Artikel 44 — Certifikat (EU:s AI-förordning)

Artikel 44 i förordning (EU) 2024/1689 — Certifikat. Officiell text, praktisk tolkning, viktiga skyldigheter och konsekvenser för efterlevnad.

Sammanfattning av den officiella texten

Artikel 44 i förordning (EU) 2024/1689 fastställer reglerna för certifikat som utfärdas av anmälda organ i samband med bedömning av överensstämmelse för AI-system med hög risk. Enligt denna artikel måste certifikat som utfärdas av anmälda organ upprättas på ett av de officiella språken i den EU-medlemsstat där det anmälda organet är etablerat, eller på ett språk som är acceptabelt för det organet.

Artikeln fastställer en maximal giltighetstid på fyra år för varje utfärdat certifikat, med möjlighet till förnyelse efter en ny bedömning av överensstämmelse. Anmälda organ är skyldiga att föra register över alla certifikat de utfärdar, inklusive de som har vägrats, tillfälligt återkallats eller dragits tillbaka. Dessa register måste göras tillgängliga för nationella behöriga myndigheter på begäran.

Artikel 44 föreskriver vidare att när ett anmält organ tillfälligt återkallar, begränsar eller drar tillbaka ett certifikat, ska det underrätta den relevanta marknadskontrollmyndigheten i den medlemsstat där leverantören är etablerad, liksom övriga anmälda organ som arbetar inom samma förfaranden för bedömning av överensstämmelse. Europeiska kommissionen ska också underrättas när certifikat rör system med gränsöverskridande konsekvenser.

Viktigt är att artikeln fastställer en princip om ömsesidigt erkännande: certifikat som utfärdas av anmälda organ i en medlemsstat är giltiga i hela Europeiska unionen utan krav på omcertifiering, vilket stöder EU:s inre marknad för AI-system med hög risk.

Vad detta innebär i praktiken

Artikel 44 är central för den praktiska administrationen av tredjepartsbedömning av överensstämmelse för AI-system med hög risk som omfattas av bilaga III till EU:s AI-förordning. Den berör direkt leverantörer av AI-system med hög risk som är skyldiga att genomgå bedömning av överensstämmelse av ett anmält organ i stället för självbedömning.

För leverantörer innebär taket på fyra år att fortlöpande marknadstillträde är beroende av periodisk omcertifiering. Leverantörer måste följa certifikatens utgångsdatum och inleda förnyelseförfaranden i god tid för att undvika luckor i överensstämmelsestatusen som skulle förhindra lagenlig marknadsplacering. Ett tillfälligt återkallat eller indraget certifikat kräver omedelbara åtgärder: systemet får inte placeras på marknaden eller tas i drift förrän situationen är löst.

För anmälda organ ålägger artikeln strikta krav på dokumentation och underrättelse. Varje negativt beslut — vägran, begränsning, tillfällig återkallelse eller tillbakadragande — måste systematiskt kommuniceras till nationella myndigheter och andra anmälda organ, vilket säkerställer samordnad tillsyn i hela EU.

Konkret exempel: En leverantör av ett biometriskt identifierings-AI-system som certifierats i Tyskland av ett tyskt anmält organ kan lagligen saluföra detta system i Frankrike, Spanien och alla andra EU-medlemsstater utan att behöva inhämta separata nationella certifikat. Om det anmälda organet dock under tillsynen konstaterar att systemet inte längre uppfyller kraven i artiklarna 9–15 och tillfälligt återkallar certifikatet, måste leverantören omedelbart stoppa distributionen i hela EU och underrätta efterföljande användare i distributionskedjan.

Principen om ömsesidigt erkännande är en praktisk åtgärd för att underlätta handel, men den medför att betydande kommersiella intressen är beroende av att ett enda certifikat hålls i god ställning.

