Gælder EU’s AI-forordning for din virksomhed? Forpligtelser forklaret enkelt

De fleste vejledninger om EU’s AI-forordning er skrevet til virksomheder, der udvikler AI. Denne er også til alle andre: netbutikken med en chatbot, bureauet der skriver tekster med ChatGPT, softwarevirksomheden der tilføjer en AI-funktion, og virksomheden uden for EU, der sælger til europæiske kunder. Forordningens vigtigste anvendelsesdato er nu passeret, og efter en sen ændring er billedet faldet på plads. Her er, hvad forordningen om kunstig intelligens faktisk kræver af en almindelig virksomhed.

Hvad forordningen om kunstig intelligens er, og hvorfor den betyder noget

AI-forordningen, formelt forordning (EU) 2024/1689, er verdens første omfattende AI-lov (den nuværende konsoliderede tekst findes på EUR-Lex). Som EU-forordning gælder den direkte i alle medlemsstater uden national gennemførelse. AI-forordningen bygger på en risikobaseret logik: Jo større potentiel påvirkning et AI-system har på menneskers sikkerhed eller grundlæggende rettigheder, desto strengere er forpligtelserne for dem, der udvikler og bruger det.

Det digitale omnibus på AI-området (forordning (EU) 2026/1744) ændrede forordningen kort før dens vigtigste anvendelsesdato. Det udsatte fristerne for højrisiko, tilføjede to nye forbudte praksisser, indsnævrede en del af højrisikodefinitionen og reducerede papirarbejdet for mindre virksomheder. Strukturen med fire risikoniveauer og rollebaserede pligter er uændret.

Hvem gælder EU’s AI-forordning for? En kontrol med fire spørgsmål

1. Er værktøjet et „AI-system“? En regelbaseret algoritme med faste, menneskedefinerede trin er det ikke. Det afgørende kendetegn er inferens: Systemet producerer forudsigelser, anbefalinger, beslutninger eller indhold ud fra data på måder, der ikke er eksplicit programmeret. Chatbots, generative værktøjer, score- og anbefalingsmotorer kvalificerer; en regnearksformel gør ikke.

2. Bruges det professionelt? Privat, ikke-erhvervsmæssig brug falder uden for anvendelsesområdet. I det øjeblik en medarbejder bruger et værktøj på vegne af en virksomhed, er virksomheden omfattet.

3. Berører det EU? Forordningen gælder, hvis AI-systemet bringes i omsætning på EU-markedet, anvendes i EU, eller dets output anvendes i EU. En virksomhed uden for Unionen, der betjener EU-kunder, er omfattet. Der er ingen undtagelse for små virksomheder eller start-ups; AI-forordningens forpligtelser skalerer med risikoen, ikke med antallet af ansatte.

4. Har I bygget det, eller bruger I det? Det afgør jeres rolle, og rollen afgør jeres pligter.

De fleste virksomheder er driftsansvarlige efter AI-forordningen. Brug af ChatGPT, Copilot eller en leverandørchatbot gør jer ikke til udbyder, men det gør jer til driftsansvarlig med nedenstående forpligtelser. I kan blive udbyder uden at have til hensigt det: hvis I ændrer et system væsentligt, integrerer det i jeres eget produkt eller markedsfører det under eget brand.

Endnu en regel for virksomheder uden for EU: En udbyder uden for EU skal udpege en bemyndiget repræsentant, der er etableret i Unionen, før et højrisiko-AI-system eller en AI-model til almen brug gøres tilgængelig der (open source-modeller uden systemisk risiko er undtaget).

AI-forordningens risikokategorier: De fire niveauer

Europa-Kommissionen vurderede ved udarbejdelsen af loven, at cirka 85 % af AI-systemerne falder i kategorien med minimal risiko. For de fleste service-, software- og e-handelsvirksomheder er det kun den første og tredje række, der har praktisk betydning.

Tidslinje for EU’s AI-forordning: Hvad gælder nu, og hvad er udskudt?

