Registret som omnibusen lämnade i fred
Förordning (EU) 2026/1744, den digitala omnibusen om AI, trädde i kraft den 27 juli 2026 och sköt fram högriskkraven i kapitel III avsnitt 1 till 3 i AI-förordningen, med undantag för artikel 6.5, till den 2 december 2027 för system i bilaga III och den 2 augusti 2028 för AI i reglerade produkter. Registreringen lämnades i fred. Artikel 49 ligger i avsnitt 5, och omnibusen ändrade varken den eller artikel 71, databasen bakom den.
Under detta ligger ett dyrare missförstånd. Företag läser artikel 6.3, drar slutsatsen att deras system i bilaga III inte är högrisk och lägger slutsatsen i egen pärm. Artikel 6.4 och artikel 49.2 säger något annat. Den leverantör som landar i den slutsatsen ska dokumentera bedömningen och föra in systemet i en offentlig EU-databas. Undantaget ändrar vad ni måste bygga. Det tar er inte ur registret.
Vad är EU-databasen?
Artikel 71 i förordning (EU) 2024/1689 ålägger kommissionen att tillsammans med medlemsstaterna driva en gemensam databas som omfattar högrisksystem i bilaga III, testning under verkliga förhållanden enligt artikel 60 och system som leverantören bedömt inte vara högrisk. Kommissionen är personuppgiftsansvarig för databasen. Enligt artikel 71.4 ska uppgifterna vara offentliga, och de bör vara lätta att navigera i och maskinläsbara, med ett smalt undantag: registreringar som rör brottsbekämpning, migration, asyl och gränskontroll enligt punkterna 1, 6 och 7 i bilaga III hamnar i en säker icke-offentlig del med färre uppgifter.
Vem registrerar vad?
Leverantörer av högrisksystem
Innan ett högrisksystem i bilaga III släpps ut på marknaden registrerar leverantören eller dess ombud både sig själv och systemet enligt artikel 49.1. Avsnitt A i bilaga VIII räknar upp tretton uppgifter, bland annat avsett ändamål, en beskrivning av data och funktionslogik, systemets status på marknaden, eventuellt intyg från anmält organ, en kopia av EU-försäkran om överensstämmelse enligt artikel 47 och elektronisk bruksanvisning. Artikel 16 led i gör detta till en uttrycklig leverantörsskyldighet, inte en administrativ artighet.
Leverantörer som stödjer sig på artikel 6.3
Artikel 49.2 träffar det företag som gjort undantagsbedömningen och kommit fram till att systemet inte är högrisk. Avsnitt B i bilaga VIII är kortare: identitet och kontaktuppgifter, systemets handelsnamn och referens, avsett ändamål, vilket villkor i artikel 6.3 som åberopas och systemets status. Det är den posten som omnibusen bantade.
Offentliga användare och kritisk infrastruktur
Artikel 49.3 träffar användare som är offentliga myndigheter eller unionsorgan, eller den som handlar för deras räkning. De registrerar sig själva, väljer leverantörens post och registrerar sin användning, med en sammanfattning av konsekvensbedömningen avseende grundläggande rättigheter enligt artikel 27 och i förekommande fall av konsekvensbedömningen enligt dataskyddsförordningen. Punkt 2 i bilaga III går åt andra hållet. Enligt artikel 49.5 registreras högrisk-AI i kritisk infrastruktur nationellt, och betänkandet SOU 2025:101, som är ett förslag och inte gällande rätt, föreslog att Post- och telestyrelsen ska ansvara för det registret.
Vad omnibusen tog bort, och vad den lät stå kvar
Förordning (EU) 2026/1744 stryker punkterna 7 och 9 i avsnitt B i bilaga VIII. Punkt 7 var den korta sammanfattningen av skälen till att leverantören ansåg att systemet inte var högrisk. Punkt 9 var uppräkningen av de medlemsstater där systemet hade släppts ut. Skäl 22 anger motivet: registreringen är fortsatt avgörande för marknadskontroll och offentligt ansvarsutkrävande, men innehållet bör vara mer proportionerligt.
Vår läsning är att detta ändrar offentligheten, inte substansen. Samma skäl bekräftar att en leverantör som tillämpar artikel 6.3 fortfarande ska dokumentera sin bedömning innan systemet når marknaden och att nationella myndigheter kan begära in den. Det som försvunnit är skyldigheten att publicera sitt resonemang. Kvar står en handling som en myndighet kan begära utan förvarning och bedöma i efterhand. Att läsa strykningen som en inbjudan att tänka mindre noga är att läsa den baklänges.
När blir det skarpt?
