제31조 공인평가기관에 관한 요건(Requirements Relating to Notified Bodies)은 공인 평가기관이 EU 적합성 평가체계에서 공식적으로 활동하기 위하여 충족하여야 하는 기본 요건을 규정하고 있다.
공인평가기관은 회원국 법률에 따라 설립되어야 하며, 독립된 법인격을 가져야 한다. 공인평가기관의 평가 결과에 대한 신뢰를 확보하기 위해 조직 구조, 품질관리, 인적·기술적 자원, 절차, 사이버보안 체계 등을 갖추어야 한다.
공인평가기관의 조직 구조, 책임 배분, 보고 체계는 운영의 투명성과 평가 결과의 신뢰성을 보장해야 한다. 또한 적합성 평가를 수행하는 고위험 AI 시스템의 제공자(Provider)로부터 독립되어야 하며, 평가 대상 시스템과 관련된 경제적 이해관계를 가진 제3자나 경쟁자와도 독립성을 유지하여야 한다. 다만, 기관 운영에 필요한 고위험 AI 시스템의 사용이나 개인적 목적의 사용은 허용된다.
공인평가기관 및 그 경영진·직원은 평가 대상 AI 시스템의 설계, 개발, 마케팅, 사용에 직접 관여하지 않아야 하며, 이러한 활동을 수행하는 자를 대리할 수도 없다. 평가와 관련된 독립성과 판단의 공정성을 해칠 수 있는 모든 행위를 금지하며, 자문·컨설팅 서비스 제공은 이해상충 행위로 간주된다.
공인평가기관은 독립성·객관성·공정성을 유지할 수 있도록 조직되고 운영되어야 하며, 공정성 보장을 위한 절차를 문서화하고 이를 조직 전반에 적용해야 한다. 직원, 위원회, 자회사, 하청업체 및 외부 기관의 관련 인력은 업무 수행 중 알게 된 정보를 법률상 요구되는 경우를 제외하고는 비밀로 유지해야 한다.
이 의무는 전문적 비밀유지의무(Professional Secrecy)에 해당하는데 회원국의 통보기관(Notifying Authority)에 대하여는 예외이다. 이는 통보기관이 공인평가기관을 지정·감독하는 법적 주체로서, 평가의 적정성 검증을 위해 내부 정보에 접근할 권한을 가지기 때문이다.
공인평가기관은 AI 시스템의 복잡성, 제공자의 규모와 산업 특성, 조직 구조를 고려한 절차를 운영해야 하며, 평가업무에 따른 손해배상책임에 대비하여 책임보험(Liability Insurance)을 가입하여야 한다. 단, 국가가 직접 책임을 지는 경우에는 예외이다.
공인평가기관은 모든 업무를 최고 수준의 전문성과 윤리성을 바탕으로 수행해야 하며, 하청이나 외부 위탁이 이루어지더라도 최종 책임은 공인평가기관에 있다. 외부 전문가가 수행한 업무를 효과적으로 검증할 수 있도록 충분한 내부 역량을 유지해야 한다. 이를 위하여 행정, 기술, 법률, 과학 등 각 분야의 상근 인력을 확보하고, 이들이 AI 시스템, 데이터, 컴퓨팅, 그리고 제2절에서 규정된 기술적 요건에 대한 전문 지식을 보유해야 한다.
공인평가기관은 제38조에서 규정된 조정 활동에 참여해야 하며, 유럽표준화기구(European Standardisation Organisations)의 활동에도 직접 또는 대표를 통해 참여하거나 최소한 관련 표준의 최신 동향을 지속적으로 파악해야 한다.