Artikel 21 — Samarbejde med kompetente myndigheder (EU AI-forordningen)

Artikel 21 i forordning (EU) 2024/1689 — Samarbejde med kompetente myndigheder. Officiel tekst, praktisk fortolkning, centrale forpligtelser og overensstemmelsesmæssige konsekvenser.

Sammenfatning af den officielle tekst

Artikel 21 i forordning (EU) 2024/1689 (EU AI-forordningen) fastsætter en generel forpligtelse for udbydere af højrisiko-AI-systemer til at samarbejde med kompetente nationale myndigheder efter anmodning. I henhold til denne bestemmelse skal udbydere — og, hvor det er relevant, deres bemyndigede repræsentanter — forsyne kompetente myndigheder med alle oplysninger og al dokumentation, der er nødvendige for at påvise, at det pågældende højrisiko-AI-system overholder kravene i kapitel 2 i afsnit III. Denne samarbejdsforpligtelse strækker sig til at give adgang til selve AI-systemet, hvor den kompetente myndighed anser en sådan adgang for nødvendig for at opfylde sine tilsyns- eller markedsovervågningsopgaver.

Artiklen opererer inden for forordningens bredere markedsovervågningsramme og skal læses i sammenhæng med de håndhævelsesbeføjelser, der er tillagt nationale myndigheder i afsnit X. Den skaber ikke en proaktiv oplysningspligt i den ordinære forretningsgang; den aktiveres snarere ved en formel eller uformel anmodning fra et tilsynsorgan. Forpligtelsen er ubetinget i sit omfang: udbydere kan ikke afvise samarbejde med henvisning til forretningsmæssig fortrolighed, forretningshemmeligheder eller ejendomsretlige hensyn, selv om forordningen indeholder særskilte garantier for myndigheders behandling af fortrolige oplysninger. Artikel 21 fungerer effektivt som broen mellem de overensstemmelsesforpligtelser, der pålægges udbydere, og den håndhævelseskapacitet, som de af medlemsstaterne og Det Europæiske AI-kontor oprettede regulatoriske infrastruktur besidder.

Hvad dette betyder i praksis

For udbydere af højrisiko-AI-systemer kræver Artikel 21, at der til enhver tid opretholdes en struktureret, revisionsparat overholdelsesstilling — ikke blot på tidspunktet for overensstemmelsesvurderingen. Når en national markedsovervågningsmyndighed, et bemyndiget organ, der handler efter delegation, eller Det Europæiske AI-kontor indleder en undersøgelse, skal udbyderen være i stand til hurtigt at reagere med omfattende teknisk dokumentation, resultater af overensstemmelsesvurderinger, risikoforvaltningsdokumenter og data fra overvågning efter markedsføring.

Hvem er berørt. Udbydere, der bringer højrisiko-AI-systemer (opført i Annex III eller dækket af Annex I-sektorlovgivning) i omsætning på EU-markedet, er de primære forpligtede. Bemyndigede repræsentanter, der handler på vegne af tredjelandsudbydere, bærer den samme forpligtelse inden for rammerne af deres mandat. Brugere er ikke de primære adressater for Artikel 21, men kan blive inddraget i samarbejdsprocedurer, hvor deres driftsdata eller adgang til det ibrugtagne system er påkrævet af en myndighed.

Konkrete eksempler. En producent af medicinsk udstyr, der integrerer et AI-drevet diagnostisk redskab, skal efter anmodning fremlægge hele den tekniske fil, herunder beskrivelser af træningsdata, valideringsprotokoller og logfiler for overvågning efter udrulning. En rekrutteringsvirksomhed, der anvender et AI-assisteret CV-screeningsværktøj klassificeret som højrisiko i henhold til Annex III, skal lette myndighedsadgangen til systemets beslutningslogik og konfigurationsparametre, hvis en undersøgelse indledes.

Operationel forberedelse. Organisationer bør udpege en funktion til myndighedskontakt, opretholde versionsstyret teknisk dokumentation og etablere en intern protokol for myndighedsanmodninger, herunder juridiske gennemgangsfrister, der ikke hindrer rettidig samarbejde.

