AI-forordningen for en softwarevirksomhed: hvilken rolle I har, hvad der gælder for alle, hvad der kun gælder for en højrisikoudbyder, SMV-reglerne og de ændrede datoer

Forordning (EU) 2024/1689 er skrevet til operatører, og en softwarevirksomhed kan være flere af dem på én gang. De fleste af forordningens sider er til udbyderen af et højrisikosystem; de fleste virksomheder bliver aldrig en sådan. Denne artikel sorterer de seks roller, siger, hvad der gælder for enhver virksomhed uanset rolle, hvad der kun gælder, når et system er højrisiko, hvor linjen for modeller til almen brug går, og hvad SMV-reglerne er værd, med datoerne, som forordning (EU) 2026/1744, den digitale omnibus om AI, fastsatte dem den 27. juli 2026. Den er læst fra de to tekster på CELLAR den 12. september 2026 og er ikke juridisk rådgivning.

Først: er det et AI-system

Artikel 3(1) definerer et AI-system som et maskinbaseret system, der er udformet til at fungere med varierende grader af autonomi, som kan udvise tilpasningsevne, efter at det er taget i brug, og som til eksplicitte eller implicitte mål udleder af det input, det modtager, hvordan det skal generere output såsom forudsigelser, indhold, anbefalinger eller beslutninger, der kan påvirke fysiske eller virtuelle miljøer. Betragtning 12 trækker linjen ved udledningen: definitionen bør ikke omfatte systemer, der er baseret på regler, som udelukkende er fastsat af fysiske personer til automatisk at udføre handlinger, og de teknikker, der muliggør udledning, er maskinlæring og logik- og vidensbaserede tilgange. En prisregel, jeres produktchef har skrevet, er ikke et AI-system; en model, der har lært reglen af data, er det, og det er en stor sprogmodel, I kalder gennem en API, også. Forordningen gælder for systemet, så et produkt med én AI-funktion indeholder ét AI-system.

De seks roller, og hvilken en softwarevirksomhed har

Artikel 3(8) kalder de seks for operatører: udbyder, produktfabrikant, idriftsætter, bemyndiget repræsentant, importør og distributør. For en softwarevirksomhed betyder tre noget.

I er udbyder (artikel 3(3)) af ethvert system, I udvikler eller får udviklet og bringer i omsætning eller ibrugtager under eget navn eller varemærke, mod betaling eller gratis. Det omfatter et system bygget på en andens model: når jeres produkt indlejrer en leverandørs model til almen brug bag jeres funktion og jeres navn, er I udbyder af AI-systemet, og leverandøren forbliver udbyder af AI-modellen til almen brug efter kapitel V. Gratisniveauer, betaer og open source-udgivelser er også omsætning, med forbehold af undtagelsen i artikel 2(12) for frie og open source-systemer, der hverken er højrisiko eller omfattet af artikel 5 eller 50.

I er idriftsætter (artikel 3(4)) af ethvert system, I anvender under eget ansvar i jeres drift, fra screeningværktøjet i rekruttering til kodeassistenten i udvikling, bortset fra rent personlig brug. En virksomhed er som regel udbyder af få systemer og idriftsætter af mange.

I kan være importør eller distributør, hvis I bringer en tredjelandsudbyders system i omsætning på EU-markedet under dennes navn, eller gør et system tilgængeligt i forsyningskæden uden at være dets udbyder (artikel 3(6) og (7)); forhandlere og markedspladser sidder her, med pligterne i artikel 23 og 24 for højrisikosystemer. Og en udbyder etableret uden for Unionen nås alligevel: artikel 2(1)(c) anvender forordningen på tredjelandsudbydere, hvor outputtet anvendes i Unionen, og artikel 22 kræver, at en udbyder af et højrisikosystem etableret i et tredjeland udpeger en bemyndiget repræsentant i Unionen, før systemet gøres tilgængeligt.

Én rolle kan blive til en anden. Artikel 25(1) gør en idriftsætter, distributør eller importør til udbyder af et højrisikosystem, når den sætter sit navn på et, ændrer et væsentligt eller ændrer et systems tilsigtede formål, så det bliver højrisiko, og finjustering af en licenseret model til en anvendelse i bilag III er det sidste tilfælde.

