Det juridiske landskapet for kunstig intelligens i EU blir omformet av KI-loven 2025Dette er ikke bare enda et lovforslag; det er verdens første omfattende juridiske rammeverk spesielt utviklet for AI. Det fungerer etter et enkelt prinsipp: en risikobasert tilnærming. Kort sagt, reglene et AI-system må følge er direkte knyttet til risikonivået det utgjør for vår helse, sikkerhet og grunnleggende rettigheter.

Hva er EUs kunstig intelligens-lov? En praktisk introduksjon

Tenk på EUs KI-lov som et nytt sett med trafikkregler for den digitale tidsalderen. Akkurat som vi har forskjellige regler for sykler, biler og tunge lastebiler, setter loven klare forskrifter for ulike typer kunstig intelligens. Hovedmålet er ikke å sette en stopper for innovasjon, men å lede den ned en trygg, transparent og etisk vei. Dette sikrer at etter hvert som KI blir en større del av livene våre, gjør den det på en måte som beskytter mennesker og bygger tillit.

For enhver bedrift som opererer i EU er det ikke lenger et valg å sette seg inn i dette rammeverket – det er avgjørende. I likhet med personvernforordningen (GDPR) ble den globale målestokken for personvern, er KI-loven ment å gjøre det samme for kunstig intelligens. Du kan lese mer om prinsippene for datasikkerhet i veiledningen vår: https://lawandmore.eu/blog/general-data-protection/.

Hvorfor denne forskriften er viktig nå

Timingen her er avgjørende, spesielt for et marked som Nederland, som er en av Europas fremste innen bruk av kunstig intelligens. Per 2025 bruker rundt tre millioner nederlandske voksne kunstig intelligens-verktøy hver dag, og en utrolig ... 95 % av nederlandske organisasjoner ha AI-programmer i gang. Denne raske veksten fremhever et stort gap mellom innovasjon og formelt tilsyn, ettersom nasjonale tilsynsorganer fortsatt er i ferd med å bli opprettet.

Loven fyller dette gapet ved å skape ett enkelt sett med regler for alle medlemsland. Dette forhindrer et kaotisk marked der hvert land har sine egne AI-lover, noe som bare ville føre til forvirring og hindre grenseoverskridende virksomhet. I stedet tilbyr den ett forutsigbart juridisk miljø for alle.

For å tydeliggjøre formålet, er her en rask oppsummering av hva loven har som mål å gjøre.

Hovedmålene med EUs KI-lov – et overblikk

Denne tabellen bryter ned kjernemålene i EUs KI-lov, og gir deg et klart bilde av dens oppdrag.

Ved å fastsette disse grunnreglene gir loven bedrifter en klar og pålitelig vei å følge.

EUs KI-lov er utformet som et rammeverk for tillit. Ved å sette klare grenser for høyrisikoapplikasjoner og kreve åpenhet, gir den bedrifter en plan for å bygge KI som kunder og partnere kan stole på.

Denne forskriften gir sårt tiltrengt klarhet. Det er også verdt å merke seg at AI endrer selve advokatyrket, med verktøy for Gjennomgang av juridiske dokumenter for kunstig intelligens blir mer vanlig – og disse verktøyene kan også falle inn under de nye reglene. Ved å etablere et felles rammeverk hjelper loven alle, fra oppstartsbedrifter til store selskaper, med å forstå sitt ansvar og innovere med selvtillit. Den flytter effektivt AI ut av en «vill vest»-fase med uregulert utvikling og inn i et strukturert økosystem der sikkerhet og grunnleggende rettigheter kommer først.

De fire risikonivåene til AI forklart

Kjernen, den den juridiske siden av kunstig intelligens i EU (KI-loven 2025) tar en enkel, risikobasert tilnærming. Det ligner mye på sikkerhetssertifiseringssystemene vi har for hverdagsprodukter. Et barnesete må for eksempel oppfylle langt strengere standarder enn en enkel sykkelhjelm fordi potensialet for skade er så mye større. AI-loven anvender nøyaktig samme logikk på teknologi, og sorterer AI-systemer i fire forskjellige nivåer basert på den potensielle skaden de kan forårsake.

