Artikel 7 — Ändringar av bilaga III (EU:s AI-förordning)

Artikel 7 i förordning (EU) 2024/1689 — Ändringar av bilaga III. Officiell text, praktisk tolkning, centrala skyldigheter och konsekvenser för efterlevnad.

Sammanfattning av den officiella texten

Artikel 7 i förordning (EU) 2024/1689 ger Europeiska kommissionen befogenhet att ändra bilaga III — förteckningen över kategorier av AI-system med hög risk — genom delegerade akter som antagits i enlighet med artikel 97. Denna mekanism gör det möjligt för det regulatoriska perimetern i avdelning III att expandera eller krympa som svar på empirisk evidens, utan behov av ett fullständigt medbeslutandeförfarande.

Vid bedömningen av huruvida en ny kategori av AI-system ska läggas till i bilaga III är kommissionen skyldig att tillämpa en strukturerad uppsättning kriterier. Dessa inbegriper: allvaret och oåterkalleligheten av den skada som systemet kan orsaka avseende hälsa, säkerhet eller grundläggande rättigheter; antalet potentiellt berörda personer och deras grad av sårbarhet; i vilken utsträckning systemet redan har driftsatts och de verkliga skador som observerats; graden av mänsklig tillsyn som behålls över automatiserade resultat; samt om tillämplig unions- eller medlemsstatsrätt redan ger en adekvat skyddsnivå mot de identifierade riskerna.

Omvänt kan kommissionen ta bort en kategori från bilaga III när evidensbasen visar att den kvarstående risken inte längre uppnår det tröskelvärde som motiverar klassificering som hög risk, eller när likvärdiga skyddsåtgärder har etablerats genom andra bindande unionsinstrument.

Varje delegerad akt som antas enligt artikel 7 är föremål för det parlamentariska granskningsförfarande som fastställs i artikel 97, vilket ger Europaparlamentet och rådet rätten att invända innan akten träder i kraft. Detta säkerställer demokratisk tillsyn av den regulatoriska utvecklingen samtidigt som den rörlighet som kommissionen behöver för att hålla jämna steg med snabbt utvecklande AI-förmågor bevaras.

Vad detta innebär i praktiken

Artikel 7 fungerar som EU:s AI-förordnings adaptiva mekanism för klassificering av hög risk. I praktiken innebär detta att gränsen mellan AI-system som är föremål för det fullständiga efterlevnadsregimet för hög risk och de som inte är det inte är permanent fastställd vid ikraftträdandedatumet. Leverantörer och driftsansvariga måste därför kontinuerligt bevaka kommissionens delegerade akter, inte enbart vid tidpunkten för initial produktutveckling.

För organisationer som bygger eller driftsätter AI-system i sektorer som gränsar till bilaga III — exempelvis AI-verktyg som används inom personalförvaltning, kreditbedömning eller offentlig serviceleverans — skapar artikel 7 en efterlevnadshorisontrisk: ett system som idag faller utanför tillämpningsområdet kan falla inom tillämpningsområdet efter en kommissionsändring. Kloka organisationer bör genomföra en preliminär högriskbedömning även för gränsfall och utforma sin styrningsarkitektur så att den kan uppgraderas.

För organisationer som redan verkar inom kategorierna i bilaga III förstärker artikel 7 behovet av löpande efterlevnadsövervakning. En ändring som inskränker definitionen av en listad kategori kan minska vissa skyldigheter, men organisationer bör inte anta lättnad utan formell juridisk analys av den delegerade aktens tillämpningsområde.

Konkret befinner sig en leverantör av ett AI-assisterat verktyg som rangordnar jobbsökande i ett rekryteringssammanhang inom offentlig sektor för närvarande inom bilaga III, punkt 4. Om kommissionen, med stöd av eftermarknadsövervakningsdata som samlats in enligt artikel 72, fastställer att AI-system som används vid rekrytering i privat sektor hos små företag medför likvärdiga risker, kan den utvidga den punkten via artikel 7. Den leverantörens leveranskedja, krav på teknisk dokumentation och skyldigheter avseende bedömning av överensstämmelse skulle då gälla för ett bredare kundkollektiv.

