Skráning í gagnagrunn ESB samkvæmt gervigreindarreglugerðinni: hvað 49. gr. krefst og hvenær hún gildir

Samkvæmt 49. gr. gervigreindarreglugerðarinnar skal veitandi áhættumikils gervigreindarkerfis sem talið er upp í III. viðauka skrá sjálfan sig og kerfið í gagnagrunn ESB áður en kerfið er sett á markað eða tekið í notkun. Veitendur sem komast að þeirri niðurstöðu að kerfi þeirra samkvæmt III. viðauka sé ekki áhættumikið skrá sig líka, með styttri færslu. Það sama gera opinber yfirvöld sem nota slíkt kerfi.

Gagnagrunnurinn er ekki opinn. Dagsetningin sem skráningarskyldan verður virk frá færðist í júlí 2026, og breytingarreglugerðin skildi eftir gloppu í textanum sem hefur getið af sér tvær túlkanir á því hvenær 49. gr. gildir. Hér er staðan eins og hún er 2. október 2026.

Hverjir þurfa að skrá sig

Veitendur áhættumikilla kerfa samkvæmt III. viðauka: 1. mgr. 49. gr.

Í III. viðauka eru átta svið: lífkenni; mikilvægir innviðir; menntun og starfsmenntun; atvinna, stjórnun starfsmanna og aðgangur að sjálfstæðri starfsemi; aðgangur að nauðsynlegri einkaþjónustu og opinberri þjónustu og bótum; löggæsla; stjórnun fólksflutninga, hælismála og landamæraeftirlits; og réttarvarsla og lýðræðisleg ferli. Kerfi sem ætlað er til einhverra þeirra tilteknu notkunartilvika sem talin eru upp undir þessum fyrirsögnum telst áhættumikið samkvæmt 2. mgr. 6. gr., nema 3. mgr. 6. gr. undanskilji það.

Áður en slíkt kerfi er sett á markað eða tekið í notkun skráir veitandinn, „eða, eftir atvikum, viðurkenndur fulltrúi“, sjálfan sig og kerfið.

Tveir flokkar falla utan 1. mgr. 49. gr. Kerfi fyrir mikilvæga innviði samkvæmt 2. lið III. viðauka eru skráð á landsvísu samkvæmt 5. mgr. 49. gr. Og áhættumikil gervigreind í vörum sem falla undir regluverkið í I. viðauka er alls ekki skráð samkvæmt 49. gr., því í 1. mgr. 49. gr. er aðeins vísað til III. viðauka.

Veitendur sem telja kerfi sitt ekki áhættumikið: 2. mgr. 49. gr.

Samkvæmt 3. mgr. 6. gr. getur veitandi komist að þeirri niðurstöðu að kerfi samkvæmt III. viðauka sé ekki áhættumikið ef það hefur ekki í för með sér verulega hættu á skaða fyrir heilsu, öryggi eða grundvallarréttindi, meðal annars með því að hafa ekki efnisleg áhrif á niðurstöðu ákvarðanatöku. Eitt af fjórum skilyrðum þarf að vera uppfyllt. Kerfið sinnir afmörkuðu verklagsverkefni. Það bætir niðurstöðu mannlegrar athafnar sem þegar er lokið. Það greinir mynstur í ákvarðanatöku, eða frávik frá þeim, og er ekki ætlað að koma í stað mats manna sem þegar er lokið eða hafa áhrif á það án viðeigandi mannlegrar yfirferðar. Eða það sinnir undirbúningsverkefni fyrir mat sem skiptir máli fyrir notkunartilvik samkvæmt III. viðauka.

Kerfi sem gerir persónusnið af einstaklingum er alltaf áhættumikið, hvaða skilyrði sem það uppfyllir.

Samkvæmt 4. mgr. 6. gr. skjalfestir veitandinn matið áður en kerfið er sett á markað, afhendir skjölunina þegar lögbært landsyfirvald óskar eftir henni og skráir kerfið samkvæmt 2. mgr. 49. gr.

Í tillögu framkvæmdastjórnarinnar að Digital Omnibus hefði 2. mgr. 49. gr. verið felld brott. Því var hafnað, svo veitendur sem undanþiggja kerfi sín sjálfir skrá þau enn, á grundvelli B-þáttar VIII. viðauka. Omnibus-gerðin stytti þó B-þátt: 7. og 9. liður (stutt samantekt á forsendum niðurstöðunnar og aðildarríkin þar sem kerfið er í boði) eru horfnir. Í færslunni er enn tilgreint á hvaða skilyrði 3. mgr. 6. gr. er byggt, en rökstuðningurinn er aðeins í skjöluninni samkvæmt 4. mgr. 6. gr., sem yfirvald getur krafist. Undanþágan heldur þér ekki utan gagnagrunnsins. Hún setur afstöðu þína í opinbera skrá, og skriflega matið að baki henni þarf að liggja fyrir áður en kerfið fer í dreifingu.