Denne strukturen er utformet for å være praktisk. Den fokuserer de strengeste regelverkene på de farligste applikasjonene, samtidig som den lar lavrisikoinnovasjon trives med liten innblanding. For enhver bedrift er det å finne ut hvilken kategori AI-verktøyene deres tilhører det første og viktigste skrittet mot samsvar. Denne klassifiseringen vil diktere alt, fra direkte forbud til enkle åpenhetsvarsler.

Uakseptabel risiko: Forbudslisten

Den første kategorien er enkel: Uakseptabel risikoDette er KI-systemer som blir sett på som en klar trussel mot folks sikkerhet, levebrød og grunnleggende rettigheter. Loven regulerer dem ikke bare; den forbyr dem fullstendig fra EU-markedet.

Dette forbudet retter seg mot applikasjoner som manipulerer menneskelig atferd for å omgå en persons frie vilje, eller som utnytter sårbarhetene til bestemte grupper. Det forbyr også vilkårlig skraping av ansiktsbilder fra internett eller CCTV-opptak for å bygge ansiktsgjenkjenningsdatabaser.

Noen klassiske eksempler på forbudte systemer inkluderer:

• Myndighetsledet sosial poengsetting: Ethvert system som brukes av offentlige myndigheter for å klassifisere folk basert på deres sosiale atferd eller personlige egenskaper, noe som deretter fører til at de blir behandlet dårlig.
• Biometrisk identifikasjon i sanntid i offentlige rom: Det er forbudt å bruke denne teknologien til masseovervåking, med bare svært begrensede unntak for lov håndheving i alvorlige straffesaker.

Høyrisiko-AI-systemer: Strenge regler gjelder

Ocuco Høy risiko Det er i denne kategorien de fleste av de detaljerte reglene og forpliktelsene i KI-loven virkelig kommer inn i bildet. Dette er systemer som, selv om de ikke er forbudte, kan ha alvorlig innvirkning på en persons sikkerhet eller grunnleggende rettigheter. Hvis bedriften din utvikler eller bruker en KI i denne kategorien, vil du møte tøffe krav både før og etter at den kommer på markedet.

Disse systemene er ofte de som tar kritiske avgjørelser på sensitive områder. Et AI-verktøy som brukes til å diagnostisere medisinske tilstander fra skanninger, faller for eksempel inn under denne kategorien. Det samme gjelder programvare som brukes til å vurdere en kandidats egnethet for en jobb. Potensialet for skade – en feildiagnose eller en partisk ansettelsesbeslutning – er betydelig nok til å rettferdiggjøre det strenge tilsynet.

I henhold til AI-loven handler ikke høyrisikosystemer bare om komplekse algoritmer. De handler om den virkelige virkningen på folks liv, fra helse og utdanning til jobbmuligheter og tilgang til rettsvesen.

Vanlige eksempler på høyrisiko-AI inkluderer:

• Medisinsk utstyr: AI-programvare som påvirker diagnostiske eller terapeutiske beslutninger.
• Rekrutteringsprogramvare: Verktøy som filtrerer CV-er eller rangerer jobbsøkere.
• Kredittscore: Algoritmer som avgjør om man er kvalifisert for lån eller finansielle tjenester.
• Kritisk infrastruktur: Systemer som administrerer viktige forsyningstjenester som vann- eller strømnett.

Begrenset risiko: Åpenhet er nøkkelen

Neste gang er Begrenset risiko AI-systemer. Med disse applikasjonene er ikke hovedbekymringen direkte skade, men potensialet for bedrag hvis brukerne ikke er klar over at de samhandler med en AI. Hovedforpliktelsen her er rett og slett åpenhet.

Du må sørge for at brukerne vet at de har å gjøre med et kunstig system. Dette lar dem ta et informert valg om hvorvidt de vil fortsette samhandlingen.

