Artikel 35 — Identifikationsnummer och förteckningar över anmälda organ (EU:s AI-förordning)

Artikel 35 i förordning (EU) 2024/1689 — Identifikationsnummer och förteckningar över anmälda organ. Officiell text, praktisk tolkning, centrala skyldigheter och efterlevnadskonsekvenser.

Sammanfattning av den officiella texten

Artikel 35 i förordning (EU) 2024/1689 (EU:s AI-förordning) fastställer det administrativa och transparensrelaterade ramverket som reglerar identifiering och offentlig listning av anmälda organ som verkar under förordningen. Artikeln ålägger skyldigheter huvudsakligen Europeiska kommissionen och medlemsstaternas anmälande myndigheter.

Enligt Artikel 35 är kommissionen skyldig att tilldela varje anmält organ ett identifikationsnummer. Avgörande är att när ett organ är anmält under mer än en unionsakt tar det emot ett enda identifikationsnummer, vilket säkerställer konsekvens mellan rättsliga instrument. Kommissionen är vidare skyldig att offentliggöra en förteckning över alla anmälda organ, inklusive deras identifikationsnummer och de verksamheter för vilka de har anmälts. Denna förteckning måste hållas aktuell.

Medlemsstaterna har en kompletterande skyldighet: de måste informera kommissionen om eventuella förändringar i ett anmält organs status — inklusive beviljande av nya anmälningar samt eventuella begränsningar, avbrytanden eller återkallelser av befintliga anmälningar. Kommissionen ansvarar sedan för att utan onödigt dröjsmål återspegla dessa förändringar i den offentliga förteckningen.

Artikeln verkar inom Kapitel 4 i Avdelning III, som reglerar den övergripande arkitekturen för anmälan: vem som får bedöma överensstämmelse hos högrisk-AI-system, under vilka förhållanden och med vilken tillsyn. Artikel 35 behandlar specifikt identifierings- och synlighetslagret i den arkitekturen och säkerställer att marknaden — inklusive leverantörer som söker bedömning, aktörer nedströms och nationella myndigheter — på ett tillförlitligt sätt kan identifiera vilka organ som är bemyndigade, för vilket tillämpningsområde, och om det bemyndigandet förblir aktuellt.

Vad detta innebär i praktiken

Artikel 35 har direkta operativa konsekvenser för tre kategorier av aktörer: leverantörer av högrisk-AI-system, de anmälda organen själva och nationella anmälande myndigheter.

För leverantörer som söker tredjepartsöverensstämmelsebedömning enligt Bilaga VI eller via den fullständiga kvalitetsledningssystemsvägen tillhandahåller Artikel 35 den primära verifieringsmekanismen. Innan ett anmält organ anlitas bör en leverantör konsultera kommissionens NANDO-databas för att bekräfta att organet innehar en giltig anmälan under EU:s AI-förordning som täcker den specifika produktkategorin eller typen av AI-system i fråga. Att förlita sig på ett organ vars anmälan har löpt ut, avbrutits eller aldrig formellt utvidgats till AI-förordningens tillämpningsområde skapar en efterlevnadslucka som kan ogiltigförklara ett certifikat om överensstämmelsebedömning.

För anmälda organ skapar Artikel 35 en indirekt skyldighet att samarbeta med sin nationella anmälande myndighet för att säkerställa att varje förändring i deras operativa tillämpningsområde eller tillståndsstatus kommuniceras skyndsamt uppåt. Ett organ som utvidgar sitt bedömningstillämpningsområde — till exempel genom att lägga till en ny högriskategori såsom system för biometrisk kategorisering — kan inte legitimt agera under det utvidgade tillämpningsområdet förrän anmälan har uppdaterats och återspeglas i kommissionens förteckning.

För nationella anmälande myndigheter är skyldigheten procedurell men konsekvensfylld: förändringar i ett organs status måste kommuniceras till kommissionen skyndsamt. Förseningar skapar ett fönster under vilket den offentliga förteckningen är felaktig, vilket potentiellt kan vilseleda leverantörer eller underminera marknadskontrollåtgärder som vidtas av myndigheter i andra medlemsstater.

I konkreta termer bör ett juridiskt eller efterlevnadsteam som förbereder sig för en överensstämmelsebedömning bygga in ett checklistesteg som korshänvisar det valda anmälda organets identifikationsnummer på NANDO, verifierar att anmälans tillämpningsområde matchar systemets riskklassificering och kontrollerar att inga begränsningar eller avbrytanden förekommer mot det registret.

