Et softwareprodukt, der er omfattet af Cyber Resilience Act og samtidig er et højrisiko-AI-system efter AI-forordningen, anses for at opfylde AI-forordningens cybersikkerhedskrav, når det opfylder bilag I i CRA, og det dokumenteres i EU-overensstemmelseserklæringen. Det fremgår af artikel 12, og bestemmelsen gælder kun højrisiko-AI-systemer.
Andre AI-funktioner i software er almindelige produktfunktioner, som behandles efter CRA’s øvrige regler. Det gælder fx en assistent, der foreslår tekst, eller en funktion, der sorterer sager.
Hvornår artikel 12 gælder
Artikel 12, stk. 1, i forordning (EU) 2024/2847 gælder produkter, der er omfattet af CRA og klassificeret som højrisiko-AI-systemer efter artikel 6 i AI-forordningen. Om et system er højrisiko, afgøres efter AI-forordningen. Den vurdering er ikke en del af denne artikel.
For de fleste softwarehuse med AI-funktioner er det første spørgsmål altså, om produktet overhovedet er et højrisiko-AI-system. Er det ikke, er artikel 12 uden betydning, og AI-funktionen skal blot med i den almindelige risikovurdering efter artikel 13.
Formodningen
Artikel 12, stk. 1, opstiller tre betingelser. Er de opfyldt, anses produktet for at overholde cybersikkerhedskravene i AI-forordningens artikel 15.
- Litra a · Produktet opfylder bilag I, del I
- Litra b · Fabrikantens processer opfylder bilag I, del II
- Litra c · Opnåelsen af beskyttelsesniveauet er dokumenteret i en EU-overensstemmelseserklæring efter CRA
Formodningen dækker kun cybersikkerhed. Artikel 12 berører ikke kravene til nøjagtighed og robusthed i AI-forordningens artikel 15. Dem skal fabrikanten opfylde efter AI-forordningen.
Vurderingsproceduren
Artikel 12, stk. 2, siger, at den relevante overensstemmelsesvurderingsprocedure for disse produkter er den, AI-forordningens artikel 43 fastsætter. Bemyndigede organer efter AI-forordningen kan også kontrollere CRA’s bilag I, hvis deres overholdelse af kravene i CRA’s artikel 39 er vurderet.
Stk. 3 har en undtagelse. Er produktet et vigtigt eller kritisk produkt efter CRA, og ville AI-forordningen ellers tillade intern kontrol, følger produktet CRA’s procedurer for de væsentlige cybersikkerhedskrav. Kombinationen kan altså gøre vurderingen tungere end AI-forordningen alene.
Stk. 4 åbner for, at fabrikanterne kan deltage i AI-forordningens reguleringsmæssige sandkasser.
Én risikovurdering til to forordninger
Artikel 13, stk. 4, giver mulighed for, at cybersikkerhedsrisikovurderingen for produkter efter artikel 12 kan indgå i den risikovurdering, de andre retsakter kræver. Kommissionens tjenestegrenes FAQ (4.1.1, vejledende) åbner mere generelt for en fælles vurdering på tværs af retsakter, forudsat at opfyldelsen af hver enkelt kan påvises.
For dokumentationen betyder det efter vores læsning, at én vurdering kan dække begge forordninger, når den tydeligt viser, hvilke dele der svarer til CRA’s bilag I, og hvilke der svarer til AI-forordningens krav. Det er en tolkning, og den bør kontrolleres op mod AI-forordningen, som ikke er gennemgået her.
AI-funktioner uden for artikel 12
For en AI-funktion i et produkt, der ikke er højrisiko, er der ingen særregel i CRA. Funktionen skal med i risikovurderingen som enhver anden. Kører modellen hos en udbyder, og er den ikke lavet efter jeres design, er den efter vores læsning af Kommissionens vejledning C(2026) 5252, punkt 200 til 202, en tredjepartskomponent snarere end jeres egen fjerndatabehandling. Vejledningen er ikke bindende og nævner ikke AI-modeller særskilt. Behandlingen af indkøbte tjenester står i artiklen om tredjepartstjenester. Har I selv udviklet tjenesten, kan den være fjerndatabehandling.
Kommissionen har i vejledningens punkt 9 varslet, at der kan komme yderligere vejledning om samspillet med AI-forordningen.
Et tænkt eksempel
Et softwarehus laver et program, der hjælper virksomheder med at sortere jobansøgninger. Programmet installeres hos kunden og bruger en model, som softwarehuset selv har trænet. Softwarehuset får afklaret efter AI-forordningen, at programmet er et højrisiko-AI-system. Det betyder efter artikel 12, at opfyldelse af CRA’s bilag I og en erklæring efter CRA kan give formodning for, at AI-forordningens cybersikkerhedskrav er opfyldt. Softwarehuset samler risikovurderingen i ét dokument med en tydelig opdeling efter de to forordninger. Kravene til nøjagtighed og robusthed dokumenteres for sig efter AI-forordningen. Vurderingsproceduren planlægges efter artikel 12, stk. 2. Eksemplet er tænkt, og klassificeringen efter AI-forordningen er antaget.
Hvad det kræver, og hvad det koster at lade være
Det kræver først en afklaring efter AI-forordningen af, om produktet er højrisiko. Er det, kræver det en dokumentation, der viser opfyldelsen af CRA’s bilag I på en måde, der også kan bruges under AI-forordningen, og en plan for vurderingsproceduren. Kravene i CRA gælder fra 11. december 2027.
Uden den afklaring risikerer I at lave to sæt dokumentation, der siger det samme, eller at gå ud fra, at artikel 12 gælder for en almindelig AI-funktion.
Det skal I lade være med
- At læse artikel 12 som en regel for al AI · den gælder kun højrisiko-AI-systemer.
- At regne formodningen for at dække nøjagtighed og robusthed · den dækker kun cybersikkerhed.
- At glemme AI-funktioner i den almindelige risikovurdering · de er produktfunktioner som andre.
Det skal auditten kunne vise
- ☐ En afklaring af, om produktet er et højrisiko-AI-system, med kilde.
- ☐ For højrisikoprodukter, hvordan bilag I, del I og II, er opfyldt og dokumenteret i erklæringen.
- ☐ Den planlagte vurderingsprocedure efter artikel 12, stk. 2 og 3.
- ☐ AI-funktionernes plads i risikovurderingen, uanset klassificering.
Kilder
- Forordning (EU) 2024/2847, dansk tekst, artikel 12 og artikel 13, stk. 4, læst 13. november 2026 i Publikationskontorets kopi.
- Kommissionens tjenestegrenes FAQ om CRA, version 1.4, FAQ 4.1.1, vejledende, læst 13. november 2026.
- Kommissionens vejledning C(2026) 5252, punkt 9 og 198 til 202, ikke bindende, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Afklar først, om nogen af jeres produkter er højrisiko-AI-systemer, og skriv svaret ned.
Læs også: CRA og dataforordningen · Vigtigt produkt eller ej?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
