Huller i EU’s nye AI-regulering kan give unødige byrder

EU's omfattende lovgivning for brugen af kunstig intelligens (AI-forordningen) er netop blevet offentliggjort, og det betyder, at der nu er konkrete frister for at overholde de forskellige dele af forordningen. 

 - Forordningen er ikke helt konkret i sin tekst, da der er indlagt meget rum til fortolkning. Det betyder, at virksomheder og myndigheder er nødt til at vente på de vejledninger og standarder, som i praksis bliver nødvendige for at vide, hvilke ændringer og processer man skal indføre for at efterleve forordningen, siger Thomas Brenøe, direktør for Forsikring & Digitalisering hos F&P og uddyber:

 - Desværre oplever vi ofte at Danmark bliver duksen i EU, altså at reglerne får et ekstra vrid – måske for at være på den sikre side. Det er desværre en rigtig uheldig tendens, da det betyder, at vi ender med strammere regler, end politikerne reelt har ønsket. 

Hvorvidt man i implementeringen lykkes med at fastholde den ønskede balance mellem risiko og krav - en balance som Parlamentet og Rådet har arbejdet hårdt for at fastholde i den politiske proces - bliver afgørende for forordningen, mener man hos F&P.

Hvis indholdet og omfanget af kravene bliver mere voldsomt end den risiko, de skal imødegå, så er det reelt unødige administrative byrder, som i stedet for at bidrage til, at flere anvender mere ansvarlig AI, risikerer helt at afholde virksomhederne for at anvende teknologien, siger Thomas Brenøe.

Fornuftig balance med høj risiko
Overordnet har forordningen ramt en fornuftig balance mellem risiko og regler. De mest risikofyldte anvendelser af AI forbydes – som eksempelvis AI-systemer der anvender bevidst manipulerende eller vildledende teknikker. Der stilles også en række krav til scenarier med høj risiko – eksempelvis brug af AI til følelsesgenkendelse eller risikovurdering i finansielle scenarier, mens brugen af kunstig intelligens med lav risiko i stort omfang undtages for krav.

Udover at fastholde den ønskede balance i de eksisterende krav, så skal de kommende vejledninger også definere krav, som slet ikke er beskrevet i forordningen.

 - Når AI-tilsynet i fremtiden kommer på besøg, må man forvente, at en virksomhed skal vise, at de har forholdt sig til, om deres brug af kunstig intelligens falder ind under forordningen – uanset om den er høj eller lav risiko. Forordningen beskriver dog ikke, hvordan det skal ske, siger Thomas Brenøe.

Bekymringen hos F&P er, at virksomheder kan blive pålagt at lave detaljerede oversigter over alle AI-systemer med tilhørende risikovurderinger og detaljerede begrundelser for, hvorfor de enkelte systemer falder indenfor eller udenfor forordningen. 

 - I den politiske proces i EU har man arbejdet hårdt for at fastholde en risikobaseret tilgang. Det afspejler sig i, at forordningen stiller meget få krav til brugen af kunstig intelligens med lav risiko. Når forordningen træder i kraft, er det vigtigt at fastholde den tilgang og sikre, at virksomheder og myndigheder ikke skal aflevere omfattende udredninger for at vise, at de ikke er omfattet af forordningen, slutter Thomas Brenøe.

Fakta om AI-forordningen
Forordningen fastlægger desuden forpligtelser for udviklere og brugere (deployers) af kunstig intelligens afhængigt af risikoen forbundet med anvendelsen af systemet. Størstedelen af kravene lægges på udviklerne. Da det er en forordning, gælder den fra anvendelsesdatoen i alle EU-lande.

Forordningen inddeler AI-brug i fem lag: 

Uacceptabel risiko (forbud) – træder i kraft efter 6 måneder
Eksempelvis:

• Direkte adfærdsmanipulation af personer eller specifikke sårbare grupper.
• Social scoring: Klassificering af mennesker baseret på adfærd, socioøkonomisk status eller personlige karakteristika.
• Biometrisk identifikation og kategorisering af personer på baggrund af særligt følsomme karakteristika.

Høj risiko (strenge krav til system og data forud for ibrugtagning) – træder i kraft efter 2 år
Eksempelvis:

• Styring og drift af kritisk infrastruktur.
• Retspleje.
• Migration, asyl og grænsekontrol.
• Kreditvurdering af personer og udvalgte forsikrings-scenarier.

Begrænset risiko (transparens krav) – træder i kraft efter 2 år
Eksempelvis:

• Krav om at fortælle det, hvis personer interagerer direkte med et AI-system (fx chatbots mv.).
• Krav om at fortælle, hvis billeder, video, lyd eller tekst er genereret eller manipuleret med AI. (Hvis tekst efterfølgende har gennemgået menneskeligt review bortfalder kravet)

Generelle AI-modeller (transparens krav) – træder i kraft efter 1 år
AI-systemer, som kan bruges på tværs af flere scenarier, samt generativ AI skal overholde transparenskrav. Eksempelvis:

• Udarbejdelse af teknisk dokumentation.
• Indføre en politik, der overholder EU-retten om ophavsret og beslægtede rettigheder.
• Udarbejde og offentliggøre information om det indhold, der anvendes til træning af AI-modellen.

Øvrig AI-brug – ”lav risiko” (ingen krav)