Krav i EU’s AI-forordning, som de fleste virksomheder møder i dag

1. Brug ikke forbudte AI-praksisser

Kontrollér, at intet værktøj i virksomheden falder i en forbudt kategori. Den mest realistiske fælde for en almindelig virksomhed er følelsesgenkendelse af medarbejdere eller kunder eller biometrisk kategorisering, der udleder følsomme egenskaber såsom etnicitet eller politiske holdninger. Kommissionen har offentliggjort retningslinjer om forbudte praksisser til grænsetilfælde.

2. Understøt AI-kompetencer, og ja, skriv en AI-politik

Udbydere og driftsansvarlige skal træffe foranstaltninger, der understøtter AI-kompetencer blandt personer, som driver eller bruger AI på deres vegne. Omnibusforordningen blødgjorde ordlyden: I behøver ikke længere garantere et bestemt kompetenceniveau for hver person, men I skal stadig handle. Forordningen siger ikke bogstaveligt „vedtag en AI-politik“, men en kort intern politik for AI-brug, dokumenteret uddannelse og en fortegnelse over, hvem der har gennemført den, er den enkleste måde at dokumentere efterlevelse på. Da pligten også gælder intern brug, når den selv virksomheder, hvis AI aldrig møder en kunde.

3. Oplysning om chatbot: Fortæl folk, når de taler med en maskine

Efter transparensforpligtelserne skal et AI-system, der interagerer direkte med mennesker, såsom en chatbot eller stemmeassistent, tydeligt oplyse, at brugeren har med AI at gøre, medmindre det fremgår klart af sammenhængen. Pligten påhviler udbyderen, der har bygget systemet. Hvis I bruger en leverandørchatbot på jeres websted, skal leverandøren indbygge oplysningen, men det er jer, der møder kunderne: kontrollér, at meddelelsen er synlig før eller ved den første interaktion. En linje som „Du chatter med vores AI-assistent“ er nok.

Skal AI-genereret indhold mærkes?

Dette er spørgsmålet om oplysning om AI-indhold, som virksomheder oftest stiller, og som oftest besvares forkert. Reglerne skelner mellem en usynlig, maskinlæsbar mærkning, som udbyderen af et generativt værktøj skal indlejre, og en synlig oplysning, som den driftsansvarlige, virksomheden der offentliggør indholdet, kun skal tilføje i særlige tilfælde.

Husk to ting. For det første er hensigten irrelevant: Et realistisk billede skal mærkes, selv hvis ingen havde til hensigt at vildlede. For det andet opfylder det indlejrede vandmærke fra AI-værktøjet ikke jeres egen mærkningspligt; oplysningen skal kunne opfattes af en person uden tekniske værktøjer.

Efterlevelse af AI-forordningen i praksis: Fem almindelige scenarier

Højrisiko-AI-systemer: Udskudt, ikke annulleret

Hvis jeres virksomhed udbyder eller anvender AI på et af områderne i bilag III, gælder et langt mere omfattende sæt krav for højrisiko-AI fra de udskudte datoer. Udbydere skal drive et risikostyringssystem, føre teknisk dokumentation og logfiler, designe til menneskeligt tilsyn og gennemgå en overensstemmelsesvurdering, før systemet bringes på markedet. Driftsansvarlige skal bruge systemet som anvist, udpege uddannede personer til at føre tilsyn og opbevare logfiler.

Mindre virksomheder får reel lettelse: forenklet teknisk dokumentation for SMV’er, start-ups og den nye kategori „small mid-cap“; forenklet kvalitetsstyring for alle SMV’er; og bødelofter på det laveste af det faste beløb eller omsætningsprocenten. Der er også en undtagelse: Et system på et område i bilag III er ikke højrisiko, hvis det kun udfører en snæver proceduremæssig eller forberedende opgave og ikke påvirker beslutninger væsentligt. To forbehold gælder. Ethvert system, der profilerer fysiske personer, er altid højrisiko, og en udbyder, der påberåber sig undtagelsen, skal dokumentere sin vurdering og stadig registrere systemet i EU-databasen.

