Artikel 40 — Harmoniserade standarder och standardiseringsprodukter (EU:s AI-förordning)

Artikel 40 i förordning (EU) 2024/1689 — Harmoniserade standarder och standardiseringsprodukter. Officiell text, praktisk tolkning, centrala skyldigheter och konsekvenser för efterlevnad.

Sammanfattning av officiell text

Artikel 40 i förordning (EU) 2024/1689 fastställer harmoniserade standarders roll för att visa överensstämmelse med de krav som gäller för högrisksystem för artificiell intelligens enligt EU:s AI-förordning. När leverantörer av högrisksystem för artificiell intelligens tillämpar harmoniserade standarder — eller relevanta delar av dessa — vars referenser har publicerats i Europeiska unionens officiella tidning, presumeras dessa system överensstämma med kraven i avdelning III, kapitel 3, i den mån dessa krav täcks av tillämpliga harmoniserade standarder.

Artikeln ger Europeiska kommissionen befogenhet att utfärda standardiseringsförfrågningar till de europeiska standardiseringsorganisationerna (CEN, CENELEC och ETSI) i enlighet med förordning (EU) nr 1025/2012 om europeisk standardisering. Dessa förfrågningar ger ESO:erna i uppdrag att utveckla harmoniserade standarder som operationaliserar förordningens materiella krav.

Artikel 40 behandlar också situationer där harmoniserade standarder ännu inte finns eller deras referenser inte har publicerats. I sådana fall kan kommissionen anta gemensamma specifikationer enligt artikel 41, vilket säkerställer att leverantörer har en definierad teknisk väg för att demonstrera överensstämmelse även i avsaknad av formella harmoniserade standarder.

Bestämmelsen gör en tydlig skillnad mellan frivillig tillämpning av standarder och obligatorisk efterlevnad av de underliggande rättsliga kraven. Tillämpning av en harmoniserad standard är inte obligatorisk, men den ger en motbevisbar presumtion om överensstämmelse, vilket minskar bevisbördan på leverantörer under förfaranden för bedömning av överensstämmelse som genomförs enligt artiklarna 43 och 44.

Vad detta innebär i praktiken

För leverantörer av högrisksystem för artificiell intelligens är artikel 40 ett centralt efterlevnadsverktyg. I stället för att konstruera ett helt skräddarsytt tekniskt argument för hur varje rättsligt krav uppfylls, kan leverantörer anpassa sina system till publicerade harmoniserade standarder och dra nytta av presumtionen om överensstämmelse. Detta förenklar avsevärt förfarandet för bedömning av överensstämmelse, särskilt för system som är föremål för tredjepartsbedömning av anmälda organ.

I praktiken skulle en leverantör som utvecklar en AI-baserad medicinteknisk produkt som faller under bilaga I till förordningen konsultera den officiella tidningen för att identifiera vilka harmoniserade standarder som har publicerats för relevanta krav — till exempel standarder som behandlar riskhantering, datakvalitet eller cybersäkerhet. Att implementera dessa standarder som en del av systemets design och kvalitetsledningsprocess gör det möjligt för leverantören att hävda överensstämmelse med motsvarande artiklar i förordningen utan att det anmälda organet behöver verifiera efterlevnad oberoende från grunden.

För leverantörer som väljer att inte tillämpa harmoniserade standarder — eller där ingen tillämplig standard ännu finns — faller bördan på dem att dokumentera, genom tekniska filer och bevis från bedömning av överensstämmelse, hur en likvärdig skyddsnivå uppnås. Detta är en genomförbar men mer krävande väg, som kräver nära samverkan med det anmälda organet och potentiellt mer omfattande testning och dokumentation.

Importörer och driftsättare bör kontrollera att de leverantörer vars system de släpper ut på marknaden eller tar i bruk korrekt har identifierat och tillämpat relevanta standarder, eftersom detta påverkar giltigheten av EU-försäkran om överensstämmelse och CE-märkningen.

Den praktiska effekten av artikel 40 kommer att växa successivt i takt med att standardiseringspipelinen mognar. I ett tidigt skede av förordningens tillämpning kommer begränsat antal harmoniserade standarder att vara tillgängliga, vilket medför större beroende av gemensamma specifikationer och skräddarsydda tekniska bedömningar.

