Artikel 28 — Anmälande myndigheter (EU:s AI-förordning)

Artikel 28 i förordning (EU) 2024/1689 — Anmälande myndigheter. Officiell text, praktisk tolkning, centrala skyldigheter och efterlevnadskonsekvenser.

Sammanfattning av den officiella texten

Artikel 28 i förordning (EU) 2024/1689 (EU:s AI-förordning) fastställer ramverket för anmälande myndigheter — de nationella organ som ansvarar för att utse, övervaka och ha tillsyn över organ för bedömning av överensstämmelse (anmälda organ) som utvärderar AI-system med hög risk.

Enligt Artikel 28 måste varje medlemsstat utse minst en anmälande myndighet med ansvar för: att inrätta och genomföra de förfaranden som krävs för bedömning och utseende av organ för bedömning av överensstämmelse; att anmäla dessa organ till Europeiska kommissionen och till övriga medlemsstater; samt att löpande övervaka anmälda organ för att säkerställa fortsatt efterlevnad av kraven i Artikel 31.

Den anmälande myndigheten måste vara strukturerad så att intressekonflikter med de organ för bedömning av överensstämmelse som den övervakar undviks. Den måste vara operativt oberoende från dessa organ och ha tillräcklig teknisk kompetens och tillräckliga resurser för att effektivt kunna utföra sina uppgifter. Medlemsstaterna får tilldela ett befintligt nationellt organ — inklusive en marknadskontrollmyndighet — rollen som anmälande myndighet, förutsatt att nödvändiga oberoendekriterier är uppfyllda.

Artikel 28 kräver dessutom att anmälande myndigheter offentliggör information om sina bedömnings- och anmälningsförfaranden samt samarbetar med kommissionen och anmälande myndigheter i andra medlemsstater, bl.a. via kommissionens elektroniska anmälningsverktyg kopplat till NANDO-databasen. Alla ändringar av en anmälan — inklusive suspension, begränsning eller återkallelse — måste omgående kommuniceras via detta system.

Vad detta innebär i praktiken

Artikel 28 verkar i första hand på medlemsstaternas institutionella nivå, men dess praktiska konsekvenser sträcker sig till leverantörer av AI-system med hög risk som kräver tredjepartsbedömning av överensstämmelse innan de släpps ut på EU-marknaden.

För medlemsstaternas regeringar är den omedelbara skyldigheten av administrativ karaktär: varje stat måste formellt utse eller inrätta en anmälande myndighet och meddela detta utseende till kommissionen. Medlemsstater som har befintlig infrastruktur för anmälda organ inom sektoriell harmoniseringslagstiftning (såsom för medicintekniska produkter enligt förordning (EU) 2017/745 eller maskiner enligt direktiv 2006/42/EG) kommer typiskt att utvidga eller anpassa dessa strukturer för att täcka AI-specifika krav.

För leverantörer av AI-system med hög risk är den anmälande myndigheten grindvakt för tillgång till ackrediterade organ för bedömning av överensstämmelse. Om en leverantörs system faller inom Bilaga I-kategorier som kräver obligatorisk tredjepartsbedömning av överensstämmelse måste leverantören arbeta med ett anmält organ som formellt har utsetts av en nationell anmälande myndighet och är listat i NANDO-databasen. Leverantörer bör kontrollera att alla organ för bedömning av överensstämmelse de anlitar har en aktuell, giltig anmälan som täcker den relevanta AI-systemkategorin.

I praktiken måste en leverantör som exempelvis placerar ett biometriskt kategoriseringssystem eller en AI-baserad säkerhetskomponent i industriella maskiner på EU-marknaden:

1. Identifiera om deras system utlöser obligatorisk tredjepartsbedömning av överensstämmelse.
2. Välja ett anmält organ listat i NANDO under relevant tillämpningsområde.
3. Genomgå det förfarande för bedömning av överensstämmelse som övervakas av det organet.
4. Säkerställa att det anmälda organet förblir giltigt utsett under hela produktens livscykel.

Den anmälande myndighetens övervakningsfunktion innebär att om ett anmält organ förlorar sitt utseende — på grund av brister i efterlevnaden — kan alla certifikat det har utfärdat påverkas, vilket skapar efterföljande efterlevnadsrisker för leverantörer som innehar dessa certifikat.

