AI-förordningen ((EU) 2024/1689) är den första lagstiftningen som upprättats för att reglera användning av artificiell intelligens (AI). Förordningen trädde i kraft den 1 augusti 2024, men kommer att vara gällande i alla delar 24 månader från ikraftträdandet. Olika delar av lagen börjar tillämpas olika datum, till exempel ska uppförandekoder börja gälla efter 9 månader medan de skyldigheter som gäller högrisksystem börjar gälla inom 36 månader. Europaparlamentet har upprättat förordningen för att säkerställa att användningen av AI-system görs på ett säkert, transparent, icke-diskriminerande, spårbart och miljövänligt sätt inom EU. Förordningen är det första i sitt slag och den första lagen som reglerar AI-användning och AI-system, och i och med detta har förordningen även definierat vad som utgör ett AI-system.
Regelverket syftar till att skapa en riskbaserad metod som ska tillämpas för att avgöra vilken risknivå ett AI-program har. Genom att införa regler och standarder för AI-systemens design, utveckling och användning vill man minimera riskerna för skada och felaktigt användande. Uppdelningen sker i fyra olika kategorier; oacceptabel risk, hög risk, begränsad risk och minimal risk.
AI-förordningen delas som sagt in AI-system i fyra olika kategorier; oacceptabel risk, hög risk, begränsad risk och minimal risk. AI-system som är högrisksystem utgörs bland annat av AI-teknik som används i kritisk infrastruktur, utbildning eller yrkesutbildning, säkerhetskomponenter i produkter, brottsbekämpande åtgärder som kan inkräkta på människors grundläggande rättigheter, migrations-, asyl- och gränskontrollsförvalyning och rättskipning och demokratiska processer.
För AI-system som klassas som hög risk ställs det höga krav på hanteringen. Bland annat finns det skyldighet att säkerställa att det finnas lämpliga system för riskbedömning och riskreducering, att aktivitet ska loggas för att säkerställa spårbarhet av resultat, att det finns tydlig och adekvat information till spridaren, att det finns detaljerad dokumentation med all information som behövs om systemet och dess syfte för att myndigheterna ska kunna bedöma dess överenstämmelse och att lämpliga åtgärder vidtas för mänsklig tillsyn för att minimera riskerna.
AI-system med hög risk, liksom vissa offentliga enheter som är användare av ett AI-system med hög risk, kommer att behöva registreras i EU-databasen för AI-system med hög risk vilket gör att kontroll och transparens ökar ytterligare.
AI-system med hög risk ska också utformas och utvecklas på ett sådant sätt att tillhandahållare ska kunna tolka systemets utdata och använda dem på ett lämpligt sätt. En lämplig typ och grad av transparens ska säkerställas för att kunna uppnå aktörernas relevanta skyldigheter. Som ett led i AI-systemets transparens ska ett högrisk AI-system åtföljas av en bruksanvisning. Det är också viktigt att AI-system med hög risk utformas på ett sådant sätt att fysiska personer på ett effektivt sätt ska kunna utöva kontroll över dem när de används. Detta för att förebygga och minimera risker för hälsa, säkerhet eller grundläggande rättigheter som kan uppstå när ett AI-system med hög risk används.
Det är viktigt att säkerställa att alla aktörer följer de krav som följer av AI-förordningen. Varje ansvarig aktör måste vid användandet av högrisk AI-system göra en konsekvensbedömning enligt förordningen, innan högrisksystem tas i bruk. En sådan konsekvensbedömning ska utvärdera AI-systemets effekt på grundläggande rättigheter, och vilka åtgärder som ska vidtas om skada uppstår ska också beskrivas och syftet är att hantera dataskyddsrisker för att skydda individers fri- och rättigheter.
Förutom en konsekvensbedömning som ska göras innan systemet tas i bruk måste även en teknisk dokumentation göras av ett högrisk AI-system innan det släpps ut på marknaden eller tas i bruk. Dokumentationen ska upprättas på ett sådant sätt att det visas att AI-systemet är förenligt med de uppställda kraven i förordningen, och så att nationella behöriga myndigheter får den information som behövs för att kunna bedöma om AI-systemet uppfyller förordningens krav.
AI-system med hög risk ska också möjliggöra automatisk registrering av händelser under hela systemets livstid. Loggningen är till för att säkerställa en spårbarhetsnivå som gör att det går att säkerställa att det går att övervaka och kontrollera systemet och se till att alla regler efterlevs.
Vid all personuppgiftshantering måste Dataskyddsförordningen (GDPR) beaktas, liksom övrig dataskyddslagstiftning, och så är även fallet om personuppgifternas behandlas i någon form av AI-system. Med den nya AI-förordningen kompletteras reglerna i GDPR angående personuppgiftshantering specifikt för AI-system. Reglerna gäller alltså parallellt och ska komplettera varandra, vilket betyder att om en personuppgiftshantering är tillåtet enligt AI-förordningen måste man gå vidare och se till att personuppgiftshanteringen även är kompatibel med GDPR.
GDPR och annan dataskyddslagstiftning är alltså grunden för personuppgiftshantering även för AI-system.
En av de centrala aspekterna av förordningen är att skapa rättslig förutsägbarhet för företag och utvecklare inom EU. I takt med att AI-teknologier utvecklas snabbt, står företag inför utmaningar med att navigera olika regelverk i olika länder, vilket kan skapa osäkerhet kring vilka krav de behöver uppfylla för att utveckla, distribuera och marknadsföra sina AI-produkter. Genom tydliga regler vet företag exakt vilka krav de måste uppfylla för att kunna utveckla och marknadsföra AI-system inom hela EU-marknaden. Detta kan omfatta tekniska krav, transparens, säkerhetsstandarder och etiska riktlinjer, särskilt för AI-system som faller inom kategorin hög risk.
