Når en virksomhed sætter et høj-risiko AI-system på det europæiske marked, er der én forpligtelse, der skiller sig ud fra mængden: registrering i EU's centrale AI-database. Artikel 71 i EU AI Act (Forordning EU 2024/1689) etablerer en offentligt tilgængelig database, der skal skabe transparens om, hvilke AI-systemer der er i omløb, hvem der er ansvarlige, og hvilke vurderinger der er gennemført. Denne guide forklarer præcis, hvad registreringspligten indebærer, hvem den rammer, og hvad konsekvenserne er, hvis man springer den over.
1. EU-databasen for AI-systemer: formål og retsgrundlag
EU AI Act art. 71 pålægger Europa-Kommissionen at oprette og vedligeholde en central EU-database for høj-risiko AI-systemer. Databasen er designet til at opfylde tre overordnede formål:
Offentlig transparens. Borgere, medarbejdere, fagforeninger og civilsamfundsorganisationer skal kunne se, hvilke AI-systemer offentlige myndigheder og private virksomheder anvender i beslutningsprocesser, der vedrører dem direkte — for eksempel i rekruttering, kreditvurdering eller socialt sagsbehandling.
Markedsovervågning. Nationale tilsynsmyndigheder og EU AI Office har behov for et komplet overblik over markedet for høj-risiko AI-systemer for effektivt at kunne håndhæve forordningen og prioritere tilsynsindsatsen.
Ansvarssporbarhed. Databasen skaber en klar kobling mellem AI-systemer og de juridisk ansvarlige aktører — udbydere (providers) og i visse tilfælde deployers — hvilket forenkler håndhævelse og muliggør krydshenvisninger til teknisk dokumentation og overensstemmelseserklæringer.
Retsgrundlaget er art. 71, stk. 1-9 i EU AI Act, der trådte i kraft 1. august 2024, med de relevante registreringsforpligtelser, der finder fuld anvendelse fra 2. august 2026 for systemer under Bilag III (høj-risiko AI i henhold til art. 6, stk. 2) og fra 2. august 2027 for en bred vifte af andre systemer, jf. overgangsbestemmelserne i art. 111.
2. Art. 71 stk. 1: hvem skal registrere?
Registreringspligten er delt mellem to primære aktørtyper, og det er afgørende at forstå præcis, hvilken rolle ens virksomhed spiller.
Udbydere (providers) har den primære registreringspligt. En udbyder er enhver fysisk eller juridisk person, der udvikler et AI-system eller en GPAI-model og bringer det på markedet eller tager det i brug under eget navn eller varemærke, jf. art. 3, nr. 3. Udbyderen skal registrere systemet, inden det bringes i omsætning eller tages i brug i EU.
Deployers i den offentlige sektor har en selvstændig registreringspligt, der adskiller sig fra udbyderens. En offentlig myndighed, et EU-agentur eller organ, der anvender et høj-risiko AI-system, skal selv registrere sin brug, selv om udbyderen allerede har registreret selve systemet. Denne dobbeltregistrering afspejler, at den offentlige sektor har en særlig magt over de borgere, der berøres.
Private deployers (virksomheder, der anvender andres høj-risiko AI-systemer) er generelt ikke registreringspligtige, men de er forpligtet til at bruge registrerings-ID'et (EUID), som udbyderen tildeles, i deres kommunikation og dokumentation, jf. art. 26.
Det er vigtigt at bemærke, at art. 71 alene vedrører systemer klassificeret som høj-risiko efter art. 6 og Bilag II/III — ikke alle AI-systemer. Systemer med minimal risiko er ikke registreringspligtige, om end frivillig registrering fremmes.
3. Registreringspligtens indhold: hvilke oplysninger kræves?
Art. 71, stk. 2, og Bilag VIII specificerer de oplysninger, der skal indgå i registreringen. Disse er opdelt i to dele: oplysninger fra udbydere og oplysninger fra deployers i den offentlige sektor.
Udbydere skal indsende: