Artikel 22 — Bemyndigede repræsentanter for udbydere etableret uden for Unionen (EU AI-forordningen)

Artikel 22 i forordning (EU) 2024/1689 — Bemyndigede repræsentanter for udbydere etableret uden for Unionen. Officiel tekst, praktisk fortolkning, centrale forpligtelser og overensstemmelsesmæssige konsekvenser.

Sammenfatning af den officielle tekst

Artikel 22 i forordning (EU) 2024/1689 fastsætter en obligatorisk gateway-mekanisme for udbydere af højrisiko-AI-systemer og AI-modeller til generelle formål, der er etableret i tredjelande, men som bringer disse systemer eller modeller i omsætning på Unionens marked eller ibrugtager dem inden for Unionen.

Sådanne udbydere skal, inden de gør deres AI-system eller GPAI-model tilgængeligt i EU, udpege — ved skriftligt mandat — en bemyndiget repræsentant etableret i Unionen. Mandatet skal bemyndige denne repræsentant til at udføre et defineret sæt af opgaver i udbyderens navn: at verificere, at EU-overensstemmelseserklæringen og den nødvendige tekniske dokumentation er korrekt udarbejdet; at sikre registrering i EU-databasen, der er omhandlet i Artikel 71; og at fungere som det ene identificerbare kontaktpunkt for AI-kontoret og nationale kompetente myndigheder i alle spørgsmål vedrørende overholdelse af forordningen.

Den bemyndigede repræsentant skal medtages i de obligatoriske registreringsoplysninger og skal have adgang til tilstrækkelig dokumentation, der sætter vedkommende i stand til at opfylde sine forpligtelser. Repræsentanten opererer under en løbende pligt til at samarbejde med kompetente myndigheder og til omgående at underrette udbyderen om enhver identificeret risiko eller manglende overholdelse. Det er vigtigt at bemærke, at udpegningen af en bemyndiget repræsentant ikke fritager tredjelandsudbyderen for sine egne forpligtelser i henhold til forordningen; begge parter bærer særskilte ansvarsområder, idet repræsentantens ansvar opstår specifikt fra de opgaver, der er tilskrevet i mandatet.

Hvad dette betyder i praksis

Artikel 22 fungerer som EU AI-forordningens ækvivalent til begreberne "ansvarlig person" eller "bemyndiget repræsentant", der allerede er velkendte fra produktsikkerhedslovgivning som forordningen om medicinsk udstyr og forordningen om generel produktsikkerhed. Den praktiske effekt er at sikre, at en juridisk identificerbar enhed med fysisk tilstedeværelse i EU altid kan nås af regulatorer, uanset hvor AI-systemets udvikler har hjemsted.

Hvem er berørt. Ethvert ikke-EU-selskab — hvad enten det er en US-baseret udvikler af fundamentmodeller, en Singapore-baseret robotteknologivirksomhed eller en UK-baseret HR-tech-leverandør — der tilbyder et højrisiko-AI-system eller en GPAI-model til EU-kunder, brugere eller slutbrugere, skal etablere denne struktur. Dette omfatter virksomheder, der distribuerer via EU-forhandlere eller cloud-markedspladser: forpligtelsen påhviler udbyderen, ikke distributionskanalen.

Hvad skal gøres. Udbyderen skal identificere en fysisk eller juridisk person med hjemsted i en EU-medlemsstat, indgå et skriftligt mandat, der angiver repræsentantens bemyndigede opgaver, sikre, at repræsentanten besidder kopier af (eller sikker adgang til) den relevante tekniske dokumentation og overensstemmelseserklæringer, og registrere repræsentantens oplysninger i EU-databasen i henhold til Artikel 71.

Konkret eksempel. Et canadisk selskab, der udvikler et AI-baseret kreditvurderingsværktøj klassificeret som højrisiko i henhold til Annex III, skal indgå kontrakt med et EU-etableret advokatfirma, en overensstemmelsesvejledning eller et dedikeret juridisk enhedsselskab som sin bemyndigede repræsentant, inden nogen EU-bank onboardes som kunde. Den pågældende repræsentants navn, adresse og kontaktoplysninger fremgår af EU-databasen og produktdokumentationen, hvilket giver franske eller tyske markedsovervågningsmyndigheder et umiddelbart indenlandsk kontaktpunkt.

Løbende forpligtelse. Mandatet er ikke en engangsindberetning. Repræsentanten skal forblive tilgængelig, holde dokumentationen opdateret og omgående eskalere eventuel konstateret manglende overensstemmelse til udbyderen.

