EU:s AI-regler för högrisksystem: Kraven företag måste hinna uppfylla före 2027

Det viktigaste för företag är tidsplanen: EU:s fulla krav på AI-system med hög risk gäller ännu inte för merparten av dessa system. Fristående högrisksystem som omfattas av bilaga III ska uppfylla reglerna från och med den 2 december 2027. För högrisk-AI som utgör en del av vissa redan reglerade produkter gäller i stället den 2 augusti 2028. 18

För företag som vill släppa sådana system på EU-marknaden handlar förberedelserna om att redan under utvecklingen bygga in rutiner som kan visa säkerhet, spårbarhet och tydligt ansvar.

Vad räknas som högrisk-AI?

EU:s kategori för högrisk-AI omfattar i huvudsak två grupper:

• AI-system som används som säkerhetskomponent i produkter som regleras av särskild EU-lagstiftning och där produkten måste genomgå en tredjepartsbedömning av överensstämmelse.
• AI-system för vissa användningsområden i bilaga III, med de avgränsningar och undantag som finns i förordningen. 15

Klassificeringen är avgörande. Högriskstatus utlöser betydligt mer omfattande krav under systemets hela livscykel än för vanliga AI-verktyg.

Kraven leverantörer behöver förbereda

Innan ett högrisksystem får släppas på EU-marknaden måste leverantören ha kontroller som är inbyggda i produktarbetet – inte sådana som tas fram först när en tillsynsmyndighet ställer frågor.

Riskhantering och styrning av data

Leverantörer ska införa system för att bedöma och minska risker. De ska också använda data av tillräcklig kvalitet för att begränsa risken för diskriminerande resultat. Regelverket lyfter särskilt fram relevanta och representativa data för träning, validering och testning, med ändamålsenlig styrning. 115

Dokumentation och spårbarhet

Högrisksystem ska ha loggning som gör resultaten spårbara, samt utförlig teknisk dokumentation om systemet och dess avsedda användning. Underlaget ska göra det möjligt för myndigheter att bedöma om reglerna följs. 1

Mänsklig tillsyn och driftsäkerhet

Reglerna kräver lämpliga former av mänsklig tillsyn samt hög nivå av noggrannhet, robusthet och cybersäkerhet. Leverantören ska dessutom ge den som använder systemet tydlig och tillräcklig information, så att AI:n kan användas på avsett sätt och med insikt om dess begränsningar. 1

Bedömning av överensstämmelse, registrering och uppföljning

Innan ett högrisksystem släpps på marknaden måste leverantören genomföra den tillämpliga bedömningen av överensstämmelse. När det krävs ska systemet registreras. Leverantören behöver även följa systemets funktion efter lansering och rapportera allvarliga incidenter. Efterlevnad blir därmed en löpande verksamhetsuppgift, inte ett engångsgodkännande. 115

Praktisk checklista inför 2027 och 2028

Organisationer som berörs av de nya datumen bör kunna svara på följande:

1. Är systemet verkligen högrisk-AI? Matcha användningsområdet mot kategorierna i bilaga I och bilaga III.
2. Vem bär ansvaret? Utse ansvariga för produktsäkerhet, regelefterlevnad, dokumentation och incidenthantering.
3. Kan riskerna beläggas och minskas? Ha en återkommande riskhanteringsprocess med tester och dokumenterade beslut.
4. Håller datakontrollerna för granskning? Dokumentera datans relevans, representativitet, kvalitetskontroller och kända begränsningar.
5. Går systemet att granska? Spara loggar, teknisk dokumentation och instruktioner som beskriver avsedd användning och begränsningar.
6. Fungerar den mänskliga tillsynen i verkligheten? Bestäm när en människa kan ingripa, åsidosätta ett resultat eller stoppa användningen.
7. Är uppföljningen efter lansering på plats? Förbered rutiner för prestandaövervakning, korrigerande åtgärder och incidentrapportering.

Böter enligt EU:s AI-förordning

Sanktionssystemet kombinerar fasta belopp i euro med en andel av företagets globala årsomsättning. Den högsta nivån, för förbjudna AI-metoder, kan bli 35 miljoner euro eller 7 procent av den globala årsomsättningen. För andra överträdelser kan böterna uppgå till 15 miljoner euro eller 3 procent av den globala årsomsättningen. 3

De möjliga beloppen innebär att ett program för högrisk-AI inte kan begränsas till juridisk granskning. Produktutveckling, it-säkerhet, dataanalys, inköp, regelefterlevnad och verksamhet behöver tillsammans kunna visa att skyddsåtgärderna fungerar.

Varför uppskovet ändå kräver arbete nu

De ändrade datumen ger mer förberedelsetid, men minskar inte omfattningen av kraven. Ett företag som väntar till slutet av 2027 kan fortfarande behöva bygga dokumentationssystem, ändra arbetssätt för modellutveckling, införa loggning, testa tillsynsprocesser och skapa arbetsflöden för rapportering efter lansering.

Det mest användbara angreppssättet är att se EU:s AI-förordning som en standard för produktstyrning: identifiera högriskanvändningar tidigt, samla bevisning under utvecklingen och gör säkerhet, spårbarhet och mänsklig kontroll till en del av processen inför lansering. 115