AI-forordningen: Roller, risikoklasser og tidslinje for udbydere og brugere

Hvem er omfattet – og er du udbyder eller bruger?

Forordning (EU) 2024/1689 trådte i kraft 1. august 2024 og gælder direkte i Danmark og resten af EU. Den omfatter virksomheder, myndigheder og organisationer i og uden for EU, når AI-systemet bringes i omsætning på EU's marked, eller når anvendelsen påvirker personer i EU.

Forordningen dækker hele AI-værdikæden. Pligterne følger rollen, ikke branchen. Rollerne er udbyder, bruger (idriftsætter), importør, distributør og autoriseret repræsentant.

Importører af AI-systemer skal fx sikre, at den udenlandske udbyder har gennemført passende procedurer. Systemet skal ledsages af nødvendig dokumentation og brugsanvisning. Afklar derfor for hvert system, om I udvikler og markedsfører det, bruger det internt eller videresælger det.

Undtaget er AI-løsninger til national sikkerhed og forsvar, videnskabelig forskning eller intern R&D i virksomheden samt ikke-professionelt (privat) brug.

Forordningen skelner mellem to former: AI-systemer og AI-modeller til almen brug. De to former har forskellige forpligtelser og ikrafttrædelsesdatoer.

Et AI-system er efter EU-Kommissionens definition et maskinbaseret system, der er designet til at operere med varierende grader af autonomi. Ud fra sit input kan det generere output i form af forudsigelser, indhold, anbefalinger eller beslutninger. Jeres kortlægning bør vise, om I arbejder med et system, en model til almen brug eller begge dele.

Følger af at være udbyder vs. bruger (idriftsætter) af AI-systemer

Risikoklassen bestemmer dine pligter

Forordningen bygger på en risikobaseret tilgang. Kravene afhænger af, hvor stor risiko den konkrete AI-løsning udgør for sundhed, sikkerhed og borgernes grundlæggende rettigheder. Klassifikationen følger AI-systemets funktion og dets specifikke formål og metoder – ikke teknologien alene. Den samme tekniske model kan derfor havne i forskellige kategorier alt efter anvendelsen.

Der er fire kategorier. Minimal risiko: ingen særlige krav – forordningen indfører ikke regler for AI, der anses for at være minimal eller ingen risiko. Begrænset risiko: specifikke gennemsigtighedskrav. Høj risiko: særlige krav til detaljeret dokumentation, risikostyring, overvågning og ansvarlighed. Uacceptabel risiko: systemerne er forbudte.

Første skridt er en kortlægning. Lav en liste over de AI-systemer og AI-modeller, I udvikler, køber eller bruger. Notér for hvert system formål, anvendelsesområde og rolle som udbyder eller idriftsætter.

Kommunerne bruger samme fremgangsmåde. Vurder både risikokategori og rolle for hvert system og sikr overholdelse af de tilhørende krav.

Risikoklassen følger anvendelsen, ikke kun produktet. Ændrer I formål, målgruppe eller kontekst, kan systemet flytte kategori og dermed pligter. Skriv vurderingen ned: hvad systemet skal bruges til, hvem det påvirker, og hvilken kategori det placeres i. Så kan den gentages og fremvises, hvis anvendelsen ændrer sig.

Risikoklasser i AI-forordningen – pligter og anvendelser

Checkliste: Kortlægning af AI-systemer efter AI-forordningen

Forbudte AI-praksisser: reglerne gælder allerede

Reglerne om forbudte former for AI-praksis i artikel 5 er allerede gældende; se tidslinjen nedenfor.

Forbudte former omfatter social scoring til offentlige og private formål, udnyttelse af sårbarheder hos personer og biometrisk profilering af personer. De anses for at udgøre en klar trussel mod sikkerheden, borgernes rettigheder eller værdighed. Derfor må de slet ikke udvikles og udbydes i Europa.

Forbudszonen gennembryder også open source-undtagelsen. Gratis open source-software er kun undtaget, medmindre den anvendes til AI-systemer i kategorierne uacceptabel eller høj risiko. Man kan altså ikke henvise til, at et værktøj er gratis eller åbent, hvis anvendelsen er forbudt.

Gennemgå derfor anvendelserne og ikke kun leverandørlisten. Har I AI til social scoring til offentlige eller private formål, skal anvendelsen stoppes eller ændres. Det samme gælder AI, der udnytter særlige sårbarheder hos personer, eller biometrisk profilering. Det gælder, uanset om løsningen er købt, videreført fra et tidligere system eller bygget ind i en eksisterende proces.

Pligter ved begrænset risiko: gennemsigtighed

Ved begrænset risiko gælder der specifikke gennemsigtighedskrav – fx transparens om AI-genereret indhold.

Kortlæg, hvor AI-genereret indhold forlader jeres organisation: kunde- og borgervendt kommunikation, markedsføring, rapporter og interne beslutningsoplæg. Beslut for hver kanal, hvordan oplysningen gives.

Sikr, at tredjepartsleverandørens dokumentation beskriver systemets formål og begrænsninger, så I kan bruge det inden for det tilsigtede anvendelsesområde. Notér vurderingen i jeres AI-oversigt, så den kan opdateres, hvis anvendelsen ændres.

