AI-forordningen kapitel III – Artikel 6–49

Artikel 6 Klassificeringsregler for højrisiko-AI-systemer 1. Uanset om et AI-system bringes i omsætning eller ibrugtages uafhængigt af de i litra a) og b) omhandlede produkter, betragtes AI-systemet som højrisiko, hvis begge følgende betingelser er opfyldt: a) AI-systemet tilsigtes anvendt som en sikkerhedskomponent i et produkt, eller AI-systemet er i sig selv et produkt, der er omfattet af den EU-harmoniseringslovgivning, der er anført i bilag I. b) Det produkt, hvis sikkerhedskomponent i henhold til litra a) er AI-systemet, eller AI-systemet selv som et produkt skal underkastes en overensstemmelsesvurdering foretaget af en tredjepart med henblik på omsætning eller ibrugtagning af produktet i henhold til den EU-harmoniseringslovgivning, der er anført i bilag I. 1a. Med henblik på denne forordning, herunder denne artikels stk. 1, betragtes AI-systemer, der udelukkende anvendes til ikkesikkerhedsrelaterede aspekter af brugerbistand, optimering af ydeevne, tjenestens effektivitet, automatisering eller bekvemmelighed eller kvalitetskontrol, ikke som sikkerhedskomponenter. 1b. Uanset stk. 1a betragtes AI-systemer, hvis svigt eller funktionsfejl vil bringe sundhed og sikkerhed i fare, som sikkerhedskomponenter. 1c. Et produkt, der skal underkastes en overensstemmelsesvurdering udført af tredjepart udelukkende på grund af andre risici end risici for sundhed og sikkerhed, navnlig risici i forbindelse med distribution af radiofrekvenser eller elektromagnetisk interferens, som ikke påvirker sundhed og sikkerhed, anses ikke for at opfylde betingelsen i stk. 1, litra b). 2. Ud over de højrisiko-AI-systemer, der er omhandlet i stk. 1, betragtes de AI-systemer, der er omhandlet i bilag III, også som højrisiko. 3. Uanset stk. 2 betragtes et AI-system, der er omhandlet i bilag III, ikke som højrisiko, hvis det ikke udgør en væsentlig risiko for skade på sundheden, sikkerheden eller fysiske personers grundlæggende rettigheder, herunder ved ikke i væsentlig grad at påvirke resultatet af beslutningstagning. Første afsnit finder anvendelse, hvis enhver af følgende betingelser er opfyldt: a) AI-systemet tilsigtes at udføre en snæver proceduremæssig opgave b) AI-systemet tilsigtes at forbedre resultatet af en tidligere afsluttet menneskelig aktivitet c) AI-systemet tilsigtes at påvise beslutningsmønstre eller afvigelser fra tidligere beslutningsmønstre og er ikke tiltænkt at skulle erstatte eller påvirke en tidligere afsluttet menneskelig vurdering uden en ordentlig menneskelig gennemgang, eller d) AI-systemet tilsigtes at udføre en forberedende opgave inden en vurdering, der er relevant for de anvendelsestilfælde, der er anført i bilag III. Uanset første afsnit betragtes et AI-system, der er omhandlet i bilag III, altid som højrisiko, hvis AI-systemet udfører profilering af fysiske personer. 4. En udbyder, som finder, at et AI-system, der er omhandlet i bilag III, ikke er højrisiko, skal dokumentere sin vurdering, inden det pågældende system bringes i omsætning eller ibrugtages. En sådan udbyder er underlagt registreringsforpligtelsen i artikel 49, stk. 2. Efter anmodning fra de nationale kompetente myndigheder fremlægger udbyderen dokumentation for vurderingen. 5. Kommissionen udarbejder efter høring af Det Europæiske Udvalg for Kunstig Intelligens (»AI-udvalget«) og senest den 2. februar 2026 retningslinjer, der præciserer den praktiske gennemførelse af denne artikel i overensstemmelse med artikel 96, sammen med en omfattende liste over praktiske eksempler på anvendelsestilfælde af AI-systemer, der er højrisiko og ikke højrisiko. 6. Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 for at ændre nærværende artikels stk. 3, andet afsnit, ved at tilføje nye betingelser til dem, der er fastsat i nævnte stykke, eller ved at ændre dem, hvis der foreligger konkret og pålidelig dokumentation for, at der findes AI-systemer, som hører under anvendelsesområdet i bilag III, men som ikke udgør en væsentlig risiko for skade på fysiske personers sundhed, sikkerhed eller grundlæggende rettigheder. 7. Kommissionen vedtager delegerede retsakter i overensstemmelse med artikel 97 for at ændre nærværende artikels stk. 3, andet afsnit, ved at lade enhver af de i nævnte stykke fastsatte betingelser udgå, hvis der foreligger konkret og pålidelig dokumentation for, at dette er nødvendigt for at opretholde det beskyttelsesniveauet for sundheden, sikkerheden og de grundlæggende rettigheder, der er fastsat ved denne forordning. 8. Enhver ændring af betingelserne i stk. 3, andet afsnit, vedtaget i overensstemmelse med denne artikels stk. 6 og 7, må ikke reducere det overordnede beskyttelsesniveau for sundheden, sikkerheden og de grundlæggende rettigheder, der er fastsat ved denne forordning, og sikrer overensstemmelse med de delegerede retsakter, der er vedtaget i henhold til artikel 7, stk. 1, og tager hensyn til den markedsmæssige og teknologiske udvikling.

Artikel 7 Ændring af bilag III 1. Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 for at ændre bilag III ved at tilføje eller ændre anvendelsestilfælde af højrisiko-AI-systemer, hvis begge følgende betingelser er opfyldt: a) AI-systemerne tilsigtes anvendt på et af de områder, der er anført i bilag III b) AI-systemerne udgør en risiko for skade på sundheden og sikkerheden eller for negativ indvirkning på de grundlæggende rettigheder, og denne risiko svarer til eller er større end risikoen for skade eller negativ indvirkning ved de højrisiko-AI-systemer, der allerede er omhandlet i bilag III. 2. Ved vurderingen af betingelsen i henhold til stk. 1, litra b), tager Kommissionen hensyn til følgende kriterier: a) det tilsigtede formål med AI-systemet b) i hvilket omfang et AI-system er blevet anvendt eller sandsynligvis vil blive anvendt c) arten og omfanget af de data, der behandles og anvendes af AI-systemet, navnlig om der behandles særlige kategorier af personoplysninger d) i hvilket omfang AI-systemet handler autonomt, og muligheden for at et menneske kan underkende en afgørelse eller anbefalinger, som kan føre til potentiel skade e) i hvilket omfang anvendelsen af et AI-system allerede har forvoldt skade på sundheden og sikkerheden, har haft negativ indvirkning på de grundlæggende rettigheder eller har skabt betydelig bekymring med hensyn til sandsynligheden for en sådan skade eller negativ indvirkning som påvist i f.eks. rapporter eller dokumenterede påstande, der er forelagt for de nationale kompetente myndigheder, eller i andre rapporter, alt efter hvad der er relevant f) det potentielle omfang af en sådan skade eller negativ indvirkning, navnlig med hensyn til dens størrelse og dens mulighed for påvirkning af flere personer eller for uforholdsmæssig påvirkning af en særlig gruppe af personer g) i hvilket omfang personer, der er potentielt skadede eller er ofre for en negativ indvirkning, er afhængige af det resultat, et AI-system giver, navnlig hvis det af praktiske eller juridiske grunde ikke med rimelighed er muligt at fravælge resultatet h) i hvilket omfang der er magtmæssig ubalance, eller de personer, der er potentielt skadede eller er ofre for en negativ indvirkning, befinder sig i en sårbar situation i forhold til idriftsætteren af et AI-system, navnlig som følge af status, autoritet, viden, økonomiske eller sociale omstændigheder eller alder i) i hvilket omfang det resultat, der fremkommer ved inddragelse af et AI-system, let kan korrigeres eller ændres under hensyntagen til de tilgængelige tekniske løsninger til at korrigere eller ændre det, idet resultater, der har en negativ indvirkning på sundheden, sikkerheden eller de grundlæggende rettigheder, ikke anses for let at kunne korrigeres eller ændres j) omfanget af og sandsynligheden for fordele ved idriftsættelsen af AI-systemet for enkeltpersoner, grupper eller samfundet som helhed, herunder mulige forbedringer af produktsikkerheden k) i hvilket omfang gældende EU-ret indeholder bestemmelser om: i) effektive retsmidler med hensyn til de risici, der er forbundet med et AI-system, med undtagelse af erstatningskrav ii) effektive foranstaltninger til at forebygge eller i væsentlig grad minimere disse risici. 3. Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 for at ændre listen i bilag III ved at fjerne højrisiko-AI-systemer, hvis begge følgende betingelser er opfyldt: a) det pågældende højrisiko-AI-system udgør ikke længere nogen væsentlig risiko for de grundlæggende rettigheder, sundheden eller sikkerheden under hensyntagen til kriterierne i stk. 2 b) fjernelsen reducerer ikke det generelle beskyttelsesniveau for sundhed, sikkerhed og grundlæggende rettigheder i henhold til EU-retten. AFDELING 2 Krav til højrisiko-AI-systemer

Artikel 8 Overholdelse af krav 1. Højrisiko-AI-systemer skal overholde de krav, der er fastsat i denne afdeling, under hensyntagen til deres tilsigtede formål og det generelt anerkendte aktuelle teknologiske niveau for AI og AI-relaterede teknologier. Ved sikringen af, at disse krav overholdes, tages det risikostyringssystem, der er omhandlet i artikel 9, i betragtning. 2. Hvis et produkt indeholder et AI-system, som kravene i denne forordning samt kravene i den EU-harmoniseringslovgivning, der er anført i bilag I, afsnit A, finder anvendelse på, er producenterne ansvarlige for at sikre, at deres produkt fuldt ud overholder alle gældende krav i den gældende EU-harmoniseringslovgivning. For at sikre at de højrisiko-AI-systemer, der er omhandlet i stk. 1, overholder kravene i denne afdeling, og for at sikre sammenhæng, undgå overlap og minimere yderligere byrder skal udbyderne have mulighed for i relevant omfang at integrere de nødvendige afprøvnings- og rapporteringsprocesser, oplysninger og den nødvendige dokumentation, som de stiller til rådighed vedrørende deres produkt, i dokumentation og procedurer, der allerede eksisterer og kræves i henhold til den EU-harmoniseringslovgivning, der er anført i bilag I, afsnit A.

Artikel 9 Risikostyringssystem 1. Hvad angår højrisiko-AI-systemer oprettes og gennemføres der et risikostyringssystem, som dokumenteres og vedligeholdes. 2. Risikostyringssystemet skal forstås som en kontinuerlig iterativ proces, der er planlagt og løber i hele højrisiko-AI-systemets livscyklus, og som kræver regelmæssig systematisk gennemgang og opdatering. Det omfatter følgende trin: a) kortlægning og analyse af kendte og med rimelighed forudsigelige risici, som højrisiko-AI-systemet kan udgøre for sundheden, sikkerheden eller de grundlæggende rettigheder, når højrisiko-AI-systemet anvendes i overensstemmelse med dets tilsigtede formål b) vurdering og evaluering af de risici, der kan opstå, når højrisiko-AI-systemet anvendes i overensstemmelse med dets tilsigtede formål og ved fejlanvendelse, der med rimelighed kan forudses c) evaluering af andre risici, der kan opstå, på grundlag af analyse af data indsamlet fra systemet til overvågning efter omsætningen, jf. artikel 72 d) vedtagelse af passende og målrettede risikostyringsforanstaltninger, der har til formål at imødegå de risici, der er identificeret i henhold til litra a). 3. De i denne artikel omhandlede risici vedrører kun dem, der med rimelighed kan afbødes eller fjernes gennem udviklingen eller udformningen af højrisiko-AI-systemet eller tilvejebringelsen af tilstrækkelige tekniske oplysninger. 4. De i stk. 2, litra d), omhandlede risikostyringsforanstaltninger tager behørigt hensyn til virkningerne og eventuelle interaktioner som følge af den kombinerede anvendelse af kravene i denne afdeling med henblik på at minimere risiciene mere effektivt og samtidig opnå en passende balance i gennemførelsen af foranstaltningerne til opfyldelse af disse krav. 5. De i stk. 2, litra d), omhandlede risikostyringsforanstaltninger er af en sådan art, at de relevante resterende risici, der er forbundet med hver fare, samt den samlede resterende risiko ved højrisiko-AI-systemerne vurderes at være acceptabel. I fastlæggelsen af de mest hensigtsmæssige risikostyringsforanstaltninger sikres følgende: a) fjernelse eller begrænsning af de risici, der er identificeret og evalueret i henhold til stk. 2, i det omfang det er teknisk muligt, gennem passende udformning og udvikling af højrisiko-AI-systemet b) om nødvendigt gennemførelse af passende foranstaltninger til afbødning og kontrol, som imødegår risici, der ikke kan fjernes c) tilvejebringelse af de oplysninger, der kræves i henhold til artikel 13, og, hvis det er relevant, træning af idriftsætterne. Med henblik på fjernelse eller begrænsning af risici i forbindelse med anvendelsen af et højrisiko-AI-system tages der behørigt hensyn til den tekniske viden, erfaring, uddannelse og træning, som kan forventes af idriftsætteren, og den formodentlige kontekst, i hvilken systemet tilsigtes anvendt. 6. Højrisiko-AI-systemer afprøves med henblik på at identificere de mest hensigtsmæssige og målrettede risikostyringsforanstaltninger. Afprøvning sikrer, at højrisiko-AI-systemer yder konsistent i overensstemmelse med deres tilsigtede formål og overholder de krav, der er fastsat i denne afdeling. 7. Afprøvningsprocedurerne kan omfatte afprøvning under faktiske forhold i overensstemmelse med artikel 60. 8. Afprøvning af højrisiko-AI-systemer foretages på et hvilket som helst tidspunkt under hele udviklingsprocessen, alt efter hvad der er relevant, og under alle omstændigheder inden de bringes i omsætning eller ibrugtages. Afprøvningen foretages på grundlag af på forhånd definerede parametre og probabilistiske tærskler, der er passende i forhold til det tilsigtede formål med højrisiko-AI-systemet. 9. Ved gennemførelsen af det risikostyringssystem, der er fastsat i stk. 1-7, tager udbyderne hensyn til, om der i betragtning af det tilsigtede formål med højrisiko-AI-systemet er sandsynlighed for, at det har en negativ indvirkning på personer under 18 år og i relevant omfang på andre sårbare grupper. 10. For udbydere af højrisiko-AI-systemer, der er underlagt krav vedrørende interne risikostyringsprocesser i henhold til andre relevante bestemmelser i EU-retten, kan de aspekter, der er fastsat i stk. 1-9, være en del af eller kombineres med de risikostyringsprocedurer, der er fastlagt i henhold til den pågældende ret.

