Kapitel III, afdeling 3 i EU AI Act (Art. 16-27) fastlægger de fulde forpligtelser for *udbydere* (providers) af høj-risiko AI-systemer. Disse virksomheder — der designer, bygger og markedsfører AI-systemerne — bærer den tungeste compliance-byrde i EU AI Acts forpligtelseshierarki.
For softwarevirksomheder, AI-startups, tech-leverandører og virksomheder der bygger egne AI-systemer er Art. 16-27 det centrale compliance-fundament.
Art. 16: Provider-forpligtelsernes overblik
Art. 16 lister samtlige provider-forpligtelser i komprimeret form. Providere skal:
a) Sikre at høj-risiko AI-systemet opfylder kravene i Art. 8-15 (krav til høj-risiko AI)
b) Have et kvalitetsstyringssystem (Art. 17)
c) Opbevare relevant dokumentation og logfiler (Art. 18-19)
d) Gennemføre conformity assessment-procedure (Art. 43)
e) Registrere systemet i EU-databasen (Art. 71)
f) Udstede EU-overensstemmelseserklæring (Art. 47)
g) Anbringe CE-mærket på systemet (Art. 48)
h) Overholde registreringsforpligtelserne
i) Træffe korrigerende foranstaltninger ved non-compliance
j) Informere nationale myndigheder og distributorer ved alvorlige risici
k) Demonstrere conformity assessment-procedurens gennemførelse på forespørgsel
Art. 17: Kvalitetsstyringssystem (QMS)
Art. 17 kræver at providere etablerer et dokumenteret og velfungerende kvalitetsstyringssystem der dækker:
Strategier og procedurer for compliance (Art. 17 stk. 1 litra a): Dokumenterede processer for at opnå og vedligeholde compliance med EU AI Act.
Teknikker til AI-systemdesign (litra b): Procedurer for datakvalitet, testning, validering og versionsstyring.
Risikostyringssystemet (litra c): Integration af Art. 9 risikostyring i QMS.
Post-market surveillance (litra d): Procedurer for overvågning af systemets performance i drift (Art. 72).
Klagehåndtering og korrigerende foranstaltninger (litra e-f): Processer for håndtering af klager og identificerede compliance-problemer.
Datahåndtering (litra g): Procedurer for Art. 10's datakvalitetskrav.
Dokumentationsstyring (litra h): Systematisk styring af al compliance-dokumentation.
Management review (litra i): Periodisk ledelsesgennemgang af QMS-effektivitet.
ISO 9001 og ISO 42001 som grundlag: Mange virksomheder kan opfylde Art. 17 ved at tilpasse eksisterende ISO 9001 QMS med AI-specifikke krav. ISO 42001 (AI Management System Standard) er specifikt designet til EU AI Act-alignment.
Art. 18: Teknisk dokumentation (Annex IV)
Art. 18 pålægger providere at udarbejde og vedligeholde teknisk dokumentation inden systemet markedsføres eller tages i brug. Annex IV specificerer indholdet (9 sektioner):
Vedligeholdelseskrav: Teknisk dokumentation skal opdateres ved substantielle ændringer af systemet. En versionsstyret dokumentationsplatform (f.eks. Confluence, Notion, eller dedikeret compliance-software) anbefales.
Art. 19: Automatisk genererede logfiler
Art. 19 kræver at providere sikrer at høj-risiko AI-systemer teknisk er i stand til automatisk at generere logfiler der er tilstrækkelige til post-deployment surveillance (Art. 72) og til identificering af systemets handlinger under dets drift.
Logkrav:
GDPR-balance: Logning af persondata kræver GDPR-retsgrundlag og data minimization. Logfiler bør designes til at opfylde Art. 19's krav med mindst mulig persondata-eksponering.
Art. 20: Korrigerende foranstaltninger ved non-compliance
Art. 20 pålægger providere straks at træffe de nødvendige korrigerende foranstaltninger hvis de får kendskab til at et høj-risiko AI-system ikke er i overensstemmelse med EU AI Act. Dette inkluderer:
Korrigerende foranstaltnings-procedure:
Art. 21-22: EU-repræsentant for ikke-EU-baserede providere
Providere etableret uden for EU der markedsfører høj-risiko AI-systemer i EU skal udpege en EU-baseret *repræsentant* (Art. 22). Repræsentanten:
For US- og UK-baserede AI-leverandører der sælger til det europæiske marked er dette et konkret krav. EU-repræsentanten kan være en juridisk rådgiver, en eksisterende EU-filial, eller en specialiseret compliance-tjenesteudbyder.
Art. 23: Importørens forpligtelser
Art. 23 gælder den EU-etablerede aktør, der bringer et AI-system fra en tredjelandsbaseret udbyder i omsætning på EU-markedet. Importøren er ikke selv udbyder, men fungerer som EU-markedets første kontrolled og skal derfor verificere udbyderens arbejde, før systemet slippes videre.
