Artikel 72 — Overvågning efter markedsføring foretaget af udbydere og plan for overvågning efter markedsføring for højrisiko-AI-systemer (EU's AI-forordning)

Artikel 72 i forordning (EU) 2024/1689 — Overvågning efter markedsføring foretaget af udbydere og plan for overvågning efter markedsføring for højrisiko-AI-systemer. Officiel tekst, praktisk fortolkning, centrale forpligtelser og compliance-implikationer.

Resumé af den officielle tekst

Artikel 72 i forordning (EU) 2024/1689 etablerer en obligatorisk forpligtelse til overvågning efter markedsføring for udbydere af højrisiko-AI-systemer. Udbydere er forpligtet til proaktivt at indsamle, dokumentere og analysere relevante data om deres højrisiko-AI-systemers ydeevne i hele disse systemers operationelle levetid, efter at de er bragt i omsætning eller taget i brug.

Artiklen forpligter udbyderne til at udarbejde og gennemføre en plan for overvågning efter markedsføring, som skal stå i rimeligt forhold til den højrisiko-AI-teknologis art og de dermed forbundne risici. Denne plan skal indgå i den tekniske dokumentation, der er udarbejdet i henhold til artikel 11 og er fastsat i overensstemmelse med Bilag IV. Den skal definere metoder og procedurer til systematisk at indsamle ydeevnedata, herunder data fra brugere, hvor det er relevant.

Hvis overvågningen afslører, at et højrisiko-AI-system ikke længere opfylder de krav, der er fastsat i kapitel III, afdeling 2, skal udbyderen træffe passende korrigerende foranstaltninger uden forsinkelse. Dette omfatter opdatering af systemet, tilbagetrækning fra markedet eller tilbagekaldelse, hvis det er nødvendigt.

Artikel 72 anerkender også brugernes rolle: udbydere skal instruere brugere om at levere relevante driftsdata, som ikke kan indsamles direkte. Overvågningsforpligtelsen er løbende og ikke punktuel, hvilket afspejler den dynamiske karakter af AI-systemers ydeevne og de skiftende sammenhænge, hvori disse systemer anvendes.

Hvad dette betyder i praksis

For organisationer, der udvikler eller leverer højrisiko-AI-systemer, indfører artikel 72 en struktureret, løbende compliance-forpligtelse, der rækker langt ud over tidspunktet for markedsplacering. Udbydere kan ikke betragte overensstemmelsesvurdering som en engangsøvelse. I stedet skal de designe og operationalisere en overvågningsinfrastruktur, inden deres system går i drift.

I praktiske termer betyder dette, at man på forhånd definerer, hvilke data der vil blive indsamlet fra ibrugtagne systemer, hvordan disse data vil blive analyseret, og hvilke ydeevnetærskler der vil udløse en gennemgang eller korrigerende foranstaltning. For eksempel skal en udbyder af et AI-assisteret diagnosticeringsværktøj til medicinsk udstyr specificere, hvilke indikatorer — som f.eks. falskt-negativ-rater, demografiske ydeevneforskelle eller modelafvigelsesmålinger — der vil blive sporet, med hvilken hyppighed og af hvem.

Udbydere af AI-systemer, der er indlejret i tredjepartsprodukter, står over for en yderligere udfordring: de er afhængige af brugere til at videresende driftsdata, som udbyderen ikke kan tilgå direkte. Dette kræver kontraktlige arrangementer med brugere, der klart definerer datadelingsforpligtelser, som forudset ved en kombineret læsning af artikel 72 og artikel 25.

Organisationer med eksisterende kvalitetsstyringssystemer (QMS) — såsom dem, der allerede er i overensstemmelse med ISO 13485 inden for medicinsk udstyr eller ISO 9001 mere bredt — vil finde naturlig overensstemmelse med kravene i artikel 72. Planen for overvågning efter markedsføring bør integreres i det bredere QMS, der er dokumenteret under artikel 17, frem for at blive behandlet som et selvstændigt dokument.

Mindre udbydere og nystartede virksomheder skal afsætte passende ressourcer til denne funktion: artikel 72 indeholder ikke en de minimis-undtagelse baseret på virksomhedens størrelse, selv om proportionalitet af planen i forhold til systemets risikoniveau udtrykkeligt anerkendes.

