Je organisatie koopt een hoog-risico AI-systeem in van een organisatie buiten de Europese Unie, regelt implementatie en support en levert het door aan klanten. Dan is de vraag welke rol jouw organisatie toegekend krijgt door de AI-verordening. De verordening onderkent verschillende operators, zoals importeur, distributeur en gebruiksverantwoordelijke. Ben je door het importeren van het systeem importeur geworden, door het doorleveren aan klanten distributeur, of allebei? De AI-verordening bepaalt dat een distributeur per definitie een andere operator is dan een importeur, maar zegt ook expliciet dat één operator beide rollen kan vervullen. Hoe werkt dat?
Centrale vraag: wanneer is jouw organisatie importeur, wanneer distributeur, en wanneer allebei?
Het korte antwoord is: wie een AI-systeem voor het eerst op de EU-markt brengt, is importeur. Een andere partij die datzelfde systeem daarna verder aanbiedt, is distributeur. Eén organisatie kan beide rollen hebben, maar niet door precies dezelfde handeling.
Leeswijzer
In paragraaf 1 bespreken we het onderscheid tussen importeur en distributeur. Daarbij komt ook aan bod dat een importeur het systeem, door het voor het eerst op de Uniemarkt te brengen, tegelijk aanbiedt met het oog op distributie of gebruik. Paragraaf 2 laat vervolgens zien hoe één organisatie beide rollen kan vervullen, zonder dat zij voor dezelfde handeling met betrekking tot hetzelfde AI-systeem tegelijk importeur en distributeur is. Paragraaf 3 en 4 behandelen daarna de verplichtingen die bij beide rollen horen. Daaruit blijkt dat de verplichtingen van de distributeur grotendeels al besloten liggen in die van de importeur. Paragraaf 5 vergelijkt beide pakketten en maakt de overlap en het verschil expliciet.
1. Onderscheid importeur en distributeur
De importeur is de in de Unie gevestigde partij die een AI-systeem in de handel brengt dat de naam of het merk draagt van een partij buiten de Unie.[1] De distributeur is een andere partij in de keten dan de aanbieder of importeur, die het systeem daarna op de markt aanbiedt.[2] Het verschil is dus vooral een kwestie van volgorde. De importeur is de eerste schakel. De distributeur komt daarna.
Een importeur distribueert ook
In de definitie van importeur zit al besloten dat deze partij het AI-systeem op de EU-markt in de handel brengt.[3] Volgens de AI-verordening betekent ‘in de handel brengen’ dat je het AI-systeem voor het eerst op de markt aanbiedt[4], wat vervolgens weer is gedefinieerd als het verstrekken van een AI-systeem in het kader van een handelsactiviteit met het oog op distributie of gebruik in de EU.[5] Een importeur distribueert dus ook, in materiële zin. Hij importeert niet alleen.[6]
Het klinkt misschien vreemd, maar als jouw organisatie een AI-systeem voor het eerst op de Uniemarkt aanbiedt en dus distribueert, maakt dit jou juridisch gezien geen distributeur, maar een importeur. De distributeursrol is weggelegd voor de volgende partij die het AI-systeem aanbiedt op de markt, nadat jij het al geïmporteerd hebt. [7]
Een distributeur kan geen importeur zijn
Dat sluit aan bij de definitie van distributeur, die uitdrukkelijk spreekt van een andere partij dan de aanbieder of importeur.[8] De importeur is immers al degene die het systeem als eerste op de Uniemarkt in de handel brengt en het daarmee op de markt aanbiedt met het oog op distributie of gebruik. De distributeursrol ontstaat pas bij het daarna verder aanbieden van datzelfde systeem op de markt.[9]
Importeur heeft ook distributeursverplichtingen
Dat de importeur het AI-systeem niet alleen invoert, maar ook distribueert op de Uniemarkt, zie je terug in de verplichtingen van de AI-verordening. Het verplichtingenpakket van de importeur bevat mede de verplichtingen die ook terugkomen bij de distributeur. In de volgende paragrafen werken we eerst de verplichtingen van de importeur en de distributeur uit. Daarna laten we zien waar die verplichtingen overlappen en waar het verschil zit.[10]