Et perfekt eksempel er en chatbot for kundeservice. Bedriften som bruker den må tydelig oppgi at brukeren snakker med en maskin, ikke en person. Den samme regelen gjelder for deepfakes; alt AI-generert lyd-, bilde- eller videoinnhold som viser ekte mennesker må merkes som kunstig laget.

Minimal risiko: Fri til å innovere

Til slutt har vi kategorien som dekker de aller fleste AI-systemer som er i bruk i dag: Minimal risikoDisse applikasjonene utgjør liten eller ingen trussel mot borgernes rettigheter eller sikkerhet. Tenk på AI-drevne spamfiltre, lagerstyringssystemer eller videospill.

For disse systemene pålegger AI-loven ingen nye juridiske forpliktelser. Bedrifter står fritt til å utvikle og bruke dem uten ekstra hindringer. EUs mål her er å unngå å kvele innovasjon, slik at utviklere kan lage nyttige verktøy med lav effekt uten å bli overveldet av unødvendig regulering. Det er en lett tilnærming som er utformet for å oppmuntre til utbredt bruk av AI der det er trygt å gjøre det.

Navigering av krav til høyrisiko-AI-systemer

Hvis bedriften din utvikler eller bruker et AI-system med høy risiko, trer du inn i det mest regulerte territoriet i EUs AI-lov. Det er her det juridiske rammeverket blir mest krevende, og med god grunn. Forpliktelsene er strenge fordi den potensielle innvirkningen på folks liv er betydelig.

Tenk på det som å gjøre et nyttekjøretøy klart for veien. Det er ikke nok at det bare kjører; det må bestå en rekke strenge sikkerhetsinspeksjoner som dekker alt fra motor til bremser. AI-loven setter opp en lignende sjekkliste for høyrisikosystemer, og sørger for at de er robuste, transparente og rettferdige før de kan operere i EU-markedet. Dette er ikke bare byråkratiske hindringer; de er selve grunnlaget for å bygge pålitelig AI.

For enhver organisasjon som håndterer høyrisiko-AI, er det å forstå disse forpliktelsene det første skrittet mot vellykket samsvar. Å gjøre feil risikerer ikke bare store bøter; det kan svekke kundenes tillit og skade omdømmet permanent.

Kjernepilerene for samsvar

Loven skisserer flere viktige forpliktelser som danner ryggraden i styring av høyrisiko-KI. Hver av dem er utformet for å håndtere et spesifikt potensielt feilpunkt, fra partiske data til mangel på menneskelig kontroll.

Din compliance-reise vil fokusere på å mestre disse kjernekravene:

• Risikostyringssystem: Du må etablere, implementere og vedlikeholde en kontinuerlig risikostyringsprosess gjennom hele AI-systemets livssyklus. Dette innebærer å identifisere potensielle risikoer for helse, sikkerhet og grunnleggende rettigheter, og deretter iverksette konkrete tiltak for å redusere dem.
• Datastyring og kvalitet: Høykvalitets, relevante og representative data er ikke til forhandling. Dataene som brukes til å trene AI-modellen din må håndteres nøye for å minimere risikoer og skjevheter. Det gamle ordtaket «søppel inn, søppel ut» kommer nå med alvorlige juridiske konsekvenser.
• Teknisk dokumentasjon: Du må opprette og vedlikeholde detaljert teknisk dokumentasjon som beviser at AI-systemet ditt er i samsvar med loven. Tenk på dette som dokumentasjonsfilen din, klar for inspeksjon av nasjonale myndigheter når som helst.
• Journalføring og logging: AI-systemet ditt må være utformet for automatisk å logge hendelser mens det er i drift. Disse loggene er avgjørende for sporbarhet og muliggjør etterforskning etter hendelser, som viser hva systemet gjorde og når.
• Åpenhet og brukerinformasjon: Brukere må få tydelig og omfattende informasjon om AI-systemets muligheter, begrensninger og hva det er ment å gjøre. Ingen svarte bokser er tillatt.
• Menneskelig tilsyn: Dette er et kritisk spørsmål. Du må utforme systemet ditt slik at mennesker effektivt kan overvåke driften, og viktigst av alt, gripe inn eller stoppe det om nødvendig. Dette er beskyttelsen mot situasjoner der datamaskinen sier nei, og enkeltpersoner blir stående uten hjelp.

