Artikel 33 — Dotterbolag till anmälda organ och underentreprenad (EU:s AI-förordning)

Artikel 33 i förordning (EU) 2024/1689 — Dotterbolag till anmälda organ och underentreprenad. Officiell text, praktisk tolkning, centrala skyldigheter och efterlevnadskonsekvenser.

Sammanfattning av den officiella texten

Artikel 33 i förordning (EU) 2024/1689 reglerar de villkor under vilka anmälda organ får delegera bedömningsaktiviteter för överensstämmelse till dotterbolag eller externa underentreprenörer. Artikeln fastställer att ett anmält organ som vill lägga ut specifika uppgifter för bedömning av överensstämmelse på underentreprenad eller använda ett dotterbolag för att utföra sådana uppgifter först måste inhämta klientens samtycke till det arrangemanget.

När underentreprenad- eller dotterbolagsarrangemang används är det anmälda organet skyldigt att säkerställa att underentreprenören eller dotterbolaget uppfyller samma krav som fastställts för anmälda organ avseende de specifika delegerade uppgifterna. Denna skyldighet speglar de kvalifikations-, opartialitets- och operativa krav som fastställs på andra ställen i kapitel 4 i avdelning III.

Avgörande är att artikel 33 lägger ett entydigt ansvar på det anmälda organet: det måste ta det fulla ansvaret för det arbete som utförs av underentreprenörer och dotterbolag, oavsett var dessa enheter är etablerade — antingen inom EU eller i ett tredjeland. Det anmälda organet är också skyldigt att hålla all relevant dokumentation om bedömningen av underentreprenörens eller dotterbolagets kvalifikationer och det arbete som dessa enheter utfört inom ramen för delegationen tillgänglig för sin anmälande myndighet.

Denna artikel säkerställer att delegation av uppgifter för bedömning av överensstämmelse inte kan användas för att kringgå de stränga krav som anmälda organ själva måste uppfylla, och att ansvaret förblir koncentrerat på nivån för det organ som formellt utsetts av den anmälande myndigheten.

Vad detta innebär i praktiken

Artikel 33 påverkar direkt anmälda organ som verkar under EU:s AI-förordning, deras moderbolag, dotterbolag och eventuella tredjepartsleverantörer av tjänster som de anlitar för att utföra delar av bedömningsarbetet för överensstämmelse för högrisksystem för artificiell intelligens.

För ett anmält organ som vill skala upp sin verksamhet eller utnyttja specialiserad expertis erbjuder underentreprenad och användning av dotterbolag operationell flexibilitet — men den flexibiliteten åtföljs av strikta ansvarskrav. Innan en underentreprenör anlitas måste det anmälda organet kontrollera att underentreprenören uppfyller de relevanta kvalifikationskraven som gäller för anmälda organ för dessa specifika uppgifter. Ett allmänt leverantörsavtal är otillräckligt; en substantiell efterlevnadsbedömning av underentreprenörens kompetens och oberoende måste genomföras och dokumenteras.

Klienten för bedömningen av överensstämmelse — vanligtvis leverantören av högrisksystemet för artificiell intelligens — måste uttryckligen samtycka till alla underentreprenadavtal. I praktiken innebär detta att avtalsöverenskommelser för bedömning av överensstämmelse bör reglera underentreprenad i förväg och specificera om samtycke ges generellt eller måste inhämtas från fall till fall.

För leverantörer av AI-system som genomgår bedömning av överensstämmelse av en tredje part ger artikel 33 en rätt till transparens: de måste veta vem som utför bedömningen och ha möjlighet att invända. Leverantörer bör inkludera klausuler om underentreprenadupplysning i sina avtal med anmälda organ och kontrollera att anlitade underentreprenörer är lämpligt kvalificerade.

För anmälda organ med internationella koncernstrukturer är artikel 33 särskilt relevant: arbete som utförs av ett dotterbolag utanför EU på uppdrag av det anmälda organet faller inom tillämpningsområdet, och det EU-baserade anmälda organet förblir ansvarigt för kvaliteten och efterlevnaden av det arbetet.

