Articolul 45 — Obligații de informare ale organismelor notificate (Legea UE privind IA)

Articolul 45 din Regulamentul (UE) 2024/1689 — Obligații de informare ale organismelor notificate. Textul oficial, interpretare practică, obligații cheie și implicații pentru conformitate.

Rezumatul textului oficial

Articolul 45 din Regulamentul (UE) 2024/1689 stabilește obligații specifice de informare care revin organismelor notificate pe parcursul întregului ciclu de viață al activităților lor de evaluare a conformității privind sistemele de IA cu risc ridicat enumerate în Anexa III și, după caz, în Anexa II.

În temeiul articolului 45, organismele notificate sunt obligate să informeze autoritatea de notificare — organismul național responsabil cu desemnarea și supravegherea acestora — cu privire la toate evaluările conformității efectuate, inclusiv cele refuzate sau retrase înainte de finalizare. Această obligație de transparență se extinde la circumstanțele care pot afecta domeniul de aplicare, condițiile sau valabilitatea continuă a notificării, cum ar fi modificările în structura, proprietatea, competența sau resursele organismului.

Organismele notificate trebuie să comunice în plus autorității lor de notificare orice solicitări de informații primite de la autoritățile de supraveghere a pieței, permițând o supraveghere coordonată dincolo de frontierele naționale. Acestea sunt, de asemenea, obligate să raporteze reclamații, contestații și alte informații relevante privind sistemele de IA cu risc ridicat pe care le-au evaluat, la cerere sau din proprie inițiativă atunci când problema este de importanță pentru acțiunile de reglementare.

Articolul 45 prevede, de asemenea, că organismele notificate fac schimb de informații între ele și cu Comisia cu privire la aspecte legate de rezultatele negative ale evaluărilor conformității, stabilind astfel un mecanism colectiv de partajare a cunoștințelor. Aceasta împiedică furnizorii să caute evaluatori mai îngăduitori după ce au primit o evaluare refuzată de la un organism notificat — o practică denumită uneori „certificate shopping" (cumpărături de certificate).

Articolul constituie o piatră de temelie a infrastructurii de responsabilitate pentru sistemul organismelor notificate, asigurând că autoritățile naționale și Comisia mențin o supraveghere autentică asupra modului în care se efectuează evaluările conformității în întreaga Uniune.

Ce înseamnă aceasta în practică

Pentru organismele notificate, articolul 45 introduce o cultură de divulgare continuă și proactivă care depășește cu mult simpla emitere sau refuzare a certificatelor. Din punct de vedere operațional, un organism notificat trebuie să stabilească proceduri interne pentru a înregistra și a raporta toate evenimentele semnificative autorității sale naționale de notificare, chiar și atunci când aceste evenimente nu conduc la un certificat formal.

Să considerăm un scenariu în care un furnizor al unui sistem de IA cu risc ridicat utilizat în selecția angajaților prezintă documentație pentru o evaluare a conformității, dar organismul notificat identifică lacune critice în documentația tehnică și în sistemul de management al riscurilor. Chiar dacă furnizorul retrage cererea înainte de emiterea unui refuz formal, articolul 45 impune organismului notificat să raporteze această retragere. Autoritatea de notificare și — prin mecanismele de schimb de informații — alte organisme notificate sunt astfel avertizate că un sistem neconform poate fi prezentat din nou în altă parte pentru evaluare.

În mod similar, dacă o autoritate de supraveghere a pieței — cum ar fi un organism național de protecție a consumatorilor — contactează un organism notificat solicitând informații despre un sistem evaluat anterior care a cauzat prejudicii, organismul notificat trebuie să informeze autoritatea sa de notificare cu privire la acea solicitare. Aceasta creează o pistă documentară care permite un răspuns de reglementare coordonat.

Organismele notificate trebuie, de asemenea, să revizuiască continuu dispozițiile interne privind resursele și competențele. În cazul în care stabilesc că personalul sau capacitatea lor tehnică nu mai acoperă anumite categorii de sisteme de IA, trebuie să notifice prompt această modificare pentru ca domeniul de aplicare al desemnării lor să poată fi ajustat — protejând integritatea pieței prin prevenirea evaluărilor în domenii în care organismul nu dispune de o expertiză autentică.

Pentru furnizori, acest cadru înseamnă că o evaluare refuzată sau retrasă nu este un eveniment confidențial. Prin urmare, diligența necesară înainte de a angaja un organism notificat este recomandabilă.

