Article 101 — Sanktioner, der finder anvendelse på udbydere af almennyttige AI-modeller (EU's AI-forordning)

Article 101 i Regulation (EU) 2024/1689 — Sanktioner, der finder anvendelse på udbydere af almennyttige AI-modeller. Officiel tekst, praktisk fortolkning, centrale forpligtelser og compliance-implikationer.

Resumé af den officielle tekst

Article 101 i Regulation (EU) 2024/1689 fastlægger det sanktionsregime, der specifikt finder anvendelse på udbydere af almennyttige AI-modeller (GPAI-modeller), og supplerer den bredere sanktionsramme i Article 99. Den fastlægger to principielle finansielle tærskler.

For det første er udbydere af almennyttige AI-modeller, der overtræder de forpligtelser, der er indeholdt i Chapter V i forordningen — som dækker gennemsigtighedsforpligtelser, teknisk dokumentation, ophavsretscompliance og de yderligere krav for modeller, der udgør systemisk risiko — underlagt administrative bøder på op til 15 millioner EUR eller, hvor den pågældende er en virksomhed, op til 3 % af den samlede verdensomspændende årlige omsætning for det foregående regnskabsår, alt efter hvad der er det højeste beløb.

For det andet er udbydere, der giver AI-kontoret eller nationale kompetente myndigheder urigtige, ufuldstændige eller vildledende oplysninger som svar på en anmodning fremsat i henhold til Articles 91 eller 87, eller som undlader at afhjælpe en overtrædelse inden for den frist, der er fastsat ved en korrigerende foranstaltning, underlagt bøder på op til 15 millioner EUR eller op til 3 % af den verdensomspændende årlige omsætning.

Article 101 bekræfter også, at Det Europæiske AI-kontor fungerer som det ledende håndhævelsesorgan for udbydere af GPAI-modeller med beføjelse til at indlede procedurer, gennemføre evalueringer og pålægge bøder i overensstemmelse med de proceduremæssige sikkerhedsforanstaltninger, der er fastlagt i Articles 90 til 99. Bøder pålagt EU-institutioner og organer følger særskilte regler. Artiklen understreger, at alle sanktioner skal være effektive, forholdsmæssige og afskrækkende, og at individuelle omstændigheder — herunder samarbejde og afhjælpning — tages i betragtning ved fastlæggelsen af det endelige beløb.

Hvad dette betyder i praksis

Article 101 påvirker direkte enhver juridisk enhed, herunder enheder uden for EU, der placerer GPAI-modeller på EU-markedet, og som udvikler eller frigiver en almennyttig AI-model som defineret i Article 3(63) i forordningen. Dette inkluderer udbydere af fundamentmodeller, store sprogmodeller, multimodale modeller og andre modeller, der er trænet på brede data i stor skala, og som kan tjene en bred vifte af afledte opgaver.

I praksis skal en udbyder først afgøre, om dens model opfylder GPAI-definitionen og i givet fald opfylde Chapter V-forpligtelserne: vedligeholde teknisk dokumentation, offentliggøre et resumé af træningsdata i overensstemmelse med ophavsretslovgivningen, implementere en politik for overholdelse af Unionens ophavsregler og registrere modellen i den relevante EU-database. Udbydere af modeller, der anses for at udgøre systemisk risiko — i øjeblikket defineret ved en træningsberegningsgrænse på 10^25 FLOPs, eller ved AI-kontorets udpegning — er underlagt yderligere forpligtelser, herunder adversariel testning, hændelsesrapportering og cybersikkerhedsforanstaltninger.

Manglende opfyldelse af en af disse forpligtelser udsætter en udbyder for bøder i henhold til Article 101. For store teknologivirksomheder, hvis samlede globale omsætning beløber sig til titusinder af milliarder euro, overstiger en bøde på 3 % af omsætningen i væsentlig grad det absolutte loft på 15 millioner EUR, hvilket gør omsætningsbaseret beregning til den operative maksimumgrænse i praksis. En udbyder med hjemsted uden for EU skal udpege en autoriseret repræsentant i Unionen i henhold til Article 54, og denne repræsentants tilstedeværelse beskytter ikke udbyderen mod direkte ansvar.

Udbydere bør behandle Article 101 som et stærkt finansielt incitament til at gennemføre GPAI-compliance inden anvendelsesdatoen i august 2025. Dokumenterede compliance-programmer, revisionsspor og proaktivt engagement med AI-kontoret under enhver undersøgelse er de mest effektive formildende faktorer.