Centrala skyldigheter

• Certifikat måste ha en fastställd giltighetstid som inte överstiger fyra år; förnyelse kräver en ny bedömning av överensstämmelse som visar fortsatt uppfyllelse av de tillämpliga kraven.
• Anmälda organ måste föra fullständiga register över alla certifikat som utfärdats, vägrats, tillfälligt återkallats, begränsats eller dragits tillbaka, och göra dessa register tillgängliga för nationella behöriga myndigheter på begäran.
• Negativa certifikatbeslut måste omedelbart anmälas till den relevanta nationella marknadskontrollmyndigheten, andra anmälda organ som arbetar inom samma förfaranden, och, i tillämpliga fall, Europeiska kommissionen.
• Leverantörer måste upphöra med marknadsaktiviteter om ett certifikat tillfälligt återkallas eller dras tillbaka, tills överensstämmelsen återställts och ett giltigt certifikat erhållits.
• Ömsesidigt erkännande gäller i hela EU: ett certifikat utfärdat av ett korrekt utsett anmält organ i en medlemsstat är giltigt i alla medlemsstater utan krav på omcertifiering.
• Certifikat måste upprättas på ett språk i det utfärdande anmälda organets medlemsstat eller på ett annat ömsesidigt överenskommet officiellt EU-språk, vilket säkerställer tillgänglighet för nationella myndigheter.

Förhållande till andra artiklar

Artikel 44 ingår i avdelning III, kapitel 5 (Standarder, bedömning av överensstämmelse, certifikat och registrering) och måste läsas i nära samband med de omgivande bestämmelserna. Artikel 43 fastställer de tillämpliga förfarandena för bedömning av överensstämmelse — inklusive under vilka förutsättningar medverkan av ett tredjepartsanmält organ är obligatorisk respektive frivillig — och utgör den uppströmsprocess som artikel 44 reglerar i fråga om certifikathantering.

Artiklarna 31–39 fastställer de krav som anmälda organ själva måste uppfylla för att bli utsedda, samt de skyldigheter de bär som ackrediterade organ för bedömning av överensstämmelse. Integriteten hos certifikatssystemet i artikel 44 är helt beroende av dessa organs kompetens.

Artiklarna 9–15 fastställer de materiella kraven för AI-system med hög risk — riskhantering, datastyrning, transparens, mänsklig tillsyn, noggrannhet och robusthet — mot vilka certifikat bedöms. Ett certifikat enligt artikel 44 är i grunden ett anmält organs intyg om att dessa bestämmelser är uppfyllda.

Artikel 45 behandlar de överklagandeförfaranden som är tillgängliga för leverantörer när ett anmält organ vägrar, tillfälligt återkallar eller drar tillbaka ett certifikat, och utgör det processuella komplementet till artikel 44:s materiella regler. Artikel 51 reglerar de registreringsskyldigheter som följer på certifiering och kopplar certifikat till EU:s databas över AI-system med hög risk.

Tidsplan för efterlevnad

Artikel 44 blev en del av EU-rätten när förordning (EU) 2024/1689 trädde i kraft den 2 augusti 2024. Dess praktiska tillämpning styrs dock av det stegvisa genomförandeschemat:

• 2 februari 2025 — Bestämmelserna om förbjudna AI-metoder (avdelning II) började tillämpas. Artikel 44 var ännu inte operativ.
• 2 augusti 2025 — Reglerna om AI-modeller för allmänt ändamål (avdelning VIII) och styrningsskyldigheter började tillämpas.
• 2 december 2026 — Artikel 44 blir fullt operativ för majoriteten av AI-system med hög risk förtecknade i bilaga III, inklusive de inom områden som utbildning, sysselsättning, samhällsviktiga tjänster, brottsbekämpning och gränsförvaltning. Leverantörer som placerar sådana system på marknaden eller tar dem i drift måste inneha ett giltigt certifikat där tredjepartsbedömning av överensstämmelse krävs.
• 2 augusti 2027 — Förlängd tidsfrist för AI-system med hög risk som omfattas av befintlig EU-produktsäkerhetslagstiftning (bilaga I-system), vilket ger dessa sektorer ytterligare tid att anpassa befintliga relationer med anmälda organ och ramverk för bedömning av överensstämmelse till det nya certifikatssystemet i AI-förordningen.

Leverantörer som förutser att de kommer att behöva ett certifikat enligt artikel 44 bör engagera sig med anmälda organ i god tid före tidsfristen i december 2026, med hänsyn till den förväntade efterfrågan på bedömningskapacitet och den tid som krävs för att genomföra en grundlig bedömning av överensstämmelse enligt artiklarna 9–15.