Artikel 10 Data og datastyring 1. De højrisiko-AI-systemer, der gør brug af teknikker, som omfatter træning af AI-modeller med data, udvikles på grundlag af trænings-, validerings- og afprøvningsdatasæt, der opfylder de kvalitetskriterier, der er omhandlet i denne artikels stk. 2, 3 og 4 og i artikel 4a, stk. 1, når sådanne datasæt anvendes. 2. Trænings-, validerings- og afprøvningsdatasæt skal være underlagt former for datastyrings- og dataforvaltningspraksis, som er tilpasset højrisiko-AI-systemets tilsigtede formål. Disse former for praksis vedrører navnlig: a) de relevante valg med hensyn til udformning b) dataindsamlingsprocesser og dataenes oprindelse og, hvis der er tale om personoplysninger, det oprindelige formål med dataindsamlingen c) relevant dataforberedelsesbehandling såsom annotation, mærkning, rensning, opdatering, berigelse og aggregering d) formuleringen af antagelser, navnlig med hensyn til de oplysninger, som dataene skal måle og repræsentere e) en vurdering af tilgængeligheden, mængden og egnetheden af de datasæt, der er nødvendige f) undersøgelse med hensyn til mulige bias, der sandsynligvis vil påvirke personers sundhed og sikkerhed, have negativ indvirkning på de grundlæggende rettigheder eller føre til forskelsbehandling, som er forbudt i henhold til EU-retten, navnlig hvis dataoutput påvirker input til fremtidige operationer g) passende foranstaltninger til at påvise, forebygge og afbøde de mulige bias, der er identificeret i henhold til litra f) h) kortlægning af relevante datamangler eller datautilstrækkeligheder, som forhindrer overholdelse af denne forordning, og hvordan de kan afhjælpes. 3. Trænings-, validerings- og afprøvningsdatasæt skal i betragtning af det tilsigtede formål være relevante, tilstrækkeligt repræsentative og i videst muligt omfang fejlfrie og fuldstændige. De skal have de tilstrækkelige statistiske egenskaber, herunder, hvis det er relevant, med hensyn til de personer eller grupper af personer, på hvilke højrisiko-AI-systemet tilsigtes anvendt. Disse egenskaber kan opfyldes for de enkelte datasæt eller for en kombination heraf. 4. I datasæt tages der, i det omfang det er nødvendigt i lyset af deres tilsigtede formål, hensyn til de egenskaber eller elementer, der er særlige for den specifikke geografiske, kontekstuelle, adfærdsmæssige eller funktionelle ramme, inden for hvilken højrisiko-AI-systemet tilsigtes anvendt. __________ 6. Ved udvikling af højrisiko-AI-systemer, der ikke gør brug af teknikker, der omfatter træning af AI-modeller, finder denne artikels stk. 2, 3 og 4 og artikel 4a, stk. 1, kun anvendelse på afprøvningsdatasættene.

Artikel 11 Teknisk dokumentation 1. Den tekniske dokumentation for et højrisiko-AI-system udarbejdes, inden systemet bringes i omsætning eller ibrugtages, og holdes ajour. Denne tekniske dokumentation udarbejdes således, at den påviser, at højrisiko-AI-systemet overholder de krav, der er fastsat i denne afdeling, og at de oplysninger, der er nødvendige for at vurdere AI-systemets overholdelse af disse krav, gives på en klar og forståelig måde til de nationale kompetente myndigheder og bemyndigede organer. Den skal som minimum indeholde de i bilag IV fastsatte elementer. SMV’er, herunder iværksættervirksomheder, og SMC’er kan fremlægge de elementer i den tekniske dokumentation, der er anført i bilag IV, på en forenklet måde. Med henblik herpå udarbejder Kommissionen en forenklet formular for teknisk dokumentation, der er målrettet SMV’ers, herunder iværksættervirksomheders, og SMC’ers behov. Hvis en SMV, herunder en iværksættervirksomhed, eller en SMC vælger at fremlægge de oplysninger, der kræves i bilag IV, på en forenklet måde, anvender den formularen, der er omhandlet i dette stykke. Bemyndigede organer skal acceptere formularen med henblik på overensstemmelsesvurderingen. 2. Hvis et højrisiko-AI-system tilknyttet et produkt, der er omfattet af den i bilag I, afsnit A, anførte EU-harmoniseringslovgivning, bringes i omsætning eller ibrugtages, udarbejdes der et enkelt sæt teknisk dokumentation, der indeholder alle de oplysninger, der er fastsat i stk. 1, samt de oplysninger, der kræves i henhold til disse retsakter. 3. Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 for at ændre bilag IV, hvis det i lyset af den tekniske udvikling er nødvendigt for, at den tekniske dokumentation giver alle de oplysninger, der er nødvendige for at vurdere, om systemet overholder de krav, der er fastsat i denne afdeling.

Artikel 12 Registrering 1. Højrisiko-AI-systemer skal teknisk muliggøre automatisk registrering af hændelser (»logfiler«) under systemets levetid. 2. For at sikre en passende grad af sporbarhed i højrisiko-AI-systemets funktion i forhold til systemets tilsigtede formål skal logningskapaciteten muliggøre registrering af hændelser, der er relevante for: a) identifikation af situationer, der kan medføre, at højrisiko-AI-systemet udgør en risiko som omhandlet i artikel 79, stk. 1, eller en væsentlig ændring b) lettelse af overvågningen efter omsætningen, jf. artikel 72, og c) overvågning af driften af højrisiko-AI-systemer, jf. artikel 26, stk. 5. 3. For så vidt angår de højrisiko-AI-systemer, der er omhandlet i bilag III, punkt 1, litra a), omfatter logningskapaciteten som minimum: a) registrering af tidsperioden for hver anvendelse af systemet (startdato og -klokkeslæt samt slutdato og -klokkeslæt for hver anvendelse) b) den referencedatabase, med hvilken systemet har sammenholdt inputdata c) de inputdata, som i søgningen har givet et match d) identifikation af de fysiske personer, der er involveret i verifikationen af resultaterne, jf. artikel 14, stk. 5.

Artikel 13 Gennemsigtighed og formidling af oplysninger til idriftsætterne 1. Højrisiko-AI-systemer udformes og udvikles på en sådan måde, at deres drift er tilstrækkelig gennemsigtig til, at idriftsætterne kan fortolke et systems output og anvende det korrekt. Der sikres en passende type og grad af gennemsigtighed med henblik på at opnå overholdelse af de relevante udbyder- og idriftsætterforpligtelser, der er fastsat i afdeling 3. 2. Højrisiko-AI-systemer ledsages af en brugsanvisning i et passende digitalt format eller på anden vis, som indeholder kortfattede, fuldstændige, korrekte og klare oplysninger, som er relevante, tilgængelige og forståelige for idriftsætterne. 3. Brugsanvisningen skal som minimum indeholde følgende oplysninger: a) identitet på og kontaktoplysninger for udbyderen og dennes eventuelle bemyndigede repræsentant b) højrisiko-AI-systemets egenskaber, kapacitet og begrænsninger for dets ydeevne, herunder: i) det tilsigtede formål ii) det niveau af nøjagtighed, herunder systemets parametre, robusthed og cybersikkerhed, jf. artikel 15, i forhold til hvilket højrisiko-AI-systemet er afprøvet og valideret, og som kan forventes, samt alle kendte og forudsigelige omstændigheder, der kan have indvirkning på det forventede niveau af nøjagtighed, robusthed og cybersikkerhed iii) alle kendte eller forudsigelige omstændigheder i forbindelse med anvendelse af højrisiko-AI-systemet i overensstemmelse med dets tilsigtede formål eller ved fejlanvendelse, der med rimelighed kan forudses, der kan medføre risici for sundhed og sikkerhed eller grundlæggende rettigheder, jf. artikel 9, stk. 2 iv) hvis det er relevant, højrisiko-AI-systemets tekniske kapacitet og egenskaber til at give oplysninger, som er relevante for at forklare dets output v) hvis det er relevant, dets ydeevne for så vidt angår de specifikke personer eller grupper af personer, på hvilke systemet tilsigtes anvendt vi) hvis det er relevant, specifikationer for inputdataene eller andre relevante oplysninger med hensyn til de anvendte trænings-, validerings- og afprøvningsdatasæt under hensyntagen til højrisiko-AI-systemets tilsigtede formål vii) hvis det er relevant, oplysninger, der sætter idriftsætterne i stand til at fortolke højrisiko-AI-systemets output og anvende det korrekt c) eventuelle ændringer af højrisiko-AI-systemet og dets ydeevne, som udbyderen på forhånd har fastsat på tidspunktet for den indledende overensstemmelsesvurdering d) foranstaltninger til menneskeligt tilsyn, jf. artikel 14, herunder de tekniske foranstaltninger, der er indført for at lette idriftsætternes fortolkning af højrisiko-AI-systemers output e) de nødvendige beregningskrafts- og hardwareressourcer, højrisiko-AI-systemets forventede levetid og eventuelle nødvendige vedligeholdelses- og plejeforanstaltninger, herunder deres hyppighed, for at sikre, at AI-systemet fungerer korrekt, herunder med hensyn til softwareopdateringer f) hvis det er relevant, en beskrivelse af de mekanismer, der er medtaget i højrisiko-AI-systemet, og som giver idriftsætterne mulighed for på korrekt vis at indsamle, lagre og fortolke logfilerne i overensstemmelse med artikel 12.

Artikel 14 Menneskeligt tilsyn 1. Højrisiko-AI-systemer udformes og udvikles på en sådan måde, herunder med passende menneske-maskine-grænsefladeværktøjer, at fysiske personer effektivt kan overvåge dem i den periode, hvor de er i brug. 2. Menneskeligt tilsyn har til formål at forebygge eller minimere de risici for sundhed, sikkerhed eller grundlæggende rettigheder, der kan opstå, når et højrisiko-AI-system anvendes i overensstemmelse med dets tilsigtede formål eller under forhold med fejlanvendelse, der med rimelighed kan forudses, navnlig hvis sådanne risici fortsat består trods anvendelsen af andre krav, der er fastsat i denne afdeling. 3. Tilsynsforanstaltningerne skal stå i et rimeligt forhold til risiciene, graden af autonomi og den kontekst, som højrisiko-AI-systemet anvendes i, og sikres ved hjælp af en af eller samtlige følgende typer foranstaltninger: a) foranstaltninger, der er fastlagt og, hvis det er teknisk muligt, indbygget i højrisiko-AI-systemet fra udbyderens side, inden systemet bringes i omsætning eller ibrugtages b) foranstaltninger, der er fastlagt af udbyderen, inden højrisiko-AI-systemet bringes i omsætning eller ibrugtages, og som er egnede til at blive gennemført af idriftsætteren. 4. Med henblik på gennemførelsen af stk. 1, 2 og 3 leveres højrisiko-AI-systemet til idriftsætteren på en sådan måde, at det er muligt for fysiske personer, der har fået til opgave at varetage menneskeligt tilsyn, alt efter hvad der er relevant og forholdsmæssigt, at: a) forstå højrisiko-AI-systemets relevante kapacitet og begrænsninger korrekt og være i stand til at overvåge dets drift på behørig vis, herunder med henblik på at opdage og håndtere uregelmæssigheder, funktionsforstyrrelser og uventet ydeevne b) være opmærksomme på den mulige tendens til automatisk eller i overdreven grad af forlade sig på output frembragt af et højrisiko-AI-system (automatiseringsbias), navnlig for så vidt angår højrisiko-AI-systemer, der anvendes til at give oplysninger eller anbefalinger til afgørelser, der skal træffes af fysiske personer c) fortolke højrisiko-AI-systemets output korrekt under hensyntagen til f.eks. de tilgængelige fortolkningsværktøjer og -metoder d) beslutte i en særlig situation ikke at anvende højrisiko-AI-systemet eller på anden måde se bort fra, tilsidesætte eller omgøre outputtet fra højrisiko-AI-systemet e) gribe ind i højrisiko-AI-systemets drift eller afbryde systemet ved hjælp af en »stopknap« eller en lignende procedure, som gør det muligt at afbryde systemet i en sikker tilstand. 5. For så vidt angår de højrisiko-AI-systemer, der er omhandlet i bilag III, punkt 1, litra a), sikrer de foranstaltninger, der er omhandlet i denne artikels stk. 3, desuden, at idriftsætteren ikke foretager noget tiltag eller træffer nogen beslutninger på grundlag af en identifikation, der følger af systemet, medmindre denne identifikation er blevet verificeret og bekræftet særskilt af mindst to fysiske personer med den nødvendige kompetence, uddannelse og myndighed. Kravet om særskilt verifikation foretaget af mindst to fysiske personer finder ikke anvendelse på højrisiko-AI-systemer, der anvendes med henblik på retshåndhævelse, migrationsstyring, grænsekontrol og asylforvaltning, hvis anvendelsen af dette krav efter EU-retten eller national ret skønnes uforholdsmæssig.

Artikel 15 Nøjagtighed, robusthed og cybersikkerhed 1. Højrisiko-AI-systemer udformes og udvikles på en sådan måde, at de opnår et passende niveau af nøjagtighed, robusthed og cybersikkerhed, og at de i disse henseender yder konsistent i hele deres livscyklus. 2. For at håndtere de tekniske aspekter af, hvordan de passende niveauer af nøjagtighed og robusthed, der er fastsat i stk. 1, og andre relevante ydeevneparametre måles, tilskynder Kommissionen, alt efter hvad der er relevant, i samarbejde med relevante interessenter og organisationer såsom metrologi- og benchmarkingmyndigheder til udvikling af benchmarks og målemetoder. 3. Højrisiko-AI-systemers niveau og relevante parametre med hensyn til nøjagtighed angives i den ledsagende brugsanvisning. 4. Højrisiko-AI-systemer skal være så modstandsdygtige som muligt over for fejl, svigt og uoverensstemmelser, der kan forekomme i systemet eller i det miljø, som systemet fungerer i, navnlig på grund af systemets interaktion med fysiske personer eller andre systemer. I denne henseende træffes der tekniske og organisatoriske foranstaltninger. Højrisiko-AI-systemers robusthed kan opnås ved hjælp af tekniske redundansløsninger, som kan omfatte backupplaner eller »fail-safe plans«. De højrisiko-AI-systemer, der fortsætter med at lære efter at være bragt i omsætning eller ibrugtaget, udvikles på en sådan måde med henblik på i videst muligt omfang at fjerne eller reducere risikoen for, at eventuelt output behæftet med bias påvirker input i fremtidige operationer (feedbacksløjfer), og sikre, at sådanne feedbacksløjfer behørigt imødegås ved hjælp af passende afbødende foranstaltninger. 5. Højrisiko-AI-systemer skal være modstandsdygtige over for uautoriserede tredjeparters forsøg på at ændre deres anvendelse, output eller ydeevne ved at udnytte systemsårbarheder. De tekniske løsninger, der har til formål at sikre cybersikkerhed i forbindelse med højrisiko-AI-systemer, skal stå i et passende forhold til de relevante omstændigheder og risiciene. De tekniske løsninger til afhjælpning af AI-specifikke sårbarheder omfatter, alt efter hvad der er relevant, foranstaltninger til at forebygge, opdage, reagere på, afværge og kontrollere angreb, der søger at manipulere træningsdatasættet (dataforgiftning), eller forhåndstrænede komponenter, der anvendes i træning (modelforgiftning), input, der er udformet til at få AI-modellen til at begå fejl (ondsindede eksempler eller modelunddragelse), fortrolighedsangreb eller modelfejl. AFDELING 3 Forpligtelser for udbydere og idriftsættere af højrisiko-AI-systemer og andre parter

Artikel 16 Forpligtelser for udbydere af højrisiko-AI-systemer Udbydere af højrisiko-AI-systemer skal: a) sørge for, at deres højrisiko-AI-systemer overholder de krav, der er fastsat i afdeling 2 b) angive deres navn, registrerede firmanavn eller registrerede varemærke og kontaktadresse på højrisiko-AI-systemet, eller, hvis dette ikke er muligt, på dets emballage eller i den medfølgende dokumentation, alt efter hvad der er relevant c) have indført et kvalitetsstyringssystem, der er i overensstemmelse med artikel 17 d) opbevare den dokumentation, der er omhandlet i artikel 18 e) opbevare de logfiler, der automatisk genereres af deres højrisiko-AI-systemer, når logfilerne er under deres kontrol, som omhandlet i artikel 19 f) sørge for, at højrisiko-AI-systemet underkastes den relevante overensstemmelsesvurderingsprocedure som omhandlet i artikel 43, inden systemet bringes i omsætning eller ibrugtages g) udarbejde en EU-overensstemmelseserklæring i overensstemmelse med artikel 47 h) anbringe CE-mærkningen på højrisiko-AI-systemet eller, hvis dette ikke er muligt, på dets emballage eller i den medfølgende dokumentation, for at angive overensstemmelse med denne forordning i overensstemmelse med artikel 48 i) overholde de registreringsforpligtelser, der er omhandlet i artikel 49, stk. 1 j) foretage de nødvendige korrigerende tiltag og fremlægge oplysningerne som krævet i henhold til artikel 20 k) efter begrundet anmodning fra en national kompetent myndighed påvise, at højrisiko-AI-systemet er i overensstemmelse med de krav, der er fastsat i afdeling 2 l) sikre, at højrisiko-AI-systemet overholder tilgængelighedskravene i overensstemmelse med direktiv (EU) 2016/2102 og (EU) 2019/882.

