En idriftsætter er, med AI-forordningens ord, enhver fysisk eller juridisk person, offentlig myndighed, agentur eller andet organ, der anvender et AI-system under eget ansvar, undtagen hvor anvendelsen er personlig og ikke-erhvervsmæssig (artikel 3(4)). Det er de fleste virksomheder: HR-afdelingen, der licenserer et screeningværktøj, långiveren, der køber en scoringsmodel, forsyningsselskabet, der kører en leverandørs styringssoftware. For et højrisikosystem er deres pligter samlet i artikel 26 i forordning (EU) 2024/1689, tolv stykker, som forordning (EU) 2026/1744, den digitale omnibus om AI, lod stå som vedtaget, mens den flyttede datoen, de gælder fra: 2. december 2027 for systemer, der er højrisiko efter bilag III, 2. august 2028 for sikkerhedskomponenterne i produkter i bilag I (artikel 113 som ændret). Denne artikel læser de tolv stykker i rækkefølge, derefter konsekvensanalysen efter artikel 27, de tre måder en idriftsætter bliver udbyder på, den berørte persons ret til en forklaring, bødeloftet og ISO/IEC 42001-registreringen bag hvert punkt, fra de to forordninger på CELLAR den 12. september 2026. Det er ikke juridisk rådgivning.
Om I overhovedet er idriftsætter
Artikel 26 gælder for idriftsættere af højrisiko-AI-systemer, så det første spørgsmål er, om systemet er højrisiko: en sikkerhedskomponent i et produkt i bilag I, der kræver en overensstemmelsesvurdering udført af tredjepart, eller et system, der er tilsigtet en af de anvendelser, der er opført i bilag III, medmindre en af betingelserne i artikel 6(3) tager det ud. Den gratis afgørelse går spørgsmålene igennem med listen i bilag III ordret. Er systemet ikke højrisiko, gælder artikel 26 ikke; artikel 4 om AI-færdigheder og artikel 50 om gennemsigtighed gælder stadig.
Det andet spørgsmål er, om I er idriftsætter eller er blevet udbyder, hvilket artikel 25 besvarer, og et senere afsnit behandler. Indtil da antages det, at I anvender et system, som en udbyder har bragt i omsætning under eget navn, og at udbyderens brugsanvisning efter artikel 13 fulgte med.
De tolv stykker i artikel 26
26(1), anvendelse efter brugsanvisningen. Træffe passende tekniske og organisatoriske foranstaltninger for at sikre, at systemet anvendes i overensstemmelse med den medfølgende brugsanvisning. Brugsanvisningen er udbyderens dokument efter artikel 13: det tilsigtede formål, niveauet af nøjagtighed og robusthed, de kendte omstændigheder, der fører til risici, foranstaltningerne til menneskeligt tilsyn, den forventede levetid og vedligeholdelsen. Alt andet i artikel 26 henviser tilbage til den.
26(2), menneskeligt tilsyn ved kompetente personer. Overdrage det menneskelige tilsyn til fysiske personer, der har den nødvendige kompetence, uddannelse og beføjelse samt den nødvendige støtte. Det er det stykke, der giver artikel 4, AI-færdigheder, tænder for en idriftsætter: de personer, der fører tilsyn med et højrisikosystem, er navngivet, og hvad de skulle vide, er en registrering.
26(3), jeres egen organisation. De to pligter ovenfor berører ikke andre forpligtelser efter EU-retten eller national ret og idriftsætterens frihed til at organisere sine egne ressourcer og aktiviteter med henblik på at gennemføre de tilsynsforanstaltninger, udbyderen har angivet. Hvordan I bemander tilsynet, bestemmer I; at I bemander det, gør I ikke.
26(4), inputdata. I det omfang I har kontrol over inputdataene, sikre, at de er relevante og tilstrækkeligt repræsentative i forhold til det tilsigtede formål. Et screeningværktøj, der kun fodres med de ansøgninger, der landede i en bestemt indbakke, er idriftsætterens problem, ikke udbyderens.
