Introduktion til AI-forordningen – europæisk regulering af kunstig intelligens

Kort om AI-forordningen

EU's kommende regler for kunstig intelligens: AI-forordningen blev vedtaget i 2024.
Forordningen opdeler AI-brug i fire lag: Forbudt brug, højrisiko brug, krav til generelle AI-modeller og transparenskrav.

Der er differentierede tidsfrister for ikrafttrædelsen af de forskellige dele af forordningen. Hovedparten af forordningen finder anvendelse efter 2 år - fra august 2026.

Overordnet dækker forordningen al brug af AI. Meget brug af AI vil dog være ”lav risiko”, da det ikke er omfattet af specifikke krav i forordningen. 
Derfor er det vigtigt at afklare, om man udvikler eller bruger AI-systemer, som falder ind under forordningens krav.

Centrale elementer 
Fra F&P's side vil vi særskilt fremhæve de tre nedenstående elementer, da de kan få betydning – uanset i hvilket omfang man bruger AI:

• Højrisikokravene til forsikringsscenarier, samt højrisikokravene til ”HR-scenarier” og følelsesgenkendelse
  De omfattede forsikringsscenarier er: ”AI-systemer, der tilsigtes anvendt til at foretage risikovurdering og prisfastsættelse for så vidt angår fysiske personer i forbindelse med livs- og sygeforsikring”
  - Træder i kraft i 2. august 2026
  
  
• De generelle krav om transparens, som fx gælder, når kunder interagerer med AI, og når billede, lyd, video eller tekst fremstilles eller manipuleres med AI
  - Træder i kraft i 2. august 2026
   
• Forbud mod brugen AI med uacceptabel risiko. Samt scope, definitioner og regler for AI-literacy (AI-færdigheder hos fx ansatte), som gælder ved al brug af AI
  - Træder i kraft i 2. februar 2025

Overordnet er det samtidig relevant at være opmærksom på, at forordningen ved mange krav skelner mellem udbydere (udviklere) og idriftsættere (brugere).
Størstedelen af kravene i forordningen lægges på udviklerne, men i mange tilfælde stilles der også krav til de virksomheder, som bruger AI-systemer. 

Dansk og engelsk m.v. version af den samlede forordning kan hentes her:

• Forordning - EU - 2024/1689 - EN - EUR-Lex (europa.eu)

Om AI-forordningen

AI-forordningen fastlægger forpligtelser for udviklere og brugere (deployers) af kunstig intelligens afhængigt af risikoen forbundet med anvendelsen af systemet. Størstedelen af kravene lægges på udviklerne.

Forordningen inddeler AI-brug i fire lag: 

• Uacceptabel risiko (forbud)
• Høj risiko (strenge krav; primært til udviklere men også brugere af højrisikosystemer)
• Generelle AI-modeller & begrænset risiko (transparens krav)
• Øvrig AI (ingen krav)

Da det er en forordning, gælder den fra anvendelsesdatoen i alle EU-lande.

Uacceptabel risiko:

AI-systemer med uacceptabel risiko anses for at udgøre en trussel mod mennesker og vil blive forbudt. Dette inkluderer:

• Direkte adfærdsmanipulation af personer eller specifikke sårbare grupper.
• Social scoring: Klassificering af mennesker baseret på adfærd, socioøkonomisk status eller personlige karakteristika
• Biometrisk identifikation og kategorisering af personer på baggrund af særligt følsomme karakteristika.
• Realtids- og fjernbiometriske identifikationssystemer, såsom ansigtsgenkendelse, med henblik på retshåndhævelse. 
  Nogle undtagelser kan tillades af hensyn til borgernes sikkerhed. 

Forbuddene gælder fra 2. februar 2025.
 

Høj risiko:

AI-systemer på områder, der udpeges som højrisiko, skal leve op til specifikke krav og CE-mærkes. Der er - efter selvvurdering - mulighed for undtagelse af konkrete brugsscenarier, som reelt ikke er højrisiko.
Høj risiko-områderne dækker eksempelvis:

• Udvalgte forsikrings-scenarier
• En række "HR" scenarier - fx ved ansættelse, afskedigelse, forfremmelse og fordeling samt opfølgning på opgaver.
• Følelsesgenkendelse (Alle systemer der ud fra biometriske data - fx ansigtsudtryk og stemme - kan udlede følelser eller hensigter)
• Styring og drift af kritisk infrastruktur
• Retspleje
• Migration, asyl og grænsekontrol
• AI-systemer, der bruges i produkter omfattet af EU's eksisterende lovgivning om produktsikkerhed. Fx legetøj, luftfart, biler, medicinske apparater og elevatorer.

Udbyder eller bruger
Størstedelen af højrisikokravene falder på udbyderen (udvikleren) af et højrisiko AI-system. Brugerne af højrisikosystemer pålægges dog også en række krav. 

Overordnet pålægges brugeren at anvende systemet i overensstemmelse med den brugsanvisning, der ledsager systemet. 
Derudover skal brugeren eksempelvis sikre varetagelsen af menneskeligt tilsyn (human oversight).

I forhold til de personer, som bruger eller behandles af et højrisikosystem, er der krav om at informere ansatte om brugen af højrisikosystemer på arbejdspladsen og informere personer (fx kunder), hvis de er udsat for brugen af et højrisiko-AI-system.

Generelle transparenskrav

De generelle transparenskrav gælder alle AI-systemer (uanset risiko). De omfatter:

• Information ved interaktion med AI-system
  Forordningen stiller krav om, at udbydere (udviklere) skal sikre, at AI-systemer, som interagerer direkte med fysiske personer, udvikles og designes, så en fysisk person informeres om, at de interagerer med et AI-system 
   
• AI-genererede eller AI-manipulerede tekster, lyde, video og billeder
  Derudover skal udbydere (udviklere) af systemer, som genererer lyd, billeder, video eller tekst sikre, at output fra systemet er mærket i et maskin-læsbart format og kan detekteres som kunstigt genereret eller manipuleret.

Informationskravet videreføres også til idriftsættere (brugere) af AI-systemer, som pålægges:

• At informere, hvis billeder, lyd eller video er kunstigt genereret eller manipuleret
• Derudover skal idriftsættere (brugere), som med AI genererer eller manipulerer tekst, der udgives for at ’informere offentligheden om forhold af offentlig interesse’ informere om, at teksten er kunstigt genereret eller manipuleret. 
  Medmindre teksten har gennemgået menneskeligt review.

Systemer og modeller til generelle formål:

Udviklere af AI-systemer, som kan bruges på tværs af flere scenarier samt generativ AI - fx ChatGPT, skal overholde en række informations- og gennemsigtighedskrav, når de gør en model tilgængelig på markedet:

Udvikleren skal i hovedtræk:

• Udarbejde og løbende ajourføre teknisk dokumentation
• Give dem, som ønsker at integrere modellen i egne systemer, en god forståelse af kapaciteterne og begrænsningerne i AI-modellen
• Indføre en politik, der overholder EU-retten om ophavsret og beslægtede rettigheder
• Udarbejde og offentliggøre en tilstrækkeligt detaljeret sammenfatning om det indhold, der anvendes til træning af AI-modellen.

Derudover skal generelle modeller, der kan udgøre systemisk risiko på det indre marked, leve op til en række yderligere krav. 
Disse krav træder i kraft, når den beregningskraft, der anvendes til at træne en model, er større end 10^25 floating point operations. (På verdensplan vil kravet - for nuværende - kun ramme en lille håndfuld modeller).