Centrale forpligtelser

• Udarbejd en plan for overvågning efter markedsføring, der er proportionel med risikoniveauet og karakteren af højrisiko-AI-systemet, dokumenteret som en del af den tekniske dokumentation i henhold til artikel 11 og Bilag IV.
• Indsaml og analyser aktivt data efter markedsføring om systemets ydeevne i hele den operationelle levetid, herunder data fra brugere, hvor direkte indsamling ikke er mulig.
• Definer resultatindikatorer og tærskler for korrigerende foranstaltninger på forhånd og specificer, hvilket niveau af forringelse eller manglende overensstemmelse der udløser en formel gennemgang eller afhjælpende reaktion.
• Træf korrigerende foranstaltninger uden forsinkelse, når overvågningen afslører, at systemet ikke længere opfylder højrisikokravene i kapitel III, afdeling 2, hvilket kan omfatte opdatering, tilbagekaldelse eller tilbagetrækning af systemet.
• Integrer overvågningsresultater i kvalitetsstyringssystemet, der er etableret i henhold til artikel 17, og sørg for, at resultater føres tilbage til produktforbedring, dokumentationsopdateringer og revurderingsprocesser.
• Instruer brugere om at levere driftsrelevante data og samarbejde med processen for overvågning efter markedsføring, understøttet af passende kontraktlige eller tekniske arrangementer.

Forhold til andre artikler

Artikel 72 befinder sig i centrum af en gruppe indbyrdes forbundne forpligtelser. Den indgår direkte i artikel 73, som regulerer rapporteringen af alvorlige hændelser og funktionsfejl til nationale kompetente myndigheder: det overvågningssystem, der er etableret i henhold til artikel 72, er detektionsmekanismen for de hændelser, som artikel 73 kræver rapporteret.

Artikel 17 (kvalitetsstyringssystemer) udgør den organisatoriske ramme, inden for hvilken planen for overvågning efter markedsføring skal indlejres. Artikel 11 og Bilag IV definerer de krav til teknisk dokumentation, som overvågningsplanen skal udgøre en del af.

Artikel 25 fordeler ansvaret mellem udbydere og brugere og er afgørende for at forstå, hvordan udbydere kan indhente driftsdata fra efterfølgende brugere. Artikel 26 supplerer dette ved at beskrive brugerforpligtelser, herunder pligten til at overvåge systemanvendelse og rapportere uregelmæssigheder tilbage til udbyderen.

For højrisiko-AI-systemer, der er sikkerhedskomponenter i produkter, der er omfattet af EU's harmoniseringslovgivning, som er opført i Bilag I, skal artikel 72 læses i sammenhæng med forpligtelserne til markedsovervågning efter markedsføring i den gældende sektorspecifikke forordning, som f.eks. forordningen om medicinsk udstyr (EU) 2017/745 eller maskinforordningen (EU) 2023/1230, for at sikre sammenhængende og ikke-duplikerende overholdelse.

Tidslinje for overholdelse

EU's AI-forordning trådte i kraft den 1. august 2024 efter offentliggørelsen i Den Europæiske Unions Tidende. Forordningen finder anvendelse på en etapevis måde på tværs af forskellige kategorier af forpligtelse.

Artikel 72, som en del af afsnit IX, der regulerer overvågning efter markedsføring og markedsovervågning, finder anvendelse på udbydere af højrisiko-AI-systemer opført i Bilag III (almene kategorier med høj risiko såsom biometri, beskæftigelse, uddannelse og adgang til væsentlige tjenester) fra den 2. august 2027. Højrisiko-AI-systemer, der er omfattet af Bilag I — dem der er sikkerhedskomponenter i produkter, der allerede er reguleret i henhold til eksisterende EU-harmoniseringslovgivning — er også underlagt de fulde forpligtelser, herunder artikel 72, fra den 2. august 2027 i de fleste tilfælde, i overensstemmelse med den generelle anvendelsesdato for høj risiko.

Udbydere bør bemærke, at de tidligere frister — februar 2025 for forbudte AI-praksisser og august 2025 for forpligtelser vedrørende AI-modeller til generelle formål — ikke direkte regulerer artikel 72, men grundlaget for overvågningsinfrastruktur bør lægges i god tid inden 2027-fristen. Organisationer, der i dag udvikler højrisiko-AI-systemer, rådes til at begynde at designe deres planer for overvågning efter markedsføring som en del af overensstemmelsesforberedelsesprocessen frem for at tilpasse dem på anvendelsestidspunktet.