EU AI Act: Det skal udbydere af højrisiko-AI have klar før 2027

Det vigtigste er tidsplanen: EU’s fulde krav til højrisiko-AI-systemer er blevet udskudt – de er ikke allerede trådt i kraft. For selvstændige højrisikosystemer, der er nævnt i bilag III, gælder kravene fra 2. december 2027. Højrisiko-AI, som indgår i visse regulerede produkter, får en senere frist: 2. august 2028. 18

For virksomheder, der vil bringe sådanne systemer på EU-markedet, handler forberedelsen derfor om at kunne dokumentere sikkerhed, sporbarhed og ansvarlighed, før produktet lanceres.

Hvornår er et AI-system højrisiko?

Kategorien omfatter overordnet to typer systemer:

• AI, der bruges som sikkerhedskomponent i produkter omfattet af bestemte EU-produktregler, når produktet kræver en tredjeparts overensstemmelsesvurdering.
• AI til bestemte anvendelser i bilag III, med de afgrænsninger og undtagelser, der følger af forordningen. 15

Klassificeringen er afgørende. Et højrisikostempel udløser væsentligt mere omfattende krav gennem hele systemets levetid end dem, der normalt gælder for almindelige AI-værktøjer.

Det skal udbydere forberede

Kravene skal bygges ind i produktets udvikling og drift – ikke samles i sidste øjeblik, når en myndighed beder om dokumentation.

Risikostyring og datastyring

Udbydere skal have processer til at vurdere og reducere risici. De skal desuden anvende datasæt af tilstrækkelig kvalitet for at mindske risikoen for diskriminerende resultater. Reglerne lægger vægt på relevante, repræsentative og forsvarligt styrede data til træning, validering og test. 115

Dokumentation og sporbarhed

Højrisikosystemer skal føre log over aktivitet, så resultater kan spores. Der skal også foreligge detaljeret teknisk dokumentation om systemet og dets tilsigtede formål. Det skal gøre det muligt for myndighederne at vurdere, om reglerne er overholdt. 1

Menneskeligt tilsyn og robust drift

EU kræver passende menneskeligt tilsyn samt et højt niveau af nøjagtighed, robusthed og cybersikkerhed. Udbyderen skal give den organisation, der anvender systemet, klar og tilstrækkelig information, så systemet bruges efter hensigten og med kendskab til dets begrænsninger. 1

Overensstemmelsesvurdering, registrering og opfølgning

Før et højrisikosystem bringes på markedet, skal udbyderen gennemføre den relevante overensstemmelsesvurdering. Hvor det er påkrævet, skal systemet registreres. Efter lancering skal ydelsen overvåges, og alvorlige hændelser skal indberettes. Det gør compliance til en løbende driftsopgave frem for en engangsgodkendelse. 115

Tjekliste: Er virksomheden klar?

Virksomheder, der sigter mod fristerne i 2027 og 2028, bør kunne svare klart på disse spørgsmål:

1. Er systemet reelt højrisiko? Sammenhold brugsscenariet med kategorierne i bilag I og bilag III.
2. Hvem har ansvaret? Placér ejerskab for produktsikkerhed, regeloverholdelse, dokumentation og håndtering af hændelser.
3. Kan risici påvises og mindskes? Hav en gentagelig proces for risikostyring med test og beslutningsspor.
4. Kan dataanvendelsen forsvares? Dokumentér datasættenes relevans, repræsentativitet, kvalitetskontrol og kendte begrænsninger.
5. Kan systemet auditeres? Gem logfiler, teknisk dokumentation og brugervejledning om tilsigtet anvendelse og begrænsninger.
6. Fungerer menneskeligt tilsyn i praksis? Beskriv, hvornår mennesker kan gribe ind, tilsidesætte output eller standse brugen.
7. Er overvågning efter markedsføring på plads? Etablér arbejdsgange for ydelsesovervågning, korrigerende tiltag og indberetning af hændelser.

Bøder kan blive betydelige

AI Act fastsætter bøder både som faste eurobeløb og som en andel af den globale årlige omsætning. Den hårdeste kategori, der gælder for forbudte AI-praksisser, kan nå 35 mio. euro eller 7 % af den globale årlige omsætning. Andre overtrædelser kan medføre bøder på op til 15 mio. euro eller 3 % af den globale årlige omsætning. 3

De mulige bøder betyder, at et program for højrisiko-AI ikke kun er en opgave for juraafdelingen. Produktudvikling, it-sikkerhed, datafaglige teams, indkøb, compliance og driftsorganisationen skal kunne vise, at beskyttelsesforanstaltningerne faktisk virker.

Udsættelsen er forberedelsestid – ikke fritagelse

De ændrede datoer giver mere tid, men kravene er fortsat omfattende. En udbyder, der venter til slutningen af 2027, kan stadig skulle etablere dokumentationssystemer, ændre udviklingspraksis, implementere logning, teste tilsynsprocesser og skabe arbejdsgange for indberetning efter markedsføring.

Den mest brugbare tilgang er at behandle AI Act som en standard for produktstyring: Find højrisikoanvendelser tidligt, indsam­l dokumentation under udviklingen, og gør sikkerhed, sporbarhed og menneskelig kontrol til en fast del af frigivelsesprocessen. 115