Artikel 22 — Auktoriserade representanter för leverantörer etablerade utanför unionen (EU:s AI-lag)

Artikel 22 i förordning (EU) 2024/1689 — Auktoriserade representanter för leverantörer etablerade utanför unionen. Officiell text, praktisk tolkning, centrala skyldigheter och efterlevnadskonsekvenser.

Sammanfattning av officiell text

Artikel 22 i förordning (EU) 2024/1689 inrättar en obligatorisk gatewaymekanism för leverantörer av högrisk-AI-system och AI-modeller för allmänt ändamål som är etablerade i tredjeländer men som släpper ut dessa system eller modeller på unionens marknad eller tar dem i bruk inom unionen.

Sådana leverantörer måste, innan de gör sitt AI-system eller GPAI-modell tillgänglig i EU, utse — genom skriftligt mandat — en auktoriserad representant etablerad i unionen. Mandatet måste ge representanten befogenhet att utföra en definierad uppsättning uppgifter i leverantörens namn: verifiera att EU-försäkran om överensstämmelse och den nödvändiga tekniska dokumentationen har upprättats på rätt sätt; säkerställa registrering i EU:s databas som avses i artikel 71; och agera som den enda identifierbara kontaktpunkten för AI-byrån och för nationella behöriga myndigheter i alla frågor som rör efterlevnad av förordningen.

Den auktoriserade representanten måste inkluderas i den obligatoriska registreringsinformationen och måste ha tillgång till tillräcklig dokumentation för att kunna uppfylla sina skyldigheter. Representanten verkar under en löpande skyldighet att samarbeta med behöriga myndigheter och omedelbart varna leverantören för alla identifierade risker eller bristande efterlevnad. Viktigt att notera är att utnämningen av en auktoriserad representant inte befriar tredjelandsleverantören från sina egna skyldigheter enligt förordningen; båda parter bär separata ansvarsområden, med ansvar för representanten som uppkommer specifikt från de uppgifter som tilldelats i mandatet.

Vad detta innebär i praktiken

Artikel 22 fungerar som EU:s AI-lags motsvarighet till koncepten "ansvarig person" eller "auktoriserad representant" som redan är välkända från produktsäkerhetslagstiftning såsom förordningen om medicintekniska produkter och den allmänna produktsäkerhetsförordningen. Dess praktiska effekt är att säkerställa att en rättsligt identifierbar enhet med fysisk närvaro inom EU alltid är nåbar för tillsynsmyndigheter, oavsett var AI-systemets utvecklare har sitt huvudkontor.

Vem som berörs. Varje icke-EU-företag — oavsett om det är en fondationsmodellutvecklare med säte i USA, ett robotikprogramvaruföretag med säte i Singapore eller en HR-tech-leverantör med säte i Storbritannien — som erbjuder ett högrisk-AI-system eller en GPAI-modell till EU-kunder, driftsättare eller användare måste inrätta denna struktur. Detta inkluderar företag som distribuerar via EU-återförsäljare eller molnmarknadsplatser: skyldigheten åligger leverantören, inte distributionskanalen.

Vad som måste göras. Leverantören måste identifiera en fysisk eller juridisk person baserad i en EU-medlemsstat, ingå ett skriftligt mandat som specificerar representantens auktoriserade uppgifter, säkerställa att representanten innehar kopior av (eller säker tillgång till) relevant teknisk dokumentation och försäkringar om överensstämmelse, och registrera representantens uppgifter i EU:s databas enligt artikel 71.

Konkret exempel. Ett kanadensiskt företag som utvecklar ett AI-baserat kreditbedömningsverktyg klassificerat som högrisk enligt bilaga III måste ingå avtal med en i EU etablerad advokatbyrå, efterlevnadskonsult eller ett dedikerat rättssubjekt som dotterbolag som sin auktoriserade representant innan man tar ombord någon EU-bank som kund. Den representantens namn, adress och kontaktuppgifter visas i EU:s databas och i produktdokumentationen, vilket ger franska eller tyska marknadskontrollmyndigheter en omedelbar inhemsk kontaktpunkt.

Löpande skyldighet. Mandatet är inte en engångsinlämning. Representanten måste förbli nåbar, hålla dokumentationen aktuell och omgående eskalera eventuell identifierad bristande överensstämmelse till leverantören.

