AI-governance
De fire risikoklasser i EU AI Act i praksis
Risikoklassen afgør, hvilke krav der gælder for et AI-system. Det er brugen, ikke teknologien, der bestemmer klassen.
AI-governance
Risikoklassen afgør, hvilke krav der gælder for et AI-system. Det er brugen, ikke teknologien, der bestemmer klassen.
Kort fortalt
Risikoklassificering af AI-systemer betyder at placere hvert system i en af de fire risikoklasser i EU AI Act: forbudt, højrisiko, begrænset risiko eller minimal risiko. Klassen afgør, hvilke krav der gælder og hvornår de gælder.
Det vigtigste at forstå er, at klassen følger brugen. Den samme sprogmodel kan være minimal risiko i en intern skriveassistent og højrisiko, når den bruges til at sortere jobansøgere.
Gratis skabelon · Excel
Saml jeres AI-systemer ét sted med ejer, formål, data og rolle. Klassificér dem efter EU AI Act og se fordelingen på risikoklasser.
Gratis og uden tilmelding.
Flere gratis skabeloner finder I under skabeloner og værktøjer.
Jo højere i pyramiden, jo strengere krav. De fleste AI-systemer i en almindelig virksomhed ligger i de to nederste lag. De få, der ligger højere, er dem, der kræver arbejde.
Krav: Må ikke bruges
Fx social scoring, manipulation der udnytter sårbarhed, følelsesgenkendelse på arbejdspladsen
Krav: Risikostyring, dokumentation, menneskeligt tilsyn og logning
Fx screening af jobansøgere, kreditvurdering, adgang til uddannelse, kritisk infrastruktur
Krav: Brugerne skal vide, at de har med AI at gøre
Fx chatbots, AI-genereret indhold, deepfakes
Krav: Ingen særlige krav ud over AI-literacy
Fx spamfiltre, skriveassistenter, anbefalinger i webshoppen
Et system, der kun følger faste regler, som et menneske har skrevet, er ikke AI i lovens forstand. Et system, der selv udleder sit output ud fra data, er.
Tjek listen over forbudte praksisser i artikel 5. Rammer brugen en af dem, skal den stoppes. Der er ingen overgangsperiode.
Tjek områderne i bilag III: biometri, kritisk infrastruktur, uddannelse, beskæftigelse, adgang til væsentlige ydelser, retshåndhævelse, migration og retspleje. Tjek også, om AI indgår i et produkt under sektorlovgivning (bilag I).
Et system på højrisikolisten kan falde udenfor, hvis det kun udfører en snæver proceduremæssig opgave og ikke påvirker beslutningen væsentligt. Vurderingen skal dokumenteres.
Taler systemet med mennesker eller skaber det indhold, gælder kravene til begrænset risiko. Ellers er det minimal risiko.
Klassen fortæller, hvor strenge kravene er. Rollen fortæller, hvilke af kravene der rammer jer. De fleste danske virksomheder er idriftsættere. Men I bliver selv udbyder, hvis I ændrer et højrisikosystem væsentligt eller sætter jeres eget navn på det.
Den, der udvikler systemet eller sætter det på markedet under eget navn. Bærer de fleste krav: risikostyring, teknisk dokumentation, CE-mærkning og registrering.
Den, der bruger systemet i sin egen virksomhed. Skal bruge det efter leverandørens vejledning, sikre menneskeligt tilsyn, overvåge driften og gemme logs.
Et rekrutteringssystem, der rangerer kandidater, er typisk højrisiko. Også når funktionen bare er en del af et standard HR-system.
En chatbot i kundeservice er sjældent højrisiko. Den kræver gennemsigtighed: kunden skal vide, at det er en maskine.
"Vi bruger kun GPT" siger intet om klassen. Det er brugen, der afgør det. Den samme model kan ligge i flere klasser i samme virksomhed.
Erfaring fra vores projekter
Klassificeringen er sjældent det svære. Det svære er at blive enige om, hvem der ejer vurderingen. Når jura klassificerer alene, mangler kendskabet til systemerne. Når IT gør det alene, mangler kendskabet til loven. Det virker bedst, når arkitekturfunktionen ejer processen og trækker jura ind i de svære sager.
Vores erfaring fra stage gate-modeller er, at en vurdering kun bliver lavet, når den er en fast del af processen. Det samme gælder risikoklassificering. Bliver den et punkt i godkendelsen af nye systemer og ændringer, sker den af sig selv. Bliver den et projekt for sig, går den i stå efter første runde.
Mere om AI-governance
Et AI Systems Audit kortlægger jeres AI-systemer, klassificerer dem efter EU AI Act og giver jer en prioriteret plan. Fast pris og 1-2 uger.