Ako provider visokorizičnog AI sustava nije osnovan u Europskoj uniji, a želi svoj sustav staviti na tržište EU-a ili ga staviti u uporabu u Uniji, jedno od prvih regulatornih pitanja glasi: mora li imenovati ovlaštenog predstavnika u EU? Kratak odgovor je: da, mora. Ova obveza nije formalnost. Ona je dio temeljnog mehanizma provedbe EU AI Acta, jer europska tijela moraju imati kontakt točku unutar Unije koja može dostaviti dokumentaciju, komunicirati s nadležnim tijelima i djelovati u okviru pisanog mandata providera. Upravo zato izostanak imenovanja ovlaštenog predstavnika može imati ozbiljne regulatorne i financijske posljedice. Recital 82 AI Acta izričito objašnjava da provideri iz trećih zemalja trebaju, prije nego što njihov AI sustav bude dostupan u Uniji, imenovati ovlaštenog predstavnika sa sjedištem u EU.
Tko je provider visokorizičnog AI sustava iz treće zemlje?
AI Act definira providera kao fizičku ili pravnu osobu koja razvija AI sustav ili daje razviti AI sustav te ga stavlja na tržište ili u uporabu pod svojim imenom ili žigom. Ta definicija vrijedi neovisno o tome je li provider u EU ili izvan nje. AI Act se primjenjuje i na subjekte iz trećih zemalja kada stavljaju sustav na tržište Unije. Kada je riječ o visokorizičnim AI sustavima, regulatorni zahtjevi su stroži jer takvi sustavi mogu imati značajan utjecaj na zdravlje, sigurnost i temeljna prava. Zato AI Act za njih propisuje čitav skup obveza, uključujući dokumentaciju, ocjenu sukladnosti, post-market monitoring i jasnu raspodjelu odgovornosti među akterima u lancu vrijednosti. Sažetak tih obveza potvrđuje i IAPP AIGP materijal.
Obveza imenovanja ovlaštenog predstavnika u EU
Za providera visokorizičnog AI sustava iz treće zemlje ovlašteni predstavnik nije opcionalan dodatak, nego regulatorni uvjet za zakonito tržišno prisustvo u EU. Svrha te obveze je omogućiti nadležnim tijelima da i u prekograničnim situacijama imaju subjekt unutar EU koji može postupati u ime providera. To proizlazi iz recitala 82, a operacionalizira se kroz članak 22 AI Acta. Dodatno, obveza je vidljiva i kroz ulogu importera. Importer ne smije slijepo uvoditi visokorizični AI sustav na tržište, nego mora provjeriti je li provider ispunio ključne zahtjeve, uključujući i činjenicu da je, kada je to potrebno, imenovan ovlašteni predstavnik u skladu s člankom 22. To pokazuje da je imenovanje predstavnika ugrađeno u sam mehanizam usklađenosti, a ne samo u administrativni rubni dio Uredbe. Na to sam se pozvao i u prethodnom sažetku, a normativno uporište nalazi se u AI Actu.
Zašto je ova obveza toliko važna?
Bez ovlaštenog predstavnika regulatorni sustav EU-a teško može učinkovito nadzirati providera izvan Unije. To znači slabiji pristup tehničkoj dokumentaciji, otežanu komunikaciju s nadležnim tijelima i manju provedivost mjera u slučaju nesukladnosti ili incidenta. Drugim riječima, ovlašteni predstavnik je dio enforcement architecture AI Acta. U praksi to znači da neimenovanje predstavnika nije samo proceduralni propust, nego indikator šire nesukladnosti s obvezama providera.
Koje kazne prijete ako provider ne imenuje ovlaštenog predstavnika?
Kod visokorizičnih AI sustava važno je razlikovati dvije stvari:
- Prvo, postoje obveze samog providera.
- Drugo, postoje obveze ovlaštenog predstavnika nakon što je imenovan.
Ako provider iz treće zemlje uopće ne imenuje ovlaštenog predstavnika, problem je prvenstveno na strani providera, jer nije ispunio regulatorni preduvjet za stavljanje sustava na tržište EU. Za povrede ostalih obveza iz AI Acta, osim zabranjenih praksi i određenih procesnih povreda, članak 99 stavak 4 predviđa upravne novčane kazne do 15 milijuna eura ili, ako je riječ o poduzetniku, do 3 % ukupnog svjetskog godišnjeg prometa, ovisno o tome što je više. Taj sankcijski okvir obuhvaća povrede obveza operatera iz Uredbe i u ovom se kontekstu primjenjuje kao relevantan režim i za neispunjavanje obveze povezane s imenovanjem ovlaštenog predstavnika kod visokorizičnog AI sustava. Važna nijansa je da se kaznena odredba za povredu obveza ovlaštenog predstavnika odnosi na situacije kada predstavnik postoji, ali ne izvršava svoje dužnosti. Nasuprot tome, kada predstavnik nije imenovan, radi se prije svega o neispunjenju obveza providera. Zato se pravno pitanje ne treba svesti samo na “što ako predstavnik pogriješi”, nego i na “što ako provider uopće ne uspostavi tu ulogu”. U regulatornom smislu, i to može otvoriti put tržišnim ograničenjima, mjerama nadzora i novčanim sankcijama.
Može li sustav uopće zakonito na tržište EU bez predstavnika?
Praktično gledano, provider iz treće zemlje koji nije imenovao ovlaštenog predstavnika ulazi u vrlo rizičnu zonu usklađenosti. Budući da importer mora provjeravati regulatorne pretpostavke, a nadležna tijela moraju imati EU kontakt točku, takav sustav može naići na prepreke već pri ulasku na tržište ili tijekom nadzora. To nije samo teorijsko pitanje nego ozbiljan poslovni i compliance rizik.
Što bi provider trebao učiniti prije ulaska na EU tržište?
Provider visokorizičnog AI sustava iz treće zemlje trebao bi prije komercijalizacije u EU najmanje:
- utvrditi je li njegov AI sustav doista visokorizičan prema AI Actu
- imenovati ovlaštenog predstavnika u EU pisanim mandatom
- pripremiti tehničku dokumentaciju i dokumentaciju o sukladnosti
- osigurati dovršenu ocjenu sukladnosti i relevantne upute za uporabu
- uspostaviti post-market monitoring i interne procese za komunikaciju s nadležnim tijelima.
Provider visokorizičnog AI sustava iz treće zemlje mora imenovati ovlaštenog predstavnika u EU prije nego što AI sustav stavi na tržište Unije ili ga stavi u uporabu u EU. Ta obveza proizlazi iz same strukture AI Acta i služi učinkovitoj provedbi pravila u prekograničnim situacijama. Ako provider to ne učini, izlaže se ozbiljnom regulatornom riziku, uključujući mogućnost novčanih kazni do 15 milijuna eura ili 3 % ukupnog svjetskog godišnjeg prometa, ovisno o tome što je više.