Artikel 12 — Registrering (EU:s AI-förordning)

Artikel 12 i förordning (EU) 2024/1689 — Registrering. Officiell text, praktisk tolkning, centrala skyldigheter och konsekvenser för efterlevnad.

Sammanfattning av den officiella texten

Artikel 12 i förordning (EU) 2024/1689 fastställer obligatoriska krav på registrering för högrisksystem för artificiell intelligens. Artikeln återfinns i avdelning III, kapitel 2, som anger de tekniska krav och styrningskrav som högrisksystem för artificiell intelligens måste uppfylla innan de släpps ut på EU-marknaden eller tas i drift.

Den centrala skyldigheten är att högrisksystem för artificiell intelligens måste utformas och utvecklas med loggningsfunktioner som möjliggör automatisk registrering av händelser — vanligen benämnda loggar — under systemets operativa livstid. Dessa loggar tjänar ett dubbelt syfte: de stöder leverantörens övervakning efter utsläppandet på marknaden enligt artikel 72 och gör det möjligt för nationella behöriga myndigheter att utöva sina tillsyns- och utredningsfunktioner.

Artikel 12(2) anger att loggningsfunktioner åtminstone måste registrera: perioden för varje användning av systemet (startdatum och -tid samt slutdatum och -tid), den referensdatabas mot vilken indata kontrollerades i tillämpliga fall, indata som ledde till ett visst utfall eller resultat, och — när det gäller biometriska identifieringssystem — identiteten hos de fysiska personer som var involverade i verifieringen av resultaten.

Artikeln lägger utformningsskyldigheten tydligt på leverantörerna. Loggning måste vara inbyggd i systemet redan vid konstruktionen, inte läggas till i efterhand. Detta återspeglar förordningens bredare filosofi om inbyggd integritetsskydd. Driftsansvariga som driftsätter dessa system har kompletterande skyldigheter enligt artikel 26 att bevara loggar som genereras under deras användning av systemet, i den mån sådana loggar befinner sig under deras kontroll.

Vad detta innebär i praktiken

För leverantörer som utvecklar eller släpper ut högrisksystem för artificiell intelligens på EU-marknaden kräver artikel 12 att beslut på ingenjörsnivå fattas under utformningsfasen, inte efter driftsättning. Loggning måste vara en arkitektonisk egenskap hos produkten.

Berörda parter. Varje organisation som utvecklar, släpper ut på marknaden eller tar i drift ett högrisksystem för artificiell intelligens enligt definitionen i artikel 6 och bilaga III är föremål för artikel 12. Detta innefattar system som används vid urval av arbetstagare, kreditbedömning, biometrisk identifiering, hantering av kritisk infrastruktur, utbildningsbedömning, brottsbekämpning, gränskontroll och rättskipning, bland annat. Driftsansvariga — organisationer som driftsätter en leverantörs högrisksystem för artificiell intelligens i sitt eget sammanhang — har sekundära skyldigheter att upprätthålla de loggar de kontrollerar.

Konkreta åtgärder som krävs. En leverantör måste implementera automatisk loggning som fångar upp de nödvändiga datapunkterna utan manuell inblandning. Till exempel måste en leverantör av ett AI-assisterat verktyg för granskning av CV:n se till att systemet loggar varje rekryteringssession, den datauppsättningsversion som användes för att träna eller kalibrera modellen och de indata (sökandeprofiler) som genererade varje utfall (rangordning eller rekommendation). En driftsansvarig som driftsätter det verktyget måste bevara dessa loggar och göra dem tillgängliga för myndigheterna på begäran.

Utredningsnytta. Loggar finns i första hand för att möjliggöra retrospektiv analys. Om ett system producerar ett diskriminerande utfall eller orsakar skada måste tillsynsmyndigheterna kunna rekonstruera vad som hände. Loggar som är ofullständiga, överskrivna eller otillgängliga omintetgör detta syfte och utsätter både leverantören och den driftsansvarige för risk för verkställighetsåtgärder.

Proportionalitet. Det specifika omfånget av vad som måste loggas är kalibrerat efter systemtyp. Biometriska system möter de mest detaljerade kraven. Leverantörer bör dokumentera sina loggningsutformningsbeslut i den tekniska dokumentation som krävs enligt artikel 11.