Centrala skyldigheter

• Föregående klientsamtycke: Det anmälda organet måste inhämta klientens uttryckliga samtycke till bedömning av överensstämmelse innan någon uppgift läggs ut på underentreprenad eller ett dotterbolag används för att utföra bedömningsaktiviteter för överensstämmelse.
• Kravens likvärdighet: Underentreprenörer och dotterbolag måste uppfylla samma krav som gäller för det anmälda organet självt för de specifika delegerade uppgifterna för bedömning av överensstämmelse, inklusive kompetens, opartialitet och operativa standarder.
• Fullt bibehållet ansvar: Det anmälda organet behåller det fullständiga rättsliga och regulatoriska ansvaret för allt arbete som utförs av underentreprenörer och dotterbolag; detta ansvar kan inte överföras, delegeras eller frånskrivas avtalsmässigt.
• Anmälan till anmälande myndighet: Det anmälda organet måste informera sin anmälande myndighet om underentreprenadavtal och dotterbolagens verksamhet, och måste tillhandahålla all relevant dokumentation om underentreprenörernas kvalifikationer och det arbete de har utfört.
• Dokumentation och journalföring: Det anmälda organet måste föra omfattande register över bedömningar av underentreprenörers kvalifikationer och resultaten av delegerade uppgifter för bedömning av överensstämmelse, tillgängliga för den anmälande myndigheten på begäran.
• Geografiskt tillämpningsområde: Skyldigheterna gäller oavsett om underentreprenören eller dotterbolaget är etablerat inom Europeiska unionen eller i ett tredjeland.

Förhållande till andra artiklar

Artikel 33 måste läsas i nära samband med det bredare ramverket för anmälda organ som fastställts i kapitel 4 i avdelning III. Artikel 28 (Anmälda organ) fastställer de materiella kraven — inklusive kompetens, oberoende och opartialitet — som underentreprenörer och dotterbolag måste uppfylla enligt artikel 33. Artikel 29 (Anmälda organs oberoende) är lika relevant, eftersom underentreprenadavtal inte får äventyra opartialiteten i bedömningsprocessen för överensstämmelse. Artiklarna 30 och 31 reglerar anmälnings- och utseendeprocessen för anmälda organ och anger vilka standarder ett organ måste uppfylla för att vara berättigat att utföra uppgifter för bedömning av överensstämmelse.

Artikel 43 (Förfaranden för bedömning av överensstämmelse för högrisksystem för artificiell intelligens) definierar tillämpningsområdet för bedömningsaktiviteter för överensstämmelse som anmälda organ är kallade att utföra, och därmed de aktiviteter för vilka underentreprenadreglerna i artikel 33 gäller. Artikel 74 (Marknadstillsyn) är också relevant, eftersom marknadstillsynsmyndigheter kan granska om anmälda organ och deras underentreprenörer har respekterat skyldigheterna i artikel 33 vid utredning av bristande efterlevnad.

Tidsplan för efterlevnad

EU:s AI-förordning (förordning 2024/1689) trädde i kraft den 1 augusti 2024. Artikel 33, som en del av ramverket för anmälda organ och deras operativa krav, omfattas av den allmänna, stegvisa tillämpningsschemat:

• 1 augusti 2024: Ikraftträdande. Förordningen blir bindande EU-rätt.
• 2 februari 2025: Förbud mot AI-praxis med oacceptabel risk börjar gälla (avdelning II).
• 2 augusti 2025: Regler för AI-modeller för allmänt ändamål (avdelning VIII) och styrningsbestämmelser börjar gälla.
• 2 december 2026: Ramverket för bedömning av överensstämmelse — inklusive reglerna om anmälda organ under avdelning III, kapitel 4, och därmed artikel 33 — gäller för högrisksystem för artificiell intelligens som förtecknas i bilaga I (säkerhetskomponentsystem som regleras av unionens harmoniseringslagstiftning).
• 2 augusti 2027: Full tillämpning av skyldigheterna för bedömning av överensstämmelse för högrisksystem för artificiell intelligens som förtecknas i bilaga III, inklusive de operativa kraven under artikel 33 för underentreprenad och användning av dotterbolag.

Anmälda organ som söker utseende enligt EU:s AI-förordning bör behandla efterlevnad av artikel 33 som en del av sin initiala beredskap inför utseendet, och säkerställa att policyer för underentreprenad, styrningsramverk för dotterbolag och kontraktsmallar för klienter återspeglar artikelns krav i god tid före de relevanta tillämpningsdatumen.