EU:s AI-förordning – hur den påverkar användare och utvecklare

Artificiell intelligens (AI) utvecklas i en rasande takt och förändrar hur vi lever och arbetar. Med denna snabba utveckling kommer också ett behov av reglering. EU har tagit täten med sin banbrytande AI-förordning, som syftar till att skapa en säker och pålitlig AI-miljö inom unionen. 

Men vad innebär denna förordning egentligen i praktiken för dig som vill använda, utveckla eller bygga med AI? Låt oss bryta ner det.

AI-förordningen bygger på en riskbaserad strategi

Kärnan i AI-förordningen är en riskbaserad strategi. Det betyder att regleringen är strängare för AI-system som bedöms ha högre risk för att orsaka skada. 

System delas in i olika kategorier:

• Oacceptabel risk: AI-system som strider mot EU:s värderingar, till exempel system för social poängsättning eller manipulativ AI som kan orsaka psykisk eller fysisk skada. Dessa är strängt förbjudna.
• Hög risk: AI-system som används inom kritiska områden som kan påverka människors säkerhet, hälsa eller grundläggande rättigheter. Exempel inkluderar AI i medicintekniska produkter, system för anställning, kreditvärdering eller kritisk infrastruktur. Dessa system omfattas av strikta krav på bland annat transparens, mänsklig tillsyn, robusthet och noggrannhet.
• Begränsad risk: AI-system som har vissa risker men inte lika allvarliga som högrisksystemen. Exempelvis chatbots eller deepfakes. Här handlar det främst om krav på transparens så att användare är medvetna om att de interagerar med AI.
• Minimal eller ingen risk: Majoriteten av alla AI-system faller under denna kategori, till exempel spamfilter eller AI i spel. Dessa system påverkas i princip inte av förordningen, men utvecklare uppmuntras att följa frivilliga uppförandekoder.

Så påverkar AI-förordningen olika typer av användare

Låt oss titta på hur förordningen påverkar olika aktörer:

1. Om du vill använda AI (som slutkund/företag):

Om du är ett företag som vill implementera ett AI-system i din verksamhet, är det viktigaste att du är medveten om vilken riskkategori det AI-system du avser att använda tillhör.

• Använder du AI-system med hög risk? Då har du som användare (operatör) skyldigheter. Du måste se till att systemet används på ett ansvarsfullt sätt, att du har tillräcklig dokumentation, att data är lämplig och att det finns mänsklig tillsyn. Du bör också vara beredd på att tillhandahålla information till relevanta myndigheter vid behov.
• Använder du AI-system med begränsad risk? Var uppmärksam på transparens. Om du använder en chatbot, se till att det framgår att det är en AI som svarar.
• Använder du AI-system med minimal risk? Du kan känna dig tryggare, men det är alltid bra att ha en förståelse för hur AI fungerar och vilka potentiella risker som finns.

För dig som användare handlar det i stor utsträckning om due diligence – att förstå vad du använder och vilka krav som ställs på dig i enlighet med förordningen.

2. Om du vill utveckla AI (som utvecklare/leverantör):

Det är här de största kraven ligger. Som utvecklare eller leverantör av AI-system är du ansvarig för att systemet uppfyller förordningens krav.

• För högrisksystem: Detta är mest relevant. Du måste:
  • Säkerställa att din AI är byggd med hög kvalitet när det gäller data, prestanda och robusthet.
  • Tillhandahålla omfattande teknisk dokumentation och loggar.
  • Säkerställa mänsklig tillsyn så att människor kan övervaka och ingripa vid behov.
  • Genomföra konformitetsbedömningar (en process där man bedömer och verifierar att en produkt, tjänst eller ett system uppfyller specifika krav, standarder eller regler innan systemet släpps ut på marknaden), ofta med inblandning av en tredje part.
  • Implementera system för riskhantering under hela livscykeln.
  • Ha system för övervakning efter utsläppandet på marknaden.
• För system med begränsad risk: Fokus ligger på transparens. Du måste tydligt informera användare om att de interagerar med AI.
• För system med minimal risk: Även om kraven är få, är det klokt att följa bästa praxis för att bygga ansvarsfull AI.

Som utvecklare är det avgörande att du integrerar kraven i AI-förordningen i din utvecklingsprocess från start till slut (“design by regulation”).

3. Om du vill utveckla med hjälp av AI (som utvecklare av annan mjukvara):

Om du använder AI som ett verktyg i din utvecklingsprocess, till exempel för att generera kod eller testa programvara, påverkas du indirekt.

• Kvalitetssäkring: Även om AI-verktyget i sig kanske inte är ett "högrisksystem" enligt förordningen, är det ditt ansvar som mjukvaruutvecklare att säkerställa att den slutliga produkten är säker och funktionell. Om AI genererar delar av din kod, måste du ha robusta kvalitetssäkringsprocesser på plats för att granska och validera denna kod.
• Upphovsrätt och licensiering: Var medveten om de data som AI-verktyget tränats på och eventuella implikationer för upphovsrätt och licensiering när du använder AI-genererad kod eller innehåll.
• Ansvar: I slutändan är det du som är ansvarig för den slutliga produkten som du utvecklar med hjälp av AI.

Därför är regelefterlevnad i AI avgörande – och konsekvenserna om du missar det

AI-förordningen är ingen liten sak. Att inte följa reglerna kan leda till betydande böter, upp till 35 miljoner euro eller 7% av ett företags globala årsomsättning, beroende på vilket som är högst.

Men det handlar inte bara om att undvika böter. Genom att bygga och använda AI i enlighet med förordningen bidrar du till att skapa förtroende för tekniken. Detta är avgörande för att AI ska kunna realisera sin fulla potential på ett säkert och etiskt sätt.

Hur AI-förordningen hänger ihop med andra regelverk

AI-förordningen kommer inte i ett vakuum. Den bygger vidare på redan etablerade principer från exempelvis GDPR, och för många organisationer innebär det att regelverken samverkar snarare än ersätter varandra.

Om ni redan arbetar med dataskydd enligt GDPR har ni ett försprång – särskilt när det gäller dokumentation, ansvarsfördelning och riskbedömning. Många av kraven i AI-förordningen, som transparens, mänsklig tillsyn och datasäkerhet, har tydliga paralleller till GDPR:s krav på integritet, ansvar och laglighet.

Dessutom kan vissa AI-system – särskilt de inom samhällskritiska funktioner – också omfattas av andra regler som NIS 2-direktivet, vilket ställer höga krav på cybersäkerhet och incidentrapportering. Det är därför avgörande att se AI-förordningen som en del av ett större regelverkspussel, där samordning och överblick är nyckeln till efterlevnad.

AI-förordningen kräver mer än bara teknik – det kräver struktur och ansvar

Även om AI-förordningen fokuserar på specifika risker, bygger den vidare på samma grund som GDPR – tydlig ansvarsfördelning, dokumentation och respekt för individens rättigheter. 

Ett strukturerat dataskyddsarbete är därför avgörande, oavsett om ni utvecklar AI eller hanterar personuppgifter i andra system.

Privacy as a Service ger er den perfekta mixen av verktyg, experthjälp och beprövad metodik. 

Vill du veta mer, bolla tankar eller bara få konkreta tips kring AI-förordningen och dataskydd?

Boka en demo – eller ett samtal. Vi visar gärna hur vi kan hjälpa er i praktiken, oavsett om ni är i startgroparna eller redan har kommit en bit på vägen.