En praktisk tjekliste til EU’s AI-forordning

EU's AI-forordning ankommer med et ry for at være enorm, kompleks og skræmmende — og for de fleste organisationer er det ry stort set ufortjent. Forordningen er risikobaseret, hvilket betyder, at det store flertal af AI-systemer falder i kategorier, der kræver lidt eller intet ud over, hvad et ansvarligt team allerede ville gøre. Det reelle arbejde er ikke overholdelsesteater; det er ærligt at finde ud af, hvilke af dine systemer der faktisk er i omfang og på hvilket niveau. Når det er klart, er pligterne ofte langt lettere, end overskrifterne antyder.

Dette er en praktisk gennemgang af, hvordan man forbereder sig uden panik — skrevet af ingeniører, der hjælper teams med dette, ikke af jurister. Målet er at hjælpe dig med at afgrænse problemet rigtigt, så din jurist kan godkende effektivt i stedet for at starte fra bunden.

Start med en ærlig oversigt

Du kan ikke klassificere det, du ikke har listet. Første skridt er en komplet oversigt over hvert system, der bruger AI — også de købt fra leverandører, indlejret i SaaS eller stille tilføjet et produkt, ikke kun de modeller, du selv trænede. Teams undervurderer rutinemæssigt denne liste med halvdelen.

For hver post, fang hvad det gør, hvilke data det bruger, hvem der påvirkes af resultaterne, og hvor autonomt det er. Denne oversigt er grundlaget for alt videre — og god praksis alligevel: du kan ikke styre det, du ikke ser.

Klassificer mod risikoniveauerne

Forordningen sorterer systemer i niveauer, og næsten alt lander i de lavere. Et lille sæt anvendelser er forbudt. En defineret liste af højrisikoanvendelser — ansættelse, kredit, essentielle tjenester, biometri, sikkerhedskomponenter — bærer reelle pligter. Alt andet er begrænset risiko (hovedpligt gennemsigtighed) eller minimal risiko (praktisk talt intet at gøre).

Det mest værdifulde skridt er at placere hvert system på det rigtige niveau, for det bestemmer hele arbejdsmængden. De fleste er minimale eller begrænsede. Fejlen at undgå begge veje: behandle et minimalrisikoværktøj som højrisiko (spild) eller overse, at et system virkelig er højrisiko (reel eksponering).

Gennemsigtighed hvor den gælder

For systemer med begrænset risiko — chatbots, indholdsgenerering — er kernepligten ærlighed over for dem, der interagerer. Brugere bør vide, hvornår de har med en AI at gøre i stedet for et menneske, og AI-genereret indhold bør være identificerbart. Dette er normalt en beskeden ændring: en klar oplysning, lidt mærkning, en linje grænsefladetekst.

Hvad højrisiko faktisk kræver

Lander et system på højrisikoniveauet, bliver pligterne konkrete: risikostyringsproces, passende datastyring, teknisk dokumentation, journalføring og logning, meningsfuldt menneskeligt tilsyn og et niveau af nøjagtighed, robusthed og sikkerhed egnet til brugen. Intet er eksotisk for et team, der allerede bygger ansvarligt.

Arbejdet er at sætte dette sammen til en sammenhængende, vedligeholdbar overensstemmelsesfil i stedet for et ræs før revision. Kontinuerligt skrevet dokumentation er langt billigere end rekonstrueret under tidsfrist.

Menneskeligt tilsyn der er reelt

Et tilbagevendende tema er meningsfuldt menneskeligt tilsyn — ordet "meningsfuldt" tæller. Et menneske, der stempler hver beslutning uden evne eller information til at gribe ind, er ikke tilsyn; det er teater. Ægte tilsyn betyder at give en person kontekst, autoritet og praktisk evne til at gennemgå, tilsidesætte eller stoppe systemet.

Dette er lige så meget et design- som et overholdelsesproblem og værd at gøre uanset loven, for et system, et menneske ikke kan overvåge meningsfuldt, er en risiko i enhver forstand.

Dokumentation som biprodukt, ikke projekt

Teams, der finder forordningen smertefuld, behandler dokumentation som et separat slutprojekt. De, der finder den håndterbar, bygger beviserne undervejs: modelkort, dataafstamning, evalueringsresultater, beslutningslogger — naturligt output af god ingeniørkunst.

Hvordan vi hjælper, og hvor vi stopper

Vi er ingeniører, ikke jurister, og er omhyggelige med den grænse. Vi laver det tekniske forberedelsesarbejde: oversigt, risikoklassificering, datastyringsmekanismer, tilsynsdesign og at samle dokumentation og bevis til en struktureret overensstemmelsesfil. Den endelige juridiske vurdering overlader vi bevidst til din jurist. Godt struktureret lader beviserne juristen godkende effektivt.