Hvad der gælder for enhver virksomhed, uanset rolle

Tre dele af forordningen venter ikke på en risikoklasse.

Artikel 4, AI-færdigheder, siden den 2. februar 2025. Udbydere og idriftsættere træffer foranstaltninger for at understøtte udviklingen af AI-færdigheder hos deres personale og andre, der betjener AI-systemer på deres vegne, under hensyntagen til deres viden, erfaring, uddannelse og oplæring og anvendelseskonteksten; som omskrevet den 27. juli 2026, uden nogen pligt til at garantere et bestemt niveau af færdigheder for nogen. Artiklen om artikel 4 har teksten og et program på én side.

Artikel 5, de forbudte praksisser, siden den 2. februar 2025. Subliminale eller manipulerende teknikker, der forvrider adfærd og forvolder betydelig skade, udnyttelse af sårbarheder, social pointtildeling, forudsigelse af lovovertrædelser begået af enkeltpersoner alene på grundlag af profilering, ikke-målrettet indsamling af ansigtsbilleder, følelsesgenkendelse på arbejdspladsen og i uddannelse undtagen af medicinske eller sikkerhedsmæssige grunde, biometrisk kategorisering, der udleder beskyttede kendetegn, og biometrisk fjernidentifikation i realtid til retshåndhævelse uden for snævre undtagelser. Fra den 2. december 2026 to mere, indsat af omnibussen: generering eller manipulation af intimt eller seksuelt eksplicit materiale af en identificerbar person uden samtykke, og materiale med seksuelt misbrug af børn. En softwarevirksomhed kontrollerer sit produkt mod listen én gang, og igen hver gang det tilsigtede formål ændres.

Artikel 50, gennemsigtighed, siden den 2. august 2026. En udbyders system, der interagerer med mennesker, siger, at det er en AI; en udbyders generative system mærker sit output, så maskiner kan opdage det, med en overgang til den 2. december 2026 for systemer, der allerede er i omsætning; en idriftsætter oplyser om deepfakes og AI-skrevne tekster offentliggjort om spørgsmål af offentlig interesse og underretter personer, der udsættes for følelsesgenkendelse eller biometrisk kategorisering. Artiklen om artikel 50 dækker de fire pligter og Kommissionens praksiskodeks.

Hvad der kun gælder, når et system er højrisiko

Artikel 6 giver to veje. Efter artikel 6(1) er et system, der er en sikkerhedskomponent i et produkt, der er omfattet af lovgivningen i bilag I, eller selv er et sådant produkt, og hvor produktet kræver en overensstemmelsesvurdering udført af tredjepart, højrisiko; omnibussen tilføjede, at et system, der udelukkende anvendes til ikkesikkerhedsrelaterede aspekter, ikke er en sikkerhedskomponent, medmindre dets svigt vil bringe sundhed og sikkerhed i fare, og at en tredjepartsvurdering, der kun skyldes radiofrekvens- eller interferensrisici, ikke tæller. Efter artikel 6(2) er et system, der er tilsigtet en anvendelse opført i bilag III, højrisiko, medmindre det ikke udgør en betydelig risiko og opfylder en af de fire betingelser i artikel 6(3), og aldrig, hvis det profilerer fysiske personer. For en softwarevirksomhed er de anvendelser i bilag III, der dukker op, rekruttering og forvaltning af arbejdstagere (punkt 4), kreditværdighed og forsikringsprissætning (punkt 5), optagelse og bedømmelse i uddannelse (punkt 3) og biometri (punkt 1). Den gratis afgørelse går spørgsmålene igennem med bilaget ordret.