Artikel 17 Kvalitetsstyringssystem 1. Udbydere af højrisiko-AI-systemer indfører et kvalitetsstyringssystem, der sikrer overensstemmelse med denne forordning. Systemet dokumenteres på en systematisk og velordnet måde i form af skriftlige politikker, procedurer og anvisninger og skal som minimum omfatte følgende aspekter: a) en strategi for overholdelse af lovgivningen, herunder overholdelse af overensstemmelsesvurderingsprocedurer og procedurer for forvaltning af ændringer af højrisiko-AI-systemet b) teknikker, procedurer og systematiske tiltag, der skal anvendes til udformningen, kontrollen af udformningen og verifikationen af udformningen af højrisiko-AI-systemet c) teknikker, procedurer og systematiske tiltag, der skal anvendes til udvikling, kvalitetskontrol og kvalitetssikring af højrisiko-AI-systemet d) undersøgelses-, afprøvnings- og valideringsprocedurer, der gennemføres før, under og efter udviklingen af højrisiko-AI-systemet, samt den hyppighed, hvormed de gennemføres e) tekniske specifikationer, herunder standarder, der anvendes, og, hvis de relevante harmoniserede standarder ikke anvendes fuldt ud eller ikke omfatter alle de relevante krav, der er fastsat i afdeling 2, de midler, der skal anvendes for at sikre, at højrisiko-AI-systemet overholder disse krav f) systemer til og procedurer for dataforvaltning, herunder dataopsamling, dataindsamling, dataanalyse, datamærkning, datalagring, datafiltrering, datamining, dataaggregering, dataopbevaring og enhver anden handling vedrørende data, som udføres forud for og med henblik på omsætning eller ibrugtagning af højrisiko-AI-systemer g) det risikoforvaltningssystem, der er omhandlet i artikel 9 h) oprettelse, implementering og vedligeholdelse af et system til overvågning efter omsætningen i overensstemmelse med artikel 72 i) procedurer for indberetning af en alvorlig hændelse i overensstemmelse med artikel 73 j) håndtering af kommunikation med nationale kompetente myndigheder, andre relevante myndigheder, herunder dem, der giver eller understøtter adgang til data, bemyndigede organer, andre operatører, kunder eller andre interesserede parter k) systemer til og procedurer for registrering af al relevant dokumentation og alle relevante oplysninger l) ressourceforvaltning, herunder foranstaltninger vedrørende forsyningssikkerhed m) en ansvarlighedsramme, der fastlægger ledelsens og det øvrige personales ansvar med hensyn til alle de aspekter, der er anført i dette stykke. 2. Gennemførelsen af de aspekter, der er omhandlet i stk. 1, skal stå i et rimeligt forhold til størrelsen af udbyderens organisation, navnlig hvis udbyderen er en SMV, herunder en iværksættervirksomhed, eller en SMC. Udbyderne skal under alle omstændigheder respektere den grad af strenghed og det beskyttelsesniveau, der kræves for at sikre, at deres højrisiko-AI-systemer er i overensstemmelse med denne forordning. 3. Udbydere af højrisiko-AI-systemer, der er underlagt forpligtelser vedrørende kvalitetssikringssystemer eller en tilsvarende funktion i henhold til relevant sektorspecifik EU-ret, kan medtage de aspekter, der er anført i stk. 1, som en del af kvalitetsstyringssystemerne i henhold til denne ret. 4. For de udbydere, der er finansielle institutioner, som er underlagt krav vedrørende deres interne ledelse, ordninger eller processer i henhold til EU-retten om finansielle tjenesteydelser, anses forpligtelsen til at indføre et kvalitetsstyringssystem med undtagelse af denne artikels stk. 1, litra g), h) og i), for at være opfyldt ved overholdelse af reglerne om ordninger eller processer for intern ledelse i henhold til den relevante EU-ret om finansielle tjenesteydelser. Med henblik herpå tages der hensyn til alle de harmoniserede standarder, der er omhandlet i artikel 40.

Artikel 18 Opbevaring af dokumentation 1. Udbyderen skal i ti år, efter at højrisiko-AI-systemet er blevet bragt i omsætning eller ibrugtaget, kunne forelægge de nationale kompetente myndigheder: a) den i artikel 11 omhandlede tekniske dokumentation b) dokumentationen vedrørende det i artikel 17 omhandlede kvalitetsstyringssystem c) dokumentationen vedrørende ændringer, der er godkendt af bemyndigede organer, hvis det er relevant d) de afgørelser og andre dokumenter, der er udstedt af de bemyndigede organer, hvis det er relevant e) den i artikel 47 omhandlede EU-overensstemmelseserklæring. 2. Hver medlemsstat fastsætter, på hvilke betingelser den i stk. 1 omhandlede dokumentation fortsat er til rådighed for de nationale kompetente myndigheder i den periode, der er anført i nævnte stykke, i de tilfælde, hvor en udbyder eller dennes bemyndigede repræsentant, der er etableret på dens område, går konkurs eller indstiller sine aktiviteter inden udløbet af denne periode. 3. De udbydere, der er finansielle institutioner, som er underlagt krav vedrørende deres interne ledelse, ordninger eller processer i henhold til EU-retten om finansielle tjenesteydelser, beholder den tekniske dokumentation som en del af den dokumentation, der opbevares i henhold til den relevante EU-ret om finansielle tjenesteydelser.

Artikel 19 Automatisk genererede logfiler 1. Udbydere af højrisiko-AI-systemer opbevarer de i artikel 12, stk. 1, omhandlede logfiler, der genereres automatisk af deres højrisiko-AI-systemer, i det omfang sådanne logfiler er under deres kontrol. Uden at det berører gældende EU-ret eller national ret, opbevares logfilerne i en periode, der er passende i forhold til det tilsigtede formål med højrisiko-AI-systemet, på mindst seks måneder, medmindre andet er fastsat i gældende EU-ret eller national ret, navnlig EU-retten om beskyttelse af personoplysninger. 2. De udbydere, der er finansielle institutioner, som er underlagt krav vedrørende deres interne ledelse, ordninger eller processer i henhold til EU-retten om finansielle tjenesteydelser, beholder de logfiler, der automatisk genereres af deres højrisiko-AI-systemer som en del af den dokumentation, der opbevares i henhold til den relevante ret om finansielle tjenesteydelser.

Artikel 20 Korrigerende tiltag og oplysningspligt 1. De udbydere af højrisiko-AI-systemer, der mener eller har grund til at mene, at et højrisiko-AI-system, som de har bragt i omsætning eller ibrugtaget, ikke er i overensstemmelse med denne forordning, foretager omgående de nødvendige korrigerende tiltag til at bringe det pågældende system i overensstemmelse hermed, tilbagetrække det, tage det ud af drift eller tilbagekalde det, alt efter hvad der er relevant. De underretter distributørerne af det pågældende højrisiko-AI-system og om nødvendigt idriftsætterne, den bemyndigede repræsentant samt importører herom. 2. Hvis et højrisiko-AI-system udgør en risiko som omhandlet i artikel 79, stk. 1, og udbyderen får kendskab til denne risiko, undersøger denne omgående årsagerne i samarbejde med den indberettende idriftsætter, hvis det er relevant, og underretter de markedsovervågningsmyndigheder, der er kompetente for det pågældende højrisiko-AI-system, og, hvis det er relevant, det bemyndigede organ, der har udstedt en attest for det pågældende højrisiko-AI-system i overensstemmelse med artikel 44, navnlig om arten af den manglende overholdelse og om eventuelle relevante korrigerende tiltag, der er foretaget.

Artikel 21 Samarbejde med kompetente myndigheder 1. Udbydere af højrisiko-AI-systemer giver efter begrundet anmodning fra en kompetent myndighed denne myndighed alle de fornødne oplysninger og al den fornødne dokumentation for at påvise, at højrisiko-AI-systemet er i overensstemmelse med de krav, der er fastsat i afdeling 2, på et sprog, som den pågældende myndighed let kan forstå, og på et af EU-institutionernes officielle sprog som angivet af den pågældende medlemsstat. 2. Efter begrundet anmodning fra en kompetent myndighed giver udbydere, alt efter hvad der er relevant, også den anmodende kompetente myndighed adgang til de automatisk genererede logfiler af højrisiko-AI-systemet, der er omhandlet i artikel 12, stk. 1, i det omfang sådanne logfiler er under deres kontrol. 3. Alle de oplysninger, som en kompetent myndighed kommer i besiddelse af i henhold til denne artikel, behandles i overensstemmelse med fortrolighedsforpligtelserne fastsat i artikel 78.

Artikel 22 Bemyndigede repræsentanter for udbydere af højrisiko-AI-systemer 1. Udbydere, der er etableret i tredjelande, udpeger, inden deres højrisiko-AI-systemer gøres tilgængelige på EU-markedet, ved skriftligt mandat en bemyndiget repræsentant, der er etableret i Unionen. 2. Udbyderen skal gøre det muligt for sin bemyndigede repræsentant at udføre de opgaver, der er fastsat i det mandat, vedkommende har modtaget fra udbyderen. 3. Den bemyndigede repræsentant udfører de opgaver, der er fastsat i det mandat, vedkommende har modtaget fra udbyderen. Vedkommende skal på anmodning give markedsovervågningsmyndighederne en kopi af mandatet på et af EU-institutionernes officielle sprog som angivet af den kompetente myndighed. Med henblik på denne forordning sætter mandatet den bemyndigede repræsentant i stand til at udføre følgende opgaver: a) at kontrollere, at den EU-overensstemmelseserklæring, der er omhandlet i artikel 47, og den tekniske dokumentation, der er omhandlet i artikel 11, er blevet udarbejdet, og at en passende overensstemmelsesvurderingsprocedure er blevet gennemført af udbyderen b) i en periode på ti år efter, at højrisiko-AI-systemet er blevet bragt i omsætning eller ibrugtaget, at kunne forelægge de kompetente myndigheder og nationale myndigheder eller organer, der er omhandlet i artikel 74, stk. 10, kontaktoplysningerne for den udbyder, der udpegede den bemyndigede repræsentant, en kopi af den i artikel 47 omhandlede EU-overensstemmelseserklæringen, den tekniske dokumentation og, hvis det er relevant, den attest, der er udstedt af det bemyndigede organ c) efter begrundet anmodning at give de kompetente myndigheder alle de fornødne oplysninger og al den fornødne dokumentation, herunder den, der er omhandlet i dette afsnits litra b), for at påvise, at et højrisiko-AI-system er i overensstemmelse med kravene fastsat i afdeling 2, herunder adgang til logfilerne som omhandlet i artikel 12, stk. 1, der genereres automatisk af højrisiko-AI-systemet, i det omfang sådanne logfiler er under udbyderens kontrol d) efter begrundet anmodning at samarbejde med de kompetente myndigheder om ethvert tiltag, som sidstnævnte foretager i forbindelse med højrisiko-AI-systemet, navnlig med henblik på at reducere og afhjælpe de risici, som højrisiko-AI-systemet udgør e) hvis det er relevant, at overholde registreringsforpligtelserne, jf. artikel 49, stk. 1, eller, hvis registreringen foretages af udbyderen selv, sikre, at de oplysninger, der er omhandlet i bilag VIII, afsnit A, punkt 3, er korrekte. Mandatet giver beføjelse til, at den bemyndigede repræsentant, ud over eller i stedet for udbyderen, kan modtage henvendelser fra de kompetente myndigheder om alle spørgsmål relateret til at sikre overholdelse af denne forordning. 4. Den bemyndigede repræsentant bringer mandatet til ophør, hvis vedkommende mener eller har grund til at mene, at udbyderen handler i strid med sine forpligtelser i henhold til denne forordning. I så fald underretter den omgående den relevante markedsovervågningsmyndighed samt, hvis det er relevant, det relevante bemyndigede organ om mandatets ophør og begrundelsen herfor.

