fix(ms-ai-architect): RX-REG-KB deferred økt 1 — Art. 49(3)/48(2) + Nkom utpekt + arkivlov-retensjon [skip-docs]

4 per-påstand-verifiserte KB-korrektheter (deferred fra RX-REG-KB økt 1):

- compliance-guide: EU-database-registrering var «kun provider» — Art. 49(3) krever
  at offentlig-myndighet-deployere registrerer seg, velger systemet og registrerer
  bruken. Lagt til i deployer-plikter + pre-deployment-sjekkliste.
  Kilde: EUR-Lex CELEX:32024R1689 art. 49(1)/(3).
- compliance-guide: CE-merking-raden hevdet «Gjelder ikke SaaS» og konflaterte CE
  (Art. 48) med registrering (Art. 49). Art. 48(2): digital CE-merking gjelder
  digitalt levert høyrisiko-AI (inkl. sky/SaaS); utløses av høyrisiko-klassifisering,
  ikke leveringsmodell. Kilde: EUR-Lex art. 48(1)-(2).
- classification-methodology: «Nkom som kandidat» / «fremtidig Nasjonal AI-
  tilsynsmyndighet» → Nkom utpekt koordinerende markedstilsynsmyndighet + nasjonalt
  kontaktpunkt. Kilde: regjeringen.no id3093081 (26.03.2025).
- provider-obligations: log-retensjon «forvaltningsloven ... 3-10 år» var feil lov +
  oppdiktet tall → norsk arkivlovgivning (arkivlova LOV-2025-06-20-96, bevaringsforskrifta);
  oppbevaringstid fastsettes per dok.type, kassasjon krever hjemmel/Nasjonalarkivet. Kilde: Lovdata.

Gap-disiplin: lint-seksjon #10 (4 tester) i test-governance-refs-reg-lint.test.mjs er
regresjonsvernet. Suite 846→850 exit 0.

skills/ms-ai-governance/references/responsible-ai/ai-act-classification-methodology.md

@@ -228,9 +228,9 @@ Kommunen bruker AI til å analysere demografidata for arealplanlegging — ingen
 **Tilfelle D: Prediktiv politimodell**
 System som identifiserer geografiske "hotspot"-områder uten å peke ut enkeltpersoner.
 - Ikke Art. 5(1)(d) (som krever profilering av *enkeltpersoner*) siden systemet ikke peker ut enkeltpersoner → vurder Annex III kategori 5/6
-- Anbefaling: Konsultér Datatilsynet og Nasjonal tilsynsmyndighet for AI (Nkom som kandidat) FØR implementering
+- Anbefaling: Konsultér Datatilsynet og Nkom (utpekt koordinerende markedstilsynsmyndighet for KI-forordningen) FØR implementering
 
-**Generell anbefaling for grensetilfeller:** Kontakt Datatilsynet (personvern-aspektet) og fremtidig Nasjonal AI-tilsynsmyndighet. Dokumenter klassifiseringsargumentasjonen uansett utfall.
+**Generell anbefaling for grensetilfeller:** Kontakt Datatilsynet (personvern-aspektet) og Nkom (koordinerende markedstilsynsmyndighet og nasjonalt kontaktpunkt for KI-forordningen). Dokumenter klassifiseringsargumentasjonen uansett utfall.
 
 ---
 

skills/ms-ai-governance/references/responsible-ai/ai-act-compliance-guide.md

@@ -87,7 +87,7 @@ Providers av høyrisiko-systemer (de som utvikler/markedsfører) må oppfylle **
 | **Accuracy, Robustness, Security** | Høy presisjon, resiliens mot feil, cybersecurity | Azure AI Content Safety, adversarial testing (PyRIT) |
 | **Quality Management System** | ISO-lignende kvalitetsstyring for hele utviklingsløpet | ISO 42001:2023 (Microsoft sertifisert for M365 Copilot, Copilot Studio, Microsoft Foundry, Security Copilot, GitHub Copilot, Dragon Copilot, Dragon Copilot (Radiologist), Copilot Health) *(Verified MCP 2026-06-19)* |
 | **Conformity Assessment** | Pre-deployment vurdering (intern eller ekstern) | Microsoft Foundry evaluation metrics, Compliance Manager |
-| **CE-merking** | Registrering i EU database før markedsføring | (Gjelder ikke SaaS-tjenester fra Microsoft) |
+| **CE-merking** (Art. 48) | Samsvarsmerking før omsetning; digitalt leverte høyrisikosystemer bruker **digital CE-merking** (Art. 48(2)). EU-databaseregistrering er en separat plikt (Art. 49) | Utløses av høyrisiko-klassifisering, ikke av leveringsmodell — digital CE-merking gjelder også sky/SaaS |
 | **Post-market Monitoring** | Kontinuerlig overvåking av performance i produksjon | Microsoft Defender for Cloud AI threat protection |
 
 **Tidslinje for høyrisiko-krav (Digital Omnibus, vedtatt — avventer OJ-publisering):**
@@ -105,6 +105,7 @@ Organisasjoner som **tar i bruk** høyrisiko-systemer har også ansvar:
 3. **Human oversight:** Implementere menneskelig tilsyn som provider har designet for
 4. **Incident reporting:** Rapportere alvorlige hendelser til tilsynsmyndighet
 5. **Fundamental rights impact assessment:** For offentlig sektor er dette **obligatorisk** før deployment
+6. **EU-database-registrering (offentlig sektor):** Deployere som er offentlige myndigheter må registrere seg, velge systemet og registrere bruken i EU-databasen før ibruktakelse (Art. 49(3))
 
 ---
 
@@ -252,7 +253,7 @@ START: Har du et AI-system?
 - [ ] **Content safety aktivert** (Azure AI Content Safety filters)
 - [ ] **Fundamental rights impact assessment (FRIA)** — kun offentlig sektor
 - [ ] **Conformity assessment** (intern eller 3rd party) — kun provider
-- [ ] **EU database registration** — kun provider (Art. 49, før omsetning/ibruktakelse)
+- [ ] **EU database registration** — provider (Art. 49(1)) og offentlig-myndighet-deployer (Art. 49(3): registrer virksomheten, velg systemet, registrer bruken), før omsetning/ibruktakelse
 
 **For SaaS-løsninger (Microsoft 365 Copilot, Copilot Studio):**
 

skills/ms-ai-governance/references/responsible-ai/ai-act-provider-obligations.md

@@ -176,7 +176,7 @@ Høyrisiko-AI-systemer skal ha innebygd kapasitet for automatisk loggføring av
 
 ### Oppbevaringsperiode
 
-**6 måneder** — Art. 19(1) krever minst 6 måneder oppbevaring av logger. Lengre oppbevaring kan kreves av nasjonal lov (f.eks. forvaltningsloven for offentlig sektor i Norge: 3-10 år avhengig av sakstype).
+**6 måneder** — Art. 19(1) krever minst 6 måneder oppbevaring av logger. Lengre oppbevaring kan følge av norsk arkivlovgivning (arkivlova og bevaringsforskrifta) for offentlig sektor, der oppbevaringstiden fastsettes per dokumentasjonstype og kassasjon krever hjemmel eller tillatelse fra Nasjonalarkivet.
 
 ### Logg-arkitektur for Microsoft-plattformer