Registrering i EU-databasen enligt AI-förordningen: vad artikel 49 kräver och när den gäller

Artikel 49 i AI-förordningen (AI Act) kräver att leverantören av ett AI-system med hög risk som förtecknas i bilaga III registrerar sig själv och systemet i en EU-databas innan systemet släpps ut på marknaden eller tas i bruk. Leverantörer som kommer fram till att deras system enligt bilaga III inte är högrisk registrerar sig också, med en kortare post. Det gör även offentliga myndigheter som använder ett sådant system.

Databasen är inte öppen. Datumet från vilket registreringskravet slår igenom flyttades i juli 2026, och ändringsförordningen lämnade en lucka i texten som har gett två tolkningar av när artikel 49 gäller. Så här ser läget ut den 2 oktober 2026.

Vem som måste registrera

Leverantörer av högrisksystem enligt bilaga III: artikel 49.1

Bilaga III omfattar åtta områden: biometri; kritisk infrastruktur; utbildning och yrkesutbildning; anställning, personalförvaltning och tillgång till egenföretagande; tillgång till och åtnjutande av väsentliga privata och offentliga tjänster och förmåner; brottsbekämpning; migration, asyl och gränskontroll; samt rättskipning och demokratiska processer. Ett system som är avsett för något av de specifika användningsfall som anges under de rubrikerna är högrisk enligt artikel 6.2, om inte artikel 6.3 undantar det.

Innan ett sådant system släpps ut på marknaden eller tas i bruk registrerar leverantören, ”eller i förekommande fall ombudet”, sig själv och systemet.

Två kategorier faller utanför artikel 49.1. System för kritisk infrastruktur enligt punkt 2 i bilaga III registreras på nationell nivå enligt artikel 49.5. Och AI med hög risk i reglerade produkter enligt bilaga I registreras inte alls enligt artikel 49, eftersom artikel 49.1 bara nämner bilaga III.

Leverantörer som bedömer att systemet inte är högrisk: artikel 49.2

Enligt artikel 6.3 får en leverantör komma fram till att ett system enligt bilaga III inte är högrisk när det inte medför någon betydande risk för skada på hälsa, säkerhet eller grundläggande rättigheter, bland annat genom att det inte väsentligt påverkar utfallet av beslutsfattandet. Ett av fyra villkor måste vara uppfyllt. Systemet utför en snäv processuell uppgift. Det förbättrar resultatet av en tidigare slutförd mänsklig aktivitet. Det upptäcker beslutsmönster, eller avvikelser från dem, och är inte avsett att ersätta eller påverka den slutförda mänskliga bedömningen utan ordentlig mänsklig granskning. Eller så utför det en förberedande uppgift inför en bedömning som är relevant för ett användningsfall i bilaga III.

Ett system som profilerar fysiska personer är alltid högrisk, oavsett vilket villkor det uppfyller.

Enligt artikel 6.4 dokumenterar leverantören bedömningen innan systemet släpps ut på marknaden, lämnar över dokumentationen när en nationell behörig myndighet begär det och registrerar sig enligt artikel 49.2.

Kommissionens förslag Digital Omnibus skulle ha strukit artikel 49.2. Det avvisades, så leverantörer som undantar sig själva registrerar sig fortfarande, med avsnitt B i bilaga VIII. Omnibusen kortade däremot avsnitt B: punkterna 7 och 9 (en kort sammanfattning av skälen för slutsatsen och de medlemsstater där systemet finns tillgängligt) är borta. Posten anger fortfarande vilket villkor i artikel 6.3 som åberopas, medan resonemanget bara finns i dokumentationen enligt artikel 6.4, som en myndighet kan begära ut. Undantaget håller dig alltså inte borta från databasen. Det lägger din bedömning i ett offentligt register, och den skriftliga bedömningen bakom den måste finnas innan systemet levereras.

Offentliga myndigheter som använder högrisksystem: artikel 49.3

Tillhandahållare som är offentliga myndigheter, eller unionens institutioner, organ eller byråer, eller personer som agerar för deras räkning, registrerar sig innan de tar i bruk eller använder ett högrisksystem som förtecknas i bilaga III (återigen med undantag för punkt 2). De registrerar sig själva, väljer systemet i databasen och registrerar sin användning av det.

Artikel 26.8 lägger till den regel som betyder mest för leverantörerna. En tillhandahållare inom offentlig sektor som upptäcker att systemet den tänker använda inte har registrerats får inte använda det och ska informera leverantören eller distributören. Myndighetens egen post, enligt avsnitt C i bilaga VIII, kräver URL:en till leverantörens post. En kund inom offentlig sektor kan alltså inte slutföra sin registrering förrän din post finns.