Artikel 23 Forpligtelser for importører 1. Importører sikrer, før de bringer et højrisiko-AI-system i omsætning, at systemet er i overensstemmelse med denne forordning, ved at kontrollere, at: a) udbyderen af dette højrisiko-AI-system har gennemført den relevante overensstemmelsesvurderingsprocedure, jf. artikel 43 b) udbyderen har udarbejdet den tekniske dokumentation i overensstemmelse med artikel 11 og bilag IV c) systemet er forsynet med den krævede CE-mærkning og ledsages af den i artikel 47 omhandlede EU-overensstemmelseserklæring og brugsanvisning d) udbyderen har udpeget en bemyndiget repræsentant i overensstemmelse med artikel 22, stk. 1. 2. Hvis en importør har tilstrækkelig grund til at mene, at et højrisiko-AI-system ikke er i overensstemmelse med denne forordning eller er forfalsket eller ledsaget af forfalsket dokumentation, må vedkommende ikke bringe systemet i omsætning, før det er blevet bragt i overensstemmelse hermed. Hvis højrisiko-AI-systemet udgør en risiko som omhandlet i artikel 79, stk. 1, underretter importøren udbyderen af systemet, den bemyndigede repræsentant og markedsovervågningsmyndighederne herom. 3. Importører angiver deres navn, registrerede firmanavn eller registrerede varemærke og kontaktadresse på højrisiko-AI-systemet og på dets emballage eller i den medfølgende dokumentation, hvis det er relevant. 4. Importører sikrer, at opbevarings- og transportbetingelserne, hvis det er relevant, for højrisiko-AI-systemer, som de har ansvaret for, ikke bringer dets overholdelse af kravene fastsat i afdeling 2 i fare. 5. Importører opbevarer i ti år efter, at højrisiko-AI-systemet er blevet bragt i omsætning eller ibrugtaget, en kopi af den attest, der er udstedt af det bemyndigede organ, hvis det er relevant, af brugsanvisningen og af den i artikel 47 omhandlede EU-overensstemmelseserklæring. 6. Importører giver efter begrundet anmodning og på et sprog, som de relevante myndigheder let kan forstå, disse myndigheder alle de fornødne oplysninger og al den fornødne dokumentation, herunder den, der er omhandlet i stk. 5, for at påvise, at et højrisiko-AI-system er i overensstemmelse med kravene i afdeling 2. Med henblik herpå skal de også sikre, at den tekniske dokumentation kan stilles til rådighed for disse myndigheder. 7. Importører samarbejder med de relevante kompetente myndigheder om ethvert tiltag, som disse myndigheder foretager vedrørende et højrisiko-AI-system, som importørerne har bragt i omsætning, navnlig med henblik på at reducere eller afbøde de risici, som det udgør.

Artikel 24 Forpligtelser for distributører 1. Distributører kontrollerer, før de gør et højrisiko-AI-system tilgængeligt på markedet, at det er forsynet med den krævede CE-mærkning, at det ledsages af en kopi af den i artikel 47 omhandlede EU-overensstemmelseserklæring og brugsanvisning, og at udbyderen og importøren af dette system, alt efter hvad der er relevant, har opfyldt deres respektive forpligtelser som fastsat i artikel 16, litra b) og c), og artikel 23, stk. 3. 2. Hvis en distributør på grundlag af oplysningerne i dennes besiddelse mener eller har grund til at mene, at et højrisiko-AI-system ikke er i overensstemmelse med kravene i afdeling 2, må vedkommende ikke gøre højrisiko-AI-systemet tilgængeligt på markedet, før systemet er blevet bragt i overensstemmelse med de nævnte krav. Hvis højrisiko-AI-systemet ydermere udgør en risiko som omhandlet i artikel 79, stk. 1, underretter distributøren udbyderen eller importøren af systemet, alt efter hvad der er relevant, herom. 3. Distributører sikrer, hvis det er relevant, at opbevarings- og transportbetingelserne for højrisiko-AI-systemer, som de har ansvaret for, ikke bringer systemets overholdelse af kravene i afdeling 2 i fare. 4. Hvis en distributør på grundlag af oplysningerne i dennes besiddelse mener eller har grund til at mene, at et højrisiko-AI-system, som vedkommende har gjort tilgængeligt på markedet, ikke er i overensstemmelse med kravene i afdeling 2, foretager vedkommende de nødvendige korrigerende tiltag for at bringe systemet i overensstemmelse med disse krav, tilbagetrække det eller tilbagekalde det eller sikrer, at udbyderen, importøren eller enhver relevant operatør, alt efter hvad der er relevant, foretager disse korrigerende tiltag. Hvis højrisiko-AI-systemet udgør en risiko som omhandlet i artikel 79, stk. 1, orienterer distributøren omgående udbyderen eller importøren af systemet og de myndigheder, der er kompetente for det pågældende højrisiko-AI-system, herom og giver navnlig nærmere oplysninger om den manglende overholdelse og de foretagne korrigerende tiltag. 5. Efter begrundet anmodning fra en relevant kompetent myndighed giver distributører af et højrisiko-AI-system denne myndighed alle fornødne oplysninger og al fornøden dokumentation vedrørende deres handlinger i henhold til stk. 1-4 for at påvise, at dette højrisiko-AI-system er i overensstemmelse med kravene i afdeling 2. 6. Distributører samarbejder med de relevante kompetente myndigheder om ethvert tiltag, som disse myndigheder foretager vedrørende et højrisiko-AI-system, som distributørerne har bragt i omsætning, navnlig med henblik på at reducere eller afbøde de risici, som det udgør.

Artikel 25 Ansvar i hele AI-værdikæden 1. Enhver distributør, importør, idriftsætter eller anden tredjepart anses for at være udbyder af et højrisiko-AI-system med henblik på denne forordning og er underlagt forpligtelserne for udbydere, jf. artikel 16, i følgende tilfælde: a) de anbringer deres navn eller varemærke på et højrisiko-AI-system, der allerede er bragt i omsætning eller ibrugtaget, uden at det berører kontraktlige ordninger om, at forpligtelserne er fordelt anderledes b) de foretager en væsentlig ændring af et højrisiko-AI-system, der allerede er bragt i omsætning eller allerede er ibrugtaget, på en sådan måde, at det forbliver et højrisiko-AI-system i henhold til artikel 6 c) de ændrer det tilsigtede formål med et AI-system, herunder et AI-system til almen brug, der ikke er klassificeret som højrisiko og allerede er bragt i omsætning eller ibrugtaget, på en sådan måde, at det pågældende AI-system bliver et højrisiko-AI-system i overensstemmelse med artikel 6. 2. Hvis de omstændigheder, der er omhandlet i stk. 1, indtræffer, anses den udbyder, der oprindeligt bragte AI-systemet i omsætning eller ibrugtog det, ikke længere for at være udbyder af dette specifikke AI-system i nærværende forordnings forstand. Denne oprindelige udbyder skal arbejde tæt sammen med nye udbydere og stille de nødvendige oplysninger til rådighed og give den tekniske adgang og anden bistand, som med rimelighed kan forventes, og som kræves for at opfylde forpligtelserne i denne forordning, navnlig for så vidt angår overholdelse af overensstemmelsesvurderingen af højrisiko-AI-systemer. Navnlig omfatter den forpligtelse, der er fastsat i andet afsnit, følgende, hvis det er relevant for de deri anførte formål: a) tilrådighedsstillelse af teknisk dokumentation, der er tilstrækkelig til at vurdere overholdelsen af kravene fastsat i artikel 16 b) informering af de nye udbydere om kendte begrænsninger og fejltilstande, og c) tildeling af målrettet teknisk adgang til de nye udbydere, herunder til afprøvning og validering. Dette stykke finder ikke anvendelse i de tilfælde, hvor den oprindelige udbyder klart har præciseret, at dennes AI-system ikke skal ændres til et højrisiko-AI-system og dermed ikke er omfattet af forpligtelsen til at samarbejde med de nye udbydere og udlevere dokumentationen. 3. Hvad angår højrisiko-AI-systemer, der er sikkerhedskomponenter i produkter, der er omfattet af EU-harmoniseringslovgivningen opført i bilag I, afsnit A, anses producenten for at være udbyderen af højrisiko-AI-systemet og underlægges forpligtelserne i henhold til artikel 16 i følgende tilfælde: a) Højrisiko-AI-systemet bringes i omsætning sammen med produktet under producentens navn eller varemærke. b) Højrisiko-AI-systemet ibrugtages under producentens navn eller varemærke, efter at produktet er bragt i omsætning. 4. Udbyderen af et højrisiko-AI-system og den tredjepart, der leverer et AI-system, en AI-model, værktøjer, tjenester, komponenter eller processer, der anvendes eller integreres i et højrisiko-AI-system, præciserer ved skriftlig aftale de nødvendige oplysninger, kapaciteten, den tekniske adgang og anden bistand på grundlag af det generelt anerkendte aktuelle teknologiske niveau, så udbydere af højrisiko-AI-systemet er i stand til fuldt ud at overholde forpligtelserne i nærværende forordning. Dette stykke finder ikke anvendelse på tredjeparter, der gør værktøjer, tjenester, processer eller komponenter, der ikke er AI-modeller til almen brug, tilgængelige for offentligheden i henhold til en gratis open source-licens. AI-kontoret kan udvikle og anbefale frivillige standardaftalevilkår mellem udbydere af højrisiko-AI-systemer og tredjeparter, der leverer værktøjer, tjenester, komponenter eller processer, som anvendes til eller integreres i højrisiko-AI-systemer. Når AI-kontoret udarbejder disse frivillige standardaftalevilkår, tager det også hensyn til eventuelle kontraktlige krav, der gælder i specifikke sektorer eller forretningsscenarier. De frivillige standardaftalevilkår offentliggøres og stilles gratis til rådighed i et letanvendeligt elektronisk format. 5. Stk. 2 og 3 berører ikke behovet for at overholde og beskytte intellektuelle ejendomsrettigheder, fortrolige forretningsoplysninger og forretningshemmeligheder i overensstemmelse med EU-retten og national ret.

Artikel 26 Forpligtelser for idriftsættere af højrisiko-AI-systemer 1. Idriftsættere af højrisiko-AI-systemer træffer passende tekniske og organisatoriske foranstaltninger for at sikre, at de anvender disse systemer i overensstemmelse med den brugsanvisning, der ledsager systemerne, jf. stk. 3 og 6. 2. Idriftsættere overdrager varetagelsen af det menneskelige tilsyn til fysiske personer, der har den nødvendige kompetence, uddannelse og myndighed samt den nødvendige støtte. 3. Forpligtelserne i stk. 1 og 2 berører ikke andre idriftsætterforpligtelser i henhold til EU-retten eller national ret eller idriftsætterens frihed til at tilrettelægge sine egne ressourcer og aktiviteter med henblik på at gennemføre de af udbyderen angivne foranstaltninger til menneskeligt tilsyn. 4. Uden at dette berører stk. 1 og 2, og i det omfang idriftsætteren udøver kontrol over inputdataene, sikrer denne idriftsætter, at inputdataene er relevante og tilstrækkeligt repræsentative med henblik på højrisiko-AI-systemets tilsigtede formål. 5. Idriftsættere overvåger driften af højrisiko-AI-systemet på grundlag af brugsanvisningen og underretter, hvis det er relevant, udbyderne i overensstemmelse med artikel 72. Hvis idriftsættere har grund til at mene, at anvendelsen af højrisiko-AI-systemet i overensstemmelse med anvisningerne kan resultere i, at AI-systemet udgør en risiko som omhandlet i artikel 79, stk. 1, underretter de uden unødigt ophold udbyderen eller distributøren og den relevante markedsovervågningsmyndighed og stiller anvendelsen af dette system i bero. Hvis idriftsættere har konstateret en alvorlig hændelse, underretter de også omgående først udbyderen og dernæst importøren eller distributøren og de relevante markedsovervågningsmyndigheder om den pågældende hændelse. Hvis idriftsætteren ikke er i stand til at kontakte udbyderen, finder artikel 73 tilsvarende anvendelse. Denne forpligtelse omfatter ikke følsomme operationelle data fra idriftsættere af AI-systemer, som er retshåndhævende myndigheder. For idriftsættere, der er finansielle institutioner, som er underlagt krav vedrørende deres interne ledelse, ordninger eller processer i henhold til EU-retten om finansielle tjenesteydelser, anses overvågningsforpligtelsen i første afsnit for at være opfyldt ved overholdelse af reglerne om ordninger, processer og mekanismer for intern ledelse i henhold til den relevante ret om finansielle tjenesteydelser. 6. Idriftsættere af højrisiko-AI-systemer opbevarer de logfiler, der genereres automatisk af det pågældende højrisiko-AI-system, i det omfang sådanne logfiler er under deres kontrol, i en periode, der er passende i forhold til det tilsigtede formål med højrisiko-AI-systemet, på mindst seks måneder, medmindre andet er fastsat i gældende EU-ret eller national ret, navnlig EU-retten om beskyttelse af personoplysninger. Idriftsættere, der er finansielle institutioner, som er underlagt krav vedrørende deres interne ledelse, ordninger eller processer i henhold til EU-retten om finansielle tjenesteydelser, beholder logfilerne som en del af den dokumentation, der opbevares i henhold til den relevante EU-ret om finansielle tjenesteydelser. 7. Inden ibrugtagning eller anvendelse af et højrisiko-AI-system på arbejdspladsen informerer idriftsættere, som er arbejdsgivere, arbejdstagerrepræsentanter og de berørte arbejdstagere om, at de vil være omfattet af anvendelsen af højrisiko-AI-systemet. Denne information forelægges, hvis det er relevant, i overensstemmelse med de regler og procedurer, der er fastsat i EU-retten og EU-praksis og national ret og praksis om informering af arbejdstagere og deres repræsentanter. 8. Idriftsættere af højrisiko-AI-systemer, der er offentlige myndigheder eller EU-institutioner, -organer, -kontorer eller -agenturer, overholder de registreringsforpligtelser, der er omhandlet i artikel 49. Når sådanne idriftsættere konstaterer, at det højrisiko-AI-system, de påtænker at anvende, ikke er registreret i den EU-database, der er omhandlet i artikel 71, anvender de ikke dette system og underretter leverandøren eller distributøren. 9. Hvis det er relevant, anvender idriftsættere af højrisiko-AI-systemer de oplysninger, der er fastsat i henhold til denne forordnings artikel 13, til at overholde deres forpligtelse til at foretage en konsekvensanalyse vedrørende databeskyttelse i henhold til artikel 35 i forordning (EU) 2016/679 eller artikel 27 i direktiv (EU) 2016/680. 10. Uden at det berører direktiv (EU) 2016/680, anmoder idriftsætteren af et højrisiko-AI-system til efterfølgende biometrisk fjernidentifikation inden for rammerne af en efterforskning med henblik på en målrettet eftersøgning af en person, der er mistænkt eller tiltalt for at have begået en strafbar handling, om tilladelse fra en judiciel myndighed eller en administrativ myndighed, hvis afgørelse er bindende og underlagt domstolskontrol, til på forhånd eller uden unødigt ophold og senest inden for 48 timer at anvende det pågældende system, medmindre det anvendes til indledende identifikation af en potentiel mistænkt på grundlag af objektive og verificerbare kendsgerninger, der er direkte knyttet til overtrædelsen. Hver anvendelse begrænses til, hvad der er strengt nødvendigt for efterforskningen af en specifik strafbar handling. Hvis den tilladelse, der er anmodet om i henhold til første afsnit, afvises, bringes anvendelsen af systemet til efterfølgende biometrisk fjernidentifikation, der er knyttet til denne tilladelse, der anmodes om, straks til ophør, og de personoplysninger, der er knyttet til anvendelsen af det højrisiko-AI-system, som der blev anmodet om tilladelse til, slettes. Et sådant højrisiko-AI-system til efterfølgende biometrisk fjernidentifikation må under ingen omstændigheder anvendes til retshåndhævelsesformål på en ikkemålrettet måde uden nogen forbindelse til en strafbar handling, en straffesag, en reel og aktuel eller reel og forudsigelig trussel om en strafbar handling eller eftersøgning af en specifik forsvundet person. Det sikres, at der ikke træffes nogen afgørelse, der har negative retsvirkninger for en person, af de retshåndhævende myndigheder, udelukkende baseret på outputtet af sådanne systemer til efterfølgende biometrisk fjernidentifikation. Dette stykke berører ikke artikel 9 i forordning (EU) 2016/679 og artikel 10 i direktiv (EU) 2016/680 med hensyn til behandling af biometriske data. Uanset formålet eller idriftsætteren skal hver anvendelse af sådanne højrisiko-AI-systemer dokumenteres i det relevante politiregister og efter anmodning stilles til rådighed for den relevante markedsovervågningsmyndighed og den nationale databeskyttelsesmyndighed, undtagen hvis det drejer sig om videregivelse af følsomme operationelle data vedrørende retshåndhævelse. Dette afsnit berører ikke de beføjelser, der tillægges tilsynsmyndighederne ved direktiv (EU) 2016/680. Idriftsættere forelægger årlige rapporter for de relevante markedsovervågningsmyndigheder og de relevante nationale databeskyttelsesmyndigheder om deres anvendelse af systemer til efterfølgende biometrisk fjernidentifikation, undtagen hvis det drejer sig om videregivelse af følsomme operationelle data vedrørende retshåndhævelse. Rapporterne kan samles for at dække mere end én idriftsættelse. Medlemsstaterne kan i overensstemmelse med EU-retten indføre mere restriktiv lovgivning om anvendelsen af systemer til efterfølgende biometrisk fjernidentifikation. 11. Uden at det berører denne forordnings artikel 50, underretter idriftsættere af de i bilag III omhandlede højrisiko-AI-systemer, der træffer beslutninger eller bistår med at træffe beslutninger vedrørende fysiske personer, de fysiske personer om, at de er genstand for anvendelsen af et højrisiko-AI-system. For højrisiko-AI-systemer, der anvendes til retshåndhævelsesformål, finder artikel 13 i direktiv (EU) 2016/680 anvendelse. 12. Idriftsættere samarbejder med de relevante kompetente myndigheder om ethvert tiltag, som disse myndigheder foretager vedrørende højrisiko-AI-systemet, med henblik på gennemførelse af denne forordning.

