Artikel 12 — Registrering (EU's AI-forordning)

Artikel 12 i forordning (EU) 2024/1689 — Registrering. Officiel tekst, praktisk fortolkning, centrale forpligtelser og compliancekonsekvenser.

Sammenfatning af den officielle tekst

Artikel 12 i forordning (EU) 2024/1689 fastlægger obligatoriske registreringskrav for højrisiko-AI-systemer. Artiklen er placeret i afsnit III, kapitel 2, som fastsætter de tekniske og governance-krav, som højrisiko-AI-systemer skal opfylde, inden de bringes på EU-markedet eller tages i brug.

Kerneforpligtelsen er, at højrisiko-AI-systemer skal designes og udvikles med logfunktioner, der muliggør automatisk registrering af hændelser — almindeligvis kaldet logfiler — i hele systemets operationelle levetid. Disse logfiler tjener et dobbelt formål: at støtte udbyderens post-markedsovervågning i henhold til artikel 72 og at sætte nationale kompetente myndigheder i stand til at udøve deres tilsyns- og efterforskningsfunktioner.

Artikel 12, stk. 2, specificerer, at logfunktioner som minimum skal registrere perioden for hver brug af systemet (start- og slutdato og -tidspunkt), den referencedatabase, som inputdata er blevet kontrolleret mod, hvor det er relevant, inputdata, der førte til et givet output eller resultat, og — i tilfælde af biometriske identifikationssystemer — identiteten af fysiske personer involveret i verifikation af resultaterne.

Artiklen placerer designforpligtelsen squarely hos udbyderne. Logning skal være indbygget i systemet ved konstruktion, ikke tilføjet efterfølgende. Dette afspejler forordningens bredere by-design-filosofi. Operatører, der anvender disse systemer, bærer komplementære forpligtelser i henhold til artikel 26 om at opbevare logfiler genereret under deres brug af systemet, i det omfang sådanne logfiler er under deres kontrol.

Hvad dette betyder i praksis

For udbydere, der udvikler eller bringer højrisiko-AI-systemer på EU-markedet, kræver artikel 12, at tekniske beslutninger træffes i designfasen og ikke efter implementering. Logning skal være et arkitektonisk træk ved produktet.

Berørte parter. Enhver organisation, der udvikler, bringer i omsætning eller tager i brug et højrisiko-AI-system som defineret under artikel 6 og bilag III, er underlagt artikel 12. Det inkluderer systemer, der bruges til rekrutteringsscreening, kreditvurdering, biometrisk identifikation, styring af kritisk infrastruktur, uddannelsesvurdering, retshåndhævelse, grænsekontrol og retspleje, blandt andet. Operatører — organisationer, der anvender en udbyders højrisiko-AI-system i deres egen kontekst — har sekundære forpligtelser om at vedligeholde logfiler, de kontrollerer.

Konkrete handlinger krævet. En udbyder skal implementere automatiseret logning, der registrerer de nødvendige datapunkter uden manuel indgriben. For eksempel skal en udbyder af et AI-assisteret CV-screeningsværktøj sikre, at systemet logger hver rekrutteringssession, den datasætversion, der bruges til at træne eller kalibrere modellen, og inputene (ansøgerprofiler), der genererede hvert output (rangering eller anbefaling). En operatør, der anvender det pågældende værktøj, skal opbevare disse logfiler og stille dem til rådighed for myndighederne efter anmodning.

Efterforskningsnytte. Logfiler eksisterer primært for at muliggøre retrospektiv analyse. Hvis et system producerer et diskriminerende resultat eller forårsager skade, skal regulatorer være i stand til at rekonstruere, hvad der skete. Logfiler, der er ufuldstændige, overskrives eller er utilgængelige, modvirker dette formål og udsætter både udbyder og operatør for håndhævelsesrisiko.

Proportionalitet. Det specifikke omfang af, hvad der skal logges, er kalibreret til systemtypen. Biometriske systemer er underlagt de mest detaljerede krav. Udbydere bør dokumentere deres logdesignbeslutninger i teknisk dokumentation som krævet af artikel 11.