26(5), overvåge, og stoppe ved en risiko. Overvåge driften på grundlag af brugsanvisningen og, hvor det er relevant, underrette udbyderen efter artikel 72. Har I grund til at mene, at anvendelse efter brugsanvisningen kan medføre, at systemet udgør en risiko som omhandlet i artikel 79(1), skal I uden unødigt ophold underrette udbyderen eller distributøren og markedsovervågningsmyndigheden og suspendere anvendelsen. Har I konstateret en alvorlig hændelse, skal I straks underrette først udbyderen, dernæst importøren eller distributøren og markedsovervågningsmyndighederne; kan udbyderen ikke nås, gælder artikel 73 for jer som for udbyderen. Finansielle institutioner underlagt EU-retten om finansielle tjenesteydelser opfylder overvågningspligten gennem deres regler om intern ledelse.
26(6), opbevare logfilerne. Opbevare de logfiler, systemet automatisk genererer, i det omfang de er under jeres kontrol, i en periode, der passer til det tilsigtede formål, og på mindst seks måneder, medmindre EU-retten eller national ret, navnlig databeskyttelsesretten, bestemmer andet. Finansielle institutioner opbevarer dem som en del af deres dokumentation efter retten om finansielle tjenesteydelser.
26(7), underrette arbejdstagerne først. Før et højrisikosystem ibrugtages eller anvendes på arbejdspladsen, underretter en arbejdsgiver arbejdstagerrepræsentanterne og de berørte arbejdstagere om, at de vil være omfattet af anvendelsen, efter EU-reglerne og de nationale regler om underretning af arbejdstagere, hvor de gælder. Det er en pligt, der løber før den første anvendelse, ikke efter.
26(8), offentlige organer registrerer. Idriftsættere, der er offentlige myndigheder eller EU-institutioner, -organer, -kontorer eller -agenturer, opfylder registreringsforpligtelserne i artikel 49; er det system, de påtænker at anvende, ikke i EU-databasen efter artikel 71, anvender de det ikke og underretter udbyderen eller distributøren.
26(9), konsekvensanalysen vedrørende databeskyttelse. Hvor det er relevant, anvende de oplysninger, udbyderen har givet efter artikel 13, til at gennemføre konsekvensanalysen vedrørende databeskyttelse efter artikel 35 i databeskyttelsesforordningen eller artikel 27 i direktiv (EU) 2016/680. Brugsanvisningen er input til et dokument, de fleste idriftsættere allerede skriver.
26(10), efterfølgende biometrisk fjernidentifikation. Et stykke for retshåndhævelse: en forudgående, eller inden 48 timer indhentet, tilladelse fra en judiciel myndighed eller en administrativ myndighed, hvis afgørelse er bindende, for hver anvendelse i en målrettet eftersøgning, ingen ikke-målrettet anvendelse, ingen bebyrdende afgørelse alene på outputtet, en politisag for hver anvendelse og årlige rapporter til markedsovervågnings- og databeskyttelsesmyndighederne.
26(11), underrette personerne. Idriftsættere af systemer i bilag III, der træffer eller bistår med at træffe afgørelser vedrørende fysiske personer, underretter disse personer om, at de er omfattet af anvendelsen af højrisikosystemet, uden at det berører gennemsigtighedsforpligtelserne i artikel 50. For retshåndhævelse gælder i stedet artikel 13 i direktiv (EU) 2016/680.
26(12), samarbejde. Samarbejde med de kompetente myndigheder om ethvert tiltag, de træffer i forhold til systemet for at gennemføre forordningen.