Artikel 27 Konsekvensanalyse vedrørende grundlæggende rettigheder for højrisiko-AI-systemer 1. Inden idriftsættelse af et højrisiko-AI-system omhandlet i artikel 6, stk. 2, undtagen højrisiko-AI-systemer, der tilsigtes anvendt på det område, der er anført i bilag III, punkt 2, foretager idriftsættere, der er offentligretlige organer eller private enheder, der leverer offentlige tjenester, og idriftsættere af de højrisiko-AI-systemer, der er omhandlet i bilag III, punkt 5, litra b) og c), en analyse af konsekvensen for grundlæggende rettigheder, som anvendelsen af et sådant system kan medføre. Med henblik herpå foretager idriftsætterne en konsekvensanalyse bestående af: a) en beskrivelse af idriftsætterens processer, i hvilke højrisiko-AI-systemet vil blive anvendt i overensstemmelse med dets tilsigtede formål b) en beskrivelse af den periode og hyppighed, inden for hvilken hvert højrisiko-AI-system tilsigtes anvendt c) de kategorier af fysiske personer og grupper, som forventes at blive påvirket af dets anvendelse i den specifikke kontekst d) de specifikke risici for skade, der sandsynligvis vil påvirke de kategorier af fysiske personer eller grupper af personer, som er identificeret i henhold til dette stykkes litra c), under hensyntagen til oplysningerne fra udbyderen, jf. artikel 13 e) en beskrivelse af gennemførelsen af foranstaltninger til menneskeligt tilsyn i overensstemmelse med brugsanvisningen f) de foranstaltninger, der skal træffes, hvis disse risici opstår, herunder ordningerne for intern ledelse og klagemekanismer. 2. Den i stk. 1 fastsatte forpligtelse gælder for den første anvendelse af højrisiko-AI-systemet. Idriftsætteren kan i lignende tilfælde anvende tidligere gennemførte konsekvensanalyser vedrørende grundlæggende rettigheder eller eksisterende konsekvensanalyser, som udbyderen har foretaget. Hvis idriftsætteren under anvendelsen af højrisiko-AI-systemet finder, at nogle af de elementer, der er anført i stk. 1, har ændret sig eller ikke længere er ajourførte, tager idriftsætteren de nødvendige skridt til at ajourføre oplysningerne. 3. Når den i stk. 1 omhandlede konsekvensanalyse er foretaget, meddeler idriftsætteren markedsovervågningsmyndigheden resultaterne heraf og forelægger den i denne artikels stk. 5 omhandlede udfyldte skabelon som en del af meddelelsen. I det tilfælde, som er omhandlet i artikel 46, stk. 1, kan idriftsættere undtages fra denne meddelelsespligt. 4. Hvis nogle af de forpligtelser, der er fastsat i denne artikel, allerede er opfyldt ved den konsekvensanalyse vedrørende databeskyttelse, der foretages i henhold til artikel 35 i forordning (EU) 2016/679 eller artikel 27 i direktiv (EU) 2016/680, kan idriftsætteren, når vedkommende foretager den i nærværende artikels stk. 1 omhandlede konsekvensanalyse vedrørende grundlæggende rettigheder, medtage krydshenvisninger til de relevante afsnit i den pågældende konsekvensanalyse vedrørende databeskyttelse eller medtage relevante dele deraf i konsekvensanalysen vedrørende grundlæggende rettigheder. 5. AI-kontoret udarbejder en skabelon til et spørgeskema, herunder gennem et automatiseret værktøj, der skal gøre det lettere for idriftsættere at overholde deres forpligtelser i henhold til denne artikel på en forenklet måde. Denne skabelon skal, hvor det er relevant, give idriftsætterne mulighed for at medtage krydshenvisninger til de relevante afsnit i konsekvensanalysen vedrørende databeskyttelse eller medtage relevante dele heraf i konsekvensanalysen vedrørende grundlæggende rettigheder i henhold til stk. 4. AFDELING 4 Bemyndigende myndigheder og bemyndigede organer

Artikel 28 Bemyndigende myndigheder 1. Hver medlemsstat udpeger eller opretter mindst én bemyndigende myndighed med ansvar for at indføre og gennemføre de nødvendige procedurer for vurdering, udpegelse og notifikation af overensstemmelsesvurderingsorganer og for overvågning heraf. Disse procedurer udvikles i samarbejde mellem de bemyndigende myndigheder i alle medlemsstater. 2. Medlemsstaterne kan beslutte, at den i stk. 1 omhandlede vurdering og overvågning skal foretages af et nationalt akkrediteringsorgan som omhandlet i og i overensstemmelse med forordning (EF) nr. 765/2008. 3. Bemyndigende myndigheder oprettes, organiseres og drives på en sådan måde, at der ikke opstår interessekonflikter med overensstemmelsesvurderingsorganerne, og at der sikres objektivitet og uvildighed i deres aktiviteter. 4. Bemyndigende myndigheder er organiseret på en sådan måde, at afgørelser om notifikation af overensstemmelsesvurderingsorganer træffes af kompetente personer, der ikke er identiske med dem, der har foretaget vurderingen af disse organer. 5. Bemyndigende myndigheder hverken tilbyder eller leverer aktiviteter, som udføres af overensstemmelsesvurderingsorganer, eller nogen form for rådgivningstjeneste på kommercielt eller konkurrencemæssigt grundlag. 6. Bemyndigende myndigheder sikrer, at de oplysninger, de kommer i besiddelse af, behandles fortroligt i overensstemmelse med artikel 78. 7. Bemyndigende myndigheder skal have et tilstrækkelig stort kompetent personale til, at de kan udføre deres opgaver behørigt. Det kompetente personale skal have den ekspertise, der er nødvendig for deres funktion, hvis det er relevant, på områder såsom informationsteknologier, AI og jura, herunder tilsyn med grundlæggende rettigheder. 8. Bemyndigende myndigheder, der er udpeget i henhold til denne forordning, og som har ansvar for AI-systemer, der er omfattet af den EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, sikrer, at det overensstemmelsesvurderingsorgan, der ansøger om udpegelse både i henhold til denne forordning og den EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, har mulighed for at indgive en enkelt ansøgning og blive underkastet en samlet vurderingsprocedure, for at blive udpeget i henhold til denne forordning og den EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, hvor den relevante EU-harmoniseringslovgivning indeholder bestemmelser om en sådan enkelt ansøgning og en sådan samlet vurderingsprocedure. Med henblik herpå samarbejder de bemyndigende myndigheder, der er udpeget i henhold til denne forordning, og dem, der er udpeget i henhold til den EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, om deres vurderinger. Den enkelte ansøgning og den samlede vurderingsprocedure, der er omhandlet i dette stykke, stilles også til rådighed for bemyndigede organer, der allerede er udpeget i henhold til den EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, når disse bemyndigede organer ansøger om udpegelse i henhold til denne forordning, forudsat at den relevante EU-harmoniseringslovgivning indeholder bestemmelser om en sådan procedure. Et overensstemmelsesvurderingsorgan, der er udpeget i henhold til mere end én retsakt omfattet af EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, skal kun skulle ansøge én gang for at blive udpeget i henhold til denne forordning. En udpegelse i henhold til denne forordning gælder for al EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, som overensstemmelsesvurderingsorganet er udpeget for. Den enkelte ansøgning og den samlede vurderingsprocedure skal undgå unødvendigt overlap, bygge på de eksisterende procedurer for udpegelse i overensstemmelse med den EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, og sikre overholdelse af kravene vedrørende bemyndigede organer i overensstemmelse med denne forordning og med den relevante EU-harmoniseringslovgivning. 9. En bemyndigende myndighed, der er blevet udpeget i henhold til den EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, er også den bemyndigende myndighed for så vidt angår anvendelsen af den enkelte ansøgning og den samlede vurderingsprocedure, der er omhandlet i stk. 8, medmindre medlemsstaten udpeger en anden bemyndigende myndighed for denne forordning.

Artikel 29 Ansøgning om notifikation af et overensstemmelsesvurderingsorgan 1. Overensstemmelsesvurderingsorganer indgiver en ansøgning om notifikation til den bemyndigende myndighed i den medlemsstat, hvor de er etableret. 2. Ansøgningen om notifikation ledsages af en beskrivelse af de overensstemmelsesvurderingsaktiviteter, det eller de overensstemmelsesvurderingsmoduler og de typer AI-systemer, som overensstemmelsesvurderingsorganet hævder at være kompetent til, samt af en eventuel akkrediteringsattest udstedt af et nationalt akkrediteringsorgan, hvori det bekræftes, at overensstemmelsesvurderingsorganet opfylder kravene i artikel 31. Alle gyldige dokumenter vedrørende eksisterende udpegelser af det ansøgende bemyndigede organ i henhold til enhver anden EU-harmoniseringslovgivning tilføjes. 3. Hvis det pågældende overensstemmelsesvurderingsorgan ikke kan forelægge en akkrediteringsattest, forelægger det den bemyndigende myndighed al den dokumentation, der er nødvendig for verifikationen, anerkendelsen og den regelmæssige overvågning af, at det overholder kravene i artikel 31. 4. For bemyndigede organer, der er udpeget i henhold til enhver anden EU-harmoniseringslovgivning, kan alle dokumenter og attester, der er knyttet til disse udpegelser, alt efter hvad der er relevant, anvendes til at understøtte og fremskynde deres udpegelsesprocedure i henhold til denne forordning. Bemyndigede organer, der er udpeget i henhold til en af retsakterne omfattet af EU-harmoniseringslovgivningen, der er opført i bilag I, afsnit A, og som underkaster sig den samlede vurderingsprocedure, der er omhandlet i artikel 28, stk. 8, indgiver den enkelte ansøgning om vurdering til den bemyndigende myndighed, der er udpeget i henhold til denne retsakt omfattet af EU-harmoniseringslovgivningen. Det bemyndigede organ ajourfører den i denne artikels stk. 2 og 3 omhandlede dokumentation, når der sker relevante ændringer, for at give myndigheden med ansvar for bemyndigede organer mulighed for at overvåge og verificere, at alle krav i artikel 31 løbende er opfyldt.

Artikel 30 Notifikationsprocedure 1. De bemyndigende myndigheder må kun bemyndige overensstemmelsesvurderingsorganer, som opfylder kravene i artikel 31. 2. De bemyndigende myndigheder underretter på grundlag af listen over koder, kategorier og tilsvarende typer AI-systemer, der er omhandlet i bilag XIV, og ved hjælp af det elektroniske notifikationsværktøj, der er udviklet og forvaltes af Kommissionen, Kommissionen og de øvrige medlemsstater om hvert overensstemmelsesvurderingsorgan, der er omhandlet i stk. 1. Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 med henblik på at ændre bilag XIV i lyset af den tekniske udvikling, fremskridt i viden eller ny videnskabelig dokumentation ved at tilføje en ny kode, en kategori eller en type AI-system til listen over koder, kategorier og tilsvarende typer af AI-systemer, fjerne en eksisterende kode, kategori eller type AI-system fra denne liste eller flytte en kode eller type AI-system fra en kategori til en anden. 3. Den notifikationen, der er omhandlet i denne artikels stk. 2, skal indeholde fyldestgørende oplysninger om overensstemmelsesvurderingsaktiviteterne, overensstemmelsesvurderingsmodulet eller -modulerne, de pågældende typer AI-systemer og den relevante dokumentation for kompetencen. Hvis en bemyndigelse ikke er baseret på en akkrediteringsattest som omhandlet i artikel 29, stk. 2, skal den bemyndigende myndighed forelægge Kommissionen og de øvrige medlemsstater dokumentation, der bekræfter overensstemmelsesvurderingsorganets kompetence og de ordninger, der er indført for at sikre, at der regelmæssigt føres tilsyn med organet, og at organet også fremover vil opfylde de i artikel 31 fastsatte krav. 4. Det pågældende overensstemmelsesvurderingsorgan må kun udføre aktiviteter som bemyndiget organ, hvis Kommissionen og de øvrige medlemsstater ikke har gjort indsigelse inden for to uger efter en bemyndigende myndigheds notifikation, hvis den indeholder en akkrediteringsattest, jf. artikel 29, stk. 2, eller senest to måneder efter den bemyndigende myndigheds notifikation, hvis den indeholder den dokumentation, der er omhandlet i artikel 29, stk. 3. 5. Hvis der gøres indsigelse, hører Kommissionen straks de relevante medlemsstater og overensstemmelsesvurderingsorganet. Med henblik herpå træffer Kommissionen afgørelse om, hvorvidt tilladelsen er berettiget. Kommissionen retter sin afgørelse til den pågældende medlemsstat og det relevante overensstemmelsesvurderingsorgan.

