autoevaluarea internă reprezintă calea implicită de conformitate. Sistemul de management al calității furnizorului, documentația tehnică și evidențele privind conformitatea trebuie să fie în ordine înainte de semnarea declarației de conformitate și aplicarea marcajului CE. Nu este necesar un auditor extern decât dacă sistemul se încadrează într-una dintre categoriile care impun implicarea unui organism notificat.

Pentru furnizorii ale căror sisteme se încadrează în legislația sectorială din Anexa I — de exemplu, un sistem de IA încorporat într-un dispozitiv medical de clasa IIb sau în echipamente de aviație critice pentru siguranță — evaluarea conformității din Actul privind IA este suprapusă procedurii sectoriale deja aplicabile. În practică, aceasta înseamnă implicarea organismului notificat deja desemnat în temeiul Regulamentului privind dispozitivele medicale sau al autorității de aviație relevante, asigurând că acel organism este, de asemenea, competent să evalueze cerințele specifice IA.

Cel mai operațional semnificativ declanșator din articolul 43 este cerința de a repeta evaluarea conformității după o modificare substanțială. Prin urmare, echipele de dezvoltare și managerii de produs trebuie să integreze o poartă formală de gestionare a modificărilor în ciclul lor de viață al dezvoltării IA: orice actualizare care modifică scopul preconizat, caracteristicile de performanță sau profilul de risc al sistemului trebuie evaluată în raport cu definiția modificării substanțiale înainte de implementare.

Importatorii și distribuitorii nu sunt ei înșiși responsabili de efectuarea evaluării conformității, dar trebuie să verifice că furnizorul a finalizat procedura și că documentația este disponibilă. Operatorii care activează în sectoare reglementate ar trebui să solicite confirmarea căii de evaluare aplicabile în cadrul verificării prealabile a furnizorului.

Obligații Cheie

• Selectarea căii de evaluare corecte: Furnizorii trebuie să determine dacă sistemul lor de IA cu grad ridicat de risc se încadrează în legislația sectorială din Anexa I sau în Anexa III și să aplice procedura corespunzătoare (control intern conform Anexei VI sau evaluare de organism notificat conform Anexei VII unde este obligatorie).
• Efectuarea evaluării înainte de introducerea pe piață: Evaluarea conformității trebuie finalizată și declarația de conformitate UE semnată înainte ca sistemul să fie introdus pe piața Uniunii sau dat în exploatare — nu retroactiv.
• Implicarea unui organism notificat unde este necesar: Sistemele care implică identificarea biometrică de la distanță în timp real pentru aplicarea legii sau pentru care nu există un standard armonizat aplicabil și nicio specificație comună nu acoperă toate cerințele necesită evaluare de către terți efectuată de un organism notificat acreditat.
• Integrarea evaluării IA cu procedurile sectoriale: Pentru produsele din Anexa I, evaluarea conformității specifică IA trebuie aliniată cu — și acolo unde este posibil integrată în — evaluarea sectorială existentă a conformității, utilizând același organism notificat acolo unde este competent.
• Reevaluarea după modificare substanțială: Orice modificare substanțială a unui sistem de IA cu grad ridicat de risc care a trecut deja prin evaluarea conformității declanșează o nouă evaluare obligatorie înainte ca sistemul modificat să poată fi implementat sau comercializat.
• Menținerea documentației pentru revizuirea post-comercializare: Furnizorii trebuie să păstreze documentația tehnică, evidențele sistemului de management al calității și declarația de conformitate timp de zece ani după introducerea sistemului pe piață și să le pună la dispoziția autorităților naționale competente la cerere.

Relația cu Alte Articole

Articolul 43 nu poate fi citit în mod izolat. Acesta reprezintă expresia procedurală a cerințelor substanțiale stabilite la articolele 8-15 (Capitolul 2 din Titlul III), care definesc standardele tehnice și de guvernanță pe care sistemele de IA cu grad ridicat de risc trebuie să le îndeplinească — inclusiv gestionarea riscurilor, guvernanța datelor, transparența, supravegherea umană, acuratețea și robustețea în materie de securitate cibernetică. Definiția a ceea ce constituie un sistem de IA cu grad ridicat de risc — și prin urmare activează articolul 43 — este stabilită prin articolul 6 coroborat cu Anexele I și III.

Procedura de control intern la care se face referire în articolul 43 este detaliată în Anexa VI, în timp ce procedura organismului notificat este stabilită în Anexa VII. Articolul 44 reglementează certificatele emise de organismele notificate în urma unei evaluări conform Anexei VII, inclusiv condițiile de suspendare și retragere. Articolul 45 abordează obligațiile organismului notificat pe parcursul evaluării. Articolul 47 acoperă declarația de conformitate UE pe care furnizorii trebuie să o întocmească la finalizarea procedurii. Articolul 48 leagă finalizarea evaluării conformității de dreptul de a aplica marcajul CE în temeiul articolului 49.

Pentru furnizorii ale căror sisteme se califică, de asemenea, ca modele de IA de uz general cu risc sistemic, interacțiunea cu obligațiile din Titlul VIII trebuie luată în considerare alături de articolul 43.

Calendarul de Conformitate

Regulamentul (UE) 2024/1689 a intrat în vigoare la 1 august 2024, la douăzeci de zile după publicarea sa în Jurnalul Oficial al Uniunii Europene la 12 iulie 2024.

Articolul 43 nu se aplică imediat tuturor sistemelor de IA cu grad ridicat de risc. Calendarul de aplicare graduală stabilit prin articolul 113 înseamnă că:

• 2 februarie 2025 — Interdicțiile privind practicile de IA cu risc inacceptabil (Titlul II) au devenit aplicabile. Articolul 43 nu era încă în vigoare.
• 2 august 2025 — Obligațiile privind modelele de IA de uz general (Titlul VIII) au devenit aplicabile. Obligațiile de evaluare a conformității în temeiul articolului 43 nu erau încă în vigoare pentru majoritatea sistemelor cu grad ridicat de risc.
• 2 august 2026 — Articolul 43 devine pe deplin aplicabil furnizorilor de sisteme de IA cu grad ridicat de risc enumerate în Anexa III (sisteme independente de IA cu grad ridicat de risc în domenii precum biometria, ocuparea forței de muncă, educația și infrastructurile critice).
• 2 august 2027 — Termenul până la care obligațiile, inclusiv evaluarea conformității, se aplică sistemelor de IA cu grad ridicat de risc încorporate în produsele din Anexa I care sunt deja reglementate de legislația de armonizare a Uniunii și au fost introduse pe piață înainte de august 2026.

Furnizorii ar trebui să trateze termenul din august 2026 ca data operațională de conformitate pentru scopuri de planificare internă, asigurând că sistemele de management al calității, documentația tehnică și procedurile de evaluare sunt operaționale cu mult înainte.