Artikel 8 — Overholdelse af kravene (EU's AI-forordning)

Artikel 8 i forordning (EU) 2024/1689 — Overholdelse af kravene. Officiel tekst, praktisk fortolkning, centrale forpligtelser og compliancekonsekvenser.

Sammenfatning af den officielle tekst

Artikel 8 i forordning (EU) 2024/1689, der er placeret i afsnit III (Højrisiko-AI-systemer), kapitel 2 (Krav til højrisiko-AI-systemer), fastlægger den grundlæggende complianceforpligtelse for udbydere af højrisiko-AI-systemer. I henhold til artikel 8, stk. 1, skal sådanne systemer overholde alle krav fastsat i artiklerne 9 til 15 i samme kapitel, som dækker risikostyringssystemer, data og datastyring, teknisk dokumentation, registrering, transparens og tilvejebringelse af information til brugere, foranstaltninger til menneskelig kontrol samt standarder for nøjagtighed, robusthed og cybersikkerhed.

Artikel 8, stk. 2, behandler skæringspunktet mellem AI-regulering og eksisterende produktsikkerhedslovgivning. Når et højrisiko-AI-system i sig selv er en sikkerhedskomponent i et produkt eller udgør selve produktet, og det pågældende produkt falder inden for anvendelsesområdet for EU-harmoniseringslovgivning opregnet i bilag I til forordningen, skal AI-systemet overholde både kapitel 2-kravene og den gældende bilag I-lovgivning. I sådanne tilfælde kan en enkelt overensstemmelsesvurderingsprocedure finde anvendelse, hvor EU-harmoniseringslovgivningen tillader en sådan integration, og dette sikrer, at overlappende reguleringsrammer ikke pålægger udbydere duplikerende proceduremæssige byrder.

Artiklen udfylder dermed to funktioner: den aktiverer det fulde sæt af tekniske og governance-krav til højrisiko-AI og fastlægger koordineringsreglen mellem AI-forordningen og den forudgående sektorspecifikke produktlovgivning, idet den bevarer sammenhængen på tværs af EU's reguleringslandskab for sikkerhedskritiske teknologier.

Hvad dette betyder i praksis

Artikel 8 er adgangsbestemmelsen i kapitel 2. Den specificerer ikke i sig selv indholdet af de enkelte krav — disse er detaljeret i artiklerne 9 til 15 — men den gør overholdelse af dem alle til en bindende retlig forpligtelse for udbydere af højrisiko-AI-systemer, inden et sådant system kan bringes i omsætning, tages i brug eller gøres tilgængeligt.

For udbydere af AI-udelukkende produkter: Hvis du udvikler og markedsfører et selvstændigt højrisiko-AI-system — for eksempel et rekrutteringsscreeningsværktøj, der falder ind under bilag III, punkt 4, eller et kreditvurderingssystem under punkt 5 — skal du opfylde det fulde kapitel 2-kravssæt. Det betyder, at du skal etablere og vedligeholde et risikostyringssystem (artikel 9), implementere passende datastyringspraksisser (artikel 10), udarbejde og vedligeholde teknisk dokumentation (artikel 11), muliggøre automatisk logning (artikel 12), forsyne brugere med tilstrækkelige brugsinstruktioner (artikel 13), designe til meningsfuld menneskelig kontrol (artikel 14) og opnå validerede nøjagtighedsgrader, robusthed og cybersikkerhed (artikel 15).

For producenter, der integrerer AI i regulerede produkter: Hvis dit højrisiko-AI-system er en komponent i et produkt, der allerede er underlagt maskineriregulering, lovgivning om medicinsk udstyr eller andre bilag I-rammer, kræver artikel 8, stk. 2, dobbelt overholdelse. I praksis betyder det at samarbejde med bemyndigede organer, der er fortrolige med begge regimer, og hvor harmoniserede standarder, der dækker AI-krav, eksisterer, at udnytte dem til at etablere en formodning om overensstemmelse og strømline vurderingsprocedurerne.

For importører og distributører: Selvom artikel 8 pålægger udbydere de primære forpligtelser, skal importører og distributører verificere, at udbydere har opfyldt disse forpligtelser, inden de gør systemer tilgængelige, da downstream-ansvarseksponering er knyttet til udbyderens overholdelse.