Artikel 31 Krav vedrørende bemyndigede organer 1. Et bemyndiget organ skal oprettes i henhold til national ret i en medlemsstat og være en juridisk person. 2. Bemyndigede organer skal opfylde de organisatoriske krav samt de kvalitetsstyrings-, ressource- og procedurekrav, der er nødvendige for at kunne udføre deres opgaver, samt passende cybersikkerhedskrav. 3. Bemyndigede organers organisationsstruktur, ansvarsfordeling, rapporteringsveje og drift skal sikre, at der er tillid til deres arbejde og til resultaterne af de bemyndigede organers overensstemmelsesvurderingsaktiviteter. 4. Bemyndigede organer skal være uafhængige af udbyderen af højrisiko-AI-systemet, i forbindelse med hvilket de udfører overensstemmelsesvurderingsaktiviteter. Bemyndigede organer skal også være uafhængige af alle andre operatører, der har en økonomisk interesse i højrisiko-AI-systemer, der vurderes, og af enhver konkurrent til udbyderen. Dette er ikke til hinder for at anvende vurderede højrisiko-AI-systemer, som er nødvendige for overensstemmelsesvurderingsorganets drift, eller for at anvende sådanne højrisiko-AI-systemer til personlige formål. 5. Hverken overensstemmelsesvurderingsorganet, dets øverste ledelse eller det personale, der er ansvarligt for at udføre dets overensstemmelsesvurderingsopgaver, må være direkte involveret i udformningen, udviklingen, markedsføringen eller anvendelsen af højrisiko-AI-systemer eller repræsentere parter, der deltager i disse aktiviteter. De må ikke deltage i aktiviteter, som kan være i strid med deres objektivitet eller integritet, når de udfører de aktiviteter i forbindelse med overensstemmelsesvurdering, som de er bemyndiget til at udføre. Dette gælder navnlig rådgivningstjenester. 6. Bemyndigede organer skal være organiseret og arbejde på en sådan måde, at der i deres aktiviteter sikres uafhængighed, objektivitet og uvildighed. Bemyndigede organer skal dokumentere og gennemføre en struktur og procedurer til sikring af uvildighed og til fremme og anvendelse af principperne om uvildighed i hele deres organisation, hos alt deres personale og i alle deres vurderingsaktiviteter. 7. Bemyndigede organer skal have indført dokumenterede procedurer, der sikrer, at deres personale, udvalg, dattervirksomheder, underentreprenører og eventuelle tilknyttede organer eller personale i eksterne organer i overensstemmelse med artikel 78 opretholder fortroligheden af de oplysninger, som de kommer i besiddelse af under udførelsen af overensstemmelsesvurderingsaktiviteterne, undtagen når videregivelse heraf er påbudt ved lov. Bemyndigede organers personale har tavshedspligt med hensyn til alle oplysninger, det kommer i besiddelse af under udførelsen af sine opgaver i henhold til denne forordning, undtagen over for de bemyndigende myndigheder i den medlemsstat, hvor aktiviteterne udføres. 8. Bemyndigede organer skal have procedurer for udførelsen af aktiviteterne, der tager behørigt hensyn til en udbyders størrelse, til den sektor, som den opererer inden for, til dens struktur og til, hvor kompleks det pågældende AI-system er. 9. Bemyndigede organer skal tegne en passende ansvarsforsikring for deres overensstemmelsesvurderingsaktiviteter, medmindre ansvaret i overensstemmelse med national ret ligger hos den medlemsstat, i hvilken de er etableret, eller medlemsstaten selv er direkte ansvarlig for overensstemmelsesvurderingen. 10. Bemyndigede organer skal være i stand til at udføre alle deres opgaver i henhold til denne forordning med den størst mulige faglige integritet og den nødvendige kompetence på det specifikke område, uanset om disse opgaver udføres af bemyndigede organer selv eller på deres vegne og på deres ansvar. 11. Bemyndigede organer skal have tilstrækkelige interne kompetencer til at kunne evaluere de opgaver, der udføres af eksterne parter på deres vegne, effektivt. Det bemyndigede organ skal have permanent adgang til tilstrækkeligt administrativt, teknisk, juridisk og videnskabeligt personale med erfaring og viden vedrørende de relevante typer af AI-systemer, de relevante data og den relevante databehandling og vedrørende kravene i afdeling 2. 12. Bemyndigede organer skal deltage i det koordinerende arbejde, jf. artikel 38. De skal også deltage direkte eller være repræsenteret i de europæiske standardiseringsorganisationer eller sikre, at de har et ajourført kendskab til relevante standarder.

Artikel 32 Formodning om overensstemmelse med krav vedrørende bemyndigede organer Hvis et overensstemmelsesvurderingsorgan påviser, at det er i overensstemmelse med kriterierne i de relevante harmoniserede standarder eller dele heraf, hvortil der er offentliggjort referencer i Den Europæiske Unions Tidende, formodes det at overholde kravene i artikel 31, for så vidt de gældende harmoniserede standarder dækker disse krav.

Artikel 33 Dattervirksomheder i tilknytning til bemyndigede organer og underentreprise 1. Hvis et bemyndiget organ giver bestemte opgaver i forbindelse med overensstemmelsesvurderingen i underentreprise eller anvender en dattervirksomhed, skal det sikre, at underentreprenøren eller dattervirksomheden opfylder kravene i artikel 31, og underrette den bemyndigende myndighed herom. 2. Bemyndigede organer har det fulde ansvar for de opgaver, som udføres af en underentreprenør eller dattervirksomhed. 3. Aktiviteter kan kun gives i underentreprise eller udføres af en dattervirksomhed, hvis udbyderen har givet sit samtykke hertil. Bemyndigede organer skal gøre en liste over deres dattervirksomheder offentligt tilgængelig. 4. De relevante dokumenter vedrørende vurderingen af underentreprenørens eller dattervirksomhedens kvalifikationer og det arbejde, som de har udført i henhold til denne forordning, stilles til rådighed for den bemyndigende myndighed i en periode på fem år fra datoen for afslutningen af underentreprisen.

Artikel 34 Bemyndigede organers operationelle forpligtelser 1. Bemyndigede organer skal verificere, at højrisiko-AI-systemer er i overensstemmelse med overensstemmelsesvurderingsprocedurerne i artikel 43. 2. Bemyndigede organer skal under udførelsen af deres aktiviteter undgå unødvendige byrder for udbyderne og tage behørigt hensyn til udbyderens størrelse, den sektor, som den opererer inden for, dens struktur og til, hvor kompleks det pågældende højrisiko-AI-system er, navnlig med henblik på at minimere administrative byrder og overholdelsesomkostninger for mikrovirksomheder og små virksomheder som omhandlet i henstilling 2003/361/EF. Det bemyndigede organ skal dog respektere den grad af strenghed og det beskyttelsesniveau, der kræves for, at højrisiko-AI-systemet overholder kravene i denne forordning. 3. Bemyndigede organer skal stille al relevant dokumentation til rådighed og efter anmodning forelægge denne, herunder udbyderens dokumentation, for den bemyndigende myndighed, der er omhandlet i artikel 28, så denne myndighed kan udføre sine vurderings-, udpegelses-, notifikations- og overvågningsaktiviteter og lette vurderingen anført i denne afdeling.

Artikel 35 Identifikationsnumre for og lister over bemyndigede organer 1. Kommissionen tildeler hvert bemyndiget organ ét identifikationsnummer, også selv om organet er notificeret i henhold til mere end én EU-retsakt. 2. Kommissionen offentliggør listen over organer, der er notificeret i henhold til denne forordning, herunder deres identifikationsnumre og de aktiviteter, med henblik på hvilke de er notificeret. Kommissionen sikrer, at listen ajourføres.

Artikel 36 Ændringer af notifikationer 1. Den bemyndigende myndighed meddeler Kommissionen og de øvrige medlemsstater alle relevante ændringer i notifikationen af et bemyndiget organ via det elektroniske notifikationsværktøj, der er omhandlet i artikel 30, stk. 2. 2. Procedurerne i artikel 29 og 30 finder anvendelse på udvidelser af rammerne for notifikationen. Med hensyn til andre ændringer af notifikationen end udvidelser af rammerne for den, finder procedurerne i stk. 3-9 anvendelse. 3. Hvis et bemyndiget organ beslutter at indstille sine overensstemmelsesvurderingsaktiviteter, underretter det den bemyndigende myndighed og udbyderne hurtigst muligt og i tilfælde af planlagt indstilling mindst ét år, inden dets aktiviteter indstilles. Det bemyndigede organs attester kan forblive gyldige i en periode på ni måneder, efter at det bemyndigede organs aktiviteter er indstillet, forudsat at et andet bemyndiget organ skriftligt har bekræftet, at det vil påtage sig ansvaret for de højrisiko-AI-systemer, der er omfattet af disse attester. Sidstnævnte bemyndigede organ foretager en fuld vurdering af de berørte højrisiko-AI-systemer inden udgangen af denne periode på ni måneder, før det udsteder nye attester for disse systemer. Hvis det bemyndigede organ har indstillet sine aktiviteter, trækker den bemyndigende myndighed udpegelsen tilbage. 4. Hvis en bemyndigende myndighed har tilstrækkelig grund til at mene, at et bemyndiget organ ikke længere opfylder kravene i artikel 31, eller at det ikke opfylder sine forpligtelser, skal den bemyndigende myndighed hurtigst muligt undersøge sagen med den størst mulige omhu. I den forbindelse skal den underrette det berørte bemyndigede organ om sine indvendinger og giver det mulighed for at tilkendegive sine synspunkter. Hvis en bemyndigende myndighed konkluderer, at det bemyndigede organ ikke længere opfylder kravene i artikel 31, eller at det ikke opfylder sine forpligtelser, skal den begrænse, suspendere eller tilbagetrække udpegelsen, alt efter hvad der er relevant, afhængigt af hvor alvorlig den manglende opfyldelse af kravene eller forpligtelserne er. Den underretter omgående Kommissionen og de øvrige medlemsstater herom. 5. Hvis et bemyndiget organs udpegelse er blevet suspenderet, begrænset eller helt eller delvist tilbagetrukket, underretter dette organ de pågældende udbydere inden for ti dage. 6. Hvis en udpegelse begrænses, suspenderes eller tilbagetrækkes, træffer den bemyndigende myndighed de nødvendige foranstaltninger for at sikre, at det pågældende bemyndigede organs sager opbevares, og for at stille dem til rådighed for bemyndigende myndigheder i andre medlemsstater og for markedsovervågningsmyndighederne efter disses anmodning. 7. Hvis en udpegelse begrænses, suspenderes eller tilbagetrækkes, skal den bemyndigende myndighed: a) vurdere indvirkningen på attester, der er udstedt af det bemyndigede organ b) forelægge en rapport om sine resultater til Kommissionen og de øvrige medlemsstater senest tre måneder efter, at den har givet meddelelse om ændringerne af udpegelsen c) pålægge det bemyndigede organ at suspendere eller tilbagetrække alle de attester, der uretmæssigt er blevet udstedt, inden for en rimelig tidsfrist, der fastsættes af myndigheden, for at sikre, at højrisiko-AI-systemer fortsat er i overensstemmelse hermed på markedet d) underrette Kommissionen og medlemsstaterne om attester, som den har kræves suspenderet eller tilbagetrukket e) give de nationale kompetente myndigheder i den medlemsstat, hvor udbyderen har sit registrerede forretningssted, alle relevante oplysninger om de attester, for hvilke den har krævet suspension eller tilbagetrækning. Den pågældende myndighed træffer de fornødne foranstaltninger, hvis det er nødvendigt, for at undgå en potentiel risiko for sundhed, sikkerhed eller grundlæggende rettigheder. 8. Med undtagelse af uretmæssigt udstedte attester og i tilfælde, hvor en udpegelse er blevet inddraget eller begrænset, vedbliver attesterne med at være gyldige i et af følgende tilfælde: a) den bemyndigende myndighed har senest én måned efter suspensionen eller begrænsningen bekræftet, at der ikke er nogen risiko for sundhed, sikkerhed eller grundlæggende rettigheder vedrørende attester, der er berørt af suspensionen eller begrænsningen, og den bemyndigende myndighed har anført en frist for tiltag til at afhjælpe suspensionen eller begrænsningen, eller b) den bemyndigende myndighed har bekræftet, at ingen attester af relevans for suspensionen vil blive udstedt, ændret eller genudstedt under suspensionen eller begrænsningen, og anfører, hvorvidt det bemyndigede organ har kapacitet til at fortsætte overvågningen og fortsat være ansvarligt for eksisterende udstedte attester i suspensions-eller begrænsningsperioden; hvis den bemyndigende myndighed fastslår, at det bemyndigede organ ikke er i stand til at støtte eksisterende udstedte attester, bekræfter udbyderen af det system, der er omfattet af attesten, senest tre måneder efter suspensionen eller begrænsningen skriftligt over for de nationale kompetente myndigheder i den medlemsstat, hvor vedkommende har sit registrerede forretningssted, at et andet kvalificeret bemyndiget organ midlertidigt varetager det bemyndigede organs funktioner med hensyn til at overvåge og forblive ansvarligt for attesterne i suspensions- eller begrænsningsperioden. 9. Med undtagelse af uretmæssigt udstedte attester og i tilfælde, hvor en udpegelse er blevet tilbagetrukket, vedbliver attesterne med at være gyldige i en periode på ni måneder i følgende tilfælde: a) den nationale kompetente myndighed i den medlemsstat, hvor udbyderen af det højrisiko-AI-system, der er omfattet af attesten, har sit registrerede forretningssted, har bekræftet, at der ikke er nogen risiko for sundhed, sikkerhed eller grundlæggende rettigheder i forbindelse med de pågældende højrisiko-AI-systemer, og b) et andet bemyndiget organ har skriftligt bekræftet, at det straks varetager ansvaret for disse AI-systemer, og færdiggør sin vurdering inden 12 måneder efter tilbagetrækning af udpegelsen. Under de omstændigheder, der er omhandlet i første afsnit, kan den kompetente nationale myndighed i den medlemsstat, hvor udbyderen af det system, der er omfattet af attesten, har sit forretningssted, forlænge attesternes foreløbige gyldighed i yderligere perioder på tre måneder, dog i alt højst 12 måneder. Den kompetente nationale myndighed eller det bemyndigede organ, der varetager funktionerne for det bemyndigede organ, der er berørt af ændringen af udpegelsen, underretter omgående Kommissionen, de øvrige medlemsstater og de øvrige bemyndigede organer herom.

Artikel 37 Anfægtelse af bemyndigede organers kompetence 1. Kommissionen undersøger om nødvendigt alle tilfælde, hvor der er grund til at betvivle et bemyndiget organs kompetence eller et bemyndiget organs fortsatte opfyldelse af kravene i artikel 31 og dets gældende ansvarsområder. 2. Den bemyndigende myndighed forelægger efter anmodning Kommissionen alle relevante oplysninger vedrørende notifikationen af det pågældende bemyndigede organ eller opretholdelsen af dets kompetence. 3. Kommissionen sikrer, at alle de følsomme oplysninger, som den kommer i besiddelse af som led i sine undersøgelser i henhold til denne artikel, behandles fortroligt i overensstemmelse med artikel 78. 4. Hvis Kommissionen konstaterer, at et bemyndiget organ ikke eller ikke længere opfylder kravene i forbindelse med sin notifikation, underretter den den bemyndigende medlemsstat herom og anmoder den om at træffe de nødvendige korrigerende foranstaltninger, herunder om nødvendigt suspension eller tilbagetrækning af notifikationen. Hvis den bemyndigende myndighed ikke træffer de nødvendige foranstaltninger, kan Kommissionen ved hjælp af en gennemførelsesretsakt suspendere, begrænse eller tilbagetrække udpegelsen. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.

