Høj-risiko AI-systemer under EU AI Act udløser typisk også en obligatorisk Data Protection Impact Assessment (DPIA) under GDPR Art. 35, når systemet behandler personoplysninger med høj risiko for de registrerede. Samtidig kræver EU AI Act Art. 71 registrering af det samme system i EU's centrale database inden markedsplacering. De to processer overlapper i indhold, men er retsligt distinkte — og manglende koordination skaber dobbeltarbejde og øger risikoen for compliance-hul. Denne guide forklarer DPIA-forpligtelsen under GDPR Art. 35, koblingen til Art. 71 database-registreringen, og hvordan de to spor kan køres parallelt.
Hvad er EU AI-databasen?
Art. 71 i EU AI Act etablerer en EU-administreret online-database, der giver offentlig adgang til oplysninger om alle registrerede høj-risiko AI-systemer. Databasen administreres af EU-Kommissionen.
Formålet med databasen er tresidet:
- Gennemsigtighed — offentligheden kan søge information om AI-systemer på markedet
- Tilsynsfacilitering — nationale tilsynsmyndigheder kan hurtigt identificere systemer og udbydere
- Markedsoversigt — Kommissionen og EAIB (EU AI Board) får et samlet billede af AI-systemer i EU
Databasen er ikke en godkendelsesprocedure — registrering indebærer ikke, at Kommissionen har kontrolleret eller godkendt systemet. Det er udbydernes erklæring til omverdenen.
Hvem skal registrere?
Primær forpligtelse — udbydere (providers):
Udbydere af høj-risiko AI-systemer under Annex III skal registrere systemet inden det bringes i omsætning eller tages i brug (Art. 71, stk. 1). "Udbyder" er den organisation, der har udviklet systemet og sætter det på markedet under sit eget navn eller mærke.
Særregel — deployers i den offentlige sektor:
Offentlige myndigheder (deployers) der anvender et høj-risiko AI-system, skal ligeledes registrere sig i databasen (Art. 71, stk. 3). Det er en separat registrering fra udbyderens.
Importører:
Importører af høj-risiko AI-systemer fra lande uden for EU har særlige ansvarsforpligtelser (Art. 23), der kan inkludere bistand til registrering.
Hvad skal registreres? De obligatoriske oplysninger
Art. 71, stk. 2, i sammenhold med Annex VIII, specificerer de oplysninger, der skal registreres. Her er de primære kategorier:
Udbyderoplysninger
- Virksomhedens navn, CVR-nummer/registreringsnummer og adresse
- Kontaktoplysninger (e-mail, telefon)
- Navn og kontaktoplysninger på EU-repræsentant (hvis udbyderen er etableret uden for EU)
Systemidentifikation
- Systemets navn og handelsmærke (trade name)
- Versionsnummer
- Beregnet formål (intended purpose) — beskrivelse af hvad systemet er beregnet til
Systemkategorisering
- Kategori under Annex III
- Anvendte harmoniserede standarder eller fælles specifikationer
- Reference til EU-overensstemmelseserklæringen (dokumentnummer, dato)
Teknisk reference
- Reference til teknisk dokumentation (Annex IV) — ikke selve dokumentationen, men en reference/identifikator
Markedsplacering
- EU-medlemsstater, hvor systemet er bragt i omsætning eller taget i brug
- Dato for første markedsplacering
Konformitetsvurdering
- Type af konformitetsvurdering (self-assessment eller notified body)
- Notified body-certifikatnummer (hvis relevant)
Hvornår skal registreringen ske?
Inden markedsplacering eller ibrugtagning (Art. 71, stk. 1):
Registreringen skal være gennemført, inden systemet bringes i omsætning — det vil sige, inden det stilles til rådighed for en kunde eller bruges internt til de formål, det er designet til.
Opdatering ved ændringer:
Udbydere skal opdatere registreringen, hvis der sker væsentlige ændringer i de registrerede oplysninger — fx en ny version med ændret beregnet formål, skift af kontaktoplysninger eller CE-mærkets gyldighed.
Tilbagetrækning:
Hvis et system trækkes fra markedet, skal dette ligeledes registreres i databasen.
Frister og ikrafttrædelse
Databasen er under etablering og forventes fuldt operationel inden 2. august 2026. Annex III-systemer (herunder HR-AI) er først fuldt underlagt forordningens krav fra 2. december 2027 (forordning (EU) 2026/1744, i kraft 27. juli 2026).
