AI Act er vedtaget: Er din virksomhed klar til den nye forordning?

Et vigtigt skridt er blevet taget i arbejdet med at regulere brugen af AI, da EU-Parlamentet den 13. marts 2024 vedtog AI Act. Det forventes at få stor betydning for virksomheder og organisationer inden for og uden for EU, så længe et AI-system er placeret på markedet i EU eller anvendelsen påvirker personer, som befinder sig i EU.

Enhver ny lovgivning rejser dog en række spørgsmål, og det især på et så nyt område som AI. For hvad dækker AI Act egentlig over? Hvad skal virksomheder være opmærksomme på omkring brugen af AI? Og hvilke konsekvenser kan det have for virksomheder?

Selvom arbejdet med AI stadig er på et tidligt stadie, har vi i PwC givet vores bud på, hvordan du forholder dig til fem spørgsmål, som naturligt presser sig på i lyset af vedtagelsen af AI Act:

1. Hvad er AI Act?
2. Hvilke virksomheder er berørt af forordningen?
3. Hvornår træder forordningen i kraft?
4. Hvordan kommer du i gang?
5. Hvem sørger for, at forordningen bliver overholdt?

Hvad er AI Act?

AI Act har til formål at sikre, at AI-systemer anvendes på en måde, der respekterer europæiske værdier og regler. Den indeholder en række krav og forpligtelser, der skal overholdes af alle aktører i værdikæden, dvs. udbydere, brugere, importører, distributører, producenter og autoriserede repræsentanter.

De skærpede krav omfatter bl.a:

Risikostyringssystem og risikovurdering af AI-systemer
Data og Data Governance styring og dokumentation
Kvalitetsstyringssystem
Teknisk dokumentation af AI-systemet
Transparens og kommunikation til brugerne af AI-systemerne
Menneskelig overvågning og kontrol med AI-systemet
Nøjagtighed, robusthed og cybersikkerhed
Anmeldelse af AI-systemet til EU.

Hvilke virksomheder er berørt af AI Act?

AI Act vil gælde for enhver virksomhed og organisation både inden for og uden for EU, så længe et AI-system er placeret på markedet i EU eller dets anvendelse påvirker personer, som befinder sig i EU.

Det omfatter særligt virksomheder inden for følgende industrier:

Finans og forsikringsvirksomheder, hvis AI fx bruges til fastsættelse af forsikringspræmie og kreditvurdering.
Sundhedsområder, hvor AI fx indgår i medical devices, eller i behandlingssystemer.
Produktionsvirksomheder, som udvikler maskiner, legetøj, gas, olie og benzin samt elevator med AI indbygget.
Transport virksomheder, inden for bil, fly, tog, skibe samt landbrug og skovdrifts køretøjer samt ved to og tre hjulede køretøjer og droner.
Kritisk infrastruktur, specielt drift, sikkerhed, miljø, forurening og kontrolsystemer.
Offentlig sektor, hvor der anvendes systemer til sagsbehandling af svage grupper af borgere eller til fastsættelse af sociale ydelser.

I PwC arbejder vi ud fra en ansvarlig tilgang (Responsible AI). Som led i dette anvender vi et AI Compliance Assessment Tool, som er en modenhedsvurdering, der skal give jeres virksomhed overblik over og indsigt i, hvilke indsatsområder som bør prioriteres for at overholde kravene i AI Act.

Hvornår træder AI Act i kraft?

Det er vigtigt at være opmærksom på, at dele af AI Act finder anvendelse på forskellige tidspunkter. Udgangspunktet er, som med langt den meste EU-lovgivning, at den vil træde i kraft 20 dage efter offentliggørelse og gælde fra to år derefter.

For AI Act er der imidlertid en række nuancer til dette udgangspunkt.

Tidsplan for ikrafttrædelse af de forskellige dele af AI Act:

Nu venter kun den formelle offentliggørelse af den endelige tekst, men det betyder ikke, at skal vente med at gå i gang med arbejdet i den enkelte virksomhed.

Hvornår træder AI Act i kraft?

Det er vigtigt at være opmærksom på, at dele af AI Act finder anvendelse på forskellige tidspunkter. Udgangspunktet er, som med langt den meste EU-lovgivning, at den vil træde i kraft 20 dage efter offentliggørelse og gælde fra to år derefter.

For AI Act er der imidlertid en række nuancer til dette udgangspunkt.

Se nærmere om tidsplanen for ikrafttrædelse af de forskellige dele af AI Act her:

Nu venter kun den formelle offentliggørelse af den endelige tekst, men det betyder ikke, at skal vente med at gå i gang med arbejdet i den enkelte virksomhed.

Hvordan kommer du i gang?

Hvis man ikke allerede er gået i gang med at forberede sig til den nye regulering, er den klare anbefaling at komme i gang med i arbejdet.

PwC anbefaler, at man starter med en eller flere af følgende 5 aktiviteter:

Foretag AI Readiness GAP-analyse: Ved at udarbejde en GAP-analyse, kan I målrettet komme i gang med de væsentligste aktiviteter, som kan sikre compliance med den kommende AI Act.
Identicifér jeres AI-systemer: Skab et overblik over jeres AI-systemer, og hvor der evt. indgår AI i jeres eksisterende systemer leveret af eksterne leverandører.
Risikokategorisér jeres AI-systemer: Klassificér om jeres AI-systemer falder ind under ‘forbudte’ eller ‘høj-risiko’-systemer.
Gør data tilgængelige: Sørg for at sikre, at de rigtige data bliver gjort tilgængelige til de medarbejdere, som har behov for at tilgå data i AI- systemerne.
Træn medarbejderne i prompting: Det er nødvendigt at træne medarbejderne i prompting, for at de kan få det optimale udbytte ud af Generativ AI.

Hvem sørger for, at AI Act bliver overholdt?

I det der er tale om en forordning, er teksten direkte gældende i de enkelte medlemslande og skal ikke implementeres formelt i dansk lovgivning. Der kan dog vedtages visse lokale forskelle i de enkelte medlemslande i det omfang, AI Act giver mulighed for det. Det vil eksempelvis skulle besluttes i den enkelte medlemsstat, hvilken national myndighed, der skal være ansvarlig for at føre tilsyn med, at reglerne overholdes. I henhold til AI-forordning skal hvert medlemsland udpege en national tilsynsmyndighed, som skal føre et uafhængigt tilsyn med anvendelsen af kunstig intelligens, samt varetage en koordinerende rolle mellem relevante myndigheder i Danmark og i EU. Det er meldt ud, at Digitaliseringsstyrelsen bliver tilsynsmyndighed for AI-forordningen i Danmark. Dog er det også meldt ud, at Datatilsynet skal føre tilsyn med højrisiko AI-systemer, hvorfor både Datatilsynet og Digitaliseringsstyrelsen får en rolle at spille som tilsynsmyndigheder for AI-forordningen. Det er derfor uklart, hvilket af de to tilsyn, der reelt har ansvaret som den nationale tilsynsmyndighed i Danmark, eller om det ligefrem er begge to.

Bliv klar til den nye forordning med en modenhedsvurdering fra PwC

I PwC arbejder vi ud fra en ansvarlig tilgang (Responsible AI). Som led i dette anvender vi et AI Compliance Assessment Tool, som er en modenhedsvurdering, der skal give jeres virksomhed overblik over og indsigt i, hvilke indsatsområder som bør prioriteres for at overholde kravene i AI Act.