Centrala skyldigheter

• Bevaka kommissionens delegerade akter: Leverantörer och driftsansvariga måste följa eventuella delegerade akter som antas enligt artikel 7 och som ändrar bilaga III, eftersom ändringar kan förändra deras efterlevnadsstatus utan övergångsperioder utöver dem som anges i akten som sådan.
• Upprätthålla anpassningsbar riskdokumentation: Teknisk dokumentation och protokoll för bedömning av överensstämmelse bör struktureras så att de kan uppdateras för att återspegla eventuell omklassificering av ett AI-system från icke-hög-risk till hög risk, eller vice versa.
• Genomföra horisontutvärderingar för gränsfall: Organisationer som driver AI-system i sektorer som gränsar till bilaga III bör regelbundet bedöma om kommissionens vägledning under utveckling eller marknadsövervakningsfynd indikerar en förestående ändring som kan påverka deras produkter.
• Delta i processer för offentligt samråd: Förfarandet för delegerade akter inkluderar samråd med berörda intressenter; leverantörer och branschorganisationer bör delta för att säkerställa att sektorsspecifik evidens beaktas innan kommissionen slutför ändringar.
• Se över kund- och leveranskedjans skyldigheter vid ändring: När en ändring utvidgar bilaga III måste leverantörer utan onödigt dröjsmål vidarebefordra uppdaterade avtals- och tekniska skyldigheter till driftsansvariga och anmälda organ.
• Följa borttagande av kategorier: När kommissionen tar bort en kategori bör organisationer bedöma om de kan minska efterlevnadsbördan, men måste bevara protokoll som styrker tidigare efterlevnad för de perioder under vilka högriskstatus gällde.

Förhållande till andra artiklar

Artikel 7 kan inte läsas isolerat från ett flertal andra bestämmelser. Den är direkt underordnad artikel 97, som reglerar utövandet av den delegerade befogenheten, inklusive delegationens varaktighet, villkoren för återkallande och det parlamentariska invändningsförfarandet.

De kriterier som artikel 7 föreskriver för att lägga till kategorier i bilaga III speglar direkt den riskbedömningsram som ligger till grund för artikel 9 (riskhanteringssystem), vilket innebär att samma sakfrågor som informerar en kommissionsändring också informerar en leverantörs interna riskhanteringsskyldigheter.

Artikel 6 fastställer den primära regeln för klassificering av hög risk, och artikel 7 fungerar som dess dynamiska komplement: tillsammans avgör de vilka AI-system som faller under de skyldigheter i avdelning III som fastställs i artiklarna 8 till 49.

Eftermarknadsövervakningsdata som samlats in enligt artikel 72 och rapporter om allvarliga incidenter enligt artikel 73 matar direkt den evidensbas som kommissionen använder när den överväger ändringar enligt artikel 7, vilket skapar en återkopplingsslinga mellan marknadsövervakning och regulatorisk klassificering. Slutligen är bilaga III i sig det operativa texten som artikel 7 ändrar; all efterlevnadsanalys måste genomföras mot den version av bilaga III som gäller vid tidpunkten för den relevanta aktiviteten, inte den version som gällde vid något tidigare datum.

Tidsplan för efterlevnad

2 augusti 2024 — Förordning (EU) 2024/1689 trädde i kraft. Artikel 7, inklusive kommissionens delegerade befogenhet att ändra bilaga III, blev operativ från detta datum. Delegationsperioden löper i fem år från ikraftträdandet och kan förnyas genom tyst förlängning enligt artikel 97.

2 februari 2025 — Förbjudna AI-praxis enligt artikel 5 blev tillämpliga. Ändringar enligt artikel 7 kan inte åsidosätta förbud; inget system som faller under artikel 5 kan rehabiliteras genom omklassificering.

2 augusti 2025 — Regler för AI-modeller för allmänna ändamål (avdelning VIII) blev tillämpliga. Kommissionens infrastruktur för eftermarknadsövervakning började producera data som kan informera framtida ändringar enligt artikel 7.

2 augusti 2026 — AI-system med hög risk som omfattas av harmoniserad unionslagstiftning listad i bilaga I, avsnitt A blev föremål för det fullständiga avdelning III-regimet. Ändringar enligt artikel 7 som påverkar dessa sektorer samverkar med befintlig produktsäkerhetslagstiftning.

2 augusti 2027 — AI-system med hög risk som anges i bilaga III (utöver de som redan är föremål för tidigare datum) blir fullt ut föremål för skyldigheterna i avdelning III. Detta är den primära efterlevnadsfristen för de flesta organisationer som berörs av klassificeringarna i bilaga III, inklusive eventuella framtida ändringar gjorda enligt artikel 7 innan detta datum. Ändringar som antas efter den 2 augusti 2027 kommer att ange sina egna tillämpningsdatum i enlighet med förfarandet för delegerade akter.