Kort fortalt
Udbydere af højrisiko-AI-systemer skal indberette alvorlige hændelser til markedsovervågningsmyndighederne i de lande, hvor hændelsen skete. Hovedreglen er, at indberetningen sker straks, efter udbyderen har fastslået en årsagssammenhæng med AI-systemet eller en rimelig sandsynlighed for den, og senest 15 dage efter, at udbyderen eller idriftsætteren fik kendskab til hændelsen. Ved udbredt overtrædelse eller alvorlig og uoprettelig forstyrrelse af kritisk infrastruktur skal rapporten sendes omgående og senest to dage efter kendskabet. Ved et dødsfald skal den sendes straks, når en årsagssammenhæng er fastslået eller mistænkt, og senest ti dage efter kendskabet. Udbyderen eller idriftsætteren kan indsende en foreløbig rapport og derefter en fuldstændig.
Det betyder i praksis
Sæt en intern procedure op, der fanger hændelser fra kunder og drift, og afgør hurtigt, om de er alvorlige. Fristerne løber fra det tidspunkt, hvor udbyderen eller idriftsætteren fik kendskab, ikke fra afslutningen af jeres undersøgelse.
Eksempel
Et hypotetisk AI-system til styring af en vandforsyning fejler og afbryder forsyningen til et helt område. Udbyderen får besked samme dag. Hvis hændelsen er en alvorlig og uoprettelig forstyrrelse af kritisk infrastruktur, skal rapporten sendes omgående og senest to dage efter, at udbyderen fik kendskab til den.
Ofte stillede spørgsmål
Hvad er en alvorlig hændelse efter AI Act?
Definitionen står i artikel 3, nr. 49. Det er en hændelse eller funktionsfejl i et AI-system, der direkte eller indirekte fører til død eller alvorlig helbredsskade, alvorlig og uoprettelig forstyrrelse af kritisk infrastruktur, overtrædelse af EU-retlige forpligtelser til beskyttelse af grundlæggende rettigheder eller alvorlig skade på ejendom eller miljø.
Må udbyderen rette fejlen i systemet, mens hændelsen undersøges?
Udbyderen skal straks undersøge hændelsen og foretage risikovurdering og korrigerende tiltag. Men udbyderen må ikke foretage en undersøgelse, der ændrer systemet, så en senere vurdering af årsagerne kan blive påvirket, uden først at orientere de kompetente myndigheder.
Hvem skal indberette, hvis jeg kun bruger et højrisiko-system?
Pligten i artikel 73 påhviler udbyderen. Som idriftsætter skal du efter artikel 26 omgående underrette udbyderen først og derefter importør eller distributør og markedsovervågningsmyndighederne, hvis du konstaterer en alvorlig hændelse. Kan du ikke kontakte udbyderen, gælder artikel 73 tilsvarende for dig.
Gælder reglerne også, hvis min sektor allerede har indberetningspligt?
Delvist. For højrisiko-systemer efter bilag III hos udbydere, der er underlagt tilsvarende EU-indberetningsregler, begrænses indberetningen til overtrædelser af grundrettigheder (artikel 3, nr. 49, litra c). For systemer i medicinsk udstyr gælder samme begrænsning, og indberetningen går til den nationale myndighed, som medlemsstaten har valgt.
Relevante betragtninger
Relaterede bestemmelser
- Artikel 72 – Udbydernes overvågning efter omsætningen og plan for overvågning efter omsætningen for højrisiko-AI-systemer
- Artikel 26 – Forpligtelser for idriftsættere af højrisiko-AI-systemer
- Artikel 75 – Markedsovervågning og kontrol med AI-systemer samt gensidig bistand
- Artikel 3 – Definitioner
Samme emne i andre regler
Hændelser og underretning
- GDPR artikel 33 – Anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden – Brud på persondatasikkerheden skal som udgangspunkt anmeldes til Datatilsynet inden for 72 timer.
- GDPR artikel 34 – Underretning om brud på persondatasikkerheden til den registrerede – De berørte personer skal underrettes, når bruddet sandsynligvis indebærer en høj risiko for dem.
- NIS2-direktivet artikel 23 – Rapporteringsforpligtelser – Væsentlige hændelser indberettes i trin: tidlig varsling inden for 24 timer, underretning inden for 72 timer og en endelig rapport.
- NIS 2-loven § 12 – Anmeldelse af væsentlige hændelser – Den danske pligt til at underrette den kompetente myndighed og CSIRT’en om væsentlige hændelser.
- NIS 2-loven § 13 – Frister og indhold i anmeldelsen – Fastlægger indholdet af og fristerne for de enkelte underretninger.
- NIS 2-loven § 15 – Underretning af kunder og modtagere – Pligten til at underrette modtagerne af tjenesterne om væsentlige hændelser.
- Lov om sikkerhed og beredskab i telesektoren § 9 – Frister og indhold i anmeldelsen – De trinvise underretninger om væsentlige hændelser for teleudbydere.
- Lov om styrket beredskab i energisektoren § 12 – Regler om underretning om hændelser – Giver ministeren hjemmel til at fastsætte regler om underretning af hændelser i energisektoren.
