AI-förordningen är en heltäckande reglering av artificiell intelligens. Som EU-förordning är den direkt tillämplig i medlemsstaterna och tillämpas successivt under de kommande åren. Vissa bestämmelser gäller redan nu, däribland reglerna om förbjudna AI-användningsområden och kravet på AI-kunnighet (AI literacy).
För många verksamheter handlar utmaningen inte enbart om att förstå regelverket, utan om att omsätta det i praktiken. AI-förordningen har ett riskbaserat angreppssätt där skyldigheterna varierar beroende på vilken typ av AI-system som används och vilken roll verksamheten har. Nedan följer sex områden som kan fungera som en praktisk utgångspunkt för det fortsatta arbetet.
Kartlägg verksamhetens AI-användning
En grundläggande förutsättning för att kunna bedöma vilka krav som gäller är att förstå hur AI används inom verksamheten. I många verksamheter förekommer AI i betydligt fler processer än vad som initialt framgår, inte minst genom generativa AI-verktyg som används i det dagliga arbetet.
Kartläggningen bör omfatta både egenutvecklade och externt tillhandahållna AI-system samt att identifiera vilka verksamhetsområden som påverkas. För många verksamheter blir detta det första tillfället att skapa en samlad bild av AI-användningen och de risker och möjligheter som följer av den.
Samtidigt bör verksamheten analysera vilken roll den har enligt AI-förordningen. Regelverket skiljer bland annat mellan leverantörer (providers), tillhandahållare (deployers), importörer och distributörer. Vilken roll verksamheten har får direkt betydelse för vilka skyldigheter som aktualiseras och vilka interna processer som kan behöva anpassas.
Klassificera AI-systemen och identifiera regulatoriska krav
När verksamheten har fått en överblick över sin AI-användning är nästa steg att klassificera sina AI-system och analysera vilka rättsliga krav som följer av respektive klassificering.
AI-förordningen bygger på en riskbaserad metod där vissa AI-användningsområden anses innebära en oacceptabel risk och därför är förbjudna, medan andra omfattas av mer eller mindre omfattande krav. För många verksamheter blir en central fråga att bedöma om något AI-system omfattas av klassificeringsreglerna för AI-system med hög risk. Sådana bedömningar aktualiseras ofta inom områden som rekrytering, personalhantering, utbildning eller kreditrelaterade processer.
Det kan även finnas anledning att analysera om verksamheten berörs av de förbud som följer av artikel 5 AI-förordningen. Även om dessa bestämmelser främst träffar specifika användningsområden kan en tidig genomgång skapa större förutsebarhet och minska risken för att förbjudna tillämpningar introduceras utan att det uppmärksammas.
Som en del av analysen bör verksamheten notera var gällande krav inte uppfylls. Det kan handla om brister avseende information till arbetstagare, datakvalitet eller mänsklig övervakning av systemet. Fokusera inledningsvis på de AI-system som klassificerats som hög risk, eftersom det är där kraven är som mest långtgående och konsekvenserna av bristande efterlevnad som störst.
Implementera lämpliga styrnings- och kontrollåtgärder
När riskerna har identifierats och bristerna kartlagts behöver verksamheten vidta åtgärder för att hantera dem. Det praktiska arbetet handlar om att minimera identifierade risker och åtgärda konstaterade brister genom att upprätta och implementera nödvändiga styrdokument, processer och rutiner.
Många verksamheter har redan etablerade strukturer för dataskydd, informationssäkerhet, intern kontroll och regelefterlevnad. I praktiken är det ofta mer effektivt att integrera AI-relaterade frågor i dessa befintliga processer än att skapa helt nya styrningsmodeller.
Konkreta åtgärder kan exempelvis omfatta en AI-strategi som anger hur verksamheten avser att använda AI och hur en etisk och korrekt användning säkerställs, interna instruktioner om tillåten AI-användning på arbetsplatsen, rutiner för mänsklig tillsyn av AI-system, incidentrapporteringsrutiner samt rutiner för bevarande av loggar. Ansvarsfördelningen för AI-frågor bör också fastställas, liksom rutiner för granskning av nya AI-lösningar innan de tas i bruk.
För verksamheter som hanterar AI-system med hög risk ställer AI-förordningen mer detaljerade krav som syftar till att säkerställa att systemen används på ett säkert och tillförlitligt sätt under hela sin livscykel.
Säkerställ tillräcklig AI-kunnighet i verksamheten
En av de första bestämmelserna som började tillämpas enligt AI-förordningen är kravet på AI-kunnighet. Leverantörer och tillhandahållare av AI-system ska vidta åtgärder för att säkerställa att personer som arbetar med AI har tillräcklig AI-kunnighet med hänsyn till deras tekniska kunskaper, erfarenhet och utbildning samt det sammanhang i vilket AI-systemen ska användas.
För många verksamheter innebär detta att AI inte längre enbart är en fråga för IT-avdelningen. Ledning, HR, inköp, juridik, informationssäkerhet och verksamhetsansvariga behöver ofta ha en gemensam förståelse för hur AI används och vilka frågor som kan uppstå i praktiken.
Utbildningsinsatser bör därför anpassas efter verksamhetens faktiska användning av AI och de risker som är förknippade med användningen.
Dokumentera bedömningar, beslut och processer
Dokumentation är en central del av ett effektivt regelefterlevnadsarbete och kommer sannolikt att få ökad betydelse även på AI-området.
Kartläggningar, riskbedömningar, klassificeringar, interna riktlinjer och andra centrala ställningstaganden bör dokumenteras på ett strukturerat sätt. Det skapar spårbarhet och underlättar både intern uppföljning och extern granskning.
AI-förordningen kommer dessutom sällan att tillämpas isolerat. Många AI-lösningar behandlar personuppgifter, vilket innebär att verksamheten även behöver beakta dataskyddsförordningen (GDPR). Genom att samordna dokumentation och styrning enligt båda regelverken kan verksamheter skapa ett mer effektivt och sammanhållet arbetssätt.
Följ upp, utvärdera och utveckla arbetet löpande
AI-förordningen är inte ett projekt med ett slutdatum. Kompletterande vägledning från EU:s institutioner och nationella tillsynsmyndigheter kommer att precisera hur förordningens krav ska förstås i praktiken, samtidigt som teknikutvecklingen fortsätter i snabb takt.
Verksamheter som använder AI behöver därför regelbundet se över sin kartläggning, uppdatera sina riskbedömningar och säkerställa att interna riktlinjer och utbildningsinsatser är ändamålsenliga. Nya användningsområden, nya leverantörer och förändrade affärsbehov kan snabbt förändra förutsättningarna.
Eftersom AI-förordningen berör frågor inom juridik, teknik, informationssäkerhet, dataskydd och verksamhetsstyrning saknar många verksamheter all nödvändig kompetens internt. Särskilt i kartläggnings- och riskbedömningsfaserna kan det därför vara värdefullt att involvera relevanta specialistfunktioner och, när det är motiverat, externa rådgivare för att säkerställa att bedömningarna görs på ett välgrundat sätt.
AI-förordningen innebär nya krav, men också en möjlighet för verksamheter att skapa tydligare strukturer kring användningen av AI. De verksamheter som redan nu arbetar metodiskt med kartläggning, styrning och riskhantering kommer sannolikt att stå väl rustade när regelverket får fullt genomslag.
TechLaw följer utvecklingen och publicerar löpande inlägg om rättsutveckling och andra aktuella frågor inom AI. Läs mer om hur vi bistår våra klienter inom artificiell intelligens (AI).
Källa: Förordning (EU) 2024/1689.
