Skrevet til den, der skal stå på mål for det — ikke til et juridisk tidsskrift. Hvad forordningen kræver af jer, hvad I skal kunne fremvise på forlangende, og hvor de fleste virksomheder i stilhed ikke overholder den.
EU AI Act er produktsikkerhedslovgivning anvendt på software. Den spørger ikke, om jeres AI er god. Den spørger, om I kan vise hvad den gjorde, hvem der var ansvarlig, og hvad I gjorde da den tog fejl.
Den forskel betyder mere end noget teknisk krav i forordningen. En virksomhed med en middelmådig model og et komplet revisionsspor står bedre end en virksomhed med en fremragende model og intet spor.
Det er en driftsmæssig læsning, skrevet af folk der selv skulle overholde den. Brug den til at stille jeres advokat bedre spørgsmål - ikke til at erstatte hende.
Næsten alle virksomheder der læser dette, er idriftsættere: I bruger et AI-system i jeres forretning. Udbydere bygger systemer og bringer dem på markedet. Pligterne er forskellige, og idriftsætterens er de lettere — men de er ikke ingenting.
Hvis I finetuner en model på egne data og bruger den til ansættelsesbeslutninger, så søg rådgivning, før I går ud fra at I stadig blot er idriftsætter.
Den ubehagelige sandhed for de fleste mellemstore virksomheder: jeres nuværende AI-brug er nok minimal eller begrænset risiko, og det er i næste use case, høj risiko lister sig ind. CV-screening er det klassiske eksempel — det føles som produktivitet og er juridisk ansættelse.
Gælder alle, på alle risikoniveauer. Medarbejdere der bruger AI-systemer, skal have tilstrækkelig forståelse til at bruge dem fornuftigt. Det er den pligt, virksomheder oftest overser, fordi den ikke føles som en compliance-opgave. En oversigt over hvem der er uddannet, i hvad og hvornår, er nok.
Høj-risiko-systemer skal bruges under menneskeligt tilsyn af folk, der er kompetente til at udføre det og har mandat til at underkende. “Et menneske trykkede godkend” er ikke tilsyn, hvis mennesket ikke havde et reelt grundlag for at være uenig.
Automatisk genererede logs, opbevaret i en passende periode — mindst seks måneder, medmindre anden lovgivning kræver længere. Loggen skal kunne rekonstruere, hvad der skete. Prompt og svar alene er sjældent nok; I skal også have model, jurisdiktion, data og menneske.
Overvåg driften mod brugsanvisningen. Sæt brugen på pause og informér udbyderen, når I opdager en risiko. Anmeld alvorlige hændelser. Gem dokumentationen.
Bruges et høj-risiko-system i beslutninger om enkeltpersoner, skal de informeres. Beder de om en forklaring på en beslutning, skal I kunne give den.
GDPR er ikke forsvundet. Hvor I laver en konsekvensanalyse, ligger AI Act-pligterne ved siden af - de erstatter den ikke.
Forbuddene og AI-kompetencekravet trådte i kraft først. Så fulgte pligterne for generelle modeller. Høj-risiko-pligterne er den sidste store bølge. Tjek de aktuelle datoer med jeres advokat — Kommissionen har justeret tidsplanen mere end én gang.
I praksis: forbud og kompetencekrav er gældende pligter i dag, ikke i fremtiden. Har I ingen uddannelsesoversigt, er det et hul her og nu.
Glem artikelnumrene et øjeblik. En tilsynsmyndighed, en kundes indkøbsafdeling eller jeres egen revisor vil bede om en version af disse seks ting.
Hvis det ville tage jer mere end en dag at fremvise noget af det, er det dér, hullet skal lukkes først.
Tolv spørgsmål. Kan I ikke svare på et med et dokument frem for en holdning, er det et hul.
Inklusive dem der er købt på et privat kort.
Og en navngiven ejer, der er enig i at eje det.
Håndhævet i en gateway, ikke ønsket i en politik.
Ikke et leverandør-dashboard vi kun kan se på.
Prompt og svar alene kan ikke rekonstruere en beslutning.
Og skrevet ind i databehandleraftalen frem for antaget.
Hvad der blev ændret er bedre dokumentation end hvad der blev godkendt.
Tilsyn ingen kan handle på, er ikke tilsyn.
Hvem, hvad, hvornår, og hvornår det opdateres.
Før nogen spørger, ikke efter.
For hver modelleverandør i kæden.
Inklusive hvem der ringer til leverandøren.