Sanktioner, håndhævelse og overlap med GDPR

Håndhævelsen er delt. Det Europæiske AI-Kontor fører tilsyn med udbydere af AI-modeller til almen brug; hver medlemsstat udpeger en markedsovervågningsmyndighed for AI-systemer; databeskyttelsesmyndigheder fører fortsat tilsyn med personoplysninger, der bruges af AI. Kommissionens AI Act Service Desk besvarer virksomheders spørgsmål på engelsk.

Sanktioner for manglende efterlevelse er inddelt i niveauer: op til €35 mio. eller 7 % af den årlige verdensomspændende omsætning for forbudte praksisser; op til €15 mio. eller 3 % for de fleste andre pligter, herunder transparens; og op til €7,5 mio. eller 1 % for at give myndigheder urigtige oplysninger. For store virksomheder er det højeste af de to beløb loftet; for SMV’er og start-ups er det laveste.

AI-forordningen gælder ved siden af GDPR, ikke i stedet for den. AI-forordningen regulerer systemet og dets brug; GDPR regulerer de personoplysninger, der flyder gennem det. Et værktøj kan fuldt ud overholde den ene og stadig overtræde den anden. Når AI-forordningen kræver en konsekvensanalyse for grundlæggende rettigheder, kan den bygge på en eksisterende konsekvensanalyse vedrørende databeskyttelse frem for at gentage den.

En praktisk AI-tjekliste for virksomheder

God AI-styring kræver ikke en juridisk afdeling. For de fleste virksomheder dækker disse ni trin de aktuelle krav i AI-forordningen og forbereder grundlaget for højrisikoreglerne senere:

• Fortegnelse: opstil alle AI-værktøjer i brug, herunder funktioner indlejret i SaaS-produkter og modeller til almen brug, som medarbejdere anvender.
• Rolle: afgør for hvert værktøj, om I er udbyder, driftsansvarlig eller begge dele.
• Klassifikation: kontrollér hvert værktøj mod forbudslisten og områderne i bilag III; skriv resultatet ned.
• Chatbots: bekræft, at enhver kundevendt AI-assistent identificerer sig selv.
• Indhold: anvend mærkningstabellen ovenfor på det, I offentliggør.
• Kompetencer: vedtag en politik for AI-brug og opbevar uddannelsesfortegnelser.
• Databeskyttelse: afstem AI-brug med jeres eksisterende GDPR-dokumentation.
• Tilstedeværelse i EU: hvis I er uden for EU og udbyder et højrisikosystem eller en model til almen brug, skal I udpege en bemyndiget repræsentant.
• Køreplan: hvis noget er højrisiko, planlæg efter de udskudte datoer frem for at vente på dem.

Efterlevelse af AI-forordningen og etablering af EU-virksomhed med Eesti Firma

Forordningen om kunstig intelligens belønner virksomheder, der indbygger efterlevelse fra starten, og for virksomheder uden for Unionen gør den en tilstedeværelse i EU til en praktisk nødvendighed. Eesti Firma støtter AI-drevne virksomheder i begge ender: etablering af en EU-enhed gennem fuldt digital virksomhedsetablering i Estland, herunder etablering gennem e-Residency for stiftere, der aldrig behøver at besøge Estland, og hjælp til at opfylde virksomhedens forpligtelser, når den opererer på EU-markedet.

Vores advokater udarbejder juridiske vurderinger af, om et bestemt AI-system falder inden for anvendelsesområdet, og hvilken rolle og risikoniveau det udløser, og vores team for juridiske tjenester udarbejder de politikker for AI-brug og oplysninger, en virksomhed behøver for at dokumentere AI-kompetencer, transparens og efterlevelse af databeskyttelse.

Få en juridisk vurdering af jeres AI-system

Ofte stillede spørgsmål