Artikelen 40 tot en met 42: normen, gemeenschappelijke specificaties en vermoeden van conformiteit

Artikel 40, lid 1, bepaalt: AI-systemen met een hoog risico of AI-modellen voor algemene doeleinden die in overeenstemming zijn met geharmoniseerde normen of delen daarvan, waarvan de referenties in het Publicatieblad van de Europese Unie zijn bekendgemaakt, overeenkomstig Verordening (EU) nr. 1025/2012, worden geacht in overeenstemming te zijn met de in afdeling 2 van dit hoofdstuk beschreven eisen, of, naargelang het geval, de in hoofdstuk V, afdelingen 2 en 3, van deze verordening beschreven verplichtingen, voor zover die eisen of verplichtingen door die normen worden gedekt. Lid 2 bepaalt: Overeenkomstig artikel 10 van Verordening (EU) nr. 1025/2012 dient de Commissie zonder onnodige vertraging normalisatieverzoeken in die betrekking hebben op alle eisen van afdeling 2 van dit hoofdstuk en, in voorkomend geval, normalisatieverzoeken die betrekking hebben op verplichtingen van hoofdstuk V, afdelingen 2 en 3, van deze verordening. In het normalisatieverzoek wordt ook gevraagd om producten met betrekking tot rapporterings- en documentatieprocessen om de prestaties van hulpbronnen van AI-systemen te verbeteren, zoals het verminderen van het energieverbruik en het verbruik van andere hulpbronnen van AI-systemen met een hoog risico tijdens de levenscyclus ervan, en met betrekking tot de energie-efficiënte ontwikkeling van AI-modellen voor algemene doeleinden. Bij het opstellen van een normalisatieverzoek raadpleegt de Commissie de AI-board en de relevante belanghebbenden, met inbegrip van het adviesforum. Bij het richten van een normalisatieverzoek aan Europese normalisatie-instellingen specificeert de Commissie dat normen duidelijk en consistent moeten zijn, met inbegrip van de normen die in de verschillende sectoren ontwikkeld zijn voor producten die onder de in bijlage I vermelde bestaande harmonisatiewetgeving van de Unie vallen, en tot doel hebben ervoor te zorgen dat AI-systemen met een hoog risico of AI-modellen voor algemene doeleinden die in de Unie in de handel worden gebracht of in gebruik worden gesteld, voldoen aan de relevante eisen of verplichtingen van deze verordening. Lid 3 bepaalt: De deelnemers aan het normalisatieproces streven naar het bevorderen van investeringen en innovatie in AI, onder andere door voor meer rechtszekerheid te zorgen, en het concurrentievermogen en de groei van de markt van de Unie, naar het bijdragen aan de versterking van de wereldwijde samenwerking op het gebied van normalisatie, rekening houdend met bestaande internationale normen op het gebied van AI die in overeenstemming zijn met de waarden, grondrechten en belangen van de Unie, en naar het verbeteren van de multistakeholdergovernance door te zorgen voor een evenwichtige vertegenwoordiging van de belangen en de effectieve deelname van alle relevante belanghebbenden overeenkomstig de artikelen 5, 6 en 7 van Verordening (EU) nr. 1025/2012.