Tillhandahållare inom privat sektor har ingen registreringsskyldighet enligt artikel 49.

System enligt punkterna 1, 6 och 7 i bilaga III inom brottsbekämpning, migration, asyl och gränskontroll hamnar i en säker, icke-offentlig del av databasen (artikel 49.4). Allt annat som registreras enligt artikel 49 är offentligt tillgängligt enligt artikel 71.4.

Leverantörer utanför EU: artikel 22

En leverantör som är etablerad utanför unionen måste genom skriftlig fullmakt utse ett ombud som är etablerat i unionen innan ett högrisksystem tillhandahålls på unionsmarknaden. För system enligt bilaga III gäller den skyldigheten från 2 december 2027. Ombudets uppgifter anges i punkt 3 i avsnitt A eller B, och artikel 22.3 e ger ombudet en uppgift i själva registreringen.

Överträdelser av artikel 22 bestraffas med sanktionsavgifter enligt artikel 99.4 b: upp till 15 miljoner euro eller 3 % av den totala globala årsomsättningen, beroende på vilket som är högst, eller vilket som är lägst för små och medelstora företag och små midcap-företag.

Den som lämnar in en post för en leverantör blir inte därigenom dess ombud. Bilaga VIII anger den som lämnar in uppgifterna (punkt 2) och ombudet (punkt 3) var för sig, och att registrera för någon annans räkning uppfyller inte artikel 22.

När registreringskravet gäller

Vad förordning (EU) 2026/1744 ändrade

Digital Omnibus om AI blev förordning (EU) 2026/1744 av den 8 juli 2026, offentliggjord i Europeiska unionens officiella tidning den 24 juli och i kraft sedan den 27 juli 2026. Den ersatte led c i artikel 113 tredje stycket, som hade gjort artikel 6.1 tillämplig från 2 augusti 2027. Det nya led c gör avsnitt 1, 2 och 3 i kapitel III, utom artikel 6.5, tillämpliga från 2 december 2027 för system enligt bilaga III och från 2 augusti 2028 för system enligt bilaga I.

Det är fasta datum. Förslaget hade kopplat starten för högriskreglerna till att harmoniserade standarder fanns tillgängliga, och den utlösande faktorn ströks. Kommissionens konsoliderade text av artikel 113 visar den antagna versionen, men delar av frågor och svar hos AI Act Service Desk beskriver fortfarande den gamla mekanismen.

Luckan i texten kring artikel 49

Artikel 49 finns i avsnitt 5 i kapitel III, som handlar om standarder, bedömning av överensstämmelse, intyg och registrering. Det nya led c nämner bara avsnitt 1 till 3. Läst bokstavligt stannade avsnitt 5 kvar på det allmänna tillämpningsdatumet 2 augusti 2026.

Den tolkningen har lite att stödja sig på. Artikel 49.1 gäller högrisksystem som förtecknas i bilaga III, och artikel 6, som gör dem till högrisksystem, är uppskjuten. De skyldigheter som lägger registreringen på en aktör är också uppskjutna: leverantörens i artikel 16 i, ombudets i artikel 22.3 e och den offentliga tillhandahållarens i artikel 26.8. Sanktionsavgifterna i artikel 99.4 är knutna till de artiklarna, inte till artikel 49 för sig. Och det finns ingen databas att registrera sig i.

Kommentatorerna är oeniga. Minst en tolkning håller sig till bokstaven och landar på 2 augusti 2026; ett svar från kommissionens service desk som Euractiv rapporterat om pekar på december 2027. Vi arbetar mot 2 december 2027 och skulle ändå notera luckan i dokumentationen om regelefterlevnad.

System som redan finns på marknaden: artikel 111.2

I sin ändrade lydelse omfattar artikel 111.2 ett högrisksystem som släppts ut på marknaden före datumet för kapitel III bara om dess utformning ändras betydligt därefter, bedömt per typ och modell. För ett system under aktiv utveckling varar lättnaden bara fram till den första betydande ändringen i utformningen. Leverantörer och tillhandahållare av högrisksystem som är avsedda att användas av offentliga myndigheter måste i vilket fall som helst uppfylla kraven senast 2 augusti 2030.

Datumen

Var du registrerar: databasen enligt artikel 71

Enligt artikel 71 ska kommissionen inrätta och underhålla EU-databasen i samarbete med medlemsstaterna. Den är inte i drift. Ett svar från AI Act Service Desk daterat den 9 juli 2026, som Euractiv rapporterade om, sa: ”This database is not yet open and operational”. Svaret angav att lanseringen väntas under tredje kvartalet 2027 (rapportering om svaret). Det är en sekundär källa. Kommissionen har inte offentliggjort något lanseringsdatum.

