Artikel 19 i forordning (EU) 2024/1689 — Automatisk genererede logfiler. Officiel tekst, praktisk fortolkning, centrale forpligtelser og efterlevelsesmæssige konsekvenser.
Resumé af den officielle tekst
Artikel 19 i forordning (EU) 2024/1689 fastlægger en logningsforpligtelse, der fungerer på to niveauer: en designtidsforpligtelse for udbydere og en operationel forpligtelse for brugere.
For udbyderens vedkommende kræver Artikel 19(1), at højrisiko-AI-systemer teknisk skal være i stand til automatisk at generere logfiler over deres drift i hele deres levetid. Udbydere skal indlejre denne funktionalitet i systemet i det omfang, det er teknisk muligt, og sikre, at hændelser kan registreres uden manuel indgriben. Dette er direkte forbundet med det bredere rammeværk for gennemsigtighed og sporbarhed i afsnit III.
For brugerens vedkommende kræver Artikel 19(2), at brugere opbevarer de logfiler, der automatisk genereres af de højrisiko-AI-systemer, de driver. Minimumsopbevaringsperioden er seks måneder, medmindre EU-ret eller gældende national ret foreskriver en længere periode. Sektorspecifik regulering — for eksempel inden for finans, sundhedsvæsen eller kritisk infrastruktur — vil hyppigt erstatte dette standardminimum.
De logfiler, der er omhandlet i Artikel 19, tjener flere efterlevelsesformål: de understøtter markedsovervågning efter ibrugtagning i henhold til Artikel 72, letter hændelsesrapportering i henhold til Artikel 73 og udgør det bevismæssige grundlag, som nationale kompetente myndigheder har brug for ved gennemførelse af markedsovervågning i henhold til kapitel VI. Artiklen foreskriver ikke selv det præcise tekniske format eller granularitet af logfiler, idet disse detaljer overlades til harmoniserede standarder og de tekniske dokumentationskrav i Artikel 11 og Annex IV.
Hvad dette betyder i praksis
For organisationer, der ibrugtager højrisiko-AI-systemer, indfører Artikel 19 en konkret dataopbevaringsforpligtelse, der skal indarbejdes i operationelle processer fra den første dag af ibrugtagningen.
Brugere skal først verificere, at det AI-system, de anvender, teknisk er i stand til at generere logfiler automatisk. Hvis en udbyder leverer et system, der mangler denne funktionalitet, hvor det er teknisk muligt, er udbyderen i strid med sine egne forpligtelser — men brugeren bærer fortsat ansvaret for at udføre tilstrækkelig due diligence inden ibrugtagning, som krævet af Artikel 26.
I praksis betyder dette, at brugere bør anmode udbydere om klar dokumentation, der bekræfter, at logningsfunktionaliteten er til stede, beskriver, hvilke hændelser der logges, og specificerer logformatet. Denne dokumentation bør udgøre en del af de kontraktlige aftaler mellem udbyder og bruger.
Når systemet er i drift, skal brugere implementere en logopbevaringspolitik, der dækker mindst seks måneder. For organisationer, der opererer i regulerede sektorer, er dette udgangspunkt næsten altid forlænget: et hospital, der ibrugtager et AI-assisteret diagnosticeringsværktøj, skal tilpasse logopbevaringen til lovgivningen om medicinske journaler; en bank, der ibrugtager et AI-kreditscoringsystem, skal tage højde for reglerne for registrering inden for finansielle tjenester, som ofte kræver adskillige år med opbevaring.
Konkrete operationelle trin inkluderer: udpegning af ansvar for logopbevaring og adgangskontroller, sikring af, at logfiler er manipulationssikre og sikkert opbevaret, etablering af processer til hurtig hentning af logfiler som svar på en regulatorisk anmodning eller hændelsesundersøgelse og dokumentation af opbevaringspolitikken inden for organisationens bredere AI-styringsramme.
Logfiler bør indeholde tilstrækkelig information til at rekonstruere de input, der er givet til systemet, de genererede output, den version af modellen, der var i brug, og tidspunktet for operationer — hvilket muliggør meningsfuld efterfølgende gennemgang.
Centrale forpligtelser
- Udbydere skal designe og opbygge højrisiko-AI-systemer, så de teknisk er i stand til automatisk at generere logfiler over deres drift, i det omfang det er teknisk muligt, for systemets operationelle levetid.
- Brugere skal opbevare de automatisk genererede logfiler, der produceres af de højrisiko-AI-systemer, de driver, i mindst seks måneder fra genereringsdatoen eller længere, hvis gældende EU-ret eller national ret kræver det.
- Brugere skal sikre, at opbevarede logfiler er tilgængelige, sikre og kan stilles til rådighed for nationale kompetente myndigheder efter anmodning under markedsovervågning eller hændelsesundersøgelser.
- Udbydere skal dokumentere logningsfunktionaliteten i deres system — herunder hvad der logges, logformatet og eventuelle kendte tekniske begrænsninger — som en del af den tekniske dokumentation, der kræves i henhold til Artikel 11 og Annex IV.
- Når sektorspecifik regulering pålægger strengere eller længere opbevaringskrav, skal brugere anvende disse krav i tillæg til og i stedet for seks-månedersgrundlaget.
