Article 6 — Klassificeringsregler for højrisiko AI-systemer (EU AI Act)

Article 6 i Regulation (EU) 2024/1689 — Klassificeringsregler for højrisiko AI-systemer. Officiel tekst, praktisk fortolkning, centrale forpligtelser og complianceimplikationer.

Resumé af den officielle tekst

Article 6 i Regulation (EU) 2024/1689 fastlægger den tostrengede klassificeringsmekanisme, der afgør, hvornår et AI-system er underlagt de strenge forpligtelser, der gælder for højrisikosystemer under Title III, Kapitel 2.

Det første spor, fastsat i Article 6(1), omfatter AI-systemer, der er sikkerhedskomponenter i produkter, der allerede er reguleret af den EU-harmoniseringslovgivning, der er oplistet i Annex I — herunder Maskindirektivet, Forordningen om medicinsk udstyr, Forordningen om medicinsk udstyr til in vitro-diagnostik, Radioudstyrsdirektivet og adskillige andre. Hvor et sådant produkt selv kræver tredjeparts overensstemmelsesvurdering under den gældende sektorlovgivning, klassificeres det AI-system, der fungerer som dets sikkerhedskomponent, automatisk som højrisiko.

Det andet spor, fastsat i Article 6(2), omfatter selvstændige AI-systemer, der er oplistet i Annex III. Det bilag opregner otte områder — biometrisk identifikation og kategorisering; styring af kritisk infrastruktur; uddannelse og erhvervsuddannelse; beskæftigelse og arbejdsstyrkestyring; adgang til væsentlige private og offentlige tjenester; retshåndhævelse; migration, asyl og grænsekontrol; og retspleje og demokratiske processer.

Article 6(3) introducerer en selvvurderingsundtagelse: en udbyder kan afgøre, at et Annex III-system ikke udgør en betydelig risiko, hvis det ikke profilerer fysiske personer og opfylder specifikke betingelser, med afgørelsen dokumenteret og meddelt nationale myndigheder. Kommissionen bevarer delegeret beføjelse til at ændre Annex III og til at offentliggøre retningslinjer, der præciserer anvendelsen af selvvurderingskriterierne.

Hvad dette betyder i praksis

Article 6 er compliance-porten til hele højrisikoregimetmet. Inden nogen overensstemmelsesvurdering, CE-mærkning eller registreringsforpligtelse opstår, skal en udbyder først afgøre, om deres system krydser Article 6-grænsen.

For udviklere og udbydere af indlejret AI: Hvis dit AI-system styrer, overvåger eller assisterer en sikkerhedsfunktion inden for et produkt, der bærer en CE-mærkning under Annex I-lovgivning — en kirurgisk robot, et autonomt køretøj, en industriel presse — skal du behandle det som højrisiko fra designøjeblikket. Dette gælder uanset om din organisation er producenten af slutproduktet eller en underleverandør af komponenter; forpligtelsen følger sikkerhedsfunktionen, ikke den virksomhedsmæssige struktur.

For udbydere af selvstændige AI-applikationer: Du skal kortlægge dit tilsigtede formål i forhold til hver kategori i Annex III. En kreditscoringsmodel, der bruges af en bank til at afgøre adgang til væsentlige finansielle tjenester, falder under punkt 5(b) i Annex III. Et AI-værktøj, der bruges af en arbejdsgiver til at screene CV'er, falder under punkt 4. Nøgleordet i hele Annex III er "tilsigtet formål": klassificering følger det, du har designet og dokumenteret systemet til at gøre, ikke hvordan en bruger vælger at anvende det efter idriftsættelse.

Selvvurdering under Article 6(3): Hvis du mener, at dit Annex III-system kvalificerer til undtagelsen — for eksempel et snævert afgrænset AI-værktøj, der assisterer mennesker uden nogen profileringsfunktion — skal du producere en skriftlig vurdering, opbevare den og underrette den relevante markedsovervågningsmyndighed. Dette er ikke en blanket opt-out; regulatorer kan anfægte afgørelsen.

Praktisk første skridt: Gennemfør en klassificeringsaudit, der kortlægger hvert AI-system i din portefølje i forhold til både Annex I-produktkategorier og alle otte Annex III-områder inden anvendelsesdatoen i august 2026.