Centrale forpligtelser

• Fremlæg dokumentation efter anmodning. Udbydere skal forsyne kompetente myndigheder med alle oplysninger og al teknisk dokumentation, der er nødvendige for at vurdere overholdelsen af kapitel 2 i afsnit III, herunder den tekniske fil, der kræves i henhold til Artikel 11, og logfiler, der opbevares i henhold til Artikel 12.
• Giv adgang til AI-systemet. Hvor en kompetent myndighed fastslår, at inspektion af eller interaktion med AI-systemet er nødvendig, skal udbydere lette en sådan adgang uden unødig forsinkelse eller hindring.
• Samarbejd via bemyndigede repræsentanter. Tredjelandsudbydere skal sikre, at deres EU-etablerede bemyndigede repræsentant er bemyndiget til at opfylde samarbejdsforpligtelserne fuldt ud på deres vegne, som krævet i henhold til Artikel 22.
• Oprethold information i søgbar form. Den praktiske nytte af Artikel 21 afhænger af, at dokumentationen er aktuel, nøjagtig og søgbar. Udbydere må ikke lade tekniske registre blive forældte eller utilgængelige på det tidspunkt, hvor en anmodning modtages.
• Afstå fra hindring. Enhver handling eller undladelse, der hindrer, forsinker eller frustrerer en tilsynsundersøgelse — herunder selektiv videregivelse, destruktion af registre eller tilbageholdelse af adgangsoplysninger — udgør en overtrædelse af Artikel 21 og kan udløse sanktioner i henhold til Artikel 99.
• Udvid samarbejdet til overvågningsaktiviteter efter markedsføring. Samarbejde i henhold til Artikel 21 er ikke begrænset til overensstemmelsesevalueringer forud for markedsføring; det omfatter løbende tilsynsmæssig overvågning gennem hele livscyklussen for højrisiko-AI-systemet.

Forbindelse til andre artikler

Artikel 21 befinder sig i skæringspunktet mellem udbyderforpligtelser og regulatorisk håndhævelse og kan ikke læses isoleret. Den afhænger direkte af Artikel 11 (teknisk dokumentation) og Artikel 12 (registrering og logning), da disse bestemmelser definerer den korpus af oplysninger, som en udbyder skal kunne fremlægge. Den er forbundet med Artikel 17 (kvalitetsstyringssystem), som regulerer de organisatoriske processer, der understøtter dokumentationsberedskab. Artikel 22 (bemyndigede repræsentanter) operationaliserer Artikel 21 for tredjelandsudbydere ved at udpege, hvem der bærer samarbejdsforpligtelserne i EU. På håndhævelsessiden bidrager Artikel 21 til markedsovervågningsregimet i afsnit X (Artiklerne 74–76), Det Europæiske AI-kontors beføjelser i henhold til afsnit VIII og sanktionsrammen i Artikel 99, som knytter sanktioner til manglende samarbejde. Artikel 9 (risikostyring) er også relevant, da myndigheder kan undersøge, om registre over risikoidentifikation og -reduktion er tilstrækkelige. En samlet læsning af Artikel 21 sammen med Artiklerne 13 (gennemsigtighed) og 14 (menneskelig tilsyn) giver et fuldstændigt billede af det informationsmiljø, som udbydere skal opretholde.

Overholdelsesfrist

EU AI-forordningen trådte i kraft den 1. august 2024, tyve dage efter offentliggørelsen i Den Europæiske Unions Tidende. Dens bestemmelser finder anvendelse efter en faseret plan:

• 2. februar 2025 — Forbud mod AI-praksisser med uacceptabel risiko (afsnit II) blev gældende. Artikel 21 var endnu ikke i kraft for højrisikosystemer.
• 2. august 2025 — Bestemmelser om AI-modeller til generelle formål (afsnit VIII) og forpligtelserne for Det Europæiske AI-kontor blev gældende.
• 2. august 2026 — Artikel 21, sammen med det samlede sæt af forpligtelser i afsnit III for højrisiko-AI-systemer opført i Annex III (bortset fra dem, der er omfattet af tidligere sektorlovgivning), finder anvendelse. Udbydere, hvis systemer falder ind under denne kategori, skal være fuldt parate til samarbejde inden denne dato.
• 2. august 2027 — Højrisiko-AI-systemer reguleret af EU's harmoniseringslovgivning opført i Annex I (f.eks. medicinsk udstyr, maskiner, luftfart), der allerede er underlagt overensstemmelsesvurderingsprocedurer, har frem til denne dato, inden de fulde forpligtelser under AI-forordningen for høj risiko, herunder Artikel 21, finder anvendelse på eksisterende produkter.

Udbydere bør betragte perioden frem til deres gældende dato ikke som en karensperiode, men som implementeringstid: teknisk dokumentation, logningsinfrastruktur og interne samarbejdsprotokoller bør være operative i god tid inden fristen.