Ar­ty­kuł 31: Wy­mo­gi do­ty­czą­ce jed­no­stek no­ty­fi­ko­wa­nych

Jed­nost­kę no­ty­fi­ko­wa­ną usta­na­wia się zgod­nie z pra­wem kra­jo­wym da­ne­go pań­stwa człon­kow­skie­go i ma ona oso­bo­wość praw­ną.

Jed­nost­ki no­ty­fi­ko­wa­ne muszą speł­niać wy­mo­gi or­ga­ni­za­cyj­ne, wy­mo­gi w za­kre­sie za­rzą­dza­nia ja­ko­ścią oraz wy­mo­gi do­ty­czą­ce za­so­bów i pro­ce­sów nie­zbęd­ne do tego, aby mogły wy­ko­ny­wać po­wie­rzo­ne im za­da­nia, jak rów­nież od­po­wied­nie wy­mo­gi w za­kre­sie cy­ber­bez­pie­czeń­stwa.

Struk­tu­ra or­ga­ni­za­cyj­na jed­no­stek no­ty­fi­ko­wa­nych, po­dział obo­wiąz­ków w tych jed­nost­kach, obo­wią­zu­ją­ca w nich hie­rar­chia służ­bo­wa oraz ich funk­cjo­no­wa­nie za­pew­nia­ją, by dzia­łal­ność jed­no­stek no­ty­fi­ko­wa­nych oraz wy­ni­ki czyn­no­ści z za­kre­su oceny zgod­no­ści pro­wa­dzo­nych przez te jed­nost­ki nie bu­dzi­ły żad­nych wąt­pli­wo­ści.

Jed­nost­ki no­ty­fi­ko­wa­ne muszą być nie­za­leż­ne od do­staw­cy sys­te­mu AI wy­so­kie­go ry­zy­ka, wobec któ­re­go po­dej­mu­ją czyn­no­ści z za­kre­su oceny zgod­no­ści. Jed­nost­ki no­ty­fi­ko­wa­ne muszą być rów­nież nie­za­leż­ne od wszel­kich in­nych ope­ra­to­rów, któ­rych in­te­res go­spo­dar­czy wiąże się z sys­te­ma­mi AI wy­so­kie­go ry­zy­ka bę­dą­cy­mi przed­mio­tem oceny, a także od wszel­kich in­nych kon­ku­ren­tów do­staw­cy. Nie wy­klu­cza to wy­ko­rzy­sta­nia bę­dą­cych przed­mio­tem oceny sys­te­mów AI wy­so­kie­go ry­zy­ka, które są nie­zbęd­ne do pro­wa­dze­nia dzia­łal­no­ści jed­nost­ki oce­nia­ją­cej zgod­ność, ani wy­ko­rzy­sta­nia ta­kich sys­te­mów AI wy­so­kie­go ry­zy­ka do celów pry­wat­nych.

Jed­nost­ka oce­nia­ją­ca zgod­ność, jej kie­row­nic­two naj­wyż­sze­go szcze­bla ani pra­cow­ni­cy od­po­wie­dzial­ni za re­ali­za­cję zadań zwią­za­nych z oceną zgod­no­ści nie mogą być bez­po­śred­nio za­an­ga­żo­wa­ni w pro­jek­to­wa­nie, roz­wój, sprze­daż ani wy­ko­rzy­sty­wa­nie sys­te­mów AI wy­so­kie­go ry­zy­ka, nie mogą też re­pre­zen­to­wać stron za­an­ga­żo­wa­nych w taką dzia­łal­ność. Nie an­ga­żu­ją się oni w żadną dzia­łal­ność, która może za­gro­zić nie­za­leż­no­ści ich osą­dów i wia­ry­god­no­ści w związ­ku z czyn­no­ścia­mi z za­kre­su oceny zgod­no­ści, do któ­rej zo­sta­li no­ty­fi­ko­wa­ni. Do­ty­czy to w szcze­gól­no­ści usług kon­sul­tin­go­wych.

Jed­nost­ki no­ty­fi­ko­wa­ne or­ga­ni­zu­je się i za­rzą­dza się nimi w spo­sób gwa­ran­tu­ją­cy nie­za­leż­ność, obiek­ty­wizm i bez­stron­ność po­dej­mo­wa­nych przez nie czyn­no­ści. Jed­nost­ki no­ty­fi­ko­wa­ne do­ku­men­tu­ją i wdra­ża­ją struk­tu­rę i pro­ce­du­ry słu­żą­ce za­gwa­ran­to­wa­niu ich bez­stron­no­ści oraz pro­pa­go­wa­niu i sto­so­wa­niu zasad bez­stron­no­ści we wszyst­kich po­dej­mo­wa­nych przez nie czyn­no­ściach or­ga­ni­za­cyj­nych i ka­dro­wych oraz we wszyst­kich ich czyn­no­ściach zwią­za­nych z oceną.