2. De importeur controleert vóór introductie op de Uniemarkt
Juist omdat de importeur de eerste partij is die het systeem op de Uniemarkt beschikbaar stelt, moet hij al voorafgaand aan de eerste marktintroductie van het hoog-risico AI-systeem controleren of aan de verplichtingen uit artikel 23 van de AI-verordening is voldaan. Hij moet controleren of de CE-markering is aangebracht, dus de markering waarmee de aanbieder kenbaar maakt dat het systeem volgens hem aan de toepasselijke EU-vereisten voldoet. Ook controleert hij of de EU-conformiteitsverklaring aanwezig is, dus de formele verklaring waarin de aanbieder bevestigt dat het systeem met die vereisten in overeenstemming is.[11]
Daarnaast controleert de importeur of de gebruiksinstructies zijn meegeleverd, dus de informatie die de gebruiksverantwoordelijke nodig heeft om het systeem op de beoogde manier te gebruiken, en of de buiten de Unie gevestigde aanbieder, waar vereist, een in de Unie gevestigde gemachtigde heeft aangewezen.[12]
Daarmee houdt zijn rol niet op. Als de importeur voldoende reden heeft om aan te nemen dat het systeem niet conform is, of dat documentatie is vervalst, mag hij het systeem niet op de markt brengen. Levert het systeem een risico op, dan moet hij de aanbieder, de gemachtigde en de markttoezichtautoriteiten informeren.[13]
Tot slot moet de importeur zijn naam of merk en contactadres vermelden op het systeem, de verpakking of de begeleidende documentatie, ervoor zorgen dat opslag en vervoer de conformiteit niet in gevaar brengen, bepaalde documentatie gedurende tien jaar bewaren en op verzoek van bevoegde autoriteiten de nodige informatie en documentatie verstrekken en met hen samenwerken. Zoals je leest, vervult de importeur van hoog-risico AI-systemen met zijn verplichtingen een actieve poortwachtersrol bij de eerste marktintroductie in de Unie.[14]
3. De distributeur controleert na introductie op de Uniemarkt
De distributeur verricht vergelijkbare controles, maar op een later moment in de keten. Waar de importeur de controles verricht voorafgaand aan de introductie van het AI-systeem op de Uniemarkt, controleert de distributeur nadat het AI-systeem al op de Uniemarkt is aangeboden door een importeur of aanbieder. Net zoals de importeur, moet de distributeur nagaan of de CE-markering aanwezig is, of een EU-conformiteitsverklaring is meegeleverd en of de gebruiksinstructies zijn bijgevoegd.[15]
Daarnaast moet de distributeur controleren of de aanbieder en de importeur hun kernverplichtingen zijn nagekomen, waaronder de identificatieplicht van de importeur. De distributeur heeft daarmee een smallere, maar gerichtere taak. Zijn controle is minder breed dan die van de importeur, maar ziet opnieuw op de vraag of het systeem met de vereiste markeringen, verklaringen en begeleidende informatie verder op de Uniemarkt wordt aangeboden.[16]
4. Samenloop van verplichtingen
Uit paragraaf 2 en 3 blijkt dat tussen importeur en distributeur sprake is van samenloop van verplichtingen. De distributeur controleert vóór verdere beschikbaarstelling of het systeem is voorzien van de vereiste markeringen, verklaringen en instructies en of aan bepaalde kernverplichtingen van aanbieder en importeur is voldaan. De importeur moet diezelfde elementen al controleren bij de eerste marktintroductie van het systeem op de Uniemarkt. Dat past ook bij de definities in de AI-verordening: de importeur is de partij die het systeem voor het eerst op de markt brengt, dus de partij die de eerste beschikbaarstellingshandeling verricht met het oog op distributie of gebruik.[17]
Omdat de importeur die distributiefunctie al vervult, is het logisch dat een partij die een AI-systeem voor het eerst in de Unie importeert en vervolgens verstrekt, voor die handeling als importeur wordt aangemerkt en niet daarnaast ook als distributeur. De distributeursrol ontstaat pas wanneer een andere schakel datzelfde systeem daarna verder op de markt aanbiedt.[18]
