Artikel 95 — Uppförandekoder för frivillig tillämpning av specifika krav (EU:s AI-förordning)

Artikel 95 i förordning (EU) 2024/1689 — Uppförandekoder för frivillig tillämpning av specifika krav. Officiell text, praktisk tolkning, centrala skyldigheter och efterlevnadskonsekvenser.

Sammanfattning av officiell text

Art. 95 i förordning (EU) 2024/1689 (EU:s AI-förordning), placerad inom Avdelning X (Uppförandekoder och riktlinjer), upprättar ett frivilligt ramverk genom vilket leverantörer av AI-system som inte klassificeras som högrisksystem kan välja att förbinda sig till krav som går utöver deras rättsliga minimikrav.

Mer specifikt inbjuder Art. 95 leverantörer av AI-system som inte utgör hög risk att utarbeta uppförandekoder som är avsedda att på frivillig basis utvidga tillämpningen av de krav som fastställts i Avdelning III, Kapitel 2 — de obligatoriska skyldigheter som gäller för AI-system med hög risk. Dessa krav inkluderar riskhanteringssystem, praxis för datastyrning och datahantering, teknisk dokumentation, journalföring, transparens och tillhandahållande av information till driftsansvariga, åtgärder för mänsklig tillsyn, noggrannhet, robusthet och cybersäkerhet. Art. 95 uppmuntrar också uttryckligen uppförandekoder att ta itu med AI-systemens miljömässiga hållbarhet.

Utarbetandet av sådana uppförandekoder kan involvera leverantörer, driftsansvariga, representativa organisationer och andra relevanta intressenter, inklusive civilsamhälle och akademi. AI-byrån och nationella behöriga myndigheter har till uppgift att underlätta denna process. Kommissionen är bemyndigad att utfärda riktlinjer om form, innehåll och processer som är förknippade med uppförandekoder enligt denna artikel. Befintliga frivilliga åtaganden och branschens självreglerande ramverk kan beaktas vid utarbetandet av uppförandekoder enligt Art. 95, vilket undviker onödig dubblering av insatser.

Vad detta innebär i praktiken

Art. 95 skapar ett utrymme för ansvarsfulla AI-aktörer att signalera tillförlitlighet genom att frivilligt anpassa sig till de högre standarder som gäller för AI med hög risk — även när de inte är rättsligt skyldiga att göra det.

För leverantörer av AI-system med begränsad eller minimal risk innebär detta att de, i stället för att helt enkelt uppfylla de lättare skyldigheter som gäller för deras produkter (till exempel transparensmeddelanden för chattbotar enligt Art. 50), kan välja att implementera ett fullständigt riskhanteringssystem, genomföra revisioner av datastyrning, upprätthålla teknisk dokumentation och bygga in mekanismer för mänsklig tillsyn — och formalisera det åtagandet genom en offentligt uttalad uppförandekod.

I praktiken kan deltagande i en uppförandekod enligt Art. 95 fylla flera strategiska funktioner. Det kan differentiera en produkt på en konkurrensmarknad där företagskunder eller upphandlingsgrupper inom den offentliga sektorn kräver påvisbar tillförlitlighet. Det kan bygga upp de interna processer och dokumentationsvanor som underlättar framtida efterlevnad om en produkt senare omklassificeras som hög risk. Det kan också stärka organisationens position i dialoger med tillsynsmyndigheter och i samband med incidentutredningar.

Ett praktiskt exempel: en leverantör av ett AI-drivet rekryteringsscreeningverktyg som hamnar strax under högriskgränsen i Bilaga III kan ändå anta en uppförandekod som förbinder sig till biastestning, transparent modelldokumentation och periodisk mänsklig granskning av algoritmiska beslut — åtgärder som bygger användarförtroende och förutser regulatorisk utveckling.

Uppförandekoder förväntas vara specifika, mätbara och offentligt tillgängliga. Organisationer bör behandla dem inte som marknadsföringsinstrument utan som operativa åtaganden som är föremål för genuint internt styrning.