Opinber yfirvöld sem nota áhættumikil kerfi: 3. mgr. 49. gr.

Notendur (e. deployers) sem eru opinber yfirvöld eða stofnanir, stofur, skrifstofur eða sérstofnanir Sambandsins, eða aðilar sem koma fram fyrir þeirra hönd, skrá sig áður en þeir taka í notkun eða nota áhættumikið kerfi sem talið er upp í III. viðauka (2. liður er aftur undanskilinn). Þeir skrá sjálfa sig, velja kerfið í gagnagrunninum og skrá notkun sína á því.

Í 8. mgr. 26. gr. bætist við sú regla sem skiptir seljendur mestu máli. Notandi í opinbera geiranum sem kemst að því að kerfið sem hann hyggst nota hefur ekki verið skráð má ekki nota það og skal upplýsa veitandann eða dreifingaraðilann. Í eigin færslu hans, samkvæmt C-þætti VIII. viðauka, er beðið um vefslóð færslu veitandans. Viðskiptavinur í opinbera geiranum getur ekki lokið skráningu sinni fyrr en þín færsla er til.

Notendur í einkageiranum hafa enga skráningarskyldu samkvæmt 49. gr.

Kerfi samkvæmt 1., 6. og 7. lið III. viðauka á sviði löggæslu, fólksflutninga, hælismála og landamæraeftirlits fara í öruggan hluta gagnagrunnsins sem er ekki opinn almenningi (4. mgr. 49. gr.). Allt annað sem skráð er samkvæmt 49. gr. er aðgengilegt almenningi samkvæmt 4. mgr. 71. gr.

Veitendur utan ESB: 22. gr.

Veitandi með staðfestu utan Sambandsins skal, með skriflegu umboði, tilnefna viðurkenndan fulltrúa með staðfestu í Sambandinu áður en hann býður áhættumikið kerfi fram á markaði Sambandsins. Fyrir kerfi samkvæmt III. viðauka gildir sú skylda frá 2. desember 2027. Upplýsingar um fulltrúann fara í 3. lið A- eða B-þáttar, og samkvæmt e-lið 3. mgr. 22. gr. hefur fulltrúinn hlutverk í sjálfri skráningunni.

Brot gegn 22. gr. varða sektum samkvæmt b-lið 4. mgr. 99. gr.: allt að 15 milljónum evra eða 3% af heildarársveltu á heimsvísu, hvort sem hærra er, eða hvort sem lægra er hjá litlum og meðalstórum fyrirtækjum og litlum millistórum fyrirtækjum.

Sá sem leggur fram færslu fyrir veitanda verður ekki þar með viðurkenndur fulltrúi hans. Í VIII. viðauka eru sá sem leggur fram upplýsingarnar (2. liður) og fulltrúinn (3. liður) tilgreindir hvor í sínu lagi, og skráning fyrir hönd annars uppfyllir ekki 22. gr.

Hvenær skráningarskyldan gildir

Hverju reglugerð (ESB) 2026/1744 breytti

Digital Omnibus um gervigreind varð að reglugerð (ESB) 2026/1744 frá 8. júlí 2026, sem birt var í Stjórnartíðindum Evrópusambandsins 24. júlí og hefur verið í gildi frá 27. júlí 2026. Með henni kom nýr c-liður í stað c-liðar 3. mgr. 113. gr., en samkvæmt eldri liðnum átti 1. mgr. 6. gr. að koma til framkvæmda 2. ágúst 2027. Samkvæmt nýja c-liðnum koma 1., 2. og 3. þáttur III. kafla, að undanskilinni 5. mgr. 6. gr., til framkvæmda 2. desember 2027 fyrir kerfi samkvæmt III. viðauka og 2. ágúst 2028 fyrir kerfi samkvæmt I. viðauka.

Þetta eru fastar dagsetningar. Í tillögunni hafði upphaf reglnanna um áhættumikil kerfi verið tengt því að samhæfðir staðlar lægju fyrir, en fallið var frá þeirri tengingu. Samsteyptur texti framkvæmdastjórnarinnar af 113. gr. sýnir samþykktu útgáfuna, en hlutar af algengum spurningum AI Act Service Desk lýsa enn gamla fyrirkomulaginu.