Importøren skal konkret: verificere at udbyderen har gennemført overensstemmelsesvurderingen og udarbejdet den tekniske dokumentation, kontrollere at CE-mærket er anbragt, sikre at brugsanvisningen foreligger på et officielt EU-sprog, og sørge for at importørens egne kontaktoplysninger fremgår af systemet eller emballagen.
Praktisk konsekvens: importøren kan ikke nøjes med at videreformidle udbyderens erklæringer. Kan dokumentationen ikke fremvises, må systemet ikke bringes i omsætning — og importøren hæfter selvstændigt for den vurdering.
Art. 24: Distributørens forpligtelser
Art. 24 pålægger distributøren — det led, der gør systemet tilgængeligt på markedet uden at være udbyder eller importør — en lettere, men reel kontrolpligt.
Distributøren skal: verificere CE-mærkning og EU-overensstemmelseserklæring, kontrollere at udbyder og importør har opfyldt deres respektive pligter, og indberette kendte tilfælde af manglende overensstemmelse til både udbyderen og myndighederne.
Pligten er løbende. Får distributøren kendskab til, at et system, den allerede har videresolgt, ikke er i overensstemmelse, udløser det samme underretningspligt som ved den indledende kontrol.
Art. 25: Ansvar langs AI-værdikæden — når en aftager bliver udbyder
Art. 25 er den bestemmelse, der oftest overrasker virksomheder, som opfatter sig selv som rene aftagere. Art. 25 stk. 1 omklassificerer en idriftsætter, distributør eller importør til ny udbyder af høj-risiko-systemet i tre situationer:
a) Aktøren anbringer sit eget navn eller varemærke på et høj-risiko-system, der allerede er bragt i omsætning eller ibrugtaget.
b) Aktøren foretager en substantiel ændring af et høj-risiko-system, således at det fortsat er høj-risiko efter Art. 6.
c) Aktøren ændrer det tilsigtede formål med et system, der ikke var høj-risiko, så det derved bliver høj-risiko.
Retsvirkningen er indgribende: udbyderens fulde forpligtelseskatalog efter Art. 16-22 overgår til den nye aktør. Den oprindelige udbyder er samtidig forpligtet til at samarbejde og udlevere den information, der er nødvendig for at opfylde kravene (Art. 25 stk. 2), ligesom Art. 25 stk. 4 forpligter udbyderen til at give idriftsætteren den adgang og information, der skal til for at opfylde Art. 26.
Den klassiske fælde er finjustering af en grundmodel til et høj-risiko-formål. Virksomheden opfatter det som konfiguration af et indkøbt produkt, men har juridisk set påtaget sig udbyderrollen med alt, hvad det indebærer af kvalitetsstyringssystem, teknisk dokumentation, overensstemmelsesvurdering og CE-mærkning.
Art. 26-27: Idriftsætterens pligter og konsekvensanalysen for grundlæggende rettigheder
Art. 26 samler idriftsætterens forpligtelser — herunder pligten til at anvende systemet i overensstemmelse med brugsanvisningen, sikre menneskeligt tilsyn, overvåge driften og opbevare logfiler (Art. 26 stk. 6). Art. 26 er samtidig den bestemmelse, der udtrykkeligt adresserer arbejdspladsen: pligten til at informere de medarbejdere, der berøres, før et høj-risiko-system tages i brug, står her — ikke i databeskyttelsesretten.
Art. 27 pålægger visse idriftsættere at gennemføre en konsekvensanalyse for grundlæggende rettigheder (FRIA) før første brug af et høj-risiko-AI-system. Pligten gælder offentlige organer samt private aktører, der leverer offentlige tjenester, og desuden banker og forsikringsselskaber, der bruger AI til kreditscoring eller til risikovurdering ved livs- og sygeforsikring. Analysen skal beskrive processen, det tidsrum systemet anvendes i, hvilke fysiske personer der påvirkes, de specifikke risici og de afbødende foranstaltninger samt governance og klageadgang. Resultatet skal anmeldes til den nationale tilsynsmyndighed.
Sammenhængen mellem Art. 25 og Art. 27 er den, der koster mest at overse: en virksomhed, der finjusterer en model og dermed omklassificeres til udbyder efter Art. 25, skal opfylde udbyderkataloget i Art. 16-22 — og hvis den samtidig selv anvender systemet, skal den opfylde Art. 26 og i givet fald Art. 27 som idriftsætter. De to roller udelukker ikke hinanden.
Sådan kommer du videre
Art. 16-27 er ikke en liste, man afkrydser én gang. Det er et sammenhængende system, hvor kvalitetsstyring (Art. 17), teknisk dokumentation (Art. 18), logning (Art. 19) og korrigerende foranstaltninger (Art. 20) skal kunne dokumenteres over for en myndighed på forespørgsel. Første skridt er derfor at fastslå, hvilken rolle virksomheden faktisk har i værdikæden — og om Art. 25 allerede har flyttet den.