Artikel 18 i förordning (EU) 2024/1689 — Dokumentationsbevarande. Officiell text, praktisk tolkning, centrala skyldigheter och efterlevnadskonsekvenser.
Sammanfattning av den officiella texten
Artikel 18 i förordning (EU) 2024/1689 fastställer obligatoriska skyldigheter för bevarande av dokumentation för leverantörer av högrisk-AI-system som klassificeras enligt Bilaga III eller utvecklas enligt bestämmelserna i avdelning III, kapitel 2. Artikeln kräver att leverantörer bevarar, under en period av tio år från det datum då högrisk-AI-systemet släpps ut på marknaden eller tas i bruk, en specifik uppsättning dokument och register som styrker efterlevnaden av förordningen.
Den dokumentation som måste bevaras innefattar: den tekniska dokumentation som upprättats enligt artikel 11 och Bilaga IV; dokumentationen för kvalitetsledningssystemet som krävs enligt artikel 17; EU-försäkran om överensstämmelse som utfärdats enligt artikel 47; i tillämpliga fall, dokumentation och certifikat utfärdade av anmälda organ efter bedömningar av överensstämmelse enligt artikel 43; samt planer för övervakning efter utsläppandet på marknaden och de uppgifter som samlats in till följd av dessa enligt artikel 72.
När en leverantör är etablerad utanför Europeiska unionen bär skyldigheten att upprätthålla tillgänglig dokumentation gemensamt av leverantören och den i EU etablerade auktoriserade representanten som utsetts enligt artikel 22. Artikeln klargör dessutom att när sektorsspecifik unionslagstiftning — såsom förordningen om medicintekniska produkter (EU) 2017/745 eller maskinförordningen (EU) 2023/1230 — föreskriver en längre bevarandeperiod för likvärdiga tekniska handlingar, gäller det strängare sektorskravet, vilket säkerställer samstämmighet mellan de olika regelverken.
Vad detta innebär i praktiken
För efterlevnadsteam och produktägare omsätter artikel 18 sig i ett konkret program för hantering av handlingar som måste utformas innan ett högrisk-AI-system når marknaden, inte anpassas i efterhand.
Vilka berörs. Varje juridisk person som kvalificerar sig som "leverantör" enligt artikel 3(3) — typiskt den organisation som utvecklar eller låter utveckla ett högrisk-AI-system och släpper ut det på marknaden under eget namn eller varumärke — bär den primära skyldigheten. Tredjepartsdistributörer och importörer är inte direkt föremål för artikel 18 men kan utlösa likvärdiga skyldigheter om de väsentligt modifierar ett system enligt artikel 25.
Vad som ska bevaras. Skyldigheten täcker det fullständiga dokumentära livscykeln: teknisk dokumentation från designfasen (arkitektur, träningsdatauppsättningar, riskbedömning), dokumentation för kvalitetsledningssystemet inklusive interna revisionsloggar, den undertecknade försäkran om överensstämmelse, eventuella certifikat från anmälda organ och det löpande registret för övervakning efter utsläppandet på marknaden. Versionskontroll är implicit nödvändig eftersom uppdateringar som utgör en väsentlig modifiering återställer skyldigheterna avseende överensstämmelse och därmed dokumentationscykeln.
Praktiska exempel. Ett fintech-företag som driftsätter en kreditvärderingsmodell klassificerad som högrisk måste arkivera modellkortet, rapporter om biastestning, försäkran om överensstämmelse och alla incidentloggar efter driftsättning under tio år. En tillverkare av medicintekniska produkter som integrerar ett AI-drivet diagnostikverktyg som redan omfattas av MDR måste kontrollera om MDR:s 15-åriga bevaranderegel gäller, i vilket fall den längre perioden styr.
Operativ rekommendation. Leverantörer bör implementera ett dokumenthanteringssystem (DMS) med rollbaserad åtkomst, automatiserade bevarandescheman kopplade till marknadsplaceringsdatum och en revisionslogg över vem som har haft åtkomst till eller ändrat handlingar — allt detta stöder också beredskapen inför marknadskontrollsinspektioner enligt artikel 74.
Centrala skyldigheter
- Bevara den tekniska dokumentation som sammanställts enligt artikel 11 och Bilaga IV under minst 10 år från datum för marknadsplacering eller idrifttagande av högrisk-AI-systemet.
- Bevara dokumentationen för kvalitetsledningssystemet som krävs enligt artikel 17, inklusive register över interna kontroller, testresultat och korrigerande åtgärder, under samma 10-årsperiod.
- Bevara EU-försäkran om överensstämmelse som utfärdats enligt artikel 47 och, när en bedömning av överensstämmelse har genomförts av ett anmält organ enligt artikel 43, alla certifikat och relaterad korrespondens utfärdad av det organet.
- Upprätthålla register för övervakning efter utsläppandet på marknaden som samlats in enligt den plan som krävs enligt artikel 72, inklusive incidentrapporter och eventuella anmälningar om allvarliga incidenter inlämnade enligt artikel 73.