- DORA artikel 19 – Indberetning af større IKT-relaterede hændelser og frivillig underretning om væsentlige cybertrusler – Større IKT-relaterede hændelser indberettes til den kompetente myndighed i en indledende, en mellemliggende og en endelig rapport.
- CER artikel 15 – Underretning om hændelser – Kritiske enheder giver en første underretning senest 24 timer efter at være blevet opmærksom på en væsentlig forstyrrelse.
- NIS2-direktivet artikel 35 – Overtrædelser, der medfører brud på persondatasikkerheden – Når en NIS2-overtrædelse fører til et brud på persondatasikkerheden, inddrages datatilsynsmyndigheden.
Den officielle ordlyd
1.
Udbydere af højrisiko-AI-systemer, der bringes i omsætning på EU-markedet, indberetter enhver alvorlig hændelse til markedsovervågningsmyndighederne i de medlemsstater, hvor denne hændelse fandt sted.
2.
Den i stk. 1 omhandlede indberetning foretages umiddelbart efter, at udbyderen har fastslået en årsagssammenhæng mellem AI-systemet og den alvorlige hændelse eller en rimelig sandsynlighed for en sådan sammenhæng, og under alle omstændigheder senest 15 dage efter, at udbyderen eller, hvor det er relevant, idriftsætteren har fået kendskab til den alvorlige hændelse.
I den i først afsnit omhandlede frist for indberetning tages der hensyn til den alvorlige hændelses alvor.
3.
Uanset denne artikels stk. 2 forelægges den i denne artikels stk. 1 omhandlede rapport i tilfælde af en udbredt overtrædelse eller en alvorlig hændelse som defineret i artikel 3, nr. 49), litra b), omgående og senest to dage efter, at udbyderen eller, hvis det er relevant, idriftsætteren har fået kendskab til den pågældende hændelse.
4.
Uanset stk. 2 forelægges rapporten i tilfælde af en persons dødsfald umiddelbart efter, at udbyderen eller idriftsætteren har fastslået, eller så snart vedkommende har mistanke om en årsagssammenhæng mellem højrisiko-AI-systemet og den alvorlige hændelse, og senest ti dage efter den dato, hvor udbyderen eller, hvis det er relevant, idriftsætteren har fået kendskab til den alvorlige hændelse.
5.
Udbyderen eller, hvis det er relevant, idriftsætteren kan om nødvendigt for at sikre rettidig indberetning forelægge en indledende rapport, som ikke er fyldestgørende, efterfulgt af en fyldestgørende rapport.
6.
Efter indberetning af en alvorlig hændelse i henhold til stk. 1 skal udbyderen straks foretage de nødvendige undersøgelser vedrørende den alvorlige hændelse og det pågældende AI-system. Dette omfatter en risikovurdering af hændelsen og korrigerende tiltag.
Udbyderen samarbejder med de kompetente myndigheder og, hvis det er relevant, med det berørte bemyndigede organ under de undersøgelser, der er omhandlet i første afsnit, og må ikke foretage nogen undersøgelse, der medfører ændringer af det pågældende AI-system på en sådan måde, at det kan påvirke en efterfølgende evaluering af årsagerne til hændelsen, uden først at orientere de kompetente myndigheder om et sådant tiltag.
7.
Når den relevante markedsovervågningsmyndighed modtager en indberetning vedrørende en alvorlig hændelse omhandlet i artikel 3, nr. 49), litra c), underretter den de nationale offentlige myndigheder eller organer, der er omhandlet i artikel 77, stk. 1. Kommissionen udarbejder særlig vejledning for at lette overholdelsen af forpligtelserne i nærværende artikels stk. 1. Denne vejledning udstedes senest den 2. august 2025 og vurderes regelmæssigt.
8.
Markedsovervågningsmyndigheden træffer passende foranstaltninger, jf. artikel 19 i forordning (EU) 2019/1020, senest syv dage fra den dato, hvor den modtog den i nærværende artikels stk. 1 omhandlede indberetning, og følger indberetningsprocedurerne som fastsat i nævnte forordning.
9.
I forbindelse med de i bilag III omhandlede højrisiko-AI-systemer, der bringes i omsætning eller ibrugtages af udbydere, som er underlagt Unionens lovgivningsmæssige instrumenter om indberetningsforpligtelser svarende til dem, der er fastsat i denne forordning, begrænses indberetningen af alvorlige hændelser til dem, der er omhandlet i artikel 3, nr. 49), litra c).
10.
For højrisiko-AI-systemer, som er sikkerhedskomponenter i udstyr, eller som selv er udstyr, der er omfattet af forordning (EU) 2017/745 og (EU) 2017/746, begrænses indberetningen af alvorlige hændelser til dem, der er omhandlet i nærværende forordnings artikel 3, nr. 49), litra c), og foretages til den nationale kompetente myndighed, som er valgt til dette formål af den medlemsstat, hvor hændelsen fandt sted.
11.
De nationale kompetente myndigheder underretter omgående Kommissionen om enhver alvorlig hændelse, uanset om de har foretaget tiltag desangående, i overensstemmelse med artikel 20 i forordning (EU) 2019/1020.
Den konsoliderede danske tekst følger 2026-07-27 (CELEX 02024R1689-20260727).