Artikel 27, konsekvensanalysen vedrørende grundlæggende rettigheder
Tre slags idriftsættere bærer en yderligere pligt før den første anvendelse af et system i bilag III, område 2 (kritisk infrastruktur) undtaget: offentligretlige organer, private enheder, der leverer offentlige tjenester, og idriftsættere af kreditværdigheds- og kreditscoresystemerne i punkt 5(b) og livs- og sygeforsikringssystemerne i punkt 5(c). Artikel 27(1) opregner seks elementer, analysen består af: en beskrivelse af idriftsætterens processer, hvori systemet vil blive anvendt i overensstemmelse med sit tilsigtede formål; perioden og hyppigheden af anvendelsen; de kategorier af fysiske personer og grupper, der sandsynligvis berøres; de specifikke risici for skade på dem under hensyntagen til udbyderens oplysninger efter artikel 13; en beskrivelse af gennemførelsen af foranstaltningerne til menneskeligt tilsyn; og de foranstaltninger, der skal træffes, hvis risiciene indtræder, herunder intern ledelse og klagemekanismer.
Analysen gælder for den første anvendelse, kan i lignende tilfælde bygge på en tidligere analyse og opdateres, når et element ændrer sig (artikel 27(2)). Resultaterne meddeles markedsovervågningsmyndigheden på AI-kontorets skabelon (artikel 27(3) og (5)). Artikel 27(4) som ændret den 27. juli 2026 lader idriftsætteren henvise til de relevante afsnit i sin konsekvensanalyse vedrørende databeskyttelse eller medtage dele af den i stedet for at skrive overlappet to gange; den oprindelige tekst sagde kun, at de to analyser supplerer hinanden.
Hvornår en idriftsætter bliver udbyder
Artikel 25(1) nævner tre omstændigheder, hvor en distributør, importør, idriftsætter eller anden tredjepart betragtes som udbyder af et højrisikosystem, med de forpligtelser efter artikel 16, der følger med: den anbringer sit navn eller varemærke på et højrisikosystem, der allerede er i omsætning, uden at det berører kontraktlige ordninger, der fordeler forpligtelserne anderledes; den foretager en væsentlig ændring af et højrisikosystem, så det forbliver højrisiko; eller den ændrer det tilsigtede formål med et system, der ikke var højrisiko, herunder et AI-system til almen brug, så det bliver højrisiko efter artikel 6. Finjustering af en licenseret model til en anvendelse i bilag III er det tredje tilfælde. Indtræder det, er den oprindelige udbyder ikke længere udbyder af det system (artikel 25(2)) og skal, som ændret, samarbejde med den nye: teknisk dokumentation, der er tilstrækkelig til at vurdere overholdelsen af artikel 16, kendte begrænsninger og fejltilstande samt målrettet teknisk adgang til test og validering, medmindre den oprindelige udbyder klart har angivet, at dens system ikke må ændres til et højrisikosystem.
På denne side af den linje beder artikel 25(4) som ændret udbyderen af et højrisikosystem og enhver tredjepart, der leverer komponenter, værktøjer, tjenester eller modeller, der anvendes i det, om ved skriftlig aftale at fastlægge de oplysninger, kapaciteter, den tekniske adgang og den bistand, udbyderen har brug for for at overholde reglerne. En idriftsætter, der leverer data eller infrastruktur til sin udbyder, er en sådan tredjepart; aftalen er der, hvor det skrives ned. Afbildningen af AI-forordningen dækker udbyderens side, artikel 17 og artikel 9 til 15.
Artikel 86, retten til en forklaring
Enhver berørt person, der er genstand for en afgørelse, som idriftsætteren træffer på grundlag af outputtet fra et system i bilag III (område 2 undtaget), og som har retsvirkninger eller på lignende måde påvirker den pågældende betydeligt på en måde, som vedkommende anser for at have negativ indvirkning på sin sundhed, sikkerhed eller grundlæggende rettigheder, har ret til at få klare og meningsfulde forklaringer fra idriftsætteren om systemets rolle i beslutningsproceduren og hovedelementerne i den trufne afgørelse (artikel 86(1)). Den gælder kun, i det omfang EU-retten ikke allerede fastsætter retten (artikel 86(3)), og den er rettet til idriftsætteren, ikke udbyderen: forklaringen skal kunne frembringes af det, idriftsætteren har opbevaret.