- Brugere skal sikre, at logningsinfrastrukturen opretholdes i hele den periode, højrisiko-AI-systemet er i brug, og at logfilernes integritet er beskyttet mod manipulation eller utilsigtet sletning.
Sammenhæng med andre artikler
Artikel 19 er placeret i kapitel 3 i afsnit III og skal læses som en del af et integreret sporbarhedsrammeværk frem for en isoleret forpligtelse.
Den er direkte forbundet med Artikel 12 (Registrering), som kræver, at højrisiko-AI-systemer er designet til at muliggøre registrering af deres drift, og med Artikel 11 og Annex IV, som specificerer, hvilken teknisk dokumentation udbydere skal opretholde, herunder beskrivelser af logningsfunktionaliteten.
Artikel 19 bidrager til Artikel 72 (Markedsovervågning efter ibrugtagning), som kræver, at udbydere aktivt overvåger systemets ydeevne i feltet — logfiler er den primære datakilde til denne overvågning. Den understøtter også Artikel 73 (Rapportering af alvorlige hændelser), hvor logfiler udgør det bevismæssige grundlag for at forstå, hvad der skete under en hændelse.
De logfiler, der opbevares i henhold til Artikel 19, er blandt de registreringer, som nationale kompetente myndigheder kan anmode om, når de udøver deres markedsovervågningsbeføjelser i henhold til Artikel 74 og 75. Endelig afspejler fordelingen af ansvar mellem udbydere og brugere, som er formuleret i Artikel 19, det bredere rammeværk, der er etableret ved Artikel 25 (Ansvar i værdikæden) og Artikel 26 (Brugeres forpligtelser).
Tidsplan for efterlevelse
EU's AI-forordning trådte i kraft den 1. august 2024 og indledte en faseinddelt anvendelsestidsplan.
Artikel 19 er placeret i afsnit III, kapitel 3, som regulerer forpligtelser for udbydere og brugere af højrisiko-AI-systemer. Den generelle anvendelsesdato for forpligtelser for højrisiko-AI-systemer — herunder Artikel 19 — er 2. august 2026 for systemer opført i Annex III (højrisikoanvendelser inden for områder som uddannelse, beskæftigelse, væsentlige tjenester og retshåndhævelse). For højrisiko-AI-systemer omfattet af Annex I (sikkerhedskomponenter i produkter reguleret af eksisterende EU-harmoniseringslovgivning) finder forpligtelserne anvendelse fra 2. august 2027, i overensstemmelse med fornyelse eller første udstedelse af relevante overensstemmelsesvurderinger for produkter.
Tidligere anvendelsesmilepæle inkluderer forbuddet mod AI-praksisser med uacceptabel risiko (Artikel 5), som fandt anvendelse fra 2. februar 2025, og forpligtelser vedrørende almene AI-modeller (afsnit VII), som fandt anvendelse fra 2. august 2025.
Organisationer, der ibrugtager højrisiko-AI-systemer, bør behandle datoen 2. august 2026 som den absolutte efterlevelsesfrist for forpligtelserne i Artikel 19, men bør begynde at designe logopbevaringspolitikker, gennemgå udbyderkontakter og tilpasse sig sektorspecifik opbevaringslovgivning i god tid — kompleksiteten af datastyring i virksomheder gør efterlevelse i sidste øjeblik strukturelt vanskelig.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Automatisk genererede logfiler er registreringer produceret af højrisiko-AI-systemer, der optager hændelser, input, output og driftsdata i systemets livscyklus. Artikel 19 kræver, at udbydere sikrer, at deres højrisiko-AI-systemer automatisk genererer sådanne logfiler i det omfang, det er teknisk muligt, for at muliggøre sporbarhed og markedsovervågning efter ibrugtagning.
Den primære forpligtelse påhviler brugere, som skal opbevare automatisk genererede logfiler i en minimumsperiode, der er defineret ved gældende lovgivning eller, hvor ingen sådan lovgivning eksisterer, i mindst seks måneder. Udbydere skal designe og integrere logningsfunktionaliteten i selve systemet. Begge parter bærer distinkte men komplementære ansvarsområder.
Nej. Artikel 19 gælder specifikt for højrisiko-AI-systemer som defineret i Artikel 6 og opført i Annex III i EU's AI-forordning. Almene AI-systemer og AI-systemer, der ikke falder inden for højrisikoclassifikationen, er ikke underlagt dette specifikke logningskrav, selv om andre forpligtelser kan gælde.
Brugere skal opbevare automatisk genererede logfiler i mindst seks måneder, medmindre EU-ret eller gældende national ret, der finder anvendelse på brugeren eller anvendelsestilfældet, foreskriver en anden, typisk længere, opbevaringsperiode. Brugere bør altid kontrollere sektorspecifikke regler — såsom dem, der dækker sundhedsvæsen, finans eller kritisk infrastruktur — da disse kan stille strengere krav.
Manglende opbevaring af logfiler som krævet af Artikel 19 kan udgøre en overtrædelse af EU's AI-forordning og udsætte brugere for tilsynsforanstaltninger og administrative bøder. Logfiler er også afgørende beviser i tilfælde af en hændelse, en sikkerhedsundersøgelse eller et regulatorisk audit, så deres fravær kan forøge ansvarsrisikoen betydeligt.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.