Centrala skyldigheter

• Medlemsstaterna måste utse en anmälande myndighet: Varje medlemsstat är skyldig att formellt utse minst ett nationellt organ som anmälande myndighet för organ för AI-bedömning av överensstämmelse och att meddela detta utseende till Europeiska kommissionen.
• Oberoendekavet: Den anmälande myndigheten måste vara organiserad så att den är operativt oberoende från de organ för bedömning av överensstämmelse som den utser och övervakar, och undviker alla intressekonflikter.
• Kompetens och resurser: Anmälande myndigheter måste ha tillräcklig teknisk expertis, personal och resurser för att genomföra bedömning, utseende och löpande övervakning av anmälda organ mot kriterierna i Artikel 31.
• Transparenta förfaranden: Anmälande myndigheter måste offentliggöra sina bedömnings- och anmälningsförfaranden och måste använda kommissionens elektroniska anmälningsverktyg (kopplat till NANDO-databasen) för alla anmälningar, uppdateringar, suspensioner och återkallelser.
• Löpande övervakning: Anmälande myndigheter ansvarar för kontinuerlig tillsyn av anmälda organ för att säkerställa att de upprätthåller erforderlig kompetens och efterlevnad; de måste utreda klagomål och vidta korrigerande åtgärder när brister konstateras.
• Gränsöverskridande samarbete: Anmälande myndigheter måste samarbeta med varandra och med kommissionen, och utbyta information om anmälda organs kompetens och agerande för att upprätthålla enhetliga standarder på den inre marknaden.

Förhållande till andra artiklar

Artikel 28 utgör den strukturella grunden för Kapitel 4 (Avdelning III) och måste läsas tillsammans med de artiklar som omedelbart följer. Artikel 29 specificerar de detaljerade krav som anmälande myndigheter själva måste uppfylla — inklusive oberoende, opartiskhet och avsaknad av intressekonflikter. Artikel 30 reglerar ansökningsprocessen genom vilken organ för bedömning av överensstämmelse söker anmälan, och fastställer vilken information som måste lämnas in till och bedömas av den anmälande myndigheten. Artikel 31 fastställer de materiella krav som anmälda organ måste uppfylla för att utseende ska beviljas eller upprätthållas.

I ett vidare perspektiv kopplar Artikel 28 till Artikel 43, som specificerar vilka AI-system med hög risk i Bilaga I som är föremål för obligatorisk tredjepartsbedömning av överensstämmelse — vilket gör anmälda organ, och därmed anmälande myndigheter, operativt relevanta. Artikeln kopplar också till Artikel 74 och det bredare ramverket för marknadskontroll: anmälande myndigheter och marknadskontrollmyndigheter kan vara samma organ, och deras samarbete är avgörande för ett effektivt verkställande. Den NANDO-databasinfrastruktur som nämns i Artikel 28 utgör grunden för de transparensskyldigheter som löper genom hela kapitlen om bedömning av överensstämmelse.

Tidsplan för efterlevnad

EU:s AI-förordning trädde i kraft den 1 augusti 2024, vilket utlöste ett fasetat tillämpningsschema med olika tidsfrister för olika skyldigheter.

Artikel 28, som en del av det institutionella och styrande ramverket för anmälda organ, faller inom de bestämmelser som är tillämpliga på AI-system med hög risk enligt Bilaga I (system som omfattas av unionens harmoniseringslagstiftning). Infrastrukturen för bedömning av överensstämmelse — inklusive det formella utseendet av anmälande myndigheter — måste vara operativ i tid för att stödja tillämpningen av skyldigheterna för hög risk.

Viktiga referensdatum:

• 1 augusti 2024 — Förordningen träder i kraft; medlemsstaterna inleder förberedande arbete med myndighetutseenden.
• 2 februari 2025 — Förbjudna AI-metoder enligt Artikel 5 börjar tillämpas; ingen direkt påverkan på Artikel 28, men markerar inledningen av fasad verkställighet.
• 2 augusti 2025 — Skyldigheter avseende GPAI-modeller (Avdelning VIII) och styrningsbestämmelser börjar tillämpas; kommissionens vägledning om förfaranden för anmälda organ förväntas.
• 2 augusti 2026 — AI-system med hög risk enligt Bilaga III (fristående system med hög risk, t.ex. inom sysselsättning, utbildning, brottsbekämpning) blir föremål för fulla skyldigheter; anmälande myndigheter måste vara fullt operativa senast detta datum.
• 2 augusti 2027 — AI-system med hög risk som är säkerhetskomponenter i produkter som redan omfattas av unionens harmoniseringslagstiftning (Bilaga I-system) blir fullt underkastade AI-förordningens krav på bedömning av överensstämmelse; detta är det datum då infrastrukturen för anmälande myndigheter och anmälda organ enligt Artikel 28 måste vara fullt funktionsduglig för äldre produktkategorier.

Leverantörer och nationella myndigheter bör använda fönstret 2024–2026 till att identifiera den behöriga anmälande myndigheten i relevant medlemsstat och bekräfta att lämpligt avgränsade anmälda organ finns tillgängliga för deras produktkategori.