Disse søylene er ikke bare forslag; de er obligatoriske krav. De representerer et fundamentalt skifte mot ansvarlighet, og tvinger utviklere og distributører til å bevise at systemene deres er trygge per design, ikke bare ved tilfeldigheter.

Menneskelig tilsyn et ikke-forhandlingsbart element

Av alle kravene, menneskelig tilsyn er uten tvil den viktigste beskyttelsen mot automatisert skade. Målet er å sikre at et AI-system aldri har det endelige, uangripelige ordet i en avgjørelse som påvirker en person betydelig.

Dette betyr å bygge inn reelle, funksjonelle mekanismer for menneskelig intervensjon. For eksempel må en AI som brukes i rekruttering og som automatisk avviser en kandidats CV, ha en prosess for at en menneskelig HR-leder skal kunne gjennomgå og overstyre den avgjørelsen. Det handler om å holde et menneske oppdatert, spesielt når det står mye på spill.

Den nederlandske offentlige sektoren gir en overbevisende casestudie om hvor utfordrende – og viktige – disse reglene er. Ifølge forskningsinstituttet TNO har nederlandsk offentlig forvaltning testet over 260 AI-applikasjoner, men bare en ren 2% har blitt fullstendig oppskalert. Denne langsomme utrullingen understreker vanskeligheten med å gå fra pilotprosjekter til juridisk kompatible, storskala løsninger.

Ettersom nederlandske myndigheter nå krever at offentlige organer sikrer ansattes KI-kompetanse og ansvarlighet, øker presset for å implementere robust tilsyn. Du kan lese mer om disse funnene og KI-mulighetene for e-forvaltning i Nederland. Dette eksemplet fra den virkelige verden viser at selv med høye ambisjoner er de praktiske og juridiske hindringene for høyrisikosystemer betydelige.

Forstå håndheving og styring

Å kjenne reglene for EUs KI-lov 2025 er én ting, men å forstå hvem som faktisk håndhever dem er en helt annen sak. Loven skaper et todelt system for å sikre at reglene brukes konsekvent i alle medlemsland, og unngår et forvirrende lappeteppe av ulike nasjonale tilnærminger.

Helt på toppen har du Det europeiske KI-styretDette styret består av representanter fra hver medlemsstat og fungerer som sentral koordinator. Tenk på det som organet som sørger for at alle leser fra samme salmebok, gir veiledning og harmoniserer hvordan loven tolkes.

Under AI-styret må hvert land utnevne sin egen Nasjonale tilsynsmyndigheterDette er de lokale myndighetene som er ansvarlige for direkte håndheving, overvåking og håndtering av samsvarsspørsmål på sitt eget territorium. For bedrifter vil disse nasjonale myndighetene være deres viktigste kontaktpunkt.

Viktige aktører innen AI-styring

Denne strukturen er utformet for å blande konsistens på høyt nivå med lokal, praktisk ekspertise. Mens European AI Board fører tilsyn med det store bildet, er det de nasjonale myndighetene som vil håndtere den daglige realiteten i markedsovervåkingen.

Hovedrollene er fordelt slik:

• Det europeiske KI-styret: Hovedoppgaven er å gi uttalelser og anbefalinger for å sikre at loven anvendes på samme måte overalt. Den fungerer som et sentralt rådgivende organ for Europakommisjonen.
• Nasjonale tilsynsmyndigheter: Dette er håndheverne. De har i oppgave å sjekke om AI-systemer overholder loven, undersøke eventuelle mistenkte brudd og utdele straffer når det er nødvendig.
• Varslede organer: Dette er uavhengige tredjepartsorganisasjoner. Medlemslandene utpeker dem til å utføre samsvarsvurderinger for høyrisiko-KI-systemer før de kan selges eller tas i bruk.