Gloppan í textanum varðandi 49. gr.

Ákvæði 49. gr. er í 5. þætti III. kafla, sem fjallar um staðla, samræmismat, vottorð og skráningu. Í nýja c-lið 113. gr. eru aðeins 1. til 3. þáttur nefndir. Samkvæmt orðanna hljóðan gildir 5. þáttur því áfram frá almenna beitingardeginum, 2. ágúst 2026.

Sú túlkun hefur lítið að styðjast við. Ákvæði 1. mgr. 49. gr. gildir um áhættumikil kerfi sem talin eru upp í III. viðauka, og 6. gr., sem gerir þau áhættumikil, hefur verið frestað. Skyldunum sem leggja skráningu á rekstraraðila hefur líka verið frestað: skyldu veitandans í i-lið 16. gr., skyldu viðurkennds fulltrúa í e-lið 3. mgr. 22. gr. og skyldu notanda í opinbera geiranum í 8. mgr. 26. gr. Sektirnar í 4. mgr. 99. gr. tengjast þeim greinum, ekki 49. gr. einni og sér. Og það er enginn gagnagrunnur til að skrá í.

Álitsgjafar skiptast í tvö horn. Að minnsta kosti ein túlkun fylgir orðanna hljóðan og fær út 2. ágúst 2026; svar frá þjónustuborði framkvæmdastjórnarinnar sem Euractiv greindi frá bendir á desember 2027. Við miðum við 2. desember 2027 en myndum samt geta gloppunnar í regluvörslugögnunum.

Kerfi sem eru þegar á markaði: 2. mgr. 111. gr.

Eftir breytinguna nær 2. mgr. 111. gr. aðeins til áhættumikils kerfis sem sett var á markað fyrir upphafsdag III. kafla ef hönnun þess breytist verulega eftir það, og er það metið fyrir hverja gerð og tegund. Fyrir kerfi í virkri þróun varir sá léttir aðeins fram að fyrstu verulegu breytingunni á hönnun. Veitendur og notendur áhættumikilla kerfa sem ætluð eru til notkunar hjá opinberum yfirvöldum verða í öllu falli að uppfylla kröfurnar eigi síðar en 2. ágúst 2030.

Dagsetningarnar

Hvar skráð er: gagnagrunnurinn samkvæmt 71. gr.

Samkvæmt 71. gr. kemur framkvæmdastjórnin gagnagrunni ESB á fót og heldur honum við, í samvinnu við aðildarríkin. Hann er ekki kominn í gagnið. Í svari frá AI Act Service Desk, dagsettu 9. júlí 2026, sem Euractiv greindi frá, sagði: „Þessi gagnagrunnur er ekki enn opinn og starfhæfur.“ Þar var gert ráð fyrir opnun á þriðja ársfjórðungi 2027 (umfjöllun um svarið). Þetta er afleidd heimild. Framkvæmdastjórnin hefur ekki birt opnunardagsetningu.

Enginn getur skráð kerfi í dag. Ef einhver býðst til þess skaltu spyrja hvað nákvæmlega hann myndi leggja inn, og hvar.

Hvað fer í færsluna: VIII. viðauki

• Flest í A-þætti endurtekur skjöl sem þú þarft hvort sem er að hafa. Notkunarleiðbeiningarnar (13. gr.) og ESB-samræmisyfirlýsingin (47. gr.) lýsa sama kerfinu og sama fyrirhugaða tilgangi, og færslan ætti ekki að lýsa því öðruvísi.
• Fáir veitendur kerfa samkvæmt III. viðauka munu tilgreina tilkynntan aðila. Samkvæmt 2. mgr. 43. gr. falla 2. til 8. liður undir innra eftirlit samkvæmt VI. viðauka. Lífkennakerfi samkvæmt 1. lið geta þurft slíkan aðila.
• Lýsingin á gögnum og rökfræði kerfisins verður opinber. Skrifaðu hana fyrir almenna lesendur, keppinauta þar með talda.
• Stöðureiturinn lifir lengur en skráningin sjálf. Einhver þarf að bera ábyrgð á færslunni þegar kerfi er tekið af markaði eða innkallað.

