Artikel 21 — Samarbete mellan behöriga myndigheter (EU:s AI-förordning)

Artikel 21 i förordning (EU) 2024/1689 — Samarbete med behöriga myndigheter. Officiell text, praktisk tolkning, centrala skyldigheter och konsekvenser för efterlevnad.

Sammanfattning av officiell text

Artikel 21 i förordning (EU) 2024/1689 (EU:s AI-förordning) fastställer en allmän skyldighet för leverantörer av högrisk-AI-system att samarbeta med behöriga nationella myndigheter på begäran. Enligt denna bestämmelse måste leverantörer — och, där tillämpligt, deras auktoriserade representanter — förse behöriga myndigheter med all information och dokumentation som behövs för att visa att det aktuella högrisk-AI-systemet uppfyller de krav som anges i kapitel 2 i avdelning III. Denna samarbetsskyldighet sträcker sig till att bevilja tillgång till själva AI-systemet när den behöriga myndigheten anser att sådan tillgång är nödvändig för att fullgöra sina tillsyns- eller marknadskontrolluppgifter.

Artikeln verkar inom förordningens bredare marknadskontrollramverk och måste läsas i förening med de verkställighetsbefogenheter som tilldelats nationella myndigheter enligt avdelning X. Den skapar inte någon proaktiv upplysningsskyldighet i det ordinarie affärsförloppet; snarare aktiveras den vid en formell eller informell begäran från ett tillsynsorgan. Skyldigheten är ovillkorlig till sin räckvidd: leverantörer kan inte vägra samarbete med hänvisning till kommersiell konfidentialitet, affärshemligheter eller äganderättsintressen, även om förordningen innehåller separata skyddsåtgärder för myndigheternas hantering av konfidentiell information. Artikel 21 fungerar i praktiken som bryggan mellan de efterlevnadsskyldigheter som åläggs leverantörer och verkställighetskapaciteten hos den tillsynsinfrastruktur som inrättats av medlemsstaterna och det europeiska AI-kontoret.

Vad detta innebär i praktiken

För leverantörer av högrisk-AI-system kräver Artikel 21 att en strukturerad, revisionsförberedd efterlevnadsposition upprätthålls hela tiden — inte bara vid tidpunkten för bedömning av överensstämmelse. När en nationell marknadskontrollmyndighet, ett anmält organ som agerar under delegation, eller det europeiska AI-kontoret inleder en utredning måste leverantören kunna svara skyndsamt med omfattande teknisk dokumentation, resultat av bedömning av överensstämmelse, riskhanteringsregister och data från uppföljning efter utsläppandet på marknaden.

Vem berörs. Leverantörer som släpper ut högrisk-AI-system (listade i bilaga III eller täckta av sektorslagstiftning i bilaga I) på EU-marknaden är de primära skyldighetsinnehavarna. Auktoriserade representanter som agerar på uppdrag av leverantörer från tredjeländer har samma skyldighet inom ramen för sitt uppdrag. Driftsättare är inte de primära adressaterna för Artikel 21, men kan dras in i samarbetsförfaranden när deras driftsdata eller tillgång till det driftsatta systemet krävs av en myndighet.

Konkreta exempel. En tillverkare av medicintekniska produkter som integrerar ett AI-drivet diagnostikverktyg måste på begäran lämna över den fullständiga tekniska filen inklusive beskrivningar av träningsdata, valideringsprotokoll och övervakningsloggar efter driftsättning. En rekryterare som använder ett AI-stött CV-granskningsverktyg som kategoriserats som högrisk enligt bilaga III måste underlätta myndighetens tillgång till systemets beslutslogik och konfigurationsparametrar om en utredning inleds.

Operationell förberedelse. Organisationer bör utse en funktion för tillsynssamordning, upprätthålla versionskontrollerad teknisk dokumentation och upprätta ett internt protokoll för myndighetsbegäranden, inklusive juridiska granskningsfrister som inte hindrar skyndsamt samarbete.