Dette betyr at selv om reglene er europeiske, er håndhevingen lokal. For bedrifter i Nederland bringer dette den regulatoriske prosessen nærmere hjemmet. Den nederlandske tilnærmingen er imidlertid fortsatt under ferdigstillelse. En rapport fra november 2024 foreslo en koordinert modell, der den nederlandske databeskyttelsesmyndigheten (DPA) tar ledelsen som den viktigste "markedsovervåkeren" for høyrisiko-KI. Andre sektorspesifikke organer ville deretter overvåke KI innen felt som helsevesen og forbrukersikkerhet. Per midten av 2025 har disse myndighetene ikke blitt formelt utnevnt, noe som skaper en periode med regulatorisk usikkerhet for bedrifter.

Den høye kostnaden ved manglende overholdelse

AI-loven har noen alvorlige utfordringer. De økonomiske straffene for å gjøre feil er blant de mest betydningsfulle i enhver teknologiforskrift, noe som gjør samsvar til en høyest prioritert prioritet for ethvert selskap. Bøtene er trinnvise, direkte basert på hvor alvorlig bruddet er.

Straffene er utformet for å være «effektive, forholdsmessige og avskrekkende», noe som gjør det langt dyrere å ignorere loven enn å overholde den.

Her er hva bedrifter kan stå overfor:

1. Opptil 35 millioner euro eller 7 % av den globale årlige omsetningen for bruk av forbudte AI-applikasjoner eller manglende oppfyllelse av datakravene for høyrisikosystemer.
2. Opptil 15 millioner euro eller 3 % av den globale årlige omsetningen for ikke å ha overholdt noen av de andre forpliktelsene i henhold til KI-loven.
3. Opptil 7.5 millioner euro eller 1.5 % av den globale årlige omsetningen for å ha gitt feil eller villedende informasjon til myndighetene.

Disse tallene viser hvor høye innsatsene er. For en liten eller mellomstor bedrift kan en straff av denne størrelsen være katastrofal. Det åpner også døren for juridiske tvister, et tema vi utforsker videre i vår artikkel om mulighet for digital rettstvistEnkelt sagt er de økonomiske og juridiske risikoene for store til å overlate etterlevelse til tilfeldighetene.

Med fristen i 2025 for EUs AI-lov Det nærmer seg raskt, og det er ikke lenger nok å bare forstå teorien. Det er på tide å gå fra å vite til å praktisere. Selv om det kan føles overveldende å forberede seg til denne store lovgivningen, kan du dele den opp i en rekke klare, praktiske trinn.

Nøkkelen er å ikke fremstille samsvar som en regulatorisk byrde, men som en strategisk fordel. Ved å ligge i forkant kan du gjøre disse juridiske kravene til en effektiv måte å bygge den dype, varige tilliten som kundene nå krever. Denne proaktive tankegangen vil skille deg ut i et marked der ansvarlig AI raskt blir en ikke-forhandlingsbar faktor.

Start med en AI-inventarliste

Du kan ikke håndtere det du ikke har målt. Din første oppgave må være å lage en komplett oversikt over hvert eneste AI-system bedriften din bruker, utvikler eller vurderer å distribuere. Tenk på dette som ditt grunnleggende kart – og det må være detaljert.

Dette går utover bare å liste opp programvarenavn. For hvert system må du dokumentere viktig informasjon for å få et klart bilde av dets rolle og potensielle innvirkning.

For hvert AI-verktøy i organisasjonen din, bør inventarlisten din svare på:

• Hva er formålet med det? Vær spesifikk. Automatiserer den kundeservicehenvendelser, eller analyserer den rekrutteringsdata?
• Hvem er leverandøren? Er dette et ferdig produkt fra en tredjepart, eller noe teamet ditt har utviklet internt?
• Hvilke data bruker den? Identifiser hvilke datatyper systemet ble trent på og hva det behandler i den daglige driften.
• Hvem er brukerne? Noter ned hvilke avdelinger eller spesifikke individer som samhandler med systemet.