Artikel 38 Koordinering af bemyndigede organer 1. Kommissionen sikrer, at der med hensyn til højrisiko-AI-systemer etableres passende koordinering og samarbejde mellem de bemyndigede organer, der er aktive inden for overensstemmelsesvurderingsprocedurer i henhold til denne forordning, i form af en sektorspecifik gruppe af bemyndigede organer, og at det styres på forsvarlig måde. 2. Hver bemyndigende myndighed sørger for, at de organer, den har bemyndiget, deltager i arbejdet i en gruppe, jf. stk. 1, enten direkte eller gennem udpegede repræsentanter. 3. Kommissionen sørger for udveksling af viden og bedste praksis mellem de bemyndigede myndigheder.

Artikel 39 Tredjelandes overensstemmelsesvurderingsorganer Overensstemmelsesvurderingsorganer, der er oprettet i henhold til retten i et tredjeland, med hvilket Unionen har indgået en aftale, kan godkendes til at udføre bemyndigede organers aktiviteter i henhold til denne forordning, forudsat at de opfylder kravene i artikel 31, eller at de sikrer et tilsvarende overensstemmelsesniveau. AFDELING 5 Standarder, overensstemmelsesvurdering, attester, registrering

Artikel 40 Harmoniserede standarder og standardiseringsdokumentation 1. Højrisiko-AI-systemer eller AI-modeller til almen brug, som er i overensstemmelse med harmoniserede standarder eller dele heraf, hvis referencer er offentliggjort i Den Europæiske Unions Tidende i overensstemmelse med forordning (EU) nr. 1025/2012, formodes at være i overensstemmelse med kravene i dette kapitels afdeling 2 eller, alt efter hvad der er relevant, med forpligtelserne i nærværende forordnings kapitel V, afdeling 2 og 3, for så vidt de nævnte standarder omfatter disse krav eller forpligtelser. 2. I overensstemmelse med artikel 10 i forordning (EU) nr. 1025/2012 fremsætter Kommissionen uden unødigt ophold standardiseringsanmodninger, der dækker alle kravene i dette kapitels afdeling 2, og, alt efter hvad der er relevant, standardiseringsanmodninger, der dækker forpligtelserne i nærværende forordnings kapitel V, afdeling 2 og 3. I standardiseringsanmodningen anmodes der også om dokumentation vedrørende rapporterings- og dokumentationsprocesser med henblik på at forbedre AI-systemernes ressourceydeevne såsom reduktion af højrisiko-AI-systemets forbrug af energi og af andre ressourcer i løbet af dets livscyklus og vedrørende energieffektiv udvikling af AI-modeller til almen brug. I forbindelse med udarbejdelsen af en standardiseringsanmodning hører Kommissionen AI-udvalget og relevante interessenter, herunder det rådgivende forum. Når Kommissionen fremsætter en standardiseringsanmodning til de europæiske standardiseringsorganisationer, præciserer den, at standarderne skal være klare, overensstemmende, herunder med de standarder, der er udviklet i de forskellige sektorer for produkter, der er omfattet af den gældende EU-harmoniseringslovgivning, som er opført i bilag I, og søge at sikre, at højrisiko-AI-systemer eller AI-modeller til almen brug, som bringes i omsætning eller tages i brug i Unionen, opfylder de relevante krav eller forpligtelser i nærværende forordning. Kommissionen anmoder de europæiske standardiseringsorganisationer om at dokumentere deres bedste indsats for at nå de mål, der er omhandlet i dette stykkes første og andet afsnit, i overensstemmelse med artikel 24 i forordning (EU) nr. 1025/2012. Kommissionen anmoder i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 (1) og uden unødigt ophold de europæiske standardiseringsorganisationer om at udarbejde standardiseringspublikationer, herunder, hvis det er relevant, harmoniserede standarder, for at lette den fælles overholdelse af og formodning om overensstemmelse med de krav eller forpligtelser, der er fastsat i nærværende forordnings kapitel III, afdeling 2 og 3, og de relevante krav og forpligtelser, der er fastsat i den EU-harmoniseringslovgivning, der er opført i bilag I til nærværende forordning. 3. Deltagerne i standardiseringsprocessen skal søge at fremme investering og innovation inden for AI, herunder gennem øget retssikkerhed, samt EU-markedets konkurrenceevne og vækst, at bidrage til at styrke globalt samarbejde om standardisering og tage højde for eksisterende internationale standarder inden for kunstig intelligens, som stemmer overens med Unionens værdier, grundlæggende rettigheder og interesser, og at styrke multiinteressentforvaltning, der sikrer en afbalanceret repræsentation af interesser og effektiv deltagelse af alle relevante interessenter i overensstemmelse med artikel 5, 6 og 7 i forordning (EU) nr. 1025/2012.

Artikel 41 Fælles specifikationer 1. Kommissionen kan vedtage gennemførelsesretsakter om fastlæggelse af fælles specifikationer for kravene i dette kapitels afdeling 2 eller, alt efter hvad der er relevant, for forpligtelserne i kapitel V, afdeling 2 og 3, hvis følgende betingelser er opfyldt: a) Kommissionen har i henhold til artikel 10, stk. 1, i forordning (EU) nr. 1025/2012 anmodet en eller flere europæiske standardiseringsorganisationer om at udarbejde en harmoniseret standard for kravene i dette kapitels afdeling 2 eller, hvis det er relevant, for forpligtelserne i kapitel V, afdeling 2 og 3, og: i) anmodningen er ikke blevet imødekommet af nogen af de europæiske standardiseringsorganisationer, eller (1) Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 af 25. oktober 2012 om europæisk standardisering, om ændring af Rådets direktiv 89/686/EØF og 93/15/EØF og Europa-Parlamentets og Rådets direktiv 94/9/EF, 94/25/EF, 95/16/EF, 97/23/EF, 98/34/EF, 2004/22/EF, 2007/23/EF, 2009/23/EF og 2009/105/EF og om ophævelse af Rådets beslutning 87/95/EØF og Europa-Parlamentets og Rådets afgørelse nr. 1673/2006/EF (EUT L 316 af 14.11.2012, s. 12, ELI: http://data.europa.eu/ eli/reg/2012/1025/oj). ii) de harmoniserede standarder, der behandler den pågældende anmodning, er ikke blevet leveret inden for den frist, der er fastsat i overensstemmelse med artikel 10, stk. 1, i forordning (EU) nr. 1025/2012, eller iii) de relevante harmoniserede standarder tager ikke i tilstrækkelig grad hensyn til de grundlæggende rettigheder, eller iv) de harmoniserede standarder er ikke i overensstemmelse med anmodningen, og b) ingen reference til harmoniserede standarder, der dækker de krav, der er omhandlet i dette kapitels afdeling 2, eller, hvis det er relevant, forpligtelserne i kapitel V, afdeling 2 og 3, er offentliggjort i Den Europæiske Unions Tidende i overensstemmelse med forordning (EU) nr. 1025/2012, og ingen reference af denne art forventes at blive offentliggjort inden for et rimeligt tidsrum. Når Kommissionen udarbejder de fælles specifikationer, skal den høre det rådgivende forum, der er omhandlet i artikel 67. De gennemførelsesretsakter, der er omhandlet i dette stykkes første afsnit, vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2. 2. Inden Kommissionen udarbejder et udkast til gennemførelsesretsakt, underretter den det udvalg, der er omhandlet i artikel 22 i forordning (EU) nr. 1025/2012, om, at den anser betingelserne i nærværende artikels stk. 1 for opfyldt. 3. Højrisiko-AI-systemer eller AI-modeller til almen brug, som er i overensstemmelse med de fælles specifikationer, der er omhandlet i stk. 1, eller dele af disse specifikationer, formodes at være i overensstemmelse med kravene fastsat i dette kapitels afdeling 2 eller, alt efter hvad der er relevant, at overholde forpligtelserne omhandlet i kapital V, afdeling 2 og 3, for så vidt de nævnte fælles specifikationer omfatter disse forpligtelser. 4. Hvis en europæisk standardiseringsorganisation vedtager en harmoniseret standard og fremlægger denne for Kommissionen med henblik på offentliggørelse af referencen hertil i Den Europæiske Unions Tidende, skal Kommissionen foretage en vurdering af den harmoniserede standard i overensstemmelse med forordning (EU) nr. 1025/2012. Når referencen til en harmoniseret standard offentliggøres i Den Europæiske Unions Tidende, ophæver Kommissionen de gennemførelsesretsakter, der er omhandlet i stk. 1, eller dele deraf, der omfatter de samme krav, der er fastsat i dette kapitels afdeling 2 eller, hvis det er relevant, at de samme forpligtelser, der er fastsat i kapital V, afdeling 2 og 3. 5. Hvis udbydere af højrisiko-AI-systemer eller AI-modeller til almen brug ikke overholder de fælles specifikationer, der er omhandlet i stk. 1, skal de behørigt begrunde, at de har indført tekniske løsninger, der opfylder de krav, der er omhandlet i dette kapitels afdeling 2 eller, alt efter hvad der er relevant, overholder de forpligtelser, der er fastsat i kapital V, afdeling 2 og 3, i et omfang, som mindst svarer hertil. 6. Hvis en medlemsstat finder, at en fælles specifikation ikke fuldt ud opfylder kravene fastsat i afdeling 2 eller, alt efter hvad der er relevant, overholder forpligtelserne fastsat i kapital V, afdeling 2 og 3, underretter den Kommissionen herom med en detaljeret redegørelse. Kommissionen vurderer disse oplysninger og ændrer, hvis det er relevant, gennemførelsesretsakten om fastlæggelse af den pågældende fælles specifikation.

Artikel 42 Formodning om overensstemmelse med visse krav 1. Højrisiko-AI-systemer, der er blevet trænet og afprøvet på data, som afspejler de specifikke geografiske, adfærdsmæssige, kontekstuelle eller funktionelle rammer, som de tilsigtes anvendt inden for, formodes at overholde de relevante krav i artikel 10, stk. 4. 2. Højrisiko-AI-systemer, der er certificeret, eller for hvilke der er udstedt en overensstemmelseserklæring i henhold til en cybersikkerhedsordning i henhold til forordning (EU) 2019/881, og hvis referencer er offentliggjort i Den Europæiske Unions Tidende, formodes at overholde cybersikkerhedskravene i nærværende forordnings artikel 15, såfremt cybersikkerhedsattesten eller overensstemmelseserklæringen eller dele heraf dækker disse krav. 3. Hvis højrisiko-AI-systemer er omfattet af anvendelsesområdet for forordning (EU) 2024/2847, og betingelserne i nævnte forordnings artikel 12, stk. 1, er opfyldt, anses sådanne systemer for at opfylde de cybersikkerhedskrav, der er fastsat i nærværende forordnings artikel 15.

Artikel 43 Overensstemmelsesvurdering 1. Hvad angår højrisiko-AI-systemer, der er opført i bilag III, punkt 1, skal udbyderen, såfremt denne ved påvisningen af, at et højrisiko-AI-system overholder kravene i afdeling 2, har anvendt harmoniserede standarder omhandlet i artikel 40 eller, hvis det er relevant, fælles specifikationer omhandlet i artikel 41, vælge en af følgende overensstemmelsesvurderingsprocedurer på grundlag af: a) intern kontrol omhandlet i bilag VI, eller b) vurdering af kvalitetsstyringssystemet og vurdering af den tekniske dokumentation med inddragelse af et bemyndiget organ omhandlet i bilag VII. Ved påvisning af et højrisiko-AI-systems overensstemmelse med kravene i afdeling 2 følger udbyderen overensstemmelsesvurderingsproceduren i bilag VII, hvis: a) der ikke findes harmoniserede standarder omhandlet i artikel 40, og der ikke findes fælles specifikationer omhandlet i artikel 41 b) udbyderen ikke har anvendt eller kun har anvendt en del af den harmoniserede standard c) de i litra a) omhandlede fælles specifikationer findes, men udbyderen ikke har anvendt dem d) én eller flere af de i litra a) omhandlede harmoniserede standarder er blevet offentliggjort med en begrænsning og kun med hensyn til den del af standarden, som er genstand for begrænsning. Med henblik på den overensstemmelsesvurderingsprocedure, der er omhandlet i bilag VII, kan udbyderen vælge hvilket som helst af de bemyndigede organer. Hvis højrisiko-AI-systemet tilsigtes ibrugtaget af retshåndhævende myndigheder, indvandringsmyndigheder, asylmyndigheder eller EU-institutioner, -organer, -kontorer eller -agenturer, fungerer den markedsovervågningsmyndighed, der er omhandlet i artikel 74, stk. 8 eller 9, alt efter hvad der er relevant, imidlertid som bemyndiget organ. 2. Hvad angår de højrisiko-AI-systemer, der er omhandlet i bilag III, punkt 2-8, skal udbyderne følge overensstemmelsesvurderingsproceduren på grundlag af intern kontrol som omhandlet i bilag VI, som ikke foreskriver inddragelse af et bemyndiget organ. 3. For højrisiko-AI-systemer, som er omfattet af den EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, skal udbyderen af systemet følge den relevante overensstemmelsesvurderingsprocedure som krævet i overensstemmelse med den relevante EU-harmoniseringslovgivning. Kravene i dette kapitels afdeling 2 finder anvendelse på disse højrisiko-AI-systemer og skal indgå i den nævnte vurdering. Vurderingen af kvalitetsstyringssystemet, der fremgår af artikel 17, skal ligeledes foretages, og bilag VII, punkt 3, 4.3, 4.4 og 4.5, punkt 4.6, femte afsnit, og punkt 5 finder anvendelse. Med henblik på denne overensstemmelsesvurdering har bemyndigede organer, der er blevet bemyndiget i henhold til den EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, beføjelse til at vurdere højrisiko-AI-systemers overensstemmelse med kravene i dette kapitels afdeling 2, forudsat at disse bemyndigede organers overholdelse af kravene i artikel 31, stk. 4, 5, 10 og 11, er blevet vurderet i forbindelse med notifikationsproceduren i overensstemmelse med den relevante EU-harmoniseringslovgivning, hvilket godtgøres ved vurderingen som led i den eksisterende bemyndigelse. Uden at det berører artikel 28, skal sådanne bemyndigede organer, der er blevet bemyndiget i henhold til den EU-harmoniseringslovgivning, der er opført i bilag I, del A, ansøge om udpegelse i overensstemmelse med dette kapitels afdeling 4 senest den 28. januar 2028. Hvis den EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, giver producenten mulighed for at basere sig på en overensstemmelsesvurdering, der ikke involverer en tredjepart, forudsat at producenten har anvendt harmoniserede standarder for at sikre overholdelse af alle de relevante krav, kan denne producent kun anvende denne mulighed, hvis vedkommende også har anvendt harmoniserede standarder eller, hvor sådanne finder anvendelse, fælles specifikationer omhandlet i artikel 41, der omfatter alle kravene i dette kapitels afdeling 2. Klassificeringen af et produkt som et højrisiko-AI-system i overensstemmelse med artikel 6, stk. 1, berører ikke valget af overensstemmelsesvurderingsprocedure for producenter af produkter, der er omfattet af EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, herunder, hvor sådanne finder anvendelse, en mulighed for at basere sig på harmoniserede standarder. Producenterne af sådanne produkter er ikke forpligtet til at vælge en overensstemmelsesvurderingsprocedure, der involverer overensstemmelsesvurdering udført af tredjepart, kun fordi produktet omfatter et højrisiko-AI-system som en sikkerhedskomponent, hvis dette ikke kræves i henhold til den EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A. Hvis et højrisiko-AI-system både er omfattet af den EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A, og falder ind under en af de kategorier, der er opført i bilag III, følger udbyderen af dette system den relevante overensstemmelsesvurderingsprocedure som krævet i henhold til den relevante EU-harmoniseringslovgivning, der er opført i bilag I, afsnit A. 4. Højrisiko-AI-systemer, der allerede har været genstand for en overensstemmelsesvurderingsprocedure, skal underkastes en ny overensstemmelsesvurderingsprocedure i tilfælde af væsentlige ændringer, uanset om det ændrede system tilsigtes videredistribueret eller fortsat anvendes af den nuværende idriftsætter. For højrisiko-AI-systemer, der bliver ved med at lære efter at være bragt i omsætning eller ibrugtaget, udgør ændringer af højrisiko-AI-systemet og dets ydeevne, som udbyderen har fastlagt på forhånd på tidspunktet for den indledende overensstemmelsesvurdering, og som er en del af oplysningerne i den tekniske dokumentation, der er omhandlet i bilag IV, punkt 2, litra f), ikke en væsentlig ændring. 5. Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 for at ændre bilag VI og VII ved at ajourføre dem i lyset af den tekniske udvikling. 6. Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 for at ændre nærværende artikels stk. 1 og 2 for at underkaste de i bilag III, punkt 2-8, omhandlede højrisiko-AI-systemeroverensstemmelsesvurderingsproceduren i bilag VII eller dele heraf. Kommissionen vedtager sådanne delegerede retsakter under hensyntagen til effektiviteten af overensstemmelsesvurderingsproceduren på grundlag af intern kontrol omhandlet i bilag VI med hensyn til at forebygge eller minimere de risici for sundhed, sikkerhed og beskyttelsen af de grundlæggende rettigheder, som sådanne systemer medfører, samt hvorvidt der er tilstrækkelig kapacitet og ressourcer i de bemyndigede organer.