Obligații cheie

• Raportarea evaluărilor refuzate și retrase: Organismele notificate trebuie să informeze autoritatea de notificare cu privire la orice evaluare a conformității care a fost refuzată sau retrasă de furnizor înainte de finalizare, inclusiv motivele acolo unde acestea pot fi stabilite.
• Divulgarea circumstanțelor care afectează domeniul de aplicare: Orice modificare a statutului juridic, proprietății, personalului de conducere, structurii organizatorice sau competenței tehnice a organismului care ar putea afecta notificarea acestuia trebuie comunicată autorității de notificare fără întârziere nejustificată.
• Partajarea informațiilor cu alte organisme notificate: Organismele notificate sunt obligate să facă schimb de informații privind rezultatele negative ale evaluărilor și aspectele conexe cu organisme notificate similare și cu Comisia, prevenind cumpărăturile de certificate în Uniune.
• Raportarea contactelor de reglementare: Primirea solicitărilor de informații de la autoritățile de supraveghere a pieței, autoritățile naționale competente sau alte organisme de reglementare trebuie divulgată autorității de notificare, permițând o supraveghere coordonată.
• Comunicarea reclamațiilor și contestațiilor: Reclamațiile semnificative, contestațiile împotriva deciziilor de evaluare și informațiile de monitorizare post-comercializare privind sistemele de IA evaluate trebuie raportate la cerere sau în mod proactiv atunci când este justificat.
• Menținerea disponibilității pentru audituri: Organismele notificate trebuie să pună la dispoziția autorității de notificare toată documentația relevantă, înregistrările și dovezile activităților lor de evaluare pentru a sprijini monitorizarea continuă a desemnării lor.

Relația cu alte articole

Articolul 45 funcționează în cadrul unei rețele dense de dispoziții care reglementează cadrul organismelor notificate în temeiul Titlului III, Capitolul 5. Este inseparabil de articolul 33, care stabilește obligațiile și cerințele generale pe care organismele notificate trebuie să le îndeplinească pentru a obține și a menține desemnarea lor, și de articolul 34, care stabilește regulile privind filialele și subcontractarea care afectează transparența organizațională.

Procesul de notificare și desemnare reglementat de articolele 35 și 36 oferă contextul instituțional pentru articolul 45: autoritatea de notificare care primește informații în temeiul articolului 45 este același organism care poate suspenda sau retrage o notificare în temeiul articolului 35 dacă informațiile divulgate dezvăluie neconformitate.

Articolul 44 (certificate de conformitate) și articolul 46 (derogare de la procedurile de evaluare a conformității) ar trebui citite alături de articolul 45, deoarece acestea stabilesc rezultatele procesului de evaluare a conformității a căror integritate obligațiile de informare ale articolului 45 sunt menite să le protejeze.

La nivelul supravegherii pieței, articolele 74-76 se bazează implicit pe fluxurile de informații create de articolul 45 pentru a funcționa eficient, la fel ca mecanismele de coordonare care implică Consiliul European pentru Inteligență Artificială (EAIB) înființat în temeiul articolului 65.

Calendarul de conformitate

Legea UE privind IA a intrat în vigoare la 1 august 2024, la douăzeci de zile după publicarea sa în Jurnalul Oficial al Uniunii Europene (JO L 2024/1689, 12 iulie 2024). Articolul 45 se încadrează în dispozițiile aplicabile sistemelor de IA cu risc ridicat în temeiul Titlului III.

Calendarul de aplicare etapizată este după cum urmează:

• 1 august 2024 — Intrarea în vigoare; obligații pregătitoare încep pentru statele membre și Comisie.
• 2 februarie 2025 — Practicile de IA interzise (Titlul II, articolul 5) au devenit aplicabile.
• 2 august 2025 — Obligațiile privind modelele GPAI (Titlul VIII) și dispozițiile de guvernanță au devenit aplicabile; procesele de desemnare a organismelor notificate au fost preconizate să fie avansate operațional la această dată.
• 2 august 2026 — Articolul 45, împreună cu setul complet de obligații ale Titlului III Capitolul 5 referitoare la organismele notificate și evaluările conformității pentru sistemele de IA cu risc ridicat enumerate în Anexa III, devine pe deplin aplicabil. Organismele notificate trebuie să fie pe deplin conforme cu obligațiile lor de informare începând cu această dată.
• 2 august 2027 — Termen extins pentru anumite sisteme de IA cu risc ridicat acoperite de legislația de armonizare a Uniunii existentă enumerată în Anexa II, secțiunea 1, oferind producătorilor din acele sectoare reglementate timp suplimentar pentru a adapta procesele de evaluare a conformității.

Organizațiile care caută desemnarea ca organisme notificate ar trebui să aibă procedurile de gestionare și divulgare a informațiilor implementate cu mult înainte de termenul din august 2026 pentru a se asigura că pot demonstra conformitate din prima zi de aplicare deplină.