Centrala skyldigheter

• Loggning redan vid utformningen. Högrisksystem för artificiell intelligens måste utformas och utvecklas med automatiska händelseloggningsfunktioner inbyggda i systemarkitekturen innan marknadsutsläppning eller driftsättning.
• Minimiinnehåll i loggar. Loggar måste åtminstone fånga upp: den operativa perioden för varje användningssession, den referensdatabas som används för indataverifiering i tillämpliga fall, de indata som producerade varje utfall eller beslut, och — för biometriska identifieringssystem — identiteterna hos de fysiska personer som verifierade resultaten.
• Loggbevarande av driftsansvariga. Driftsansvariga måste bevara loggar som genereras under deras användning av ett högrisksystem för artificiell intelligens under den period som krävs enligt tillämplig lag och åtminstone under den tid som krävs för att stödja övervakning efter utsläppandet på marknaden och tillsynsutredningar.
• Tillgänglighet för myndigheter. Loggar måste vara tillgängliga för nationella behöriga myndigheter på begäran för att underlätta tillsynsövervakning, incidentutredning och marknadskontrollverksamhet.
• Spårbarhet för utfall. Loggningssystemet måste möjliggöra rekonstruktion av en orsakskedja från ett specifikt indata till ett specifikt utdata, vilket stödjer ansvarsskyldighet och rätten till förklaring där den är tillämplig.
• Anpassning till teknisk dokumentation. Loggningsarkitekturen och dess omfång måste beskrivas i den tekniska dokumentation som upprätthålls enligt artikel 11, vilket säkerställer konsekvens mellan systemet såsom utformat och systemet såsom övervakat.

Förhållande till andra artiklar

Artikel 12 kan inte läsas isolerat. Den fungerar som en del av ett nätverk av sammankopplade krav i avdelning III, kapitel 2.

Artikel 9 (System för riskhantering) fastställer det övergripande ramverket inom vilket loggning bidrar — loggar genererar de operativa data som behövs för att identifiera och bedöma risker vid driftsättning i verkliga förhållanden.

Artikel 11 (Teknisk dokumentation) kräver att leverantörer dokumenterar loggningsarkitekturen och dess funktioner som en del av den bredare tekniska fil som lämnas in till anmälda organ eller bevaras för tillsynsinspektion.

Artikel 17 (Kvalitetsledningssystem) kräver att leverantörer upprätthåller ett kvalitetsledningssystem som integrerar loggning i bredare operativa kontroller och förfaranden för korrigerande åtgärder.

Artikel 26 (Driftsansvarigas skyldigheter) ålägger driftsansvariga skyldigheten att bevara loggar under deras kontroll och att samarbeta med leverantörer och myndigheter, vilket gör artikel 12 till ett delat ansvar i hela leveranskedjan.

Artikel 72 (Övervakning efter utsläppandet på marknaden) är den nedströms konsumenten av artikel 12-loggar — övervakningssystemet förlitar sig på operativa loggar för att detektera prestandaförsämring, oväntade utfall och framväxande risker efter driftsättning.

Artikel 73 (Rapportering av allvarliga incidenter) använder loggdata som primära bevis när leverantörer är skyldiga att rapportera allvarliga driftstörningar eller incidenter till marknadskontrollmyndigheter.

Tidsplan för efterlevnad

EU:s AI-förordning (förordning 2024/1689) trädde i kraft den 1 augusti 2024, tjugo dagar efter offentliggörandet i Europeiska unionens officiella tidning.

Tillämpningen av förordningen är stegvis:

• 2 februari 2025 — Förbuden mot AI-metoder med oacceptabel risk (avdelning II, artikel 5) blev tillämpliga.
• 2 augusti 2025 — Reglerna om AI-modeller för allmänna ändamål (avdelning VIII) och styrningsskyldigheter (avdelning III, kapitel 4 om anmälda organ; avdelning VI om styrning) blev tillämpliga.
• 2 augusti 2026 — Skyldigheterna för högrisksystem för artificiell intelligens förtecknade i bilaga III börjar gälla för de flesta kategorier. Artikel 12 faller inom denna fas. Leverantörer och driftsansvariga för högrisksystem för artificiell intelligens måste ha kompatibla loggningsfunktioner på plats senast detta datum.
• 2 augusti 2027 — Förlängd tidsfrist för högrisksystem för artificiell intelligens som omfattas av befintlig sektorsspecifik unionsharmoniseringslagstiftning förtecknad i bilaga I (t.ex. maskiner, medicintekniska produkter), vilket ger dessa sektorer ytterligare tid att anpassa befintliga ramar för bedömning av överensstämmelse.

Organisationer som utvecklar högrisksystem för artificiell intelligens bör behandla 2 augusti 2026 som den hårda efterlevnadsfristen för artikel 12:s loggningskrav, med utformning och testning av loggningsinfrastrukturen slutförd i god tid i förväg för att möjliggöra förfaranden för bedömning av överensstämmelse enligt artikel 43.