Skráning fyrir hönd veitanda

VIII. viðauki gerir ráð fyrir að annar en veitandinn geti annast skráninguna. Í 2. lið A- og B-þáttar er beðið um nafn, heimilisfang og samskiptaupplýsingar þess aðila „ef annar aðili leggur fram upplýsingarnar fyrir hönd veitandans“; 2. liður C-þáttar gerir það sama fyrir notendur. Samkvæmt 5. mgr. 71. gr. skal gagnagrunnurinn geyma nöfn og samskiptaupplýsingar þeirra einstaklinga sem bera ábyrgð á skráningu og hafa „lagaheimild til að koma fram fyrir hönd veitandans“ eða notandans.

Reglugerðin gerir því ráð fyrir skráningu af hálfu þriðja aðila í umboði veitandans. Hún útkljáir ekki útfærsluna. Framkvæmdastjórnin hefur ekki sagt hvernig gáttin muni auðkenna þann sem leggur fram upplýsingar, hvernig sýna eigi fram á heimild til skráningar eða hvort einn lögaðili geti skráð fyrir annan í gegnum eigin aðgang. Ekkert af þessu hefur enn verið staðfest.

Skynsamleg áætlun gerir ráð fyrir báðum möguleikum: skriflegu umboði með nafngreindum einstaklingi sem hefur heimild til að koma fram fyrir hönd veitandans, og skráningargögnum sem eru svo fullbúin að þitt eigið starfsfólk gæti lagt þau inn án þess að byrja upp á nýtt.

Hvað á að gera áður en gáttin opnar

1. Gerðu skrá yfir kerfin og flokkaðu þau. Fyrir hvert gervigreindarkerfi skaltu skrá undir hvaða lið III. viðauka það fellur, ef einhvern, og hvort þú ert veitandi þess eða notandi.
2. Skrifaðu skjölunina samkvæmt 4. mgr. 6. gr. núna fyrir hvert kerfi sem þú telur ekki áhættumikið. Tilgreindu skilyrðið í 3. mgr. 6. gr., útskýrðu hvers vegna kerfið hefur ekki efnisleg áhrif á niðurstöðu ákvarðana og fjallaðu sérstaklega um gerð persónusniðs.
3. Berðu útgáfuáætlanir saman við 2. desember 2027. Kerfi sem er fyrst sett á markað frá þeim degi, eða eldra kerfi sem tekur verulegum breytingum á hönnun, þarf að hafa færslu sína áður en það fer í dreifingu.
4. Gerðu drög að efni samkvæmt VIII. viðauka og samræmdu þau notkunarleiðbeiningunum og samræmisyfirlýsingunni. Ef samræmisvinnan stendur enn yfir sýna drögin snemma hvar skjölunum ber ekki saman.
5. Utan ESB: veldu viðurkenndan fulltrúa. Upplýsingar um hann fara í færsluna.
6. Segðu viðskiptavinum í opinbera geiranum hvenær færslan þín er væntanleg. Færsla þeirra samkvæmt C-þætti þarf vefslóðina þína, og 8. mgr. 26. gr. bannar þeim að nota óskráð kerfi.
7. Tilnefndu fólkið: þann sem hefur lagaheimild til að koma fram fyrir þína hönd, þann sem leggur fram upplýsingarnar ef það er annar aðili, og þann sem ber ábyrgð á færslunni eftir það.

Að baki færslunni liggja tæknigögnin, atburðaskráning og gögn um samræmi: það er regluvörsluvinnan samkvæmt gervigreindarreglugerðinni sem við vinnum sem verkfræðiverkefni. Ákvæði 50. gr. eru sérstakt verkefni, sem fjallað er um í leiðarvísi okkar um gagnsæisskyldur.

Skráningargögnin tilbúin núna

Gegn föstu gjaldi fyrir hvert gervigreindarkerfi berum við flokkunina saman við III. viðauka og 3. mgr. 6. gr., semjum skjölunina samkvæmt 4. mgr. 6. gr. þar sem hún á við og útbúum fullbúin skráningargögn samkvæmt VIII. viðauka núna, og leggjum þau síðan inn í umboði þínu þegar gagnagrunnurinn opnar. Ef gagnagrunnurinn tekur ekki við skráningum sem gerðar eru fyrir hönd veitanda endurgreiðum við þann hluta gjaldsins sem nær til skráningarinnar og leiðbeinum þér við að skrá kerfið á eigin spýtur. Að gegna hlutverki viðurkennds fulltrúa þíns samkvæmt 22. gr. er ekki hluti af þjónustunni. Nánari upplýsingar eru á síðu þjónustunnar um skráningargögn, eða þú getur bókað símtal.