AI-forordningen

AI-forordningen er EU's lov om kunstig intelligens, på engelsk AI Act. Den trådte i kraft i august 2024 og stiller krav til AI-systemer efter, hvor stor en risiko de udgør for mennesker. Jo større risiko, jo flere krav. Den gælder for alle, der udvikler eller bruger AI i EU, også en dansk virksomhed med 60 ansatte, der har købt et system fra en amerikansk leverandør.

Fire risikoniveauer, sagt enkelt

Forbudt AI er systemer, ingen må bruge: social scoring, manipulation af sårbare grupper og visse former for ansigtsgenkendelse. Højrisiko-AI er systemer, der træffer eller påvirker beslutninger om mennesker: rekruttering, kreditvurdering, uddannelse, adgang til offentlige ydelser og styring af kritisk infrastruktur. Her er kravene tunge: risikostyring, datakvalitet, dokumentation, menneskeligt tilsyn og registrering. Begrænset risiko er systemer, hvor mennesker skal vide, at de taler med en maskine, fx chatbots og AI-genereret indhold. Minimal risiko er resten, og det er langt det meste: stavekontrol, opsummering, søgning i egne dokumenter.

Hvornår gælder hvad

Forbuddene og kravet om AI-kundskab hos medarbejdere har været gældende siden februar 2025. Reglerne for de store generelle modeller, som ChatGPT bygger på, gælder fra august 2025. Hovedparten af kravene til højrisiko-AI er sat til august 2026, og enkelte dele følger i 2027. EU har undervejs drøftet at give mere tid til højrisiko-delen, så tjek den aktuelle status hos Digitaliseringsstyrelsen, før I planlægger efter en dato. Det, der ikke flytter sig, er retningen. Kravene kommer, og det tager tid at leve op til dem.

Det, de fleste danske virksomheder faktisk skal gøre

Langt de fleste bruger AI med minimal eller begrænset risiko. For dem er opgaven overskuelig, men ikke nul. Første krav er AI-kundskab: medarbejdere, der bruger AI, skal forstå, hvad værktøjet kan og ikke kan. Det er ikke et kursus i teknik. Det er en forståelse af, hvornår man skal tjekke svaret. Andet krav er gennemsigtighed: kunder skal vide, når de taler med en maskine, og AI-genereret indhold skal kunne genkendes. Tredje punkt er et overblik: hvilke AI-systemer bruger vi, til hvad, og i hvilken risikoklasse. Uden det overblik kan I ikke svare, når nogen spørger.

Bruger I AI i HR, kredit eller til beslutninger om kunder, er I sandsynligvis i højrisiko-kategorien, og så er arbejdet større. Så skal der dokumentation, tilsyn og aftaler med leverandøren på plads. Det er der, jeg anbefaler at hente hjælp, før systemet købes, ikke efter.

Forholdet til GDPR

AI-forordningen erstatter ikke GDPR. De to gælder ved siden af hinanden. GDPR handler om personoplysningerne, AI-forordningen om systemet, der behandler dem. Et rekrutteringsværktøj skal derfor både have hjemmel til at behandle ansøgernes data og leve op til kravene til højrisiko-AI. Det er samme system, to regelsæt og ofte samme dokumentation, hvis I griber det rigtigt an fra start.

Fem spørgsmål, bestyrelsen skal stille

Hvilke AI-systemer bruger vi i dag, også dem medarbejderne selv har fundet? Hvilken risikoklasse er de i? Hvem ejer ansvaret for hvert system? Hvad står der i leverandørernes kontrakter om ansvar og dokumentation? Og hvordan sikrer vi, at medarbejderne har den AI-kundskab, loven kræver? Kan direktionen svare på de fem, er I længere end de fleste. Kan den ikke, er det en god dagsorden til næste møde.

Mit synspunkt er, at forordningen mest af alt kræver det, en ordentlig ledelse ville gøre alligevel: vide hvad man bruger, tage ansvar for det og holde mennesker i beslutningen. Det er ledelse af AI, med lovkrav bag.