5. Zowel importeur als distributeur?
Tot nu toe ging het om de vraag waarom een importeur voor dezelfde handeling niet ook als distributeur wordt aangemerkt. Daarna blijft nog één vraag over: hoe kan de AI-verordening dan toch zeggen dat één operator meerdere rollen kan vervullen? Overweging 83 maakt duidelijk dat dat kan, en noemt expliciet als voorbeeld dat een operator tegelijk een importeur en een distributeur kan zijn.[14] Dat betekent alleen niet dat dezelfde handeling met betrekking tot hetzelfde AI-systeem tegelijk als import en distributie wordt aangemerkt.[19]
De meest voor de hand liggende verklaring is dat dezelfde organisatie op verschillende momenten in de keten kan optreden, of met verschillende AI-systemen te maken kan hebben. Voor het voor het eerst op de markt brengen van een bepaald AI-systeem geldt dan de rol van importeur. Wordt datzelfde systeem daarna door een andere schakel verder op de markt aangeboden, dan ontstaat de distributeursrol. Eén organisatie kan dus beide rollen vervullen, maar niet voor dezelfde handeling met betrekking tot hetzelfde AI-systeem.[20]
Voorbeeld: Dat laat zich eenvoudig illustreren. Brengt jouw organisatie systeem A voor het eerst op de Uniemarkt onder het merk van een aanbieder van buiten de Unie, dan is zij voor systeem A importeur. Koopt diezelfde organisatie daarnaast systeem B in dat al eerder door een andere partij op de Uniemarkt is gebracht en biedt zij dat systeem vervolgens verder aan, dan treedt zij voor systeem B op als distributeur. De organisatie blijft dezelfde, maar de rol verschilt per handeling en per systeem.[21]
Lezing overweging 83
Daarmee is ook duidelijk hoe overweging 83 zou moeten worden gelezen. De AI-verordening sluit niet uit dat één operator meerdere rollen heeft. De AI-verordening sluit wel uit dat één en dezelfde partij voor dezelfde handeling met betrekking tot hetzelfde AI-systeem tegelijk als importeur en als distributeur wordt aangemerkt. Dat is ook logisch, omdat de importeur door het distribueren op de Uniemarkt al moet voldoen aan de verplichtingen van een distributeur.[22]
Samenloop met aanbiederschap
Bovenstaande laat onverlet dat een organisatie in bepaalde gevallen voor het hoog-risico AI-systeem als aanbieder kan worden aangemerkt. Dat is onder meer het geval als zij haar eigen naam of merk op een bestaand hoog-risico AI-systeem zet, daarin een substantiële wijziging aanbrengt, of het beoogde gebruik van een bestaand AI-systeem zo wijzigt dat het systeem hoog-risico wordt.[23] Denk aan een importeur die een buiten de EU ontwikkeld AI-systeem voor personeelsselectie onder eigen merk op de markt brengt. Meer daarover lees je in het artikelover de rol van aanbieder.
Conclusie
Wie een hoog-risico AI-systeem voor het eerst op de Uniemarkt in de handel brengt onder de naam of het merk van een partij buiten de Unie, is importeur. Dat die partij het systeem daarmee ook aanbiedt met het oog op distributie of gebruik, maakt haar voor diezelfde handeling nog geen distributeur. Die rol ontstaat pas wanneer een andere partij datzelfde systeem daarna verder op de markt aanbiedt.
Dat volgt ook uit de verplichtingen die de AI-verordening aan beide rollen koppelt. De importeur moet bij de eerste marktintroductie al controles verrichten die later in belangrijke mate terugkomen bij de distributeur. Juist daarom kan dezelfde partij voor die eerste handeling niet tegelijk als importeur en als distributeur worden aangemerkt. Overweging 83 verandert dat niet, maar maakt alleen duidelijk dat één operator op andere momenten in de keten of bij andere systemen wél meerdere rollen kan vervullen.
