Är din SaaS "högrisk" under EU AI Act? Annex III, läs lugnt
Om du säljer HR tech, edtech, insurtech eller kredit intilliggande programvara med AI i det, någon - en konsult, en konkurrents marknadsföring, en orolig köpare - har förmodligen sagt att du är "högrisk AI" och ett berg av skyldigheter kommer. Ibland är det sant. Ofta görs påståendet utan att läsa Annex III, vilket är en Stängd lista över specifika användningsfallinte en dom på hela industrier. Att få din klassificering rätt sak två gånger: en gång för lagen, och en gång för frågeformuläret där din köpare ber dig att ange det.
Vad Annex III faktiskt listar (de områden som är relevanta för SaaS)
Annex III fäster högriskstatus till AI-system avsedd att användas för särskilda ändamål inom åtta områden. De som berör kommersiella mjukvaruleverantörer oftast:
| Område | Listade användningsfall (parafraserad) | Typisk leverantör påverkad |
|---|---|---|
| Utbildning (Annex III, 3) | Fastställa tillgång eller antagning till utbildning; utvärdera läranderesultat; bedöma lämplig utbildningsnivå; övervaka och upptäcka förbjudet beteende under tester. | Edtech gör antagning scoring, tentamen proctoring, high-stakes bedömning. |
| Anställning (Annex III, 4) | Rekrytering och urval (placering av annonser, filtreringsapplikationer, utvärderande kandidater); beslut om främjande, uppsägning, uppgiftstilldelning baserat på beteende eller egenskaper; övervakning och utvärdering av prestanda. | HR tech gör kandidat screening/ranking, performance utvärdering. |
| Viktiga tjänster (Annex III, 5) | Kreditvärdighetsutvärdering och kreditbetyg av fysiska personer; riskbedömning och prissättning i liv och sjukförsäkring för fysiska personer, bland annat. | Fintech kredit scoring; insurtech prissättning livs / hälsa risk för individer. |
Notera vad som är Inte inte där: AI som sammanfattar dokument för rekryterare, utkast till arbetsbeskrivningar, svarar på anställdas HR-frågor, rekommenderar inlärningsinnehåll eller automatiserar försäkringar Påståenden pappersarbete är inte enbart på listan. Frågan är alltid om systemet är avsett för ett av de angivna ändamålen.
De snidade leverantörerna glömmer: Article 6(3)
Även inom ett listat område är ett system Inte inte anses vara högrisk om det inte utgör en betydande risk för skada för hälsa, säkerhet eller grundläggande rättigheter, inklusive när det är avsett att utföra en smal processuell uppgift, att förbättra resultatet av en tidigare genomförd mänsklig aktivitetatt upptäcka beslutsmönster utan att ersätta eller påverka den mänskliga bedömningen, eller att utföra en Förberedande uppgift till en bedömning. En leverantör som förlitar sig på detta måste dokumentera den bedömningen (och registreringsuppgifterna gäller fortfarande). Den ärliga läsning: ett verktyg som rankar kandidater för en mänsklig rekryterares slutliga beslut är fyrkantigt i Annex III, 4; ett verktyg som transkriberar intervjuer gör en förberedande / processuell uppgift.
Datum, efter Digital Omnibus
- Högrisk (Annex III) skyldigheter skjuts upp till 2 December 2027 (inbäddade-i-reglerade-produkter högrisk: 2 augusti 2028).
- och Article 50 transparensuppgifter är separata och var inte uppskjutna - de gäller från 2 August 2026 till chatbots, röstagenter och syntetiska innehållsfunktioner oavsett risknivå. Att vara utanför Annex III befriar dig inte från dem. (Se: Article 50, som är skyldig.)
Varför din köpare frågar innan regulatorn gör
SIG 2026 och AI-CAIQ frågeformulär, och företag RFP, nu ställa leverantörer att ange sin EU AI Act riskklassificering. Svara "högrisk" när du inte registrerar dig för skyldigheter du inte är skyldig och larmar upphandling; svara "inte tillämplig" när du är helt i Annex III, 4 berättar granskaren du inte har läst förordningen. Båda kostnadserbjudanden. Klassificeringssvaret är den som först får rätt, eftersom alla andra AI svar i frågeformuläret hänger av det.
Hur man svarar på klassificeringsfrågan
- Namn på användningsfallet, inte branschen "Vårt system utför X", kartlagt (eller inte) till den specifika Annex III-posten.
- Om i ett listat område men förlitar sig på Article 6(3), säg vilken lem (procedur / förberedande / mönsterdetection) och notera att bedömningen dokumenteras.
- Ange datum som binder dig Annex III-uppgifter från 2 december 2027 om tillämpligt; Article 50-transparens från 2 augusti 2026 på något sätt.
- Beskriv aktuella åtgärder och färdplanen – För äkta högrisksystem accepterar köpare att ”bygga mot 2027-kraven, här är planen” mycket bättre än tystnad.
- Regulation (EU) 2024/1689, Officiell tidning - Annex III; Art. 6(2)-6(3); Art. 50; Art. 113 (ELI: data.europa.eu/eli/reg/2024/1689/oj)
- Regulation (EU) 2026/1744 (Digital Omnibus on AI) of 8 July 2026, OJ 24 July 2026, in force 27 July 2026 — Art. 113 amended: high-risk dates moved to 2 Dec 2027 (Annex III, Art. 6(2)) / 2 Aug 2028 (Annex I, Art. 6(1)); Art. 50 unchanged — ELI: data.europa.eu/eli/reg/2026/1744/oj
- Shared Assessments - SIG 2026 (AI domän); Cloud Security Alliance - AI-CAIQ