Pligter ved høj risiko: udbyderes og idriftsætteres ansvar

Høj risiko omfatter bl.a. kritisk infrastruktur og systemer, der påvirker grundlæggende rettigheder, fx når AI anvendes til at udpege bestemte individer. Digitaliseringsstyrelsen formulerer det som særlige krav til udviklere og anvendere af AI-systemer inden for områder med særlig høj risiko for borgerne.

Pligterne afhænger af rolle.

I praksis skal I kunne fremvise en samlet dokumentation: formålet med systemet, hvordan risici er identificeret og håndteret, hvordan systemet overvåges i drift, og hvem der er ansvarlig for hvad.

Særligt for højrisiko-AI-systemer, der er klassificeret som høj risiko, fordi de er indlejret i regulerede produkter opført i AI-forordningens bilag I – listen over EU-harmoniseringslovgivning – gælder der en senere frist; se tidslinjen.

AI-færdigheder: krav til personale og samarbejdspartnere

Kravet om AI-færdigheder (artikel 4) er allerede gældende; se tidslinjen nedenfor. Det er ikke begrænset til dem, der udvikler AI. Både udbydere og idriftsættere af AI-systemer skal træffe foranstaltninger til at støtte AI-færdigheder. Det gælder deres personale og andre personer, der er involveret i drift og anvendelse af AI-systemer på deres vegne.

Kravet rækker altså ud over de ansatte. Konsulenter, eksterne operatører og samarbejdspartnere, der arbejder med AI-systemer på jeres vegne, er også omfattet. Det er formuleret som foranstaltninger, der støtter udviklingen af færdigheder.

AI-færdigheder er færdigheder, viden og forståelse. De skal gøre udbydere, idriftsættere og berørte personer i stand til at idriftsætte AI-systemer på et informeret grundlag. De skal også øge bevidstheden om muligheder og risici ved AI og den mulige skade, AI kan forvolde.

I praksis handler det om at vurdere systemernes output kritisk, spotte fejl og bias samt forstå, hvordan databeskyttelse, sikkerhed og ansvarlighed håndteres.

Niveauet skal tilpasses den enkeltes tekniske viden, erfaring og uddannelse og den kontekst, hvori AI-systemerne skal anvendes. En medarbejder, der korrekturlæser AI-genererede tekster, har et andet behov end en, der konfigurerer et klassifikationssystem. Derfor er det svært at dokumentere opfyldelsen med ét generelt e-læringskursus for hele organisationen.

Tidslinje: Hvornår skal I leve op til hvad?

Forordningen blev vedtaget af Europa-Parlamentet den 13. marts 2024, offentliggjort i EU's officielle tidende den 12. juli 2024 og trådte i kraft den 1. august 2024. Reglerne finder trinvist anvendelse frem mod 2027; enkelte kilder angiver frem til 2028, fordi der gælder længere overgangsordninger for visse eksisterende systemer.

Der er indgået en politisk aftale mellem Rådet, Europa-Parlamentet og Kommissionen om en såkaldt AI-omnibus, der indeholder en række ændringer til AI-forordningen. Digitaliseringsstyrelsen afventer den endelige kompromistekst og den formelle godkendelse og opdaterer løbende sine sider. Tjek derfor styrelsens vejledning, før I låser en intern tidsplan fast.

Tidslinje for gennemførelse af AI-forordningen i Danmark

Tilsyn, sandkasse og praktisk hjælp i Danmark

Digitaliseringsstyrelsen er nationalt koordinerende tilsynsmyndighed for AI-forordningen og koordinerer implementeringen i Danmark. Der lægges samtidig op til et sektorbaseret tilsyn, hvor de enkelte sektormyndigheder fører tilsyn inden for deres område. Styrelsen opdaterer løbende siderne med status, vejledning og standarder og kan kontaktes på [email protected].

Der er oprettet en følgegruppe, hvor centrale interessenter kan følge med i og bidrage til implementeringen.

Datatilsynet og Digitaliseringsstyrelsen har sammen etableret en regulatorisk sandkasse for AI. Virksomheder og myndigheder kan få gratis adgang til ekspertise og vejledning i GDPR og i risikoklassifikation efter AI-forordningen. Sandkassen er særligt relevant, fordi AI-forordningen ikke erstatter anden regulering – databeskyttelsesreglerne gælder ved siden af.

Datatilsynet stiller desuden vejledning til offentlige myndigheders brug af kunstig intelligens, en skabelon til gennemførelse af konsekvensanalyse ved AI samt en kortlægning af brugen af kunstig intelligens i den offentlige sektor.

På EU-niveau har Kommissionen udgivet en faktaside med svar på de mest stillede spørgsmål om forordningen. Der udarbejdes standarder, som beskriver, hvordan dele af kravene kan opfyldes i praksis.

Europa-Kommissionen etablerede i maj 2024 et europæisk AI-kontor (AI-Office), der sammen med medlemsstaterne er ansvarlig for håndhævelsen af forordningen.

Overblik over tilsyn og hjælpressourcer i Danmark