Det ärliga svaret är att det är omtvistat. Läst efter texten anger artikel 113 den 2 augusti 2026 som allmän tillämpningsdag, och omnibusen sköt bara fram avsnitt 1 till 3, så artikel 49 tillämpas redan i dag. Mot det står att allt som utlöser artikel 49, klassificeringen enligt artikel 6.2 och undantaget i artikel 6.3, ligger i avsnitt 1 och väntar till den 2 december 2027, och kommissionens stödfunktion för AI-förordningen har intagit hållningen att registreringen börjar då. Vår läsning är att kommissionen har den bättre av saken, eftersom en skyldighet utan verksam utlösande faktor inte går att fullgöra.
Infrastrukturen pekar åt samma håll. Databasen är inte öppen, och Euractiv rapporterade i slutet av juli 2026 att lanseringen skjutits till mitten eller senare delen av 2027, utan bekräftelse från kommissionen. Planera för den 2 december 2027 och bygg innehållet nu i stället för att vänta på en portal.
Praktiskt exempel
Ett göteborgsbolag säljer en rekryteringsplattform. En funktion rangordnar kandidater mot en kravprofil och faller inom punkt 4 i bilaga III. En annan funktion formaterar om inkomna meritförteckningar till ett gemensamt format. Bolaget måste först fråga sig om den andra funktionen alls omfattas av bilaga III, eftersom artikel 6.3 är ett undantag från klassificeringen och ingenting annat. Om den omfattas men utför en snäv processuell uppgift enligt artikel 6.3 a är slutsatsen försvarbar, och den skapar arbete snarare än tar bort det. Bedömningen ska skrivas ner innan funktionen når marknaden, hållas tillgänglig för behörig myndighet, och funktionen registreras enligt artikel 49.2. Rangordningsfunktionen går hela högriskvägen och får en egen post enligt artikel 49.1. En produkt, två poster.
Vanliga misstag
Vanligast är att behandla beslutet enligt artikel 6.3 som en intern fråga, när det i själva verket är en offentlig anmälan som namnger det villkor ni åberopat. Nära därefter kommer att läsa strykningen av punkt 7 som en lättnad i bedömningen i stället för i publiceringen. Några utgår från att registreringen är en nationell formalitet, när den utanför kritisk infrastruktur är en enda EU-post, och andra glömmer att posten ska hållas aktuell, så att en återkallelse eller ett tillbakadragande framgår. Få köpare frågar dessutom en leverantör om ett system i bilaga III faktiskt är registrerat.
Rekommenderade åtgärder
Börja med att kartlägga vilka av era system som faller inom bilaga III, eftersom skyldigheten hänger på den listan och ingenting annat, och avgör för varje system om ni är leverantör eller användare. Kom ihåg att ommärkning eller väsentlig ändring av någon annans system kan göra er till leverantör enligt artikel 25. Om ni avser att stödja er på artikel 6.3, skriv bedömningen nu, ange villkoret, dokumentera vem som godkände den och när, och kontrollera att systemet inte utför profilering, vilket stänger undantaget oavsett allt annat. Bygg in uppgifterna i bilaga VIII i er tekniska dokumentation i stället för att göra dem till ett eget projekt, och ge en namngiven person ansvaret för att hålla den kommande posten aktuell.
Vanliga frågor
Vi är inte etablerade i EU. Ska vi ändå registrera?
Ja. En leverantör utanför unionen som släpper ut ett högrisksystem enligt bilaga III på EU-marknaden ska utse ett ombud enligt artikel 22, och ombudet registrerar leverantören och systemet enligt artikel 49.1. Skyldigheten följer marknaden, inte brevpapperet.
Vad blir sanktionen om vi inte registrerar?
Utebliven registrering av ett högrisksystem strider mot artikel 16 led i och hamnar i nivån enligt artikel 99.4, upp till 15 000 000 euro eller, för ett företag, 3 procent av den totala globala årsomsättningen, beroende på vilket som är högst. En utebliven post enligt artikel 49.2 fångas i stället av nationella sanktionsregler.
Ska generella AI-modeller in i databasen?
Nej. Artikel 71 omfattar högrisksystem i bilaga III, testning enligt artikel 60 och poster enligt artikel 6.3, och det finns ingen post som leverantören själv fyller i för en modell. Artikel 52.6 ålägger däremot kommissionen att offentliggöra en förteckning över generella modeller med systemrisk, vilket är något annat.
Slutsats
Registreringen är det som gör resten av AI-förordningen synlig, och den är den skyldighet som oftast hoppas över, eftersom den infaller just när ett företag övertygat sig självt om att de tunga kraven inte gäller. Den digitala omnibusen tog bort två uppgifter och lät resten stå kvar, inklusive kravet på att dokumentera varför ni kom fram till det ni kom fram till. På Lawgent hjälper vi företag att avgöra om bilaga III är tillämplig, att skriva bedömningar enligt artikel 6.3 som håller när en myndighet begär in dem, och att förbereda innehållet i bilaga VIII innan databasen öppnar. Hör av dig om ni står i begrepp att släppa ut ett AI-system på EU-marknaden och är osäkra på vilken post det hör hemma i, om någon.