Artikel 41, lid 1, bepaalt: De Commissie kan uitvoeringshandelingen vaststellen tot vaststelling van gemeenschappelijke specificaties voor de eisen van afdeling 2 van dit hoofdstuk of, in voorkomend geval, voor de verplichtingen van hoofdstuk V, afdelingen 2 en 3, indien aan de volgende voorwaarden is voldaan: a) de Commissie heeft op grond van artikel 10, lid 1, van Verordening (EU) nr. 1025/2012 een of meer Europese normalisatieorganisaties verzocht een geharmoniseerde norm op te stellen voor de in afdeling 2 van dit hoofdstuk beschreven eisen, of, in voorkomend geval, voor de verplichtingen van hoofdstuk V, afdelingen 2 en 3, en: i) het verzoek is door geen enkele van de Europese normalisatieorganisaties aanvaard, of ii) de geharmoniseerde normen waarop dat verzoek betrekking heeft, worden niet binnen de overeenkomstig artikel 10, lid 1, van Verordening (EU) nr. 1025/2012 vastgestelde termijn geleverd, of iii) in de relevante geharmoniseerde normen wordt onvoldoende rekening gehouden met problemen op het gebied van de grondrechten, of iv) de geharmoniseerde normen voldoen niet aan het verzoek, en b) er is geen referentie van geharmoniseerde normen overeenkomstig Verordening (EU) nr. 1025/2012 bekendgemaakt in het Publicatieblad van de Europese Unie voor de eisen van afdeling 2 van dit hoofdstuk of, in voorkomend geval, voor de verplichtingen van hoofdstuk V, afdelingen 2 en 3, en een dergelijke referentie zal naar verwachting niet binnen een redelijke termijn worden bekendgemaakt. Bij het opstellen van de gemeenschappelijke specificaties raadpleegt de Commissie het in artikel 67 bedoelde adviesforum. Lid 2 bepaalt: Alvorens een ontwerpuitvoeringshandeling op te stellen, stelt de Commissie het in artikel 22 van Verordening (EU) nr. 1025/2012 bedoelde comité ervan in kennis dat zij van oordeel is dat aan de voorwaarden van lid 1 van dit artikel is voldaan. Lid 3 bepaalt: AI-systemen met een hoog risico of AI-modellen voor algemene doeleinden die in overeenstemming zijn met de in lid 1 bedoelde gemeenschappelijke specificaties of delen daarvan worden geacht in overeenstemming te zijn met de in afdeling 2 van dit hoofdstuk beschreven voorschriften, of, in voorkomend geval, met de verplichtingen van hoofdstuk V, afdelingen 2 en 3, voor zover die voorschriften of die verplichtingen door die gemeenschappelijke specificaties worden bestreken.

Artikel 41, lid 4, bepaalt: Wanneer een Europese normalisatieorganisatie een geharmoniseerde norm vaststelt en deze aan de Commissie voorstelt met het oog op de bekendmaking van de referentie ervan in het Publicatieblad van de Europese Unie, beoordeelt de Commissie de geharmoniseerde norm overeenkomstig Verordening (EU) nr. 1025/2012. Wanneer de referentie van een geharmoniseerde norm in het Publicatieblad van de Europese Unie wordt bekendgemaakt, trekt de Commissie de in lid 1 bedoelde uitvoeringshandelingen of delen daarvan die dezelfde in afdeling 2 van dit hoofdstuk vermelde eisen of, in voorkomend geval, dezelfde verplichtingen van hoofdstuk V, afdelingen 2 en 3, dekken, in. Lid 5 bepaalt: Wanneer aanbieders van AI-systemen met een hoog risico of AI-modellen voor algemene doeleinden niet voldoen aan de in lid 1 bedoelde gemeenschappelijke specificaties, moeten zij naar behoren rechtvaardigen dat zij technische oplossingen hebben gekozen die voldoen aan de in afdeling 2 van dit hoofdstuk beschreven voorschriften of, in voorkomend geval, aan de verplichtingen van hoofdstuk V, afdelingen 2 en 3, in een mate die minstens gelijkwaardig daarmee is. Lid 6 bepaalt: Wanneer een lidstaat van oordeel is dat een gemeenschappelijke specificatie niet volledig aan de eisen van afdeling 2 van dit hoofdstuk of, in voorkomend geval, de verplichtingen van hoofdstuk V, afdelingen 2 en 3, voldoet, stelt deze lidstaat de Commissie daarvan in kennis met een gedetailleerde toelichting. De Commissie beoordeelt die informatie en wijzigt de uitvoeringshandeling tot vaststelling van de betrokken gemeenschappelijke specificatie zo nodig.