Centrala skyldigheter

• Frivillig antagning: Leverantörer av AI-system som inte är högrisksystem uppmanas men är inte skyldiga att utarbeta och tillämpa uppförandekoder som utvidgar kraven i Avdelning III Kapitel 2 till sina system.
• Omfattning av frivilliga krav: Uppförandekoder kan täcka riskhantering, datastyrning, teknisk dokumentation, transparens, mänsklig tillsyn, noggrannhet, robusthet, cybersäkerhet och AI-systemens miljömässiga hållbarhet.
• Inkluderande utarbetandeprocess: Uppförandekoder bör utarbetas med bidrag från leverantörer, driftsansvariga, representativa organisationer och relevanta intressenter inklusive civilsamhälle och akademi, med underlättning av AI-byrån och nationella behöriga myndigheter.
• Kompatibilitet med befintliga ramverk: Koder kan bygga på befintliga frivilliga åtaganden eller branschens självreglerande initiativ för att undvika dubblering, förutsatt att dessa ramverk är förenliga med förordningens mål.
• Kommissionens riktlinjer: Europeiska kommissionen kan utfärda riktlinjer som specificerar förväntad form, innehåll och processer för uppförandekoder enligt denna artikel, vilket ger ett referensramverk för intresserade parter.
• Miljömässig hållbarhet: Uppförandekoder uppmuntras uttryckligen att inkludera bestämmelser som främjar AI-systemens miljömässiga hållbarhet under hela deras livscykel, vilket återspeglar förordningens bredare politiska mål.

Förhållande till andra artiklar

Art. 95 bör läsas tillsammans med de obligatoriska transparensskyldigheterna i Art. 50, som utgör den faktiska rättsliga miniminivån för många AI-system som inte är högrisksystem. Det hämtar sitt materiella innehåll genom hänvisning från Avdelning III, Kapitel 2 (Art. 9–15), som fastställer kraven — riskhantering, datastyrning, teknisk dokumentation, loggning, transparens, mänsklig tillsyn, noggrannhet, robusthet och cybersäkerhet — som leverantörer av AI-system med hög risk måste uppfylla och som leverantörer av icke-högrisksystem frivilligt kan anta.

Art. 95 kompletteras av Art. 96, som bemyndigar kommissionen att utfärda riktlinjer om den praktiska implementeringen av denna artikel. Det kopplar också till Art. 56, som inrättar AI-byrån som ett underlättande organ, och till det bredare schemat för Art. 55 om uppförandekoder för AI-modeller för allmänna ändamål, som fungerar som ett parallellt men separat frivilligt ramverk för en annan kategori av aktörer. Tillsammans återspeglar dessa bestämmelser förordningens skiktade tillvägagångssätt: obligatoriska golv, frivilliga tak och institutionellt underlättande.

Tidsplan för efterlevnad

Art. 95 trädde i tillämpning som en del av det allmänna tillämpningsdatumet för EU:s AI-förordning. Förordningen trädde i kraft den 1 augusti 2024, tjugo dagar efter dess offentliggörande i Europeiska unionens officiella tidning. Tillämpningen av förordningens bestämmelser är stegvis:

• 1 februari 2025: Förbuden mot AI-metoder med oacceptabel risk (Avdelning II) blev tillämpliga.
• 2 augusti 2025: Bestämmelserna om AI-modeller för allmänna ändamål (Avdelning VIII) och styrningsstrukturer (Avdelning III i styrningskapitlet) blev tillämpliga.
• 2 augusti 2026: Majoriteten av förordningens bestämmelser, inklusive skyldigheter för AI-system med hög risk enligt Bilaga I (produktsäkerhetslagstiftning), blev tillämpliga.
• 2 augusti 2027: Skyldigheter för AI-system med hög risk listade i Bilaga III blev fullt tillämpliga.

Art. 95, som faller under Avdelning X, blev tillämplig den 2 augusti 2026 som en del av den allmänna tillämpningen av förordningen. Med tanke på dess frivilliga karaktär uppmuntras dock leverantörer som vill använda uppförandekoder som ett efterlevnads- och förtroendeskapande verktyg att engagera sig i processen så tidigt som möjligt — särskilt eftersom AI-byrån kan börja underlätta kodutarbetandet långt före de formella tidsfristerna, och tidiga aktörer drar nytta av att forma innehållet i dessa koder.