Artikel 45 — Informationsskyldigheter för anmälda organ (EU:s AI-förordning)

Artikel 45 i förordning (EU) 2024/1689 — Informationsskyldigheter för anmälda organ. Officiell text, praktisk tolkning, centrala skyldigheter och konsekvenser för efterlevnad.

Sammanfattning av den officiella texten

Artikel 45 i förordning (EU) 2024/1689 fastställer specifika informationsskyldigheter som åvilar anmälda organ under hela livscykeln för deras verksamheter avseende bedömning av överensstämmelse rörande högrisk-AI-system som anges i Bilaga III och, i tillämpliga fall, Bilaga II.

Enligt artikel 45 är anmälda organ skyldiga att informera det anmälande organet — det nationella organ som ansvarar för att utse och övervaka dem — om alla genomförda bedömningar av överensstämmelse, inklusive sådana som vägrats eller dragits tillbaka innan de slutförts. Denna skyldighet avseende öppenhet sträcker sig till omständigheter som kan påverka räckvidden, villkoren eller den fortlöpande giltigheten av anmälan, såsom ändringar i organets struktur, ägarförhållanden, kompetens eller resurser.

Anmälda organ ska dessutom kommunicera till sitt anmälande organ alla begäranden om information som mottagits från marknadsövervakningsmyndigheter, vilket möjliggör samordnad tillsyn över nationella gränser. De är också skyldiga att rapportera klagomål, överklaganden och annan relevant information rörande högrisk-AI-system som de bedömt, på begäran eller på eget initiativ när ärendet är av betydelse för tillsynsåtgärder.

Artikel 45 föreskriver vidare att anmälda organ ska utbyta information med varandra och med kommissionen om frågor som rör negativa resultat av bedömningar av överensstämmelse, varigenom ett kollektivt kunskapsdelningsmekanismus inrättas. Det förhindrar leverantörer från att söka mer tillmötesgående bedömare efter att ha fått en vägrad bedömning från ett anmält organ — en praxis som ibland kallas certifikatsshopping.

Artikeln utgör en grundpelare i ansvarsskyldighetsinfrastrukturen för systemet med anmälda organ och säkerställer att nationella myndigheter och kommissionen upprätthåller genuint tillsyn över hur bedömningar av överensstämmelse genomförs i hela unionen.

Vad detta innebär i praktiken

För anmälda organ innebär artikel 45 en kontinuerlig, proaktiv kultur för offentliggörande som går långt utöver att bara utfärda eller avslå certifikat. I operativa termer måste ett anmält organ inrätta interna förfaranden för att logga och rapportera alla betydande händelser till sin nationella anmälande myndighet, även när dessa händelser inte resulterar i ett formellt certifikat.

Tänk på ett scenario där en leverantör av ett högrisk-AI-system som används vid rekryteringsurval lämnar in dokumentation för en bedömning av överensstämmelse, men det anmälda organet identifierar kritiska brister i den tekniska dokumentationen och riskhanteringssystemet. Även om leverantören tar tillbaka ansökan innan ett formellt avslag utfärdas, kräver artikel 45 att det anmälda organet rapporterar detta återkallande. Det anmälande organet och — via mekanismer för informationsutbyte — andra anmälda organ varnas därigenom om att ett icke-överensstämmande system kan presenteras på nytt någon annanstans för bedömning.

På samma sätt, om en marknadsövervakningsmyndighet — till exempel ett nationellt konsumentskyddsorgan — kontaktar ett anmält organ med begäran om information om ett tidigare bedömt system som orsakat skada, måste det anmälda organet informera sitt anmälande organ om den begäran. Det skapar ett dokumentspår som möjliggör ett samordnat tillsynssvar.

Anmälda organ måste också löpande se över sina interna arrangemang avseende resurser och kompetens. Om de konstaterar att deras personalbemanning eller tekniska kapacitet inte längre täcker vissa kategorier av AI-system, måste de omedelbart meddela denna förändring så att räckvidden för deras utnämning kan justeras — vilket skyddar marknadens integritet genom att förhindra bedömningar inom områden där organet saknar verklig expertis.

För leverantörer innebär detta ramverk att en vägrad eller återkallad bedömning inte är en konfidentiell händelse. Noggrann undersökning innan ett anmält organ anlitas är därför tillrådlig.