Centrale forpligtelser

• Fuld kapitel 2-overholdelse påkrævet: Udbydere skal opfylde alle krav i artiklerne 9-15 — risikostyring, datastyring, teknisk dokumentation, logning, transparens, menneskelig kontrol, nøjagtighed, robusthed og cybersikkerhed — som en kumulativ og ikke-forhandlingsbar forpligtelse inden markedsplacering.
• Forudgående complianceverifikation: Overholdelse skal etableres og kunne dokumenteres, inden højrisiko-AI-systemet bringes i omsætning eller tages i brug, og ikke efterfølgende.
• Dobbelt overholdelse for bilag I-produkter: Når et højrisiko-AI-system er en sikkerhedskomponent i eller udgør et produkt, der er underlagt EU-harmoniseringslovgivning opført i bilag I, skal udbyderen overholde både kapitel 2-kravene og den gældende sektorspecifikke lovgivning samtidigt.
• Integreret overensstemmelsesvurdering, hvor det er muligt: Udbydere af bilag I-produkter kan anvende en enkelt overensstemmelsesvurderingsprocedure, hvor den gældende EU-harmoniseringslovgivning tillader en sådan integration, hvilket reducerer proceduremæssig duplikering.
• Løbende overholdelse, ikke engangscertificering: Kravene i kapitel 2 pålægger løbende forpligtelser — risikostyringssystemer skal opdateres, logfiler skal vedligeholdes, og teknisk dokumentation skal holdes aktuel i hele systemets livscyklus.
• Udbyderansvar selv ved tredjepartskomponenter: Når et højrisiko-AI-system er bygget på tredjepartsmodeller eller -infrastruktur, bevarer udbyderen ansvaret for at sikre, at det komplette system opfylder alle gældende kapitel 2-krav.

Forhold til andre artikler

Artikel 8 er uadskillelig fra artiklerne 9 til 15, som den aktiverer, og som den udtrykkeligt henviser til. Den bør også læses i sammenhæng med artikel 6 og bilag III, som definerer, hvilke AI-systemer der klassificeres som højrisiko og dermed er underlagt det kapitel 2-regime, som artikel 8 pålægger.

Artikel 16 (udbyderforpligtelser) operationaliserer artikel 8 ved at specificere de proceduremæssige og administrative skridt, udbydere skal tage for at påvise overholdelse, herunder udarbejdelse af teknisk dokumentation, gennemgåelse af overensstemmelsesvurdering, anbringelse af CE-mærkning og registrering af systemet. Artikel 43 regulerer de overensstemmelsesvurderingsprocedurer, hvis resultater er nødvendige for overholdelse af artikel 8.

For systemer, der falder under bilag I-produktlovgivning, skal artikel 8, stk. 2, læses i sammenhæng med de gældende sektorspecifikke retsakter — såsom forordning (EU) 2017/745 om medicinsk udstyr eller direktiv 2006/42/EF om maskiner — for at fastslå, hvordan kravene interagerer, og hvilken overensstemmelsesvurderingsrute der er tilgængelig.

Artikel 9 i EU's AI-forordning er den mest umiddelbare downstream-artikel, idet den fastlægger det risikostyringssystem, der udgør den operationelle rygrad i kapitel 2-overholdelse.

Overholdelsesfrist

EU's AI-forordning trådte i kraft den 1. august 2024, tyve dage efter offentliggørelsen i Den Europæiske Unions Tidende. Artikel 8 og de bredere kapitel 2-krav gælder dog ikke umiddelbart for alle højrisiko-AI-systemer.

Forordningen finder anvendelse i faser:

• 2. februar 2025: Forbud mod AI-praksisser med uacceptabel risiko (artikel 5) blev gældende. Artikel 8 er ikke endnu i kraft på denne dato.
• 2. august 2025: Regler om AI-modeller til generelle formål (afsnit VIII) og governance-bestemmelser blev gældende. Artikel 8 forbliver ikke-gældende.
• 2. august 2026: Artikel 8 og alle kapitel 2-krav finder anvendelse på højrisiko-AI-systemer opført i bilag III (fx biometrisk identifikation, kritisk infrastruktur, beskæftigelse, uddannelse, adgang til tjenester, retshåndhævelse, migration, retspleje).
• 2. august 2027: Artikel 8 og kapitel 2-krav finder anvendelse på højrisiko-AI-systemer, der er sikkerhedskomponenter i produkter underlagt bilag I EU-harmoniseringslovgivning (fx medicinsk udstyr, maskiner, legetøj, civil luftfartsudstyr), i betragtning af disse sektorers længere overensstemmelsesvurderingscyklusser.

Udbydere, der bringer bilag III-højrisikosystemer i omsætning efter den 2. august 2026, skal fra denne dato fuldt ud overholde artiklerne 8-15. Udbydere af bilag I-integrerede systemer har til den 2. august 2027, men bør begynde compliancearbejdet i god tid i betragtning af kompleksiteten ved dobbeltregimevurdering.