Centrala skyldigheter

• Europeiska kommissionen måste tilldela varje anmält organ ett enda identifikationsnummer, konsekvent i alla unionsakter under vilka det organet verkar.
• Kommissionen måste publicera och upprätthålla en offentligt tillgänglig, aktuell förteckning över alla anmälda organ, inklusive deras identifikationsnummer och anmälda tillämpningsområde.
• Medlemsstater och deras anmälande myndigheter måste informera kommissionen utan onödigt dröjsmål om eventuella beviljanden, begränsningar, avbrytanden eller återkallelser av anmälan.
• Kommissionen måste uppdatera den offentliga förteckningen för att återspegla förändringar i anmälda organs status utan onödigt dröjsmål efter medlemsstatens underrättelse.
• Anmälda organ får inte agera utanför sitt anmälda tillämpningsområde; varje utvidgning av tillämpningsområdet kräver en formell uppdatering av anmälan innan organet kan genomföra bedömningar under det utvidgade tillämpningsområdet.
• Leverantörer måste, innan ett anmält organ anlitas, verifiera att organets aktuella listning i kommissionens databas täcker den relevanta verksamheten och att det är i gott stånd.

Förhållandet till andra artiklar

Artikel 35 kan inte läsas isolerat; den utgör en del av ett sammanhängande ramverk inom Kapitel 4 i Avdelning III.

Artikel 28 definierar de krav som anmälande myndigheter — de nationella organ som ansvarar för att inrätta och genomföra anmälningsförfaranden — själva måste uppfylla och tillhandahåller den institutionella grunden som Artikel 35:s anmälningsflöden är beroende av. Artikel 29 fastställer de detaljerade ansökningskraven som ett organ för bedömning av överensstämmelse måste uppfylla innan det kan anmälas, medan Artikel 30 reglerar själva anmälningsförfarandet, inklusive den formella kommunikationen till kommissionen som utlöser en listning enligt Artikel 35. Artikel 31 behandlar presumtionen om överensstämmelse för anmälda organ certifierade enligt relevanta harmoniserade standarder.

Operativt kopplas Artikel 35 till Artiklarna 43 och 44, som reglerar förfarandena för bedömning av överensstämmelse för högrisk-AI-system och de resulterande certifikaten — dokument vars giltighet är oskiljbar från det utfärdande organets status som korrekt listat enligt Artikel 35. Artikel 74 (marknadskontroll) är också beroende av korrekta listningar enligt Artikel 35, eftersom myndigheter som samordnar gränsöverskridande tillsyn behöver identifiera vilket organ som utfärdat ett givet certifikat och om det organet förblir bemyndigat.

Tidsplan för efterlevnad

EU:s AI-förordning trädde i kraft den 1 augusti 2024, tjugo dagar efter publicering i Europeiska unionens officiella tidning. Tillämpningen är stegvis:

• 2 februari 2025 — Förbud mot AI-metoder med oacceptabel risk (Avdelning II) blev tillämpliga.
• 2 augusti 2025 — Bestämmelser om AI-modeller för allmänna ändamål (Avdelning VIII) och styrningsskyldigheter blev tillämpliga.
• 2 augusti 2026 — Merparten av Avdelning III, inklusive ramverket för anmälda organ i Kapitel 4, blir fullt tillämpligt för högrisk-AI-system listade i Bilaga III, med undantag för de som täcks av den förlängda tidsfristen nedan.
• 2 augusti 2027 — Förlängd tidsfrist för högrisk-AI-system som täcks av befintlig harmoniseringslagstiftning i unionen listad i Bilaga I (t.ex. maskiner, medicintekniska produkter), vilket ger dessa sektorer ytterligare tid att integrera AI-förordningens krav på bedömning av överensstämmelse i befintliga certifieringsarbetsflöden.

Artikel 35 i sig, som en del av infrastrukturen för anmälda organ, blir operativt relevant parallellt med tillämpningen av Kapitel 4:s krav på bedömning av överensstämmelse. Medlemsstaterna och kommissionen bör säkerställa att anmälningsförfaranden, tilldelning av identifikationsnummer och den offentliga databasen är fullt operationella inför datumet i augusti 2026, så att leverantörer av högrisk-AI-system kan anlita kompatibla anmälda organ från det ögonblick då obligatoriska krav på bedömning av överensstämmelse börjar gälla.