AI-forordningen: hvad det er, hvem der arbejder med det, og hvad de tjener

AI-forordningen er EU's fælles regelsæt for udvikling, salg og brug af kunstig intelligens. Reglerne gælder både private virksomheder og offentlige myndigheder.

Forordningen arbejder risikobaseret. Jo større risiko et AI-system kan skabe for mennesker, sikkerhed eller grundlæggende rettigheder, desto strengere bliver kravene.

I praksis starter arbejdet ofte med at finde virksomhedens AI-systemer. Derefter vurderes virksomhedens rolle og systemernes risikokategori. En virksomhed kan eksempelvis være udbyder af et AI-system eller idriftsætter, som anvender en løsning fra en leverandør.

Typiske spørgsmål er, om en løsning overhovedet er omfattet, om anvendelsen er forbudt, og om systemet er højrisiko. Virksomheder skal også vurdere krav til AI-færdigheder, gennemsigtighed, dokumentation og menneskeligt tilsyn.

Reglerne rammer derfor bredere end virksomheder, der selv udvikler AI. En virksomhed, som anvender generativ AI, chatbots eller AI-baserede beslutningsværktøjer, kan også have forpligtelser.

De fleste bestemmelser i AI-forordningen gælder nu. Regler om forbudte AI-praksisser og AI-færdigheder kom tidligere. Reglerne for visse højrisiko-systemer er efter AI Omnibus udskudt til senere anvendelsesdatoer.

Et konkret compliancearbejde består typisk af et AI-register, rolle- og risikoklassifikation, politikker, leverandørkrav og dokumentation. Hertil kommer træning, kontrol med anvendelsen og procedurer for hændelser og ændringer.

AI-forordningen står heller ikke alene. Hvis AI behandler personoplysninger, skal GDPR fortsat vurderes. Der kan også være krav fra eksempelvis produktsikkerhed, finansiel regulering, sundhedsregler, cybersikkerhed og ansættelsesret.

AI-forordningen ligger mellem jura, teknologi, risikostyring og governance. Derfor findes kompetencen sjældent kun hos én bestemt profession.

Teknologi- og databeskyttelsesjurister fortolker reglerne og arbejder med ansvar, kontrakter og forholdet til GDPR. Compliance- og risk-profiler omsætter kravene til kontroller, processer og dokumentation.

Folk, der arbejder med AI-governance, arbejder typisk med AI-registre, klassifikation, politikker, ansvar og løbende kontrol. DPO'er bliver ofte involveret, når AI-systemerne behandler personoplysninger.

Informationssikkerhedsfolk bidrager med risikovurderinger, adgangsstyring, logning, leverandørstyring og tekniske kontroller. Data scientists, ML engineers og AI-arkitekter er vigtige, når dokumentationen kræver forståelse af modeller, data, test og overvågning.

Produktansvarlige og indkøbere spiller også en central rolle. En organisation kan ikke håndtere AI-forordningen alene gennem juridiske dokumenter, hvis kravene ikke bliver indbygget i indkøb, udvikling og drift.

En enkelt person med specialiseret viden passer ofte godt til afgrænsede opgaver. Det kan være etablering af et AI-register, risikoklassifikation, gap-analyse, politikker eller vurdering af en konkret løsning.

Et tværfagligt konsulenthus eller advokat- og teknikerteam giver mere mening ved komplekse AI-produkter, mange AI-systemer eller vanskelige højrisikovurderinger. Det samme gælder, når både jura, cybersikkerhed, produktkrav og teknisk dokumentation skal undersøges samtidigt.

Der findes ikke én officiel dansk uddannelse, som gør en person til ekspert i AI-forordningen. Forordningen kræver heller ikke en bestemt personlig certificering for at arbejde med området.

Et stærkt udgangspunkt er ofte jura, databeskyttelse, compliance, risikostyring, informationssikkerhed eller AI-teknologi. Specialiseringen kommer derefter gennem arbejde med konkrete AI-systemer og målrettet undervisning.

Djøfs kursus AI-forordningen og compliance er relevant for jurister, compliancefolk og andre, der skal forstå reglernes praktiske anvendelse.

Teknologisk Instituts AI Act i praksis – fra lovtekst til kontrakt og drift arbejder blandt andet med klassifikation, ansvar, leverandørkontrakter og implementering i virksomheder.

IAPP's Artificial Intelligence Governance Professional, AIGP, er en international certificering inden for ansvarlig AI-governance. Den dækker blandt andet AI-risici, governance og regulering. AIGP er ikke en dansk juridisk autorisation.

Dansk Standards ISO/IEC 42001 Foundation og ISO/IEC 42001 Lead Implementer er relevante for personer, der skal etablere struktureret AI-governance. ISO/IEC 42001 handler om ledelsessystemer for AI og er ikke det samme som juridisk efterlevelse af AI-forordningen.

Praktisk erfaring betyder meget på området. Det er især værdifuldt at have prøvet at kortlægge AI-systemer, klassificere anvendelser, vurdere leverandører og omsætte juridiske krav til tekniske og organisatoriske kontroller.

Det vigtigste standardværk er selve EU-forordningen i den konsoliderede version. Ændringer som AI Omnibus gør det vigtigt at bruge en opdateret tekst frem for ældre artikler og kursusnoter.

Digitaliseringsstyrelsens sider om AI-forordningen er den centrale danske indgang. Her findes danske forklaringer om blandt andet risikokategorier, AI-færdigheder, gennemsigtighed, AI-modeller til almen brug og den danske tilsynsstruktur.

Europa-Kommissionens AI Act Service Desk og Kommissionens vejledninger er centrale ved mere detaljerede fortolkningsspørgsmål. Der findes blandt andet vejledning om definitionen af AI-systemer, forbudte anvendelser, generelle AI-modeller og gennemsigtighed.

ISO/IEC 42001 er den vigtigste generelle ledelsesstandard for organisationer, der vil etablere et systematisk AI governance-program. Standarden beskriver et ledelsessystem for ansvarlig udvikling og anvendelse af AI.

ISO/IEC 23894 er et nyttigt supplement. Standarden fokuserer specifikt på risikostyring for organisationer, der udvikler, leverer eller anvender AI.

På et område i hurtig udvikling er officielle kilder normalt mere værdifulde end en bestemt lærebog. Bøger kan forklare principperne, men lovændringer, vejledninger og standarder kan hurtigt gøre dele af en bog forældede.