Jed­nost­ki no­ty­fi­ko­wa­ne dys­po­nu­ją udo­ku­men­to­wa­ny­mi pro­ce­du­ra­mi, które za­pew­nia­ją za­cho­wa­nie po­uf­no­ści in­for­ma­cji – zgod­nie z art. 78 – przez ich per­so­nel, ko­mi­te­ty, jed­nost­ki za­leż­ne, pod­wy­ko­naw­ców oraz wszel­kie sto­wa­rzy­szo­ne z nimi jed­nost­ki lub pra­cow­ni­ków pod­mio­tów ze­wnętrz­nych, które to in­for­ma­cje zna­la­zły się w ich po­sia­da­niu w toku czyn­no­ści z za­kre­su oceny zgod­no­ści, chyba że ujaw­nie­nie ta­kich in­for­ma­cji jest wy­ma­ga­ne na mocy obo­wią­zu­ją­ce­go prawa. Per­so­nel jed­no­stek no­ty­fi­ko­wa­nych po­zo­sta­je zwią­za­ny ta­jem­ni­cą za­wo­do­wą w kwe­stii wszyst­kich in­for­ma­cji po­zy­ski­wa­nych w toku wy­ko­ny­wa­nia zadań po­wie­rzo­nych mu zgod­nie z ni­niej­szym roz­po­rzą­dze­niem, jed­nak nie w sto­sun­ku do or­ga­nów no­ty­fi­ku­ją­cych pań­stwa człon­kow­skie­go, w któ­rym jed­nost­ki no­ty­fi­ko­wa­ne po­dej­mu­ją czyn­no­ści.

Jed­nost­ki no­ty­fi­ko­wa­ne dys­po­nu­ją pro­ce­du­ra­mi pro­wa­dze­nia czyn­no­ści z uwzględ­nie­niem roz­mia­ru do­staw­cy, sek­to­ra, w któ­rym pro­wa­dzi on dzia­łal­ność, jego struk­tu­ry oraz stop­nia zło­żo­no­ści da­ne­go sys­te­mu AI.

Jed­nost­ki no­ty­fi­ko­wa­ne za­wie­ra­ją od­po­wied­nie umowy ubez­pie­cze­nia od od­po­wie­dzial­no­ści cy­wil­nej w od­nie­sie­niu do po­dej­mo­wa­nych przez sie­bie czyn­no­ści z za­kre­su oceny zgod­no­ści, chyba że pań­stwo człon­kow­skie, w któ­rym mają sie­dzi­bę, bie­rze na sie­bie od­po­wie­dzial­ność z tego ty­tu­łu zgod­nie z pra­wem kra­jo­wym lub bez­po­śred­nia od­po­wie­dzial­ność za ocenę zgod­no­ści spo­czy­wa na danym pań­stwie człon­kow­skim.

Jed­nost­ki no­ty­fi­ko­wa­ne po­sia­da­ją zdol­ność wy­ko­ny­wa­nia wszyst­kich zadań wy­ni­ka­ją­cych z ni­niej­sze­go roz­po­rzą­dze­nia z za­cho­wa­niem naj­wyż­sze­go po­zio­mu uczci­wo­ści za­wo­do­wej i wy­ma­ga­nych kom­pe­ten­cji w danej dzie­dzi­nie, nie­za­leż­nie od tego, czy za­da­nia te są wy­ko­ny­wa­ne przez nie sa­mo­dziel­nie, czy też w ich imie­niu i na ich od­po­wie­dzial­ność.

Jed­nost­ki no­ty­fi­ko­wa­ne dys­po­nu­ją wy­star­cza­ją­cy­mi kom­pe­ten­cja­mi we­wnętrz­ny­mi po­zwa­la­ją­cy­mi im sku­tecz­nie oce­niać za­da­nia wy­ko­ny­wa­ne w ich imie­niu przez pod­mio­ty ze­wnętrz­ne. Jed­nost­ka no­ty­fi­ko­wa­na dys­po­nu­je stałą do­stęp­no­ścią wy­star­cza­ją­cej licz­by pra­cow­ni­ków od­po­wie­dzial­nych za aspek­ty ad­mi­ni­stra­cyj­ne, tech­nicz­ne, praw­ne i na­uko­we dys­po­nu­ją­cych do­świad­cze­niem i wie­dzą w za­kre­sie od­no­śnych ro­dza­jów sys­te­mów AI, da­nych i metod prze­twa­rza­nia da­nych oraz w za­kre­sie wy­mo­gów usta­no­wio­nych w sek­cji 2.

Jed­nost­ki no­ty­fi­ko­wa­ne biorą udział w dzia­ła­niach ko­or­dy­na­cyj­nych, o któ­rych mowa w art. 38. An­ga­żu­ją się także w dzia­łal­ność eu­ro­pej­skich or­ga­ni­za­cji nor­ma­li­za­cyj­nych bez­po­śred­nio lub za po­śred­nic­twem swo­ich przed­sta­wi­cie­li lub za­pew­nia­ją, by same po­sia­da­ły zna­jo­mość od­po­wied­nich norm i dys­po­no­wa­ły za­wsze ak­tu­al­ną wie­dzą na ich temat.