Artikel 44 Attester 1. Attester, der udstedes af bemyndigede organer i overensstemmelse med bilag VII, udfærdiges på et sprog, som er letforståeligt for de relevante myndigheder i den medlemsstat, hvor det bemyndigede organ er etableret. 2. Attester er gyldige i den periode, de angiver, og som ikke må overstige fem år for AI-systemer, der er omfattet af bilag I, og fire år for AI-systemer, der er omfattet af bilag III. På udbyderens anmodning kan en attests gyldighedsperiode forlænges med yderligere perioder på hver højst fem år for AI-systemer, der er omfattet af bilag I, og fire år for AI-systemer, der er omfattet af bilag III, på grundlag af en fornyet vurdering i overensstemmelse med gældende overensstemmelsesvurderingsprocedurer. Et eventuelt tillæg til en attest forbliver gyldigt, forudsat at den attest, det supplerer, er gyldig. 3. Hvis et bemyndiget organ fastslår, at et AI-system ikke længere opfylder kravene i afdeling 2, skal det under iagttagelse af proportionalitetsprincippet suspendere eller tilbagetrække den udstedte attest eller begrænse den, medmindre udbyderen af systemet gennem passende korrigerende tiltag og inden for en passende frist fastsat af det bemyndigede organ sikrer overholdelse af de pågældende krav. Det bemyndigede organ skal begrunde sin afgørelse. De bemyndigede organers afgørelser, herunder om udstedte overensstemmelsesattester, skal kunne appelleres.

Artikel 45 Oplysningsforpligtelser for bemyndigede organer 1. Bemyndigede organer skal oplyse den bemyndigende myndighed om følgende: a) alle EU-vurderingsattester for teknisk dokumentation, eventuelle tillæg til disse attester og eventuelle godkendelser af kvalitetsstyringssystemer, der er udstedt i overensstemmelse med kravene i bilag VII b) alle afslag på, begrænsninger af, suspensioner af eller tilbagetrækninger af EU-vurderingsattester for teknisk dokumentation eller godkendelser af kvalitetsstyringssystemer udstedt i overensstemmelse med kravene i bilag VII c) alle forhold, der har indflydelse på omfanget af eller betingelserne for notifikationen d) alle anmodninger om oplysninger om overensstemmelsesvurderingsaktiviteter, som de har modtaget fra markedsovervågningsmyndighederne e) efter anmodning, overensstemmelsesvurderingsaktiviteter, der er udført inden anvendelsesområdet for deres notifikation, og enhver anden aktivitet, der er udført, herunder grænseoverskridende aktiviteter og underentreprise. 2. Hvert bemyndiget organ skal underrette de øvrige bemyndigede organer om: a) afviste, suspenderede eller tilbagetrukne godkendelser af kvalitetsstyringssystemer samt, efter anmodning, udstedte godkendelser af kvalitetsstyringssystemer b) EU-vurderingsattester for teknisk dokumentation eller tillæg hertil, som det har afvist, tilbagetrukket, suspenderet eller på anden måde begrænset, og, efter anmodning, de attester og/eller tillæg hertil, som det har udstedt. 3. Hvert bemyndiget organ skal give de øvrige bemyndigede organer, som udfører lignende overensstemmelsesvurderingsaktiviteter vedrørende de samme typer AI-systemer, relevante oplysninger om spørgsmål vedrørende negative og, efter anmodning, positive overensstemmelsesvurderingsresultater. 4. Bemyndigende myndigheder sikrer, at de oplysninger, de kommer i besiddelse af, behandles fortroligt i overensstemmelse med artikel 78.

Artikel 46 Undtagelse fra overensstemmelsesvurderingsprocedure 1. Uanset artikel 43 og efter behørigt begrundet anmodning kan enhver markedsovervågningsmyndighed tillade, at specifikke højrisiko-AI-systemer bringes i omsætning eller ibrugtages på den pågældende medlemsstats område af ekstraordinære hensyn til den offentlige sikkerhed eller beskyttelse af menneskers liv og sundhed, miljøbeskyttelse eller beskyttelse af centrale industrielle og infrastrukturmæssige aktiver. Tilladelsen gælder kun for en begrænset periode, mens de nødvendige overensstemmelsesvurderingsprocedurer gennemføres, under hensyntagen til de ekstraordinære hensyn, der begrunder undtagelsen. Gennemførelsen af disse procedurer skal ske uden unødigt ophold. 2. I behørigt begrundede hastende tilfælde af ekstraordinære hensyn til den offentlige sikkerhed eller i tilfælde af en specifik, væsentlig og overhængende fare for fysiske personers liv eller fysiske sikkerhed kan de retshåndhævende myndigheder eller civilbeskyttelsesmyndighederne ibrugtage et specifikt højrisiko-AI-system uden den tilladelse, der er omhandlet i stk. 1, forudsat at der anmodes om en sådan tilladelse under eller efter anvendelsen uden unødigt ophold. Hvis den i stk. 1 omhandlede tilladelse afvises, skal anvendelsen af højrisiko-AI-systemet indstilles med øjeblikkelig virkning, og alle resultater og output af en sådan anvendelse skal omgående kasseres. 3. Den i stk. 1 omhandlede tilladelse udstedes kun, hvis markedsovervågningsmyndigheden konkluderer, at højrisiko-AI-systemet overholder kravene i afdeling 2. Markedsovervågningsmyndigheden underretter Kommissionen og de øvrige medlemsstater om enhver tilladelse, der udstedes i henhold til stk. 1 og 2. Denne forpligtelse omfatter ikke følsomme operationelle oplysninger i forbindelse med de retshåndhævende myndigheders aktiviteter. 4. Hvis der ikke inden for 15 kalenderdage efter modtagelsen af de i stk. 3 omhandlede oplysninger er blevet gjort indsigelse af en medlemsstat eller Kommissionen mod en tilladelse udstedt af en markedsovervågningsmyndighed i en medlemsstat i overensstemmelse med stk. 1, anses denne tilladelse for at være berettiget. 5. Hvis en medlemsstat inden for 15 kalenderdage efter modtagelsen af den i stk. 3 omhandlede underretning gør indsigelse mod en tilladelse, der er udstedt af en markedsovervågningsmyndighed i en anden medlemsstat, eller hvis Kommissionen finder, at tilladelsen er i strid med EU-retten, eller at medlemsstaternes konklusion vedrørende systemets overholdelse af kravene som omhandlet i stk. 3 er ubegrundet, hører Kommissionen straks den relevante medlemsstat. Operatørerne skal høres og have mulighed for at fremsætte deres synspunkter. På denne baggrund træffer Kommissionen afgørelse om, hvorvidt tilladelsen er berettiget. Kommissionen retter sin afgørelse til den pågældende medlemsstat og til de relevante operatører. 6. Hvis Kommissionen finder, at tilladelsen er uberettiget, tilbagetrækkes den af markedsovervågningsmyndigheden i den pågældende medlemsstat. 7. For højrisiko-AI-systemer vedrørende produkter, der er omfattet af EU-harmoniseringslovgivningen, som er opført i bilag I, afsnit A, finder kun undtagelserne fra overensstemmelsesvurderingen, der er fastsat i den pågældende EU-harmoniseringslovgivning, anvendelse.

Artikel 47 EU-overensstemmelseserklæring 1. Udbyderen udarbejder en skriftlig, maskinlæsbar, fysisk eller elektronisk undertegnet EU-overensstemmelseserklæring for hvert højrisiko-AI-system og opbevarer den, så den i ti år efter, at højrisiko-AI-systemet er blevet bragt i omsætning eller ibrugtaget, står til rådighed for de nationale kompetente myndigheder. Det skal af EU-overensstemmelseserklæringen fremgå, hvilket højrisiko-AI-system den vedrører. Et eksemplar af EU-overensstemmelseserklæringen indgives til de relevante nationale kompetente myndigheder. 2. Det skal af EU-overensstemmelseserklæringen fremgå, at det pågældende højrisiko-AI-system opfylder kravene i afdeling 2. EU-overensstemmelseserklæringen skal indeholde de oplysninger, der er fastsat i bilag V, og skal oversættes til et sprog, der let kan forstås af de nationale kompetente myndigheder i de medlemsstater, hvor højrisiko-AI-systemet bringes i omsætning eller gøres tilgængeligt. 3. For højrisiko-AI-systemer, der er omfattet af anden EU-harmoniseringslovgivning, i henhold til hvilken der også kræves en EU-overensstemmelseserklæring, udarbejdes der en enkelt EU-overensstemmelseserklæring for al EU-ret, der finder anvendelse på højrisiko-AI-systemet. Erklæringen skal indeholde alle de oplysninger, der er påkrævet for at identificere, hvilken EU-harmoniseringslovgivning erklæringen vedrører. 4. Ved at udarbejde EU-overensstemmelseserklæringen står udbyderen inde for, at kravene i afdeling 2 overholdes. Udbyderen skal sørge for at holde EU-overensstemmelseserklæringen ajour, alt efter hvad der er relevant. 5. Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 for at ændre bilag V ved at ajourføre indholdet af EU-overensstemmelseserklæringen, der er fastsat i nævnte bilag, for at indføre elementer, der bliver nødvendige i lyset af den tekniske udvikling.

Artikel 48 CE-mærkning 1. CE-mærkningen er underlagt de generelle principper fastsat i artikel 30 i forordning (EF) nr. 765/2008. 2. For højrisiko-AI-systemer, som leveres digitalt, anvendes der kun en digital CE-mærkning, hvis den er let at tilgå via den grænseflade, hvorfra det pågældende system tilgås, eller via en lettilgængelig maskinlæsbar kode eller andre elektroniske midler. 3. CE-mærkningen skal i tilknytning til højrisiko-AI-systemer anbringes synligt, letlæseligt og således, at den ikke kan slettes. Hvis højrisiko-AI-systemet er af en sådan art, at dette ikke er muligt eller berettiget, anbringes mærkningen på emballagen eller i den medfølgende dokumentation, alt efter hvad der relevant. 4. Hvis det er relevant, skal CE-mærkningen følges af identifikationsnummeret for det bemyndigede organ, der er ansvarligt for overensstemmelsesvurderingsprocedurerne i artikel 43. Det bemyndigede organs identifikationsnummer anbringes af organet selv eller efter dettes anvisninger af udbyderen eller af udbyderens bemyndigede repræsentant. Identifikationsnummeret skal også fremgå af salgsfremmende materiale, som nævner, at højrisiko-AI-systemet opfylder kravene til CE-mærkning. 5. Hvis højrisiko-AI-systemet er omfattet af anden EU-ret, som også indeholder bestemmelser om anbringelsen af CE-mærkning, skal CE-mærkningen angive, at højrisiko-AI-systemet ligeledes opfylder kravene i denne anden ret.

Artikel 49 Registrering 1. Inden et højrisiko-AI-system, der er opført i bilag III, med undtagelse af de højrisiko-AI-systemer, der er omhandlet i bilag III, punkt 2, bringes i omsætning eller ibrugtages, skal udbyderen eller, hvis det er relevant, den bemyndigede repræsentant registrere sig selv og deres system i den EU-database, der er omhandlet i artikel 71. 2. Inden et AI-system, for hvilket udbyderen har konkluderet, at det ikke udgør en høj risiko i overensstemmelse med artikel 6, stk. 3, bringes i omsætning eller tages i brug, registrerer den pågældende udbyder eller, hvis det er relevant, den bemyndigede repræsentant sig selv og dette system i den EU-database, der er omhandlet i artikel 71. 3. Inden et højrisiko-AI-system, der er opført i bilag III, med undtagelse af de højrisiko-AI-systemer, der er omhandlet i bilag III, punkt 2, ibrugtages eller anvendes, skal idriftsættere, som er offentlige myndigheder, EU-institutioner, -organer, -kontorer eller -agenturer eller personer, der handler på deres vegne, lade sig registrere, vælge systemet og registrere dets anvendelse i den EU-database, der er omhandlet i artikel 71. 4. For de højrisiko-AI-systemer, der er omhandlet i bilag III, punkt 1, 6 og 7, inden for retshåndhævelse og migrationsstyring, asylforvaltning og grænsekontrol, foretages den registrering, der er omhandlet i denne artikels stk. 1, 2 og 3, i en sikker ikkeoffentlig del af den EU-database, der er omhandlet i artikel 71, og omfatter kun følgende oplysninger, alt efter hvad der er relevant, der er omhandlet i: a) bilag VIII, afsnit A, punkt 1-10, med undtagelse af punkt 6, 8 og 9 b) bilag VIII, afsnit B, punkt 1-5 og 8 og 9 c) bilag VIII, afsnit C, punkt 1-3 d) bilag IX, punkt 1, 2, 3 og 5. Kun Kommissionen og de nationale myndigheder, der er omhandlet i artikel 74, stk. 8, har adgang til de respektive begrænsede afsnit i den EU-database, der er opført i nærværende stykkes første afsnit. 5. Højrisiko-AI-systemer, der er omhandlet i bilag III, punkt 2, registreres på nationalt plan.