Centrale forpligtelser

• Chapter V-compliance som udløsende betingelse: Sanktionsbeføjelsen i henhold til Article 101 aktiveres ved overtrædelse af enhver forpligtelse i Chapter V (Articles 55 til 56), hvilket betyder, at GPAI-udbydere skal kortlægge enhver gældende forpligtelse til en intern kontrol inden anvendelsesdatoen i august 2025.
• Nøjagtige og fuldstændige oplysninger til AI-kontoret: Udbydere skal svare sandfærdigt og fuldstændigt på enhver informationsanmodning udstedt af AI-kontoret i henhold til Articles 91 og 87; afgivelse af urigtige, ufuldstændige eller vildledende svar er i sig selv en separat overtrædelse, der er underlagt det samme sanktionsloft.
• Forpligtelser vedrørende systemisk risiko for høj-impact-modeller: Udbydere af GPAI-modeller med systemisk risiko skal desuden overholde Articles 55 og 56 — adversariel testning, hændelsesmeddelelse og cybersikkerhedsforanstaltninger — og er underlagt Article 101-sanktioner for manglende overholdelse heraf.
• Udpegning af en autoriseret repræsentant: Udbydere uden for EU skal udpege en autoriseret repræsentant i Unionen, og manglende overholdelse heraf udgør en overtrædelse af Chapter V, der udløser eksponering i henhold til Article 101.
• Rettidig afhjælpning af korrigerende foranstaltninger: Hvor AI-kontoret udsteder en korrigerende foranstaltning, der kræver, at en udbyder afhjælper en overtrædelse inden for en angivet periode, udgør manglende overholdelse inden for denne deadline en separat overtrædelse, der er underlagt yderligere bøder.
• Forholdsmæssighed og samarbejde som formildende faktorer: Selv om det ikke er en formel forpligtelse, kræver forordningen, at myndigheder tager hensyn til graden af samarbejde og frivillig afhjælpning ved beregning af bøder, hvilket giver udbydere et stærkt compliance-incitament til at engagere sig proaktivt med AI-kontoret.

Relation til andre artikler

Article 101 kan ikke læses isoleret. Den henter sit materielle anvendelsesområde fra Chapter V (Articles 55 til 56), som definerer de forpligtelser, hvis overtrædelse udløser sanktionen. Den fungerer sideløbende med Article 99, som fastlægger det generelle sanktionsregime for alle andre overtrædelser af forordningen, og bør læses som lex specialis med hensyn til udbydere af GPAI-modeller.

Den proceduremæssige ramme, inden for hvilken Article 101-bøder pålægges, er fastlagt i Articles 90 til 99, herunder AI-kontorets beføjelse til at indlede procedurer (Article 90), anmode om oplysninger (Articles 91 og 87), gennemføre inspektion på stedet og pålægge foreløbige foranstaltninger. Article 85 regulerer bøder pålagt EU-institutioner, organer og agenturer og er eksplicit adskilt fra Article 101.

Article 101 er også forbundet med Article 54 (autoriserede repræsentanter for udbydere uden for EU), Article 72 (EU-databasen for GPAI-modeller) og Recitals 153 til 157, som forklarer den lovgivningsmæssige hensigt bag graduerede sanktioner og AI-kontorets primat i GPAI-håndhævelse. For modeller med systemisk risiko definerer Articles 55 og 56 de yderligere forpligtelser, hvis overtrædelse sanktioneres i henhold til Article 101.

Tidsplan for overholdelse

EU's AI-forordning trådte i kraft den 1. august 2024. Chapter V-forpligtelserne, der gælder for udbydere af GPAI-modeller — og dermed Article 101-sanktionsregimet for disse forpligtelser — trådte dog i kraft den 2. august 2025, tolv måneder efter ikrafttrædelsen, i overensstemmelse med Article 113(3).

Udbydere bør bemærke følgende faserede tidsplan:

• 1. august 2024 — Forordningen trådte i kraft; ingen forpligtelser endnu gældende.
• 2. februar 2025 — Forbudte AI-praksisser (Article 5) trådte i kraft.
• 2. august 2025 — Chapter V GPAI-forpligtelser trådte i kraft. Article 101-sanktioner kan håndhæves fra denne dato for overtrædelser af disse forpligtelser.
• 2. august 2025 — AI-kontorets styringsregler og generelle bestemmelser finder anvendelse.
• 2. december 2026 — Forpligtelser for højrisiko-AI-systemer under Annex I (produktsikkerhedslovgivning) finder anvendelse.
• 2. august 2027 — Forpligtelser for højrisiko-AI-systemer opført i Annex III finder fuldt ud anvendelse.

Udbydere af almennyttige AI-modeller, der ikke havde gennemført deres Chapter V-compliance-program inden den 2. august 2025, er allerede eksponeret for håndhævelsesforanstaltninger i henhold til Article 101. AI-kontoret har tilkendegivet, at det vil prioritere udbydere af modeller, der udgør systemisk risiko, i sine indledende tilsynsaktiviteter, men alle GPAI-modeludbydere inden for anvendelsesområdet er underlagt sanktionsregimet fra denne dato.