Artikel 18: bewaring van documentatie

De gewijzigde toepassingsdata voor hoofdstuk III, de afdelingen 1, 2 en 3, met uitzondering van artikel 6, lid 5, zijn 2 december 2027 voor de standalone-route van bijlage III en 2 augustus 2028 voor hoog-risico AI in producten onder de harmonisatiewetgeving van bijlage I.

Vier dingen zijn hier onze lezing en niet de tekst. Ten eerste de toepassingsdatum: Verordening (EU) 2026/1744 noemt artikel 18 niet apart, dus dat deze plicht met 2 december 2027 en 2 augustus 2028 meeschuift volgt uit de plaatsing in hoofdstuk III, afdeling 3, en niet uit een letterlijke bepaling. Ten tweede het startmoment. Lid 1 noemt het in de handel brengen en het in gebruik stellen naast elkaar zonder te kiezen, en bij een systeem waar beide momenten zich voordoen scheelt dat jaren aan het einde van de termijn. Tellen vanaf het latere moment is de enige telling die bij geen van beide lezingen te kort uitkomt, en dat is wat wij een aanbieder zouden adviseren. De andere lezing is verdedigbaar: in het productrecht van de Unie is het in de handel brengen doorgaans het aanknopingsmoment, en dan eindigt de termijn eerder. Ten derde een wezenlijk gewijzigde versie: de tekst zwijgt, en het is even verdedigbaar dat elke versie een eigen termijn krijgt als dat de oorspronkelijke termijn doorloopt. Ten vierde de reikwijdte van lid 3: het noemt alleen de technische documentatie, dus wij houden de onderdelen b) tot en met e) onder het algemene regime tot het tegendeel is uitgemaakt. Lid 2 ten slotte richt zich tot de lidstaat, niet tot u. Nederland heeft die voorwaarden nog niet vastgesteld, dus wat er bij faillissement of staking van activiteiten met uw dossier gebeurt volgt op dit moment uit contract en niet uit recht.

Let op de grenzen van deze plicht, want zij worden in beide richtingen overschreden. De automatisch gegenereerde logs staan niet in de vijf onderdelen: die vallen onder artikel 19, met een eigen en veel kortere termijn van ten minste zes maanden, passend bij het beoogde doel, en met een aan lid 3 parallelle clausule voor financiele instellingen. Trek de tien jaar dus niet door naar uw logs, en neem omgekeerd geen genoegen met zes maanden voor uw documentatie. Voor een aanbieder uit een derde land ligt de feitelijke beschikbaarheid bovendien bij twee partijen tegelijk: artikel 22, lid 3, punt b), verplicht de gemachtigde om tien jaar lang de contactgegevens van de aanbieder, een kopie van de EU-conformiteitsverklaring, de technische documentatie en in voorkomend geval het certificaat van de aangemelde instantie ter beschikking te houden van de bevoegde autoriteiten en van de instanties bedoeld in artikel 74, lid 10. Twee dossiers die uit elkaar lopen zijn erger dan een. Onderdeel e) overlapt met artikel 47, lid 1, dat de conformiteitsverklaring een eigen tienjaarstermijn geeft, en de importeur draagt op grond van artikel 23, lid 5, opnieuw tien jaar voor het certificaat, de gebruiksaanwijzing en de conformiteitsverklaring. Die overlap is geen reden om een van de termijnen te laten vallen: het zijn zelfstandige plichten van verschillende partijen. Zij is wel een reden om een bewaarplaats te kiezen waar zij samenvallen. Over de AVG ten slotte: een bewaarplicht uit het Unierecht is zelf een grondslag onder artikel 6, lid 1, punt c), AVG, en de opslagbeperking van artikel 5, lid 1, punt e), staat bewaring toe die het recht voorschrijft. De vraag is dus niet of het mag, maar hoe ver het reikt. Tien jaar geldt voor wat artikel 18, lid 1, noemt, en niet voor alles wat onderweg is ontstaan: scheid testsets, logvoorbeelden en ruwe datadumps van de documentatie die u moet kunnen tonen.

Dit is de plicht die niets vraagt op het moment dat u hem aangaat en alles op het moment dat u hem vergeten bent. Tien jaar is langer dan de gemiddelde levensduur van een leverancierscontract, een documentbeheersysteem en een productteam. In de organisaties waar wij dit tegenkomen liggen de vijf onderdelen zelden in een archief: het kwaliteitssysteem staat bij compliance, de besluiten van de aangemelde instantie bij certificering, de conformiteitsverklaring bij legal. Dat is geen wet, maar het is vaak genoeg zo dat het de moeite loont het te controleren voordat u aanneemt dat het bij u anders ligt. Wie de stukken pas bij elkaar zoekt wanneer een autoriteit erom vraagt, ontdekt dan dat de bewaring feitelijk aan een persoon hing en niet aan een proces. Let ook op de kant die niet over uzelf gaat: lid 2 gaat over de situatie waarin de aanbieder of zijn gemachtigde failliet gaat, en dat is precies het risico dat u als afnemer loopt bij een kleine leverancier. Het is een contractvraag voordat het een compliancevraag wordt.