Er systemet højrisiko, afgør rollen pligterne. Udbyderen skylder artikel 16: kravene i artikel 8 til 15 om risikostyring, data, dokumentation, logning, gennemsigtighed, menneskeligt tilsyn, nøjagtighed, robusthed og cybersikkerhed, kvalitetsstyringssystemet efter artikel 17, overensstemmelsesvurderingen efter artikel 43, erklæringen, CE-mærkningen og registreringen efter artikel 47 til 49 samt overvågning efter omsætningen og hændelsesindberetning efter artikel 72 og 73; afbildningen af AI-forordningen viser, hvilke foranstaltninger i ISO/IEC 42001 der frembringer beviset. Idriftsætteren skylder artikel 26, tolv stykker fra menneskeligt tilsyn til logopbevaring og underretning af arbejdstagere, læst i rækkefølge i artiklen om artikel 26. Kapitel III gælder fra den 2. december 2027 for systemer i bilag III og fra den 2. august 2028 for systemer i bilag I (artikel 113 som ændret), med henstandsperioden i artikel 111(2) for typer og modeller, der allerede er i omsætning, og hvis udformning ikke ændres væsentligt.

Linjen for modeller til almen brug

Træner og udgiver I en model frem for et system, gør artikel 3(63) jer til udbyder af en AI-model til almen brug, når den udviser betydelig generalitet og kan integreres i en række downstreamsystemer, og kapitel V har gældt for jer siden den 2. august 2025: teknisk dokumentation, oplysninger til downstreamudbydere, en ophavsretspolitik og en sammenfatning af træningsindholdet efter artikel 53 samt pligterne ved systemisk risiko efter artikel 55 over beregningstærsklen i artikel 51, med Kommissionens praksiskodeks som vejen til at påvise overholdelse. De fleste softwarevirksomheder står på den anden side af den linje, som udbydere af systemer bygget på en andens model, og deres pligt over for modeludbyderen er den skriftlige aftale efter artikel 25(4) som ændret, der fastlægger de oplysninger, kapaciteter, den tekniske adgang og bistand, en højrisikoudbyder har brug for.

Reglerne for SMV'er og små midcapselskaber

Forordningen definerer SMV'er ved henvisning til henstilling 2003/361/EF (artikel 3(14a), indsat i 2026) og tilføjer små midcapselskaber efter henstilling (EU) 2025/1099 (artikel 3(14b)). Fem regler følger. Artikel 62: medlemsstaterne giver SMV'er, herunder iværksættervirksomheder, prioriteret adgang til de reguleringsmæssige sandkasser, målrettet oplysning og uddannelse, særlige kanaler til rådgivning, og nedsætter gebyrerne for overensstemmelsesvurdering i forhold til deres størrelse, og AI-kontoret driver en fælles informationsplatform med standardiserede skabeloner. Artikel 63(1) som ændret: SMV'er, herunder iværksættervirksomheder, uden partnervirksomheder eller tilknyttede virksomheder kan opfylde visse elementer i kvalitetsstyringssystemet efter artikel 17 på forenklet vis, efter retningslinjer, Kommissionen skal udstede. Artikel 17(2) som ændret: kvalitetsstyringssystemet står i forhold til udbyderens størrelse, med SMV'er og små midcapselskaber nævnt. Artikel 11(1) som ændret: SMV'er, iværksættervirksomheder og små midcapselskaber kan levere den tekniske dokumentation på en forenklet formular, Kommissionen fastlægger, og som bemyndigede organer skal acceptere. Og artikel 99(6) og (6a): hvor et bødeloft er et valg mellem et beløb og en procentsats, betaler en SMV eller et lille midcapselskab det laveste, ikke det højeste.

Hvem der skylder hvad, fra hvornår

Hvad I skal gøre i dette kvartal

Skriv registret: hvert AI-system, I udbyder, og hvert, I idriftsætter, med tilsigtet formål, modellen bag og den rolle, I har. Kør højrisikoafgørelsen for hvert og arkivér resultatet, også de negative, da artikel 6(4) gør begrundelsen til en registrering, hvor undtagelsen i bilag III påberåbes. Kontrollér registret mod artikel 5 og artikel 50, og sæt interaktionsoplysningen og outputmærkningen på produktets køreplan med leverandørens mærkningslag navngivet. Træf foranstaltningen efter artikel 4, pr. system og pr. persongruppe, og registrér den. Er et system højrisiko, og udbyder I det, er kvalitetsstyringssystemet efter artikel 17 et ledelsessystem i ISO's forstand, og ISO/IEC 42001 er dets form; SMV-forenklingerne mindsker, hvad det skal indeholde, ikke om det skal findes.