Artikel 76 — Tilsyn med afprøvning under reelle forhold foretaget af markedsovervågningsmyndigheder (EU's AI-forordning)

Artikel 76 i forordning (EU) 2024/1689 — Tilsyn med afprøvning under reelle forhold foretaget af markedsovervågningsmyndigheder. Officiel tekst, praktisk fortolkning, centrale forpligtelser og compliance-implikationer.

Resumé af den officielle tekst

Artikel 76 i forordning (EU) 2024/1689 tildeler markedsovervågningsmyndigheder specifikke tilsynsbeføjelser over afprøvning af højrisiko-AI-systemer under reelle forhold som fastsat i artikel 60. Artiklen fastslår, at hvor en sådan afprøvning finder sted på en medlemsstats område, er den kompetente markedsovervågningsmyndighed for dette område jurisdiktionskompetent til at føre tilsyn med gennemførelsen af afprøvningen og verificere, at alle betingelser foreskrevet i artikel 60 overholdes i hele afprøvningsperioden.

Myndigheder er bemyndiget til at anmode om adgang til al dokumentation, der understøtter den reelle afprøvning, herunder afprøvningsplanen, de procedurer for informeret samtykke, der er anvendt over for deltagerne, og alle registre, der er genereret af AI-systemet under driften. Hvor myndigheden identificerer omstændigheder, der tyder på, at afprøvningen giver anledning til en risiko — særligt for naturlige personers sundhed, sikkerhed eller grundlæggende rettigheder — kan den beordre suspension eller definitiv afslutning af afprøvningsaktiviteten. Sådanne afgørelser skal omgående meddeles Europa-Kommissionen og markedsovervågningsmyndighederne i andre medlemsstater via Unionens eksisterende produktsikkerheds- og kommunikationsinfrastruktur.

Artiklen adresserer også koordinering mellem myndigheder, når afprøvning strækker sig over flere medlemsstater, og udpeger myndigheden i den medlemsstat, hvor udbyderen er etableret, som ledende tilsynsmyndighed, mens den bevarer retten for hver berørt myndighed til at træffe beskyttende foranstaltninger på sit eget område. Dette afspejler den koordinerede håndhævelsesmodel, der anvendes i henhold til anden EU-harmoniseringslovgivning, og sikrer, at grænseoverskridende reelle afprøvninger ikke falder ind i et tilsynsvakuum.

Hvad dette betyder i praksis

For udbydere og brugere, der gennemfører afprøvning under reelle forhold af højrisiko-AI-systemer, betyder artikel 76, at afprøvning ikke er en selvreguleret aktivitet: en udpeget markedsovervågningsmyndighed bevarer løbende tilsynsautoritet fra det øjeblik, afprøvningen begynder, til den afsluttes.

I praktiske termer skal en AI-udbyder, der kører en pilot af for eksempel et system til støtte for medicinsk diagnostik på patienter i to medlemsstater, identificere den ledende tilsynsmyndighed — typisk myndigheden i den medlemsstat, hvor udbyderen er etableret — og skal sikre, at al afprøvningsdokumentation, der kræves i henhold til artikel 60, er tilgængelig til inspektion med kort varsel. Hvis myndigheden anmoder om adgang til systemlogfiler, det informerede samtykkeregister eller hændelseshåndteringsregistrene, skal disse fremlægges inden for den tidsramme, myndigheden angiver, hvilket kan være så kort som et par dage i presserende situationer.

Brugere (hospitaler, rekrutteringsbureauer, kreditinstitutter eller andre organisationer, der integrerer en udbyders system) deler overholdelsesbyrden. De skal samarbejde med tilsynsinspektioner og må ikke hindre myndighedsadgang til afprøvningssteder eller systemgrænseflader.

Hvor afprøvning genererer en alvorlig hændelse — en skade, nærhændelse eller uventet negativ følge, der involverer en deltager — aktiveres underretningsforpligtelserne i artikel 73 parallelt, og den markedsovervågningsmyndighed, der fører tilsyn i henhold til artikel 76, bliver en øjeblikkelig modtager af denne underretning. Organisationer bør derfor integrere deres hændelseshåndteringsprocedurer med deres afprøvningsstyringsrammer, inden afprøvningen begynder og ikke efter, at en hændelse er opstået.

Multinationale afprøvningsprogrammer bør udpege en enkelt intern compliance-ansvarlig, der er ansvarlig for koordinering på tværs af myndighederne i medlemsstaterne, og bør på forhånd kortlægge, hvilken myndighed der har ledende jurisdiktion, og hvilke der har samtidige territoriale beføjelser.