Wil je weten welke rol jouw organisatie heeft in de AI-keten en welke verplichtingen daarbij horen? Lex Digitalis adviseert organisaties bij de toepassing van de AI-verordening, van rolkwalificatie tot concrete compliancestappen.
========
Voetnoten
[1] Artikel 3, punt 6, AI-verordening (definitie importeur).
[2] Artikel 3, punt 7, AI-verordening (definitie distributeur).
[3] Artikel 3, punt 6, AI-verordening (definitie importeur).
[4] Artikel 3, punt 9, AI-verordening (definitie in de handel brengen).
[5] Artikel 3, punt 10, AI-verordening (definitie op de markt aanbieden).
[6] Artikel 3, punten 6, 9 en 10, AI-verordening (samenhang tussen importeur, in de handel brengen en aanbieden op de markt).
[7] Artikel 3, punten 6, 7, 9 en 10, AI-verordening (samenhang tussen importeur, distributeur, in de handel brengen en aanbieden op de markt).
[8] Artikel 3, punt 7, AI-verordening (definitie distributeur).
[9] Artikel 3, punten 6, 7, 9 en 10, AI-verordening (volgorde tussen importeur en distributeur in de keten).
[10]. Artikelen 23 en 24 AI-verordening (verplichtingen van importeur en distributeur bij hoog-risico AI-systemen).
[11] Artikel 23, lid 1, onder a tot en met d, AI-verordening (verificatie door de importeur van conformiteitsbeoordelingsprocedure, technische documentatie, CE-markering, EU-conformiteitsverklaring, gebruiksinstructies en aanwijzing van een gemachtigde).
[12] Artikel 23, lid 1, onder c en d, in samenhang met artikel 22, lid 1, AI-verordening (gebruiksinstructies en aanwijzing van een gemachtigde).
[13] Artikel 23, lid 2, AI-verordening (niet op de markt brengen bij vermoedelijke non-conformiteit of vervalste documentatie en informatieplicht bij risico).
[14] Artikel 23, leden 3 tot en met 7, AI-verordening (identificatieplicht, opslag en vervoer, bewaartermijn, informatieverstrekking en samenwerking met autoriteiten).
[15] Artikel 24, lid 1, AI-verordening (controle door de distributeur van CE-markering, kopie van de EU-conformiteitsverklaring en gebruiksinstructies vóór verdere beschikbaarstelling).
[16] Artikel 24, lid 1, in samenhang met artikel 16, onder b en c, en artikel 23, lid 3, AI-verordening (controle op naleving van de verplichtingen van aanbieder en importeur waarnaar artikel 24 expliciet verwijst).
[17] Artikelen 3, punten 6, 7, 9 en 10, en 23 en 24, AI-verordening (samenloop van definities en verplichtingen).
[18] Artikelen 3, punten 6, 7, 9 en 10, AI-verordening (de distributeursrol ontstaat pas na de eerste marktintroductie door de importeur).
[19] Overweging 83, in samenhang met artikel 3, punten 6, 7, 9 en 10, AI-verordening (één operator kan meer dan één rol vervullen, maar de kwalificatie als importeur of distributeur volgt uit de plaats van de handeling in de keten).
[20] Overweging 83, in samenhang met artikel 3, punten 6, 7, 9 en 10, AI-verordening (dezelfde organisatie kan bij verschillende handelingen of verschillende systemen verschillende rollen vervullen).
[21] Overweging 83, in samenhang met artikel 3, punten 6, 7, 9 en 10, AI-verordening (dezelfde organisatie kan per systeem en per handeling een andere rol hebben).
[22] Overweging 83, in samenhang met artikelen 3, punten 6, 7, 9 en 10, en 23 en 24, AI-verordening (de eerste schakel wordt als importeur aangemerkt, terwijl verplichtingen van de distributeur daarin deels terugkomen).
[23] Artikel 25, lid 1, onder a tot en met c, en overweging 84, AI-verordening (gevallen waarin een partij als aanbieder wordt aangemerkt).