Centrala skyldigheter

• Tillhandahålla dokumentation på begäran. Leverantörer måste förse behöriga myndigheter med all information och teknisk dokumentation som behövs för att bedöma efterlevnad av kapitel 2 i avdelning III, inklusive den tekniska filen som krävs enligt Artikel 11 och loggar som upprätthålls enligt Artikel 12.
• Bevilja tillgång till AI-systemet. När en behörig myndighet fastställer att inspektion av eller interaktion med AI-systemet är nödvändigt måste leverantörer underlätta sådan tillgång utan onödigt dröjsmål eller hinder.
• Samarbeta genom auktoriserade representanter. Leverantörer från tredjeländer måste säkerställa att deras auktoriserade representant etablerad i EU är bemyndigad att fullt ut fullgöra samarbetsskyldigheter på deras vägnar, som krävs enligt Artikel 22.
• Upprätthålla information i sökbar form. Den praktiska nyttan med Artikel 21 beror på att dokumentationen är aktuell, korrekt och sökbar. Leverantörer får inte tillåta att tekniska register blir föråldrade eller otillgängliga när en begäran mottas.
• Avhålla sig från att förhindra. Varje handling eller underlåtenhet som hindrar, försenar eller frustrerar en tillsynsutredning — inklusive selektivt utlämnande, förstöring av register eller undanhållande av åtkomstuppgifter — utgör ett brott mot Artikel 21 och kan utlösa påföljder enligt Artikel 99.
• Utvidga samarbetet till verksamhet för uppföljning på marknaden. Samarbete enligt Artikel 21 är inte begränsat till kontroller av efterlevnad före utsläppandet på marknaden; det omfattar löpande tillsynsövervakning under hela livscykeln för högrisk-AI-systemet.

Förhållande till andra artiklar

Artikel 21 befinner sig i skärningspunkten mellan leverantörsskyldigheter och tillsynsverkställighet och kan inte läsas isolerat. Den är direkt beroende av Artikel 11 (teknisk dokumentation) och Artikel 12 (registerföring och loggning), eftersom dessa bestämmelser definierar det informationsinnehåll som en leverantör måste kunna tillhandahålla. Den kopplar till Artikel 17 (kvalitetsledningssystem), som styr de organisatoriska processer som utgör grunden för dokumentationsberedskap. Artikel 22 (auktoriserade representanter) operationaliserar Artikel 21 för leverantörer från tredjeländer genom att fastslå vem som bär samarbetsskyldigheter i EU. På verkställighetssidan matar Artikel 21 in i marknadskontrollregimet i avdelning X (Artiklarna 74–76), det europeiska AI-kontorets befogenheter enligt avdelning VIII och sanktionsramverket i Artikel 99, som knyter sanktioner till bristande samarbete. Artikel 9 (riskhantering) är också relevant, eftersom myndigheter kan undersöka om register för riskidentifiering och riskminskning är adekvata. Att läsa Artikel 21 tillsammans med Artiklarna 13 (transparens) och 14 (mänsklig tillsyn) ger en fullständig bild av den informationsmiljö som leverantörer måste upprätthålla.

Tidsplan för efterlevnad

EU:s AI-förordning trädde i kraft den 1 augusti 2024, tjugo dagar efter publiceringen i Europeiska unionens officiella tidning. Dess bestämmelser tillämpas enligt ett stegvis schema:

• 2 februari 2025 — Förbud mot AI-praxis med oacceptabel risk (avdelning II) blev tillämpliga. Artikel 21 var ännu inte i kraft för högrisk-system.
• 2 augusti 2025 — Bestämmelserna om AI-modeller för allmänt ändamål (avdelning VIII) och det europeiska AI-kontorets skyldigheter blev tillämpliga.
• 2 augusti 2026 — Artikel 21, tillsammans med det fullständiga paketet av skyldigheter enligt avdelning III för högrisk-AI-system listade i bilaga III (med undantag för dem som täcks av tidigare sektorslagstiftning), blir tillämplig. Leverantörer vars system faller under denna kategori måste vara fullt samarbetsförberedda vid detta datum.
• 2 augusti 2027 — Högrisk-AI-system som regleras av den unionsharmoniseringslagstiftning som anges i bilaga I (t.ex. medicintekniska produkter, maskiner, luftfart) och som redan är föremål för bedömning av överensstämmelse har fram till detta datum innan de fullständiga skyldigheterna för högrisk enligt AI-förordningen, inklusive Artikel 21, börjar gälla för befintliga produkter.

Leverantörer bör behandla perioden fram till deras tillämpliga datum inte som en frist utan som implementeringstid: teknisk dokumentation, loggningsinfrastruktur och interna samarbetsprotokoll bör vara operativa i god tid före tidsfristen.