Artikel 42, lid 1, bepaalt: AI-systemen met een hoog risico die zijn getraind en getest op data die overeenkomen met de specifieke geografische, gedragsgerelateerde, contextuele of functionele omgeving waarin zij zullen worden gebruikt, geacht te voldoen de in artikel 10, lid 4, beschreven relevante eisen. Lid 2 bepaalt: AI-systemen met een hoog risico die zijn gecertificeerd of waarvoor een conformiteitsverklaring is verstrekt volgens een cyberbeveiligingsregeling krachtens Verordening (EU) 2019/881 en waarvan de referenties in het Publicatieblad van de Europese Unie zijn bekendgemaakt, worden geacht te voldoen aan de in artikel 15 van deze verordening beschreven cyberbeveiligingseisen, voor zover die eisen door het cyberbeveiligingscertificaat of de conformiteitsverklaring of delen daarvan worden bestreken.

Het woord waar alles om draait is vermoeden. Een vermoeden van conformiteit is geen bewijs van naleving en het is weerlegbaar: het verschuift wie wat moet aantonen, meer niet. Toont een markttoezichtautoriteit aan dat uw systeem in werkelijkheid niet aan een eis van afdeling 2 voldoet, dan houdt de toegepaste norm dat niet tegen. Daar komen twee grenzen bij die in de tekst zelf staan. De eerste is de dekkingsgrens: het vermoeden werkt uitsluitend voor zover de norm of de specificatie de betrokken eisen of verplichtingen dekt. EN 18286 laat precies zien wat dat betekent, want de dekkingsverklaring bij die norm sluit artikel 17, leden 2 tot en met 4, en artikel 72 uitdrukkelijk uit; wat buiten de dekking valt, onderbouwt u zelf. De tweede is de bekendmakingsgrens: zonder referentie in het Publicatieblad van de Europese Unie ontstaat er geen vermoeden, hoe compleet de norm ook is. De twaalf normobjecten in data/ai-act/graph/standards.ts staan er om die reden allemaal op guidance en niet op applicable. Wie een leverancier hoort zeggen dat zijn product aan de Europese norm voldoet en daarom AI Act-conform is, hoort dus twee sprongen tegelijk: van dekking naar volledigheid, en van norm naar rechtsgevolg.

Artikel 41 wordt vaak weggezet als een noodklep die wel nooit zal worden gebruikt, en dat is de verkeerde inschatting. De Europese normen onder normalisatieverzoek M/613 zijn nog niet alle beschikbaar: de normalisatielaag in data/ai-act/graph/standards.ts laat één afgeronde EN zien en zes deliverables die nog in ontwerp of enquete zijn. Precies dat is de toestand die de voorwaarden van artikel 41, lid 1, punt a), ii), en punt b), beschrijven, en dus blijft de route van de gemeenschappelijke specificatie praktisch relevant. Voor u betekent dat twee dingen. Ten eerste kan er voor een eis van afdeling 2 een uitvoeringshandeling komen die u niet zelf heeft zien aankomen en die uw ontwerpkeuzes raakt; die handelingen worden vastgesteld volgens de onderzoeksprocedure van artikel 98, lid 2, en niet in overleg met individuele aanbieders. Ten tweede is er dan een lid dat rechtstreeks van u iets vraagt: lid 5. Past u de gemeenschappelijke specificatie niet toe, dan moet u naar behoren rechtvaardigen dat uw technische oplossing minstens gelijkwaardig is. Dat is de enige plek in deze drie artikelen waar u zelf iets moet opschrijven, en de tekst zegt niet waar. In de praktijk hoort die rechtvaardiging in de technische documentatie, want dat is het dossier dat op een met redenen omkleed verzoek moet worden overgelegd. Artikel 42 is smaller dan het lijkt en wordt om die reden overschat. Lid 1 raakt uitsluitend artikel 10, lid 4, en niet de rest van de datagovernance van artikel 10; lid 2 raakt uitsluitend de cyberbeveiligingseisen van artikel 15 en alleen wanneer de referenties van de regeling onder Verordening (EU) 2019/881 in het Publicatieblad zijn bekendgemaakt. Een certificaat onder een nog niet bekendgemaakte regeling levert geen vermoeden op, en een vermoeden op artikel 15 zegt niets over uw artikel 9, 11, 12, 13 of 14.