EUs KI-regler for høyrisikosystemer: Dette må leverandører ha klart før 2027

Hovedpoenget er tidslinjen: De fulle EU-kravene til høyrisiko-KI gjelder ikke allerede for de fleste slike systemer. Frittstående systemer som omfattes av vedlegg III, skal følge kravene fra 2. desember 2027. Høyrisiko-KI som er en del av bestemte regulerte produkter, får en senere frist: 2. august 2028. 18

For virksomheter som vil bringe slike systemer på EU-markedet, er oppgaven dermed å bygge etterlevelse inn i produktutviklingen i god tid. Det må kunne dokumenteres at systemet er trygt, sporbarheten er god og ansvaret er tydelig plassert før lansering.

Hvilken KI regnes som høyrisiko?

Høyrisikokategorien omfatter i hovedsak to grupper:

• KI-systemer som brukes som sikkerhetskomponent i produkter som reguleres av særskilte EU-regler, når produktet må gjennom en tredjeparts samsvarsvurdering.
• KI-systemer for bestemte bruksområder i vedlegg III, med forbehold om forordningens avgrensninger og unntak. 15

Klassifiseringen er avgjørende: Et høyrisikosystem utløser langt mer omfattende krav gjennom hele systemets livsløp enn vanlige KI-verktøy.

Dette må leverandører forberede

Kravene må være en del av produktets livsløp – ikke noe som settes sammen først når en tilsynsmyndighet ber om innsyn.

Risikostyring og datastyring

Leverandører må etablere systemer for å vurdere og redusere risiko. De må også bruke datasett med tilstrekkelig kvalitet for å redusere faren for diskriminerende resultater. Regelverket legger vekt på relevante, representative og forsvarlig forvaltede data for trening, validering og testing. 115

Dokumentasjon og sporbarhet

Høyrisikosystemer må føre logger som gjør resultatene sporbare. I tillegg kreves detaljert teknisk dokumentasjon av systemet og det tiltenkte formålet. Dette skal gi myndighetene grunnlag for å vurdere om systemet følger reglene. 1

Menneskelig kontroll og robust drift

EU krever egnede tiltak for menneskelig kontroll, samt høy grad av nøyaktighet, robusthet og cybersikkerhet. Leverandøren må gi brukervirksomheten – den som tar systemet i bruk – klar og tilstrekkelig informasjon, slik at systemet brukes som forutsatt og med forståelse for begrensningene. 1

Samsvarsvurdering, registrering og oppfølging

Før et høyrisikosystem settes på markedet, må leverandøren gjennomføre den relevante samsvarsvurderingen. Når det kreves, må systemet registreres. Leverandøren må også følge med på ytelsen etter lansering og rapportere alvorlige hendelser. Etterlevelse blir dermed en løpende driftsoppgave, ikke en engangsgodkjenning. 115

Sjekkliste før fristene i 2027 og 2028

Virksomheter som forbereder seg, bør kunne svare tydelig på disse spørsmålene:

1. Er systemet faktisk høyrisiko? Kartlegg bruksområdet opp mot kategoriene i vedlegg I og vedlegg III.
2. Hvem har ansvaret? Plasser ansvar for produktsikkerhet, juridisk etterlevelse, dokumentasjon og håndtering av hendelser.
3. Kan risiko påvises og reduseres? Ha en gjentakbar risikostyringsprosess, med tester og dokumenterte beslutninger.
4. Tåler datakontrollene innsyn? Dokumenter relevans, representativitet, kvalitetskontroller og kjente begrensninger i datasettene.
5. Kan systemet revideres? Ta vare på logger, teknisk dokumentasjon og brukerinstruksjoner som forklarer formål og begrensninger.
6. Virker menneskelig kontroll i praksis? Definer når mennesker kan gripe inn, overstyre resultatet eller stanse bruken av systemet.
7. Er oppfølging etter markedslansering på plass? Forbered rutiner for ytelsesovervåking, korrigerende tiltak og hendelsesrapportering.

Mulige bøter etter EUs KI-forordning

Sanksjonene er knyttet både til beløp i euro og global årlig omsetning. Den strengeste kategorien, for forbudt KI-praksis, kan gi bøter på opptil 35 millioner euro eller 7 % av global årlig omsetning. Andre brudd kan gi bøter på opptil 15 millioner euro eller 3 % av global årlig omsetning. 3

De potensielle beløpene gjør at et program for høyrisiko-KI må omfatte mer enn juridisk gjennomgang. Produkt-, sikkerhets-, data-, innkjøps-, etterlevelses- og driftsteam må kunne vise at sikkerhetstiltakene faktisk fungerer.

Utsettelsen er tid til å forberede seg – ikke et fritak

De endrede datoene gir virksomhetene mer tid, men kravene er fortsatt omfattende. Den som venter til sent i 2027, kan fortsatt måtte etablere dokumentasjonssystemer, endre praksis for modellutvikling, innføre logging, teste rutiner for menneskelig kontroll og bygge arbeidsflyt for rapportering etter lansering.

Den mest nyttige tilnærmingen er å behandle EUs KI-forordning som en standard for produktstyring: Identifiser høyrisikobruksområder tidlig, samle bevis mens systemet utvikles, og gjør sikkerhet, sporbarhet og menneskelig kontroll til faste deler av lanseringsprosessen. 115