Centrala skyldigheter

• Identifiera tillämpliga harmoniserade standarder: Leverantörer av högrisksystem för artificiell intelligens måste övervaka Europeiska unionens officiella tidning för publicerade referenser till harmoniserade standarder som är relevanta för deras system och kraven enligt avdelning III, kapitel 3.
• Tillämpa standarder för att utlösa presumtionen om överensstämmelse: När en leverantör väljer att förlita sig på presumtionen om överensstämmelse måste den harmoniserade standarden tillämpas i sin helhet för de krav den täcker; delvis tillämpning utsträcker inte presumtionen till otäckta delar.
• Dokumentera tillämpningen av standarder i den tekniska dokumentationen: Den tekniska dokumentation som krävs enligt artikel 11 och bilaga IV måste tydligt identifiera vilka harmoniserade standarder som har tillämpats och hur de mappar mot motsvarande rättsliga krav.
• Hantera luckor där standarder inte finns: När ingen harmoniserad standard täcker ett specifikt krav måste leverantörer demonstrera överensstämmelse genom alternativa medel, inklusive gemensamma specifikationer antagna enligt artikel 41 eller oberoende tekniska bevis, och måste dokumentera detta tillvägagångssätt i sin fil för bedömning av överensstämmelse.
• Hålla sig uppdaterad om reviderade eller återkallade standarder: När en harmoniserad standard revideras eller dess referens återkallas från den officiella tidningen måste leverantörer bedöma om deras befintliga efterlevnadsdokumentation förblir giltig och uppdatera sina system och tekniska filer i enlighet med detta.
• Engagera sig i standardiseringsprocesser: Leverantörer, särskilt de i sektorer med snabbt utvecklande AI-tillämpningar, bör engagera sig med relevanta standardiseringsorgan och branscharbetsgrupper för att säkerställa att framväxande standarder återspeglar verklig teknisk praxis och stöder meningsfulla efterlevnadsvägar.

Förhållande till andra artiklar

Artikel 40 fungerar som den processuella bryggan mellan de materiella kraven i avdelning III, kapitel 3 (artiklarna 9–15 och 17) och förfarandena för bedömning av överensstämmelse i kapitel 5. Den bör läsas tillsammans med artikel 41, som föreskriver gemensamma specifikationer antagna av kommissionen som ett alternativ när harmoniserade standarder saknas eller är otillräckliga. Artikel 43 reglerar förfarandena för bedömning av överensstämmelse där presumtionen som skapats av artikel 40 åberopas, och artikel 44 täcker anmälda organs roll vid tredjepartsbedömningar.

Artikeln anknyter också till artikel 11 och bilaga IV om teknisk dokumentation, eftersom bevis på standardtillämpning måste framgå av den tekniska filen, och till artikel 17 om kvalitetsledningssystem, som måste innehålla processer för att identifiera och tillämpa relevanta standarder. Artikel 48, som täcker EU-försäkran om överensstämmelse, är det nedströms instrument genom vilket leverantören formellt hävdar presumtionen om överensstämmelse som fastställts enligt artikel 40. För leverantörer av allmänändamålsmodeller för artificiell intelligens behandlas standardisering separat under avdelning VIII; artikel 40 gäller specifikt för högrisksystem för artificiell intelligens under avdelning III.

Tidsplan för efterlevnad

Artikel 40 trädde i kraft den 1 augusti 2024, det datum då EU:s AI-förordning publicerades i Europeiska unionens officiella tidning och blev bindande lag. Dess praktiska tillämpning är dock kopplad till det fasade genomförandet av skyldigheter:

• Augusti 2024: Förordningen träder i kraft; standardiseringsmandat till CEN, CENELEC och ETSI påbörjas eller accelereras.
• Februari 2025: Förbjudna AI-metoder enligt artikel 5 blir tillämpliga; artikel 40 är inte direkt inblandad i detta skede.
• Augusti 2025: Skyldigheter för allmänändamålsmodeller för artificiell intelligens enligt avdelning VIII blir tillämpliga; artikel 40 förblir specifik för högrisksystem för artificiell intelligens och reglerar inte standarder för allmänändamåls-AI.
• December 2026: Högrisksystem för artificiell intelligens som förtecknas i bilaga III (andra än de som omfattas av produktlagstiftningen i bilaga I) måste uppfylla kraven i avdelning III. Leverantörer bör ha identifierat och tillämpat relevanta harmoniserade standarder vid detta datum; där publicerade standarder är tillgängliga måste bedömningar av överensstämmelse som förlitar sig på dem vara slutförda.
• Augusti 2027: Högrisksystem för artificiell intelligens inbyggda i produkter som regleras av sektorslagstiftningen i bilaga I (medicintekniska produkter, maskiner, luftfart osv.) måste uppfylla kraven. Fullständig täckning av harmoniserade standarder förväntas vara mer utvecklad vid detta datum, även om leverantörer inte bör anta fullständig täckning och måste planera för luckor.

Leverantörer rekommenderas starkt att övervaka kommissionens standardiseringsförfrågningar och arbetsprogrammen för CEN-CENELEC JTC 21 (den gemensamma tekniska kommittén för AI-standardisering) för att förutse vilka standarder som kommer att vara tillgängliga och när, vilket möjliggör att efterlevnadstidsplaner kan planeras i enlighet med detta.