Praktisk tidslinje:
- 1. august 2024: Forordningen trådte i kraft
- 2. februar 2025: Art. 4 (AI-kompetencekrav) og Art. 5 (forbudte AI-praksisser) trådte i kraft
- 2. august 2026: Annex III høj-risiko krav fuldt ud gældende — registrering obligatorisk for alle Annex III-systemer
- 2. august 2027: Fuld forordning gælder for alle AI-systemer
Registreringsprocessen i praksis
Trin 1 — Forbered oplysningerne
Inden du åbner registreringsportalen, bør du have følgende klar:
- Virksomhedsoplysninger (CVR, adresse, kontakter)
- Beskrivelse af systemets beregnet formål
- Annex III-kategori
- Dato for første markedsplacering eller planlagt dato
- Reference til EU-overensstemmelseserklæring (Art. 47)
- Reference til teknisk dokumentation
Trin 2 — Opret adgang til EU-portalen
EU-Kommissionen har oprettet en central portal for registrering. Adgang sker via EU Login (det fælles EU-autentificeringssystem). Virksomheder skal oprette en organisationskonto.
Trin 3 — Udfyld registreringsformularen
Formularen følger strukturen i Annex VIII. Mange felter er tekstbaserede; andre er dropdown-valg (fx Annex III-kategori). Formularen guides typisk igennem et stepwise interface.
Trin 4 — Indsend og modtag registreringsnummer
Efter indsendelse modtager udbydere et unikt registreringsnummer. Dette nummer skal:
- Angives i EU-overensstemmelseserklæringen
- Inkluderes i brugerinstruktioner og teknisk dokumentation
- Bruges til CE-mærkets fulde dokumentationssæt
Trin 5 — Vedligehold registreringen
Sæt en intern reminder til at reviewe registreringen ved systemversioner og mindst én gang om året.
Fejl og sanktioner ved manglende registrering
Manglende registrering — eller registrering med forkerte eller ufuldstændige oplysninger — er en overtrædelse af Art. 71. Sanktioner:
Bødestørrelse: Op til 15 millioner euro eller 3% af global omsætning (det højeste beløb) — samme bødekategori som manglende QMS og risikoledelse.
Markedsstop: Tilsynsmyndigheder kan forbyde markedsplacering af et ikke-registreret system.
Note om proportionalitet: For SMV'er, der for første gang bringer et system på markedet og kan demonstrere god tro og hurtig korrektion, er det rimeligt at forvente, at tilsynsmyndighederne vil anvende proportionalitet. Men der er ingen lovfæstet lempelse.
Den offentlige database — hvad kan offentligheden se?
Databasen er offentligt tilgængelig (Art. 71, stk. 1) — det er et bevidst valg for at skabe gennemsigtighed. Det betyder, at:
- Konkurrenter kan se, hvilke AI-systemer jeres virksomhed har registreret
- Journalister og NGO'er kan søge i databasen
- Tilsynsmyndigheder på tværs af EU har adgang
Er der fortrolige oplysninger?
Udbydere skal ikke offentliggøre teknisk dokumentation — kun de specifikke oplysninger listet i Annex VIII. Forretningshemmeligheder beskyttes. Men systemets eksistens, formål og kategori er offentlig.
Dette kan have markedsmæssige implikationer. Virksomheder bør overveje, hvad de offentliggør om AI-systemer i registreringen, og sikre, at beskrivelserne er præcise uden at afsløre forretningshemmeligheder. Det anbefales at koordinere registreringens ordlyd med juridisk rådgivning og eventuel eksisterende teknisk dokumentation for at sikre intern konsistens.
Konklusion: EU-databaseregistrering som compliance-fundament
EU AI Act-registreringen er en compliance-forpligtelse, der kræver en systematisk vurdering af AI-systemets funktion, databehandling og risikoprofil. Den mest effektive tilgang er at koordinere registreringen med den øvrige compliance-dokumentation — teknisk dokumentation, konformitetsvurdering og GDPR-analyse. For HR-tech-deployere, der anvender høj-risiko AI-systemer, bør denne koordinerede analyse være afsluttet inden 2. december 2027, hvor Annex III-forpligtelserne træder i kraft og EU-databaseregistreringen skal være foretaget (forordning (EU) 2026/1744, i kraft 27. juli 2026).