Centrale forpligtelser

• Fastlæg klassificering inden markedsplacering: Udbydere skal vurdere, om hvert AI-system opfylder Article 6(1)-sikkerhedskomponentkriteriet eller falder inden for nogen Annex III-kategori, inden systemet bringes i omsætning på markedet eller ibrugtages.
• Anvend det fulde højrisiko compliance-rammeværk ved klassificering: En positiv klassificering under Article 6(1) eller 6(2) udløser alle forpligtelser under Title III, Kapitel 2 — herunder risikostyring (Article 9), data governance (Article 10), teknisk dokumentation (Article 11), logning (Article 12), transparens (Article 13), menneskelig tilsyn (Article 14) og nøjagtigheds- og robusthedskrav (Article 15).
• Dokumenter og underret om selvvurderingsundtagelser: Hvor en udbyder påberåber sig Article 6(3)-undtagelsen for at undgå højrisikoclassificering for et Annex III-system, skal afgørelsen dokumenteres skriftligt, medtages i teknisk dokumentation og meddeles den kompetente nationale myndighed inden markedsplacering.
• Overvåg Annex III for Kommissionsopdateringer: Kommissionen kan ændre Annex III via delegerede retsakter under Article 97. Udbydere skal spore sådanne ændringer og omklassificere eksisterende systemer, hvor det er nødvendigt, selv efter initial markedsplacering.
• Respekter sektorlovgivningsinteraktion for Annex I-produkter: For systemer, der falder under Article 6(1), er overensstemmelsesvurderingsprocedurer og tidsplaner reguleret af den gældende sektorlovgivning oplistet i Annex I, og overholdelse af denne lovgivning er en forudsætning for AI Act-compliance — de to regimer er kumulative, ikke alternative.
• Anvend overgangsbestemmelser korrekt: Udbydere skal identificere, om nogen af deres højrisikosystemer nyder godt af overgangsregimet og registrere grundlaget for denne afgørelse, da en "væsentlig ændring" af systemet vil afslutte overgangen og udløse øjeblikkelig fuld compliance.

Forholdet til andre artikler

Article 6 er indgangspunktet til højrisikoregimetmet og skal læses som forudsætningen for hele Kapitel 2 i Title III. En positiv klassificering under Article 6 udløser straks Article 9 (risikostyringssystem), Article 10 (governance for træningsdata), Article 11 (teknisk dokumentation per Annex IV), Article 12 (automatisk logning), Article 13 (transparens og brugsanvisninger), Article 14 (foranstaltninger for menneskelig tilsyn) og Article 15 (nøjagtighed, robusthed og cybersikkerhed).

Article 43 regulerer, hvilken overensstemmelsesvurderingsprocedure der gælder, når et system klassificeres som højrisiko: Article 6(1)-systemer følger generelt sektorproceduren, mens Article 6(2)-systemer kan bruge den interne kontrolprocedure i Annex VI, medmindre en specifik Annex III-kategori kræver tredjepartsinvolvering. Article 47 kræver, at udbydere udarbejder en EU-overensstemmelseserklæring, og Article 49 kræver CE-mærkning — begge betinget af klassificering under Article 6. Article 5 (forbudte praksisser) gælder uafhængigt og opstrøms for Article 6: et system kan simultant være forbudt og højrisiko, i hvilket tilfælde Article 5 sejrer absolut.

Tidsplan for compliance

2. august 2024 — Regulation (EU) 2024/1689 trådte i kraft (20 dage efter offentliggørelse i Den Europæiske Unions Tidende den 12. juli 2024).

2. februar 2025 — Forbudte AI-praksisser under Article 5 trådte i kraft. Article 6-klassificeringer gælder endnu ikke, men udbydere rådes til at begynde porteføljekortlægning på dette tidspunkt.

2. august 2025 — Regler om AI-modeller til generelle formål (Title VIII) og governance-forpligtelser trådte i kraft. Article 6 endnu ikke i kraft, men Kommissionen forventes at offentliggøre retningslinjer om Article 6(3)-selvvurderingskriterierne omkring dette tidspunkt.

2. august 2026 — Article 6 og de fulde højrisikoforpligtelser under Title III, Kapitel 2 bliver håndhævelige for AI-systemer oplistet i Annex III. Dette er den primære compliance-frist for de fleste selvstændige højrisiko AI-systemer.

2. august 2027 — Udvidet transitional frist for AI-systemer, der er sikkerhedskomponenter i Annex I-produkter og var allerede bragt i omsætning på markedet eller ibrugtaget inden 2. august 2026 under eksisterende sektorlovgivning, forudsat at der ikke er sket nogen væsentlig ændring.

Udbydere bør planlægge baglæns fra 2. august 2026 og afsætte 12–18 måneder til overensstemmelsesvurdering, teknisk dokumentation og registrering i EU-databasen under Article 71.