Article 3 — Definitioner (EU AI Act)

Article 3 i Regulation (EU) 2024/1689 — Definitioner. Officiel tekst, praktisk fortolkning, centrale forpligtelser og complianceimplikationer.

Resumé af den officielle tekst

Article 3 i Regulation (EU) 2024/1689 (EU AI Act) fastlægger det definitoriske rammeværk, der styrer hele forordningen. Den indeholder 65 nummererede definitioner, der giver præcis juridisk betydning til den centrale terminologi, der anvendes i hele loven.

Den mest grundlæggende definition er den af 'AI-system' (Article 3(1)): et maskinbaseret system, der er designet til at operere med varierende grad af autonomi, som kan udvise tilpasningsevne efter idriftsættelse, og som, for eksplicitte eller implicitte mål, udleder fra det input, det modtager, hvordan det skal generere output — såsom forudsigelser, indhold, anbefalinger eller beslutninger — der kan påvirke fysiske eller virtuelle miljøer. Denne definition er bevidst i overensstemmelse med OECD's henstilling om AI og er teknologineutral.

Article 3 definerer også de centrale markedsaktører: udbydere (Article 3(3)), der udvikler og bringer AI-systemer i omsætning på markedet; brugere (Article 3(4)), der anvender AI-systemer i en professionel sammenhæng; importører (Article 3(6)); distributører (Article 3(7)); og operatører, et kollektivt begreb, der dækker udbydere og brugere. Yderligere definitioner dækker AI-modeller til generelle formål (Article 3(63)), AI-systemer til generelle formål (Article 3(66)), højrisiko AI-systemer, tilsigtet formål, rimeligt forudsigelig misbrug, væsentlig ændring, at bringe i omsætning på markedet, at ibrugtage, sikkerhedskomponent, biometriske data og mange andre, der er afgørende for at fastlægge anvendelsesområde, forpligtelser og gældende risikokategorier under loven.

Hvad dette betyder i praksis

Article 3 er porten til EU AI Act. Inden en organisation kan afgøre, om den er reguleret, i hvilken grad og i hvilken rolle, skal den systematisk gennemgå definitionerne i Article 3.

Trin 1 — Kvalificerer dit produkt som et AI-system? Anvend Article 3(1)-testen: Opererer systemet med en vis autonomi? Udleder det fra input til at generere output? En maskinlæringsmodel, der bruges til kreditscoring, kvalificerer. En hardkodet tildelingssberegner med faste regler gør ikke.

Trin 2 — Hvad er din rolle? En virksomhed, der træner og kommercialiserer en model til opdagelse af svindel, er en udbyder. En bank, der licenserer den samme model og integrerer den i sin workflow for lånegodkendelse, er en bruger. En USA-headquartered virksomhed, der sælger modellen til EU-markedet, er en importør. Den samme juridiske enhed kan simultaneously have flere roller for forskellige AI-produkter eller inden for den samme værdikæde.

Trin 3 — Gælder GPAI-definitionen? Hvis din organisation udvikler en stor grundlæggende model (såsom en stor sprogmodel) trænet på brede data og i stand til multiple opgaver, gælder Article 3(63) sandsynligvis, hvilket udløser Title VIII-forpligtelserne for GPAI-modeller, uanset om modellen selv er idriftsat som et selvstændigt AI-system.

Konkret eksempel: En SaaS-virksomhed i Berlin, der finjusterer en open source-LLM og sælger den som en kundeservice-chatbot til detailhandlere, er udbyder af både en GPAI-model (hvis den frigiver den underliggende model) og et AI-system. En detailhandler, der bruger chatbotten til kundeinteraktioner, er en bruger. Begge har adskilte complianceforpligtelser under loven, som alle afhænger af korrekt identifikation af roller via Article 3.