Loftet
Manglende overholdelse af idriftsætteres forpligtelser efter artikel 26 står på listen i artikel 99(4): administrative bøder på op til 15 000 000 euro eller, for en virksomhed, 3 % af den samlede globale årsomsætning i det foregående regnskabsår, alt efter hvilket beløb der er højest, og for SMV'er, og siden ændringen for små midcapselskaber, det laveste (artikel 99(6) og (6a)). Artikel 27 og artikel 86 står ikke på den liste; efter artikel 99(1) som ændret fastsætter medlemsstaterne sanktionerne for enhver anden overtrædelse.
Registreringen, stykke for stykke
Hvert stykke i artikel 26 ender i noget, en idriftsætter opbevarer, og ISO/IEC 42001 er en ledelsessystemstandard, hvis bilag A allerede nævner den foranstaltning, der opbevarer det. Tabellen er StandardOS' læsning, som kan efterprøves mod de to tekster; forordningen nævner ingen standard og giver ikke idriftsættere nogen formodning om overensstemmelse på grund af et ISO-certifikat.
| Artikel 26 | Hvad der opbevares | ISO 42001 |
|---|---|---|
| 26(1) | Brugsanvisningen og de foranstaltninger, der er truffet for at følge den | A.9.4, A.9.2 |
| 26(2) | Hvem der fører tilsyn med hvert system, deres kompetence, uddannelse og beføjelse | 7.2, A.4.6, A.3.2 |
| 26(4) | Hvilke inputdata der er under jeres kontrol, og hvordan deres relevans blev kontrolleret | A.7.4, A.7.3 |
| 26(5) | Overvågningsregistreringen, risikoindberetningerne, suspensionsbeslutningen, hændelsesunderretningerne | A.6.2.6, A.8.4, A.8.3 |
| 26(6) | Logfilerne, med en opbevaringsperiode pr. system | A.6.2.8 |
| 26(7) | Underretningen af arbejdstagerrepræsentanter og arbejdstagere, dateret før den første anvendelse | A.8.5, A.2.2 |
| 26(9) | Konsekvensanalysen vedrørende databeskyttelse, med de oplysninger efter artikel 13, den brugte | A.5.2, A.5.3 |
| 26(11) | Underretningen af fysiske personer, der er genstand for afgørelser | A.8.2, A.8.4 |
| 27 | Konsekvensanalysen vedrørende grundlæggende rettigheder, seks elementer, og meddelelsen af den | A.5.2 til A.5.5 |
| 25(1), 25(4) | Registret over systemer med udbyderen navngivet, og den skriftlige aftale | A.10.2, A.10.3 |
| 86 | Hvad afgørelsen byggede på, kan frembringes pr. afgørelse | A.6.2.8, A.8.2 |
Fire stykker står ikke i tabellen: 26(3) bevarer jeres organisationsfrihed; 26(8), de offentlige organers registrering efter artikel 49, er sin egen registrering i EU-databasen; 26(10) er en retshåndhævelsessag; og 26(12) er samarbejde, når en myndighed handler.
Hvad I skal gøre før datoen
Skriv registret over AI-systemer i brug med udbyderen og det tilsigtede formål for hvert, og markér, hvilke der er højrisiko, med den afgørelse, der siger hvorfor. For hvert af dem: arkivér udbyderens brugsanvisning, navngiv tilsynspersonerne og hvad de blev uddannet i, fastsæt logopbevaringen, og sæt underretningen af arbejdstagerne og underretningen af fysiske personer i kalenderen før den første anvendelse. Er I et offentligt organ, en leverandør af offentlige tjenester eller en idriftsætter inden for kredit eller forsikring, så udarbejd analysen efter artikel 27 nu ud fra dens seks elementer, og afstem den med konsekvensanalysen vedrørende databeskyttelse. Læs derefter artikel 25 op mod enhver ændring, I har foretaget af et licenseret system: den dag, en finjusteret model bliver højrisiko, er den dag, I skylder artikel 16, ikke artikel 26.