Centrala skyldigheter

• Rapportera vägrade och återkallade bedömningar: Anmälda organ ska informera det anmälande organet om varje bedömning av överensstämmelse som vägrades eller återkallades av leverantören innan den slutfördes, inklusive skälen i den mån de kan fastställas.
• Lämna ut omständigheter som påverkar räckvidden: Varje förändring i organets juridiska status, ägarförhållanden, ledande personal, organisationsstruktur eller tekniska kompetens som kan påverka dess anmälan ska kommuniceras till det anmälande organet utan onödigt dröjsmål.
• Dela information med andra anmälda organ: Anmälda organ är skyldiga att utbyta information om negativa bedömningsresultat och relaterade frågor med jämförbara anmälda organ och med kommissionen, vilket förhindrar certifikatsshopping i unionen.
• Rapportera tillsynskontakter: Mottagande av begäranden om information från marknadsövervakningsmyndigheter, nationella behöriga myndigheter eller andra tillsynsorgan ska lämnas ut till det anmälande organet, vilket möjliggör samordnad tillsyn.
• Kommunicera klagomål och överklaganden: Betydande klagomål, överklaganden mot bedömningsbeslut och information om övervakning efter utsläppande på marknaden rörande bedömda AI-system ska rapporteras på begäran eller proaktivt när det är motiverat.
• Upprätthålla beredskap för revisioner: Anmälda organ ska göra all relevant dokumentation, alla register och all bevisning avseende deras bedömningsverksamheter tillgängliga för det anmälande organet för att stödja pågående övervakning av deras utnämning.

Förhållande till andra artiklar

Artikel 45 verkar inom ett tätt nätverk av bestämmelser som styr systemet med anmälda organ i enlighet med Avdelning III, Kapitel 5. Den är oskiljbar från artikel 33, som fastställer de allmänna skyldigheterna och kraven som anmälda organ måste uppfylla för att erhålla och behålla sin utnämning, och från artikel 34, som fastställer reglerna om dotterbolag och underentreprenad som påverkar organisatorisk öppenhet.

Anmälnings- och utnämningsprocessen som regleras av artiklarna 35 och 36 ger det institutionella sammanhanget för artikel 45: det anmälande organet som tar emot information enligt artikel 45 är samma organ som kan tillfälligt upphäva eller återkalla en anmälan enligt artikel 35 om den lämnade informationen avslöjar bristande efterlevnad.

Artikel 44 (certifikat om överensstämmelse) och artikel 46 (undantag från förfarandena för bedömning av överensstämmelse) bör läsas tillsammans med artikel 45, eftersom de fastställer resultaten av processen för bedömning av överensstämmelse vars integritet informationsskyldigheterna i artikel 45 är utformade för att skydda.

På marknadsövervakningsnivå förlitar sig artiklarna 74 till 76 implicit på de informationsflöden som skapas av artikel 45 för att fungera effektivt, liksom samordningsmekanismerna som involverar Europeiska rådet för artificiell intelligens (EAIB) som inrättats enligt artikel 65.

Tidslinje för efterlevnad

EU:s AI-förordning trädde i kraft den 1 augusti 2024, tjugo dagar efter dess offentliggörande i Europeiska unionens officiella tidning (EUT L 2024/1689, 12 juli 2024). Artikel 45 faller inom de bestämmelser som är tillämpliga på högrisk-AI-system enligt Avdelning III.

Det stegvisa tillämpningsschemat är följande:

• 1 augusti 2024 — Ikraftträdande; förberedande skyldigheter inleds för medlemsstater och kommissionen.
• 2 februari 2025 — Förbjudna AI-metoder (Avdelning II, artikel 5) blev tillämpliga.
• 2 augusti 2025 — GPAI-modellskyldigheter (Avdelning VIII) och styrningsbestämmelser blev tillämpliga; utnämningsprocesser för anmälda organ förväntades vara operativt avancerade vid detta datum.
• 2 augusti 2026 — Artikel 45, tillsammans med den fullständiga uppsättningen skyldigheter i Avdelning III Kapitel 5 avseende anmälda organ och bedömningar av överensstämmelse för högrisk-AI-system som anges i Bilaga III, blir fullt tillämplig. Anmälda organ måste vara fullt förenliga med sina informationsskyldigheter från och med detta datum.
• 2 augusti 2027 — Förlängd tidsgräns för vissa högrisk-AI-system som omfattas av befintlig unionsharmoniseringslagstiftning som anges i Bilaga II, avsnitt 1, vilket ger tillverkare i dessa reglerade sektorer ytterligare tid att anpassa processerna för bedömning av överensstämmelse.

Organisationer som söker utnämning som anmälda organ bör ha sina förfaranden för informationshantering och offentliggörande på plats i god tid före tidsfristen i augusti 2026 för att säkerställa att de kan visa efterlevnad från den första dagen av fullständig tillämpning.