Denne innledende revisjonen gir deg den klarheten du trenger for den viktigste fasen: risikovurdering.

Gjennomfør en grundig risikovurdering

Når du har oversikt over AI-systemet ditt, er neste oppgave å klassifisere hvert system i henhold til lovens fire risikonivåer. Dette er den viktigste delen av prosessen, ettersom klassifiseringen vil diktere de spesifikke juridiske forpliktelsene bedriften din må oppfylle.

Ta på deg sikkerhetsinspektørhatten din og vurder hvert verktøy mot lovens definisjoner. Er den nye markedsføringschatboten bare en Minimal risiko bekvemmelighet? Eller går det over i Begrenset risiko, som betyr at du må være åpen om bruken av den? Hva med HR-programvaren du bruker til å screene kandidater – kvalifiserer det som Høy risiko?

Målet her er ikke bare å krysse av i en boks. Det handler om å få en dyp, praktisk forståelse av hvordan bruken av AI kan påvirke mennesker, og finne ut nøyaktig hvor samsvarsarbeidet må fokuseres.

Denne klassifiseringen må gjøres nøye. Feilklassifisering av et høyrisikosystem som et minimalt risikosystem kan føre til alvorlige straffer og, like skadelig, et fullstendig tap av kundenes tillit.

Utfør en gapanalyse

Når AI-systemene dine er riktig klassifisert, er det på tide med en gap-analyse. Her sammenligner du nåværende praksis med de spesifikke kravene for hver risikokategori. For alle høyrisikosystemer du har identifisert, må denne analysen være spesielt grundig.

Lag en sjekkliste basert på høyrisikoforpliktelsene som er angitt i loven – ting som datastyring, teknisk dokumentasjon og menneskelig tilsyn. Gå deretter gjennom den punkt for punkt og still noen ærlige spørsmål:

• Har vi et formelt risikostyringssystem på plass for denne spesifikke AI-en?
• Er den tekniske dokumentasjonen vår detaljert nok til å tåle en revisjon?
• Finnes det klare, effektive prosedyrer for at et menneske kan gripe inn og føre tilsyn med beslutningene?

Manglene du avdekker vil danne din compliance-strategi. Dette handler ikke om å finne feil; det handler om å lage en tydelig, handlingsrettet plan for å få organisasjonen din fullt ut i samsvar med de nye juridiske standardene.

Sett sammen compliance-teamet ditt

Til slutt, husk at compliance ikke er en solosport. For å navigere dette effektivt, må du sette sammen et lite, tverrfaglig team. Denne gruppen bør samle folk fra ulike deler av virksomheten, hver med et unikt perspektiv.

Ditt ideelle team kan inkludere folk fra:

• Juridisk: Å tolke den spesifikke juridiske liten skriften.
• IT og datavitenskap: For å gi teknisk innsikt i hvordan disse AI-systemene faktisk fungerer.
• Operasjoner: For å forstå den praktiske, daglige effekten av å bruke disse verktøyene.
• Menneskelige ressurser: Spesielt hvis du bruker AI i rekruttering eller medarbeideradministrasjon.

Ved å samarbeide kan dette teamet sikre at tilnærmingen til samsvar er både omfattende og praktisk, og at det som ser ut som en kompleks juridisk utfordring blir til et oppnåelig forretningsmål.

Din handlingsplan for samsvar med AI

Å ta tak i det den juridiske siden av kunstig intelligens i EU (KI-loven 2025) handler ikke om å sette en stopper for fremskritt. Det handler om å bygge innovasjon som folk kan stole på, med mennesker i sentrum. Som vi har sett, er loven et rammeverk utformet for ansvarlig vekst, ikke en hindring.

Den risikobaserte tilnærmingen betyr at den intense granskingen spares til der den virkelig trengs. Dette gjør at lavrisikoapplikasjoner kan blomstre med minimal friksjon. Hvis du håndterer denne forskriften proaktivt, slutter samsvar å være et ork og blir et reelt konkurransefortrinn – et som bygger varig kundetillit.