Centrale forpligtelser

• Korrekt identifikation af den gældende juridiske rolle — enhver organisation skal afgøre, om den optræder som udbyder, bruger, importør, distributør eller en kombination heraf, da hver rolle bærer et adskilte og ikke-overdrageliges sæt forpligtelser under Title III til VIII.
• Anvend Article 3(1) AI-systemtesten, inden det antages, at forordningen finder anvendelse — bekræft tilstedeværelsen af maskinbaseret inference fra input til at generere output, inden det fulde compliance-rammeværk iværksættes.
• Sondre mellem AI-systemer og GPAI-modeller — Article 3(63) og 3(66) skaber et separat regulatorisk spor for AI-modeller til generelle formål; organisationer, der udvikler grundlæggende eller basismodeller, skal uafhængigt vurdere anvendeligheden af Title VIII-forpligtelser.
• Vurdere, om en 'væsentlig ændring' har fundet sted — Article 3(23) definerer væsentlig ændring som en ændring af et AI-system efter markedsplacering, der påvirker systemets overensstemmelse med forordningen eller ændrer dets tilsigtede formål; sådanne ændringer nulstiller udbyderforpligtelser og kan udløse re-certificering.
• Fastlæg det 'tilsigtede formål' — Article 3(12) definerer tilsigtet formål som den anvendelse, som et AI-system er specifikt designet og dokumenteret til af udbyderen; risikoclassificering og gældende krav er forankret til denne definition, hvilket gør nøjagtig dokumentation af det tilsigtede formål til en kritisk compliance-kontrol.
• Tage højde for 'rimeligt forudsigelig misbrug' — Article 3(13) kræver, at udbydere overvejer anvendelser af deres system, der ikke er tilsigtede, men som kan opstå som følge af rimeligt forudsigeligt menneskelig adfærd, hvilket udvider den effektive rækkevidde af risikovurderingen ud over deklarerede use cases.

Forholdet til andre artikler

Article 3 understøtter hver efterfølgende bestemmelse i forordningen. Den forbinder sig direkte til Article 2 (anvendelsesområde), som anvender definitionerne af 'udbyder', 'bruger', 'importør' og 'distributør' til at afgøre, hvem der er underlagt loven og under hvilke territoriale betingelser. Article 3(1)-definitionen af AI-system afgrænser grænsen mellem loven og ikke-AI-softwareregulering og fører direkte til de forbudte praksisser oplistet i Article 5 og klassificeringskriterierne for høj risiko i Article 6 og Annex III.

Definitionen af tilsigtet formål forbinder sig til overensstemmelsesvurderingsprocedurerne i Articles 43–48 og til de tekniske dokumentationskrav i Article 11 og Annex IV. GPAI-modeldefinitionerne i Article 3(63–66) er grundlæggende for hele Title VIII-rammeværket (Articles 51–56). Begrebet væsentlig ændring (Article 3(23)) udløser genindtræden i udbyderforpligtelser og forbinder til overvågning efter markedsplacering under Article 72.

Tidsplan for compliance

Article 3, som en del af Title I (Generelle bestemmelser), trådte i anvendelse den 2. august 2026 — 24 måneder efter forordningens ikrafttræden den 1. august 2024. Alle definitioner i Article 3 har derfor fuld juridisk virkning fra denne dato.

Organisationer bør bemærke, at nøjagtig identifikation af roller og systemclassificering under Article 3 er en forudsætning for overholdelse af de tidligere faser af lovens udrulning. De forbudte praksisser i Article 5 fandt anvendelse fra 2. februar 2025 (6 måneder efter ikrafttræden), hvilket betyder, at organisationer skulle anvende Article 3-definitionerne til at vurdere eksponering over for disse forbud fra denne dato. GPAI-modelforpligtelserne under Title VIII fandt anvendelse fra 2. august 2025 (12 måneder efter ikrafttræden). Krav til højrisiko AI-systemer under Annex I gælder fra 2. august 2027 (36 måneder); kravene under Annex III gælder fra 2. august 2026, med en undtagelse til 2. august 2027 for visse systemer, der allerede er i drift. Organisationer, der endnu ikke har gennemført øvelsen med rolle- og systemclassificering under Article 3, er i strid med den grundlæggende compliance-forudsætning på tværs af flere anvendelsesfaser.