- Säkerställa att dokumentationen lagras på ett sätt som möjliggör omedelbar framläggning till nationella marknadskontrollmyndigheter på begäran under hela bevarandeperioden.
- När en auktoriserad representant har utsetts enligt artikel 22 måste denna representant inneha en kopia av dokumentationen och vara bemyndigad att tillhandahålla den till behöriga myndigheter å leverantörens vägnar.
Förhållande till andra artiklar
Artikel 18 fungerar som det arkivmässiga ryggraden i efterlevnadsramverket för högrisk-AI och kan inte förstås isolerat.
Den befinner sig nedströms om artikel 11 (teknisk dokumentation) och Bilaga IV, som definierar vad som måste skapas; artikel 18 styr sedan hur länge det måste bevaras. Den är beroende av artikel 17 (kvalitetsledningssystem) eftersom de KLS-handlingar den föreskriver måste bevaras. Den hänvisar till artikel 47 (EU-försäkran om överensstämmelse) och artikel 43 (bedömning av överensstämmelse), vars resultat utgör del av det bevarade ärendet.
Skyldigheter efter utsläppandet på marknaden enligt artikel 72 (plan för övervakning efter utsläppandet på marknaden) och artikel 73 (rapportering av allvarliga incidenter) matar kontinuerligt in i dokumentarkivet under systemets hela operativa livslängd. Artikel 74 (marknadskontroll) och artikel 75 (tillgång till data och dokumentation) är de verkställande motparterna: inspektörer som utövar befogenheter enligt dessa artiklar kommer att kräva tillgång till exakt de handlingar som artikel 18 föreskriver ska bevaras.
För leverantörer utanför EU måste artikel 22 om auktoriserade representanter läsas tillsammans med artikel 18 för att fastställa vilken enhet som innehar de fysiska eller elektroniska handlingarna inom unionen.
Tidsplan för efterlevnad
EU:s AI-förordning trädde i kraft den 1 augusti 2024, vilket inledde det stegvisa tillämpningsschemat.
Artikel 18 faller inom avdelning III, kapitel 3, som reglerar skyldigheter för leverantörer och användare av högrisk-AI-system förtecknade i Bilaga III. Dessa bestämmelser tillämpas från och med 2 augusti 2026 — det allmänna tillämpningsdatumet för högrisk-AI, 24 månader efter ikraftträdandet.
För högrisk-AI-system som omfattas av sektorslagstiftningen förtecknad i Bilaga I (t.ex. maskiner, medicintekniska produkter, civil luftfart) förlängs tidsfristen till 2 augusti 2027, 36 månader efter ikraftträdandet, i erkännande av behovet att anpassa sig till befintliga sektoriella överensstämmelsesramar.
Leverantörer bör notera att 10-årsklockan för bevarandet börjar löpa från det ögonblick då ett system släpps ut på marknaden eller tas i bruk — vilket kan inträffa på eller strax efter det tillämpliga tillämpningsdatumet. Dokumentationsskyldigheterna börjar därför faktiskt gälla samma datum som högriskskyldigheterna som helhet blir verkställbara. Organisationer som förväntar sig att placera system på marknaden på eller nära augustidatumet 2026 bör ha sin infrastruktur för hantering av handlingar operativ i god tid, eftersom teknisk dokumentation enligt artikel 11 måste existera innan bedömningen av överensstämmelse slutförs.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth.
Explore regulation-dora.eu ↗Frequently Asked Questions
Leverantörer måste bevara den tekniska dokumentation som upprättats enligt artikel 11, EU-försäkran om överensstämmelse, dokumentationen för kvalitetsledningssystemet som krävs enligt artikel 17, alla beslut och dokument utfärdade av anmälda organ samt rapporter om övervakning efter utsläppandet på marknaden. Dessa register måste bevaras under en period av 10 år efter det att högrisk-AI-systemet har släppts ut på marknaden eller tagits i bruk.
Artikel 18 ålägger dokumentationsbevarandeskyldigheterna främst på leverantörer. Användare har dock separata skyldigheter enligt artikel 26, inklusive att bevara loggar som automatiskt genereras av högrisk-AI-system i den utsträckning sådana loggar befinner sig under deras kontroll. De båda skyldigheterna är kompletterande och bör läsas tillsammans.
Den allmänna bevarandeperioden är 10 år från det datum då högrisk-AI-systemet släpps ut på marknaden eller tas i bruk. Om sektorsspecifik unionslagstiftning föreskriver en längre bevarandeperiod gäller det strängare sektorskravet.
Dokumentationen måste bevaras på ett sådant sätt att den kan göras tillgänglig för nationella behöriga myndigheter på begäran under hela bevarandeperioden. Det finns inget uttryckligt krav på att handlingarna förvaras i ett specifikt land, men leverantörer måste kunna presentera dem utan dröjsmål till marknadskontrollmyndigheten i varje medlemsstat där systemet är driftsatt.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.