Reisen starter nå. Å vente til tidsfristene nærmer seg er et risikabelt spill. Ved å starte i dag kan du integrere samsvar i utviklingssyklusen din, og gjøre det til en naturlig del av prosessen i stedet for et siste-liten-kaos.

Kjernebudskapet i AI-loven er klart: forberedelse og ansvarlighet er grunnlaget for pålitelig AI. Ved å starte compliance-reisen din nå, oppfyller du ikke bare et juridisk krav; du investerer i en fremtid der teknologien din blir sett på som trygg, pålitelig og etisk.

Tenk på de praktiske trinnene – fra å lage en AI-inventarliste til å utføre en gap-analyse – som din veikart. Bruk dem til å ligge i forkant og gjøre dette juridiske skiftet om til en strategisk mulighet. For en dypere forståelse av det bredere rammeverket dette passer inn i, kan du finne veiledningen vår om juridisk samsvar og risikostyring hjelpsom.

Det er på tide å starte vurderingen, sette sammen teamet ditt og ta et trygt steg inn i fremtiden for regulert AI.

Ofte Stilte Spørsmål

Når det gjelder EUs nye regler for kunstig intelligens, dukker det opp mange praktiske spørsmål for bedrifter. La oss ta for oss noen av de vanligste spørsmålene om AI-loven fra 2025, fra hva som regnes som «høy risiko» til hva det betyr for små bedrifter som bruker tredjepartsverktøy.

Hva er et AI-system med høy risiko?

Enkelt sagt er et høyrisiko-KI-system ethvert system som kan utgjøre en alvorlig trussel mot en persons helse, sikkerhet eller grunnleggende rettigheter. Loven beskriver flere spesifikke kategorier, som KI brukt i kritisk infrastruktur som transport, i medisinsk utstyr og i systemer for rekruttering eller administrasjon av ansatte.

For eksempel vurderes en algoritme som screener CV-er for å utvelge kandidater til et jobbintervju. høy risikoHvorfor? Fordi beslutningene kan ha stor innvirkning på noens karriere og levebrød. Systemer som disse må gjennomgå strenge samsvarsvurderinger før de i det hele tatt kan bringes ut på EU-markedet.

Påvirker AI-loven den lille bedriften min hvis jeg bare bruker AI-verktøy fra andre selskaper?

Ja, det gjør det nesten helt sikkert. Reglene i KI-loven gjelder ikke bare for de store teknologiselskapene som bygger KI-en. Mens «leverandøren» (selskapet som lager KI-en) har den tyngste samsvarsbyrden, har «brukeren» (det vil si din virksomhet når du distribuerer systemet) også et klart ansvar.

Hvis du bruker et høyrisikosystem, er du ansvarlig for å sørge for at det drives i henhold til leverandørens instruksjoner, opprettholde menneskelig tilsyn og overvåke ytelsen. Selv for noe med lavere risiko, som en kundeservice-chatbot, har du fortsatt en åpenhetsplikt for å gjøre det klart for folk at de samhandler med en AI.

Hva er de første stegene organisasjonen min må forberede seg på?

Det viktigste første steget er å lage en detaljert oversikt over hvert eneste AI-system organisasjonen din bruker for øyeblikket eller planlegger å ta i bruk. Tenk på denne revisjonen som grunnlaget for hele compliance-strategien din.

For hvert system må du gå lenger enn bare å liste opp navnet. Du må dokumentere formålet og deretter klassifisere det i henhold til AI-lovens risikokategorier: uakseptabel, høy, begrenset eller minimal.

Når du har identifisert eventuelle høyrisikosystemer, er neste steg å gjennomføre en gap-analyse. Dette innebærer å sammenligne din nåværende praksis med lovens spesifikke krav til ting som datastyring, teknisk dokumentasjon og menneskelig tilsyn. Det er helt avgjørende å starte denne prosessen nå, ettersom det er en detaljert og tidkrevende jobb å oppnå full samsvar.