Centrala skyldigheter

• Obligatoriskt skriftligt mandat. Leverantören måste ge den auktoriserade representanten ett formellt, skriftligt mandat innan högrisk-AI-systemet eller GPAI-modellen släpps ut på EU-marknaden, och uttryckligen ange vilka uppgifter representanten är bemyndigad att utföra på leverantörens vägnar.
• EU-etableringskrav. Den auktoriserade representanten måste vara en fysisk eller juridisk person etablerad inom Europeiska unionen; en representant baserad i ett tredjeland — inklusive EES EFTA-stater som inte täcks av ett likvärdighetsinstitut — uppfyller inte detta krav.
• Dokumentationstillgång och verifiering. Representanten måste verifiera att EU-försäkran om överensstämmelse och den tekniska dokumentationen som krävs enligt artiklarna 11 och 18 har upprättats på rätt sätt, och måste behålla tillgång till dessa dokument under mandatets löptid.
• Registrering i EU:s databas. Representanten är ansvarig för att säkerställa att leverantörens information — inklusive representantens egna kontaktuppgifter — är registrerad i EU:s databas som avses i artikel 71, och att registreringen hålls uppdaterad.
• Kontaktpunkt för myndigheter. Den auktoriserade representanten fungerar som primär kontaktpunkt för AI-byrån och nationella behöriga myndigheter för alla efterlevnads-, marknadskontroll- och verkställighetsförfrågningar avseende AI-systemet eller GPAI-modellen i tillämpningsområdet.
• Skyldighet att varna och samarbeta. Representanten måste omedelbart informera leverantören om alla risker för hälsa, säkerhet eller grundläggande rättigheter eller misstankar om bristande överensstämmelse som kommer till dennes kännedom, och måste samarbeta fullt ut med behöriga myndigheter på begäran, inklusive att tillhandahålla dokumentation och tillgång till register.

Förhållande till andra artiklar

Artikel 22 verkar inom det bredare ramverket för kapitel 3 som reglerar leverantörers och driftsättares skyldigheter och måste läsas tillsammans med flera andra bestämmelser.

Artikel 16 fastställer den fullständiga listan över skyldigheter som gäller för leverantörer av högrisk-AI-system; artikel 22 delegerar effektivt det inhemska genomförandet av dessa skyldigheter till den auktoriserade representanten när leverantören är etablerad utanför EU.

Artiklarna 11 och 18 definierar skyldigheterna för teknisk dokumentation och registerföring som representanten måste verifiera har uppfyllts innan systemet släpps ut på marknaden.

Artikel 71 inrättar EU:s databas i vilken representantens uppgifter måste registreras, vilket gör artikel 22 till en förutsättning för laglig registrering av tredjelandsleverantörer.

Artikel 53 reglerar skyldigheter som är specifika för leverantörer av AI-modeller för allmänt ändamål; artikel 22 utvidgar kravet på auktoriserad representant till denna kategori, vilket förstärker att GPAI-leverantörer utanför EU möter likvärdiga portvaktsskyldigheter.

Artiklarna 74 och 75 om marknadskontroll betjänas direkt av artikel 22: behöriga myndigheter utövar sina tillsynsbefogenheter gentemot den auktoriserade representanten som ett inhemskt verkställighetsankare när den faktiska leverantören är onåbar.

Efterlevnadstidslinje

EU:s AI-lag (förordning 2024/1689) trädde i kraft den 1 augusti 2024, tjugo dagar efter offentliggörandet i Europeiska unionens officiella tidning. Tillämpningen är stegvis:

• 2 februari 2025 — Bestämmelserna om förbjudna AI-metoder (artikel 5) blev tillämpliga. Artikel 22 gäller ännu inte isolerat i detta skede, men leverantörer bör redan bedöma om deras system faller inom högrisk- eller GPAI-tillämpningsområdet.
• 2 augusti 2025 — Skyldigheter som gäller för AI-modeller för allmänt ändamål (avdelning V, inklusive artikel 53) blir tillämpliga. Eftersom artikel 22 uttryckligen täcker GPAI-modelleverantörer måste tredjelandsleverantörer av GPAI ha sin auktoriserade representant på plats senast detta datum.
• 2 december 2026 — Högrisk-AI-system som förtecknas i bilaga III och som redan är föremål för befintlig EU-produktsäkerhetslagstiftning måste uppfylla den fullständiga kedjan av leverantörsskyldigheter, inklusive kraven på auktoriserad representant i artikel 22.
• 2 augusti 2027 — Alla återstående högrisk-AI-system som förtecknas i bilaga III blir föremål för den fullständiga uppsättningen skyldigheter. Tredjelandsleverantörer av dessa system som ännu inte utsett en auktoriserad representant kommer att vara i strid med förordningen från och med detta datum.

Leverantörer som för första gången släpper ut högrisk-system på EU-marknaden efter den 2 augusti 2024 bör från början behandla kravet på auktoriserad representant som en förutsättning för marknadstillträde, snarare än att vänta på det relevanta tillämpningsdatumet för sin systemkategori.