Centrale forpligtelser

• Obligatorisk skriftligt mandat. Udbyderen skal give den bemyndigede repræsentant et formelt, skriftligt mandat, inden højrisiko-AI-systemet eller GPAI-modellen bringes i omsætning på EU-markedet, og udtrykkeligt angive, hvilke opgaver repræsentanten er bemyndiget til at udføre på udbyderens vegne.
• Krav om EU-etablering. Den bemyndigede repræsentant skal være en fysisk eller juridisk person etableret i Den Europæiske Union; en repræsentant med hjemsted i et tredjeland — herunder EØS EFTA-stater, der ikke er dækket af en ækvivalensordning — opfylder ikke dette krav.
• Adgang til og verifikation af dokumentation. Repræsentanten skal verificere, at EU-overensstemmelseserklæringen og den tekniske dokumentation, der kræves i henhold til Artiklerne 11 og 18, er korrekt udarbejdet, og skal bevare adgangen til disse dokumenter i mandatets løbetid.
• Registrering i EU-databasen. Repræsentanten er ansvarlig for at sikre, at udbyderens oplysninger — herunder repræsentantens egne kontaktoplysninger — er registreret i EU-databasen, der er omhandlet i Artikel 71, og at registreringen holdes opdateret.
• Kontaktpunkt for myndigheder. Den bemyndigede repræsentant fungerer som det primære kontaktpunkt for AI-kontoret og nationale kompetente myndigheder i alle overholdelses-, markedsovervågnings- og håndhævelsesforespørgsler vedrørende AI-systemet eller GPAI-modellen inden for anvendelsesområdet.
• Pligt til at underrette og samarbejde. Repræsentanten skal omgående underrette udbyderen om enhver risiko for sundhed, sikkerhed eller grundlæggende rettigheder eller enhver formodning om manglende overensstemmelse, der kommer til vedkommendes kendskab, og skal samarbejde fuldt ud med kompetente myndigheder efter anmodning, herunder forsyne dem med dokumentation og adgang til registre.

Forbindelse til andre artikler

Artikel 22 opererer inden for den bredere ramme i kapitel 3, der regulerer forpligtelserne for udbydere og brugere, og skal læses i sammenhæng med adskillige andre bestemmelser.

Artikel 16 fastsætter den fulde liste over forpligtelser, der gælder for udbydere af højrisiko-AI-systemer; Artikel 22 uddelegerer effektivt den indenlandske gennemførelse af disse forpligtelser til den bemyndigede repræsentant, når udbyderen er etableret uden for EU.

Artiklerne 11 og 18 definerer de tekniske dokumentations- og registreringsforpligtelser, som repræsentanten skal verificere er opfyldt, inden systemet bringes i omsætning.

Artikel 71 etablerer EU-databasen, hvori repræsentantens oplysninger skal registreres, hvilket gør Artikel 22 til en forudsætning for lovlig registrering af tredjelandsudbydere.

Artikel 53 regulerer forpligtelser, der er specifikke for udbydere af AI-modeller til generelle formål; Artikel 22 udvider kravet om bemyndiget repræsentant til denne kategori, hvilket styrker det forhold, at GPAI-udbydere uden for EU er underlagt tilsvarende gatekeeping-forpligtelser.

Artiklerne 74 og 75 om markedsovervågning betjenes direkte af Artikel 22: kompetente myndigheder udøver deres tilsynsbeføjelser over for den bemyndigede repræsentant som et indenlandsk håndhævelsesankerpunkt, når den faktiske udbyder er utilgængelig.

Overholdelsesfrist

EU AI-forordningen (forordning 2024/1689) trådte i kraft den 1. august 2024, tyve dage efter offentliggørelsen i Den Europæiske Unions Tidende. Anvendelsen er faseret:

• 2. februar 2025 — Bestemmelser om forbudte AI-praksisser (Artikel 5) blev gældende. Artikel 22 finder endnu ikke isoleret anvendelse på dette tidspunkt, men udbydere bør allerede vurdere, om deres systemer falder inden for anvendelsesområdet for høj risiko eller GPAI.
• 2. august 2025 — Forpligtelser for AI-modeller til generelle formål (afsnit V, herunder Artikel 53) finder anvendelse. Da Artikel 22 udtrykkeligt dækker GPAI-modeludbydere, skal tredjelandsudbydere af GPAI have deres bemyndigede repræsentant på plads inden denne dato.
• 2. december 2026 — Højrisiko-AI-systemer opført i Annex III, der allerede er underlagt eksisterende EU-produktsikkerhedslovgivning, skal overholde den fulde kæde af udbyderforpligtelser, herunder kravene til bemyndiget repræsentant i Artikel 22.
• 2. august 2027 — Alle resterende højrisiko-AI-systemer opført i Annex III bliver underlagt det fulde sæt af forpligtelser. Tredjelandsudbydere af disse systemer, der endnu ikke har udpeget en bemyndiget repræsentant, vil være i strid med reglerne fra denne dato.

Udbydere, der bringer højrisikosystemer i omsætning på EU-markedet for første gang efter den 2. august 2024, bør fra begyndelsen betragte kravet om bemyndiget repræsentant som en forudsætning for markedsadgang frem for at afvente den relevante anvendelsesdato for deres systemkategori.