Centrale forpligtelser

• Udbydere og brugere skal vedligeholde al dokumentation vedrørende afprøvning under reelle forhold — herunder afprøvningsplanen, deltagersamtykkeredskaber, risikostyringsregistre og systemdriftslogfiler — i en form, der er umiddelbart tilgængelig for den kompetente markedsovervågningsmyndighed i afprøvningsperioden.
• På anmodning fra markedsovervågningsmyndigheden skal udbydere og brugere levere alle oplysninger, data eller den adgang, der er nødvendig for, at myndigheden kan vurdere overholdelse af de betingelser, der er fastsat i artikel 60, inden for den tidsramme, myndigheden angiver.
• Hvor afprøvning strækker sig over flere medlemsstater, skal udbyderen engagere den ledende tilsynsmyndighed (myndigheden i etableringsmedlemsstaten) og sikre, at alle berørte territoriale myndigheder er informerede og kan udøve beskyttende foranstaltninger inden for deres jurisdiktion.
• Hvor en markedsovervågningsmyndighed beordrer suspension eller afslutning af afprøvning under reelle forhold, skal udbyderen og brugeren straks overholde dette og ophøre med alle afprøvningsaktiviteter på Unionens område, indtil myndigheden ophæver foranstaltningen, eller sagen løses via den gældende revisionsprocedure.
• Enhver alvorlig hændelse, der opstår under afprøvning under reelle forhold, skal underrettes til den tilsynsførende markedsovervågningsmyndighed i overensstemmelse med de tidsplaner og procedurer, der er fastlagt i henhold til artikel 73, uden at afvente afslutningen af en intern undersøgelse.
• Udbydere og brugere skal samarbejde i god tro med markedsovervågningsinspektioner, herunder ved at give adgang til faciliteter, personale og AI-systemgrænseflader på stedet, når det anmodes.

Forhold til andre artikler

Artikel 76 befinder sig i skæringspunktet af flere indbyrdes forbundne bestemmelser i forordning (EU) 2024/1689. Dens primære forbindelse er med artikel 60, som definerer de materielle betingelser, under hvilke afprøvning under reelle forhold af højrisiko-AI-systemer er tilladt; artikel 76 er den håndhævelsesmæssige modpart, der giver disse betingelser bindende kraft gennem tilsynsmæssigt opsyn.

Den trækker på den generelle ramme for markedsovervågning, der er etableret i artiklerne 74 og 75, som definerer de beføjelser og procedurer, der er tilgængelige for markedsovervågningsmyndigheder på tværs af alle kategorier af AI-systemer, og bør læses ved siden af disse artikler for at forstå det fulde omfang af undersøgelses- og korrigerende beføjelser, der er tilgængelige.

Artiklen er forbundet til artikel 73 om rapportering af alvorlige hændelser, da hændelser, der opstår under tilsynsbaseret afprøvning, straks aktiverer denne artikels underretningskæde. Artikel 57 om AI-regulatoriske sandkasser er en relateret, men distinkt bestemmelse: sandkasser opererer under tilsyn af nationale kompetente myndigheder med særlige undtagelser, hvorimod artikel 76 regulerer afprøvning under reelle forhold inden for det standard markedsovervågningsregime.

Artiklerne 85 og 86 om sanktioner og adgang til retfærdighed er relevante nedstrøms: manglende samarbejde med artikel 76-tilsyn kan udgøre en overtrædelse, der medfører administrative bøder i henhold til forordningens sanktionsramme.

Tidslinje for overholdelse

Forordning (EU) 2024/1689 trådte i kraft den 1. august 2024, hvilket markerede starten på den etapevise anvendelsesplan. Artikel 76, som en del af afsnit IX om overvågning efter markedsføring og markedsovervågning, falder inden for de bestemmelser, der finder fuld anvendelse på højrisiko-AI-systemer i anden og tredje anvendelsesfase.

For højrisiko-AI-systemer opført i Bilag III (selvstændige højrisikoapplikationer) finder fulde forpligtelser til markedsovervågning — herunder artikel 76-tilsyn med afprøvning under reelle forhold — anvendelse fra den 2. august 2026. For højrisiko-AI-systemer, der er sikkerhedskomponenter i produkter, der er reguleret af eksisterende EU-harmoniseringslovgivning opført i Bilag I (såsom medicinsk udstyr og maskiner), er den gældende dato den 2. august 2027.

Udbydere, der planlægger afprøvning under reelle forhold af højrisikosystemer, bør betragte august 2026 som den endelige frist for at have kompatible afprøvningsstyringsrammer på plads, herunder dokumenterede procedurer for myndighedsadgang, hændelseseskalering og grænseoverskridende koordinering. Da afprøvningsprogrammer ofte kører i seks til tolv måneder, inden et system når til udrulning, bør styringsrammer realistisk set designes og testes senest i begyndelsen af 2026 for at undgå forsinkelser i markedsadgang.