Når en virksomhed sætter et høj-risiko AI-system på det europæiske marked, er der én forpligtelse, der skiller sig ud fra mængden: registrering i EU's centrale AI-database. Artikel 71 i EU AI Act (Forordning EU 2024/1689) etablerer en offentligt tilgængelig database, der skal skabe transparens om, hvilke AI-systemer der er i omløb, hvem der er ansvarlige, og hvilke vurderinger der er gennemført. Denne guide forklarer præcis, hvad registreringspligten indebærer, hvem den rammer, og hvad konsekvenserne er, hvis man springer den over.
1. EU-databasen for AI-systemer: formål og retsgrundlag
EU AI Act art. 71 pålægger Europa-Kommissionen at oprette og vedligeholde en central EU-database for høj-risiko AI-systemer. Databasen er designet til at opfylde tre overordnede formål:
Offentlig transparens. Borgere, medarbejdere, fagforeninger og civilsamfundsorganisationer skal kunne se, hvilke AI-systemer offentlige myndigheder og private virksomheder anvender i beslutningsprocesser, der vedrører dem direkte — for eksempel i rekruttering, kreditvurdering eller social sagsbehandling.
Markedsovervågning. Nationale tilsynsmyndigheder og EU AI Office har behov for et komplet overblik over markedet for høj-risiko AI-systemer for effektivt at kunne håndhæve forordningen og prioritere tilsynsindsatsen.
Ansvarssporbarhed. Databasen skaber en klar kobling mellem AI-systemer og de juridisk ansvarlige aktører — udbydere (providers) og i visse tilfælde deployers — hvilket forenkler håndhævelse og muliggør krydshenvisninger til teknisk dokumentation og overensstemmelseserklæringer.
Retsgrundlaget er art. 71, stk. 1-9 i EU AI Act, der trådte i kraft 1. august 2024, med de relevante registreringsforpligtelser, der finder fuld anvendelse fra 2. december 2027 for systemer under Bilag III (høj-risiko AI i henhold til art. 6, stk. 2) — udskudt fra 2. august 2026 ved forordning (EU) 2026/1744, i kraft 27. juli 2026 — og fra 2. august 2028 for produktintegrerede systemer under Bilag I, jf. overgangsbestemmelserne i art. 111.
2. Art. 71 stk. 1: hvem skal registrere?
Registreringspligten er delt mellem to primære aktørtyper, og det er afgørende at forstå præcis, hvilken rolle ens virksomhed spiller.
Udbydere (providers) har den primære registreringspligt. En udbyder er enhver fysisk eller juridisk person, der udvikler et AI-system eller en GPAI-model og bringer det på markedet eller tager det i brug under eget navn eller varemærke, jf. art. 3, nr. 3. Udbyderen skal registrere systemet, inden det bringes i omsætning eller tages i brug i EU.
Deployers i den offentlige sektor har en selvstændig registreringspligt, der adskiller sig fra udbyderens. En offentlig myndighed, et EU-agentur eller organ, der anvender et høj-risiko AI-system, skal selv registrere sin brug, selv om udbyderen allerede har registreret selve systemet. Denne dobbeltregistrering afspejler, at den offentlige sektor har en særlig magt over de borgere, der berøres.
Private deployers (virksomheder, der anvender andres høj-risiko AI-systemer) er generelt ikke registreringspligtige, men de er forpligtet til at bruge registrerings-ID'et (EUID), som udbyderen tildeles, i deres kommunikation og dokumentation, jf. art. 26.
Det er vigtigt at bemærke, at art. 71 alene vedrører systemer klassificeret som høj-risiko efter art. 6 og Bilag II/III — ikke alle AI-systemer. Systemer med minimal risiko er ikke registreringspligtige, om end frivillig registrering fremmes.
3. Registreringspligtens indhold: hvilke oplysninger kræves?
Art. 71, stk. 2, og Bilag VIII specificerer de oplysninger, der skal indgå i registreringen. Disse er opdelt i to dele: oplysninger fra udbydere og oplysninger fra deployers i den offentlige sektor.
Udbydere skal indsende:
- Navn, registreret adresse og kontaktoplysninger på udbyderen samt eventuel autoriseret repræsentant.
- Systemets handelsnavn og version samt en klar og præcis beskrivelse af formålet, den tilsigtede anvendelse og de kategorier af personer, systemet berører.
- Status for overensstemmelsesvurdering, herunder reference til den relevante conformity assessment-procedure og eventuel bemyndiget organisations identifikationsnummer.
- En kopi af EU-overensstemmelseserklæringen (jf. Art. 47) og reference til den tekniske dokumentation.
- De EU-lande, hvor systemet er eller vil blive gjort tilgængeligt.
Offentlige deployers skal derudover registrere: den konkrete anvendelse, de kategorier af berørte personer og den offentlige myndigheds kontaktoplysninger, så borgere kan se præcist hvilken myndighed der bruger systemet og til hvad.
4. Frister og sanktioner
Registrering skal ske, inden systemet bringes på markedet eller tages i brug. For systemer, der allerede er på markedet inden forordningens ikrafttræden, gælder overgangsbestemmelserne i Art. 111 — men for nye standalone høj-risiko AI-systemer bliver registrering en forudsætning for lovlig markedsadgang i EU, når Bilag III-regimet finder anvendelse fra 2. december 2027 (udskudt fra 2. august 2026 ved forordning (EU) 2026/1744, der trådte i kraft 27. juli 2026).
Manglende registrering er en selvstændig overtrædelse af forordningen og kan medføre bøder på op til 15 millioner euro eller 3 % af global omsætning. Registreringen er desuden en forudsætning for CE-mærkning og udstedelse af EU-overensstemmelseserklæringen — uden den kan systemet ikke lovligt markedsføres som et høj-risiko AI-system i EU.
Konklusion: Registrering er ikke valgfrit
EU-databasen under Art. 71 er et fundament for forordningens håndhævelse og for borgernes ret til at vide, hvilke AI-systemer der påvirker dem. Virksomheder og offentlige myndigheder, der bringer høj-risiko AI-systemer på markedet eller anvender dem i offentlig myndighedsudøvelse, bør allerede nu kortlægge deres AI-portefølje, klassificere systemerne korrekt og planlægge registreringsproceduren, så den er gennemført inden den 2. december 2027 (forordning (EU) 2026/1744, i kraft 27. juli 2026). En tidlig kortlægning giver desuden mulighed for at opdage og udbedre eventuelle compliance-mangler i teknisk dokumentation og overensstemmelsesvurdering, inden fristen presses.