Centrale forpligtelser

• Logning ved design. Højrisiko-AI-systemer skal designes og udvikles med automatiske hændelseslogningsfunktioner, der er indbygget i systemarkitekturen inden markedsplacering eller implementering.
• Minimalt logindhold. Logfiler skal som minimum registrere: den operationelle periode for hver brugssession, den referencedatabase, der bruges til inputverifikation, hvor det er relevant, de inputdata, der producerede hvert output eller hver beslutning, og — for biometriske identifikationssystemer — identiteterne på fysiske personer, der verificerede resultater.
• Operatørens opbevaring af logfiler. Operatører skal opbevare logfiler genereret under deres brug af et højrisiko-AI-system i den periode, der kræves af gældende lovgivning, og som minimum i den varighed, der er nødvendig for at støtte post-markedsovervågning og regulatoriske undersøgelser.
• Tilgængelighed for myndigheder. Logfiler skal være tilgængelige for nationale kompetente myndigheder efter anmodning for at lette tilsynsovervågning, undersøgelse af hændelser og markedsovervågningsaktiviteter.
• Sporbarhed af output. Logningssystemet skal muliggøre rekonstruktion af en kausal kæde fra et specifikt input til et specifikt output og støtte ansvarlighed og retten til forklaring, hvor den finder anvendelse.
• Tilpasning til teknisk dokumentation. Logningsarkitekturen og dens omfang skal beskrives i den tekniske dokumentation, der vedligeholdes i henhold til artikel 11, for at sikre konsistens mellem systemet som designet og systemet som overvåget.

Forhold til andre artikler

Artikel 12 kan ikke læses isoleret. Den fungerer som en del af et netværk af indbyrdes forbundne krav i afsnit III, kapitel 2.

Artikel 9 (Risikostyringssystem) fastlægger den overordnede ramme, som logning bidrager til — logfiler genererer de operationelle data, der er nødvendige for at identificere og vurdere risici i faktisk implementering.

Artikel 11 (Teknisk dokumentation) kræver, at udbydere dokumenterer logningsarkitekturen og -funktionerne som en del af den bredere tekniske dokumentation, der indsendes til bemyndigede organer eller opbevares til regulatorisk inspektion.

Artikel 17 (Kvalitetsstyringssystem) kræver, at udbydere opretholder et kvalitetsstyringssystem, der integrerer logning i bredere operationelle kontroller og procedurer for korrigerende handlinger.

Artikel 26 (Operatørers forpligtelser) tildeler operatørerne forpligtelsen til at opbevare logfiler under deres kontrol og til at samarbejde med udbydere og myndigheder, hvilket gør artikel 12 til et delt ansvar på tværs af forsyningskæden.

Artikel 72 (Post-markedsovervågning) er den downstream-forbruger af artikel 12-logfiler — overvågningssystemet er afhængigt af operationelle logfiler til at opdage ydeevnenedgang, uventede output og nye risici efter implementering.

Artikel 73 (Rapportering af alvorlige hændelser) bruger logdata som primær dokumentation, når udbydere er forpligtet til at rapportere alvorlige fejlfunktioner eller hændelser til markedsovervågningsmyndigheder.

Overholdelsesfrist

EU's AI-forordning (Regulation 2024/1689) trådte i kraft den 1. august 2024, tyve dage efter offentliggørelsen i Den Europæiske Unions Tidende.

Anvendelsen af forordningen er faseopdelt:

• 2. februar 2025 — Forbud mod AI-praksisser med uacceptabel risiko (afsnit II, artikel 5) blev gældende.
• 2. august 2025 — Regler om AI-modeller til generelle formål (afsnit VIII) og governance-forpligtelser (afsnit III, kapitel 4 om bemyndigede organer; afsnit VI om governance) blev gældende.
• 2. august 2026 — Forpligtelser for højrisiko-AI-systemer opført i bilag III begynder at finde anvendelse for de fleste kategorier. Artikel 12 falder inden for denne fase. Udbydere og operatører af højrisiko-AI-systemer skal have overensstemmende logningsfunktioner på plads inden denne dato.
• 2. august 2027 — Forlænget frist for højrisiko-AI-systemer, der er omfattet af eksisterende sektorspecifik EU-harmoniseringslovgivning opført i bilag I (fx maskiner, medicinsk udstyr), idet disse sektorer gives yderligere tid til at tilpasse eksisterende overensstemmelsesvurderingsrammer.

Organisationer, der udvikler højrisiko-AI-systemer, bør behandle den 2. august 2026 som den hårde compliancefrist for artikel 12-logningskrav, idet design og test af logningsinfrastruktur bør færdiggøres i god tid for at give mulighed for overensstemmelsesvurderingsprocedurer i henhold til artikel 43.