Ingen kan registrera ett system i dag. Om någon erbjuder sig att göra det, fråga exakt vad de skulle lämna in, och var.

Vad posten innehåller: bilaga VIII

• Det mesta i avsnitt A upprepar dokument du ändå måste ha. Bruksanvisningen (artikel 13) och EU-försäkran om överensstämmelse (artikel 47) beskriver samma system och samma avsedda ändamål, och posten bör inte beskriva det på ett annat sätt.
• Få leverantörer enligt bilaga III kommer att ange ett anmält organ. Enligt artikel 43.2 följer punkterna 2 till 8 förfarandet för intern kontroll i bilaga VI. Biometriska system enligt punkt 1 kan behöva ett.
• Beskrivningen av data och funktionslogik blir offentlig. Skriv den för en offentlig läsare, konkurrenter inräknade.
• Statusfältet lever längre än inlämningen. Någon måste ansvara för posten när ett system dras tillbaka eller återkallas.

Att registrera för en leverantörs räkning

Bilaga VIII utgår från att någon annan än leverantören kan sköta inlämningen. Punkt 2 i avsnitt A och B frågar, ”om uppgifterna lämnas in av en annan person för leverantörens räkning”, efter den personens namn, adress och kontaktuppgifter; punkt 2 i avsnitt C gör detsamma för tillhandahållare. Enligt artikel 71.5 ska databasen innehålla namn och kontaktuppgifter för de fysiska personer som ansvarar för registreringen och som har ”rättslig behörighet att företräda leverantören” eller tillhandahållaren.

Förordningen förutser alltså att en tredje part registrerar med leverantörens behörighet. Den reglerar inte hur det går till rent praktiskt. Kommissionen har inte sagt hur portalen ska identifiera den som lämnar in, hur behörigheten att registrera ska styrkas eller om en organisation kommer att kunna registrera för en annan via sin egen åtkomst. Inget av det är verifierat än.

En förnuftig plan täcker båda utfallen: en skriftlig fullmakt med en namngiven fysisk person som har behörighet att företräda leverantören, och ett underlag som är så komplett att din egen personal kan lämna in det utan att börja om.

Vad du gör innan portalen öppnar

1. Inventera och klassificera. Notera för varje AI-system vilken punkt i bilaga III det eventuellt faller under, och om du är dess leverantör eller tillhandahållare.
2. Skriv dokumentationen enligt artikel 6.4 nu för varje system som du behandlar som icke-högrisk. Ange villkoret i artikel 6.3, förklara varför systemet inte väsentligt påverkar utfallet av beslut och ta uttryckligen ställning till profilering.
3. Lägg dina releaser mot 2 december 2027. Ett system som släpps ut på marknaden för första gången från det datumet, eller ett äldre system vars utformning ändras betydligt, behöver sin post innan det levereras.
4. Gör ett utkast till innehållet enligt bilaga VIII och stäm av det mot bruksanvisningen och försäkran om överensstämmelse. Pågår arbetet med överensstämmelsen fortfarande visar utkastet tidigt var dokumenten säger olika saker.
5. Utanför EU: välj ditt ombud. Ombudets uppgifter ska stå i posten.
6. Berätta för kunder inom offentlig sektor när de kan vänta sig din post. Deras post enligt avsnitt C behöver din URL, och artikel 26.8 förbjuder dem att använda ett oregistrerat system.
7. Utse personerna: den som har rättslig behörighet att företräda dig, den som lämnar in om det är någon annan, och den som ansvarar för posten efteråt.

Bakom posten finns den tekniska dokumentationen, loggningen och underlaget för överensstämmelse: det är det arbete med regelefterlevnad enligt AI-förordningen som vi driver som utvecklingsprojekt. Artikel 50 är ett separat spår, som vi går igenom i vår guide om transparenskraven.

Gör underlaget klart redan nu

Till ett fast pris per AI-system kontrollerar vi klassificeringen mot bilaga III och artikel 6.3, skriver dokumentationen enligt artikel 6.4 där den behövs och tar fram ett komplett underlag enligt bilaga VIII redan nu, och lämnar sedan in det med stöd av din fullmakt när databasen öppnar. Om databasen inte tar emot registreringar som görs för en leverantörs räkning återbetalar vi den del av priset som avser inlämningen och guidar dig genom att lämna in det själv. Att agera som ditt ombud enligt artikel 22 ingår inte i tjänsten. Detaljerna finns på sidan om vår tjänst för registreringsunderlag, eller så kan du boka ett samtal.