EU’s AI-forordning er trådt i kraft og indfører et risikobaseret regelsæt for udvikling og brug af kunstig intelligens. Reglerne supplerer GDPR, som fortsat gælder, når AI behandler personoplysninger. Virksomheder bør tidligt vurdere, hvilken risikokategori deres anvendelser falder i, og sikre governance, dokumentation og gennemsigtighed, så både AI-forordningen og GDPR efterleves.
Risikoinddeling og krav
AI-forordningen klassificerer systemer efter risiko og knytter specifikke pligter til hver kategori. Visse anvendelser er forbudte, mens højrisiko-systemer udløser omfattende krav til bl.a. risikostyring, datakvalitet og menneskelig kontrol. General purpose-modeller pålægges teknisk dokumentation, cybersikkerhed og rapporteringspligter.
Klassifikationen bør afklares i designfasen. For højrisiko-brug kan der kræves et risk management system og en vurdering af grundlæggende rettigheder (FRIA). Valg og kvalitet af træningsdata skal dokumenteres og afspejle formålet.
For overskuelighed kan kategorierne skitseres således:
- Forbudte systemer: f.eks. udnyttelse af sårbarheder, følelsesgenkendelse i arbejds- og uddannelseskontekster samt ansigtsgenkendelse i det offentlige rum, med snævre undtagelser.
- Højrisiko AI: bl.a. biometri, uddannelse, kritisk infrastruktur, beskæftigelse, arbejdstagerforvaltning, retshåndhævelse og forsikringsvurdering; kræver risikostyring, datastyring og menneskelig indgriben.
- Regulerede systemer med interaktion: krav om tydelig oplysning om, at brugeren interagerer med AI, og mærkning af AI-genereret indhold.
- General purpose AI: krav om teknisk dokumentation, compliance-politikker og hændelsesrapportering.
- Ikke-regulerede systemer: anbefalinger om interne politikker, fortrolighedshensyn og IP-afklaring.
GDPR-krav ved AI-behandling
Når AI behandler personoplysninger, skal der foreligge et gyldigt behandlingsgrundlag, og formålsbegrænsning, dataminimering, anonymisering eller pseudonymisering skal anvendes, hvor det er muligt. Ofte udløses en konsekvensanalyse (DPIA), og hvis rest-risikoen ikke kan nedbringes til et acceptabelt niveau, skal tilsynsmyndigheden høres før ibrugtagning.
GDPR fastslår retten til ikke at være genstand for afgørelser udelukkende baseret på automatiseret behandling, der har retsvirkning eller tilsvarende væsentlig betydning. Ved brug af AI i rekruttering, medarbejderprocesser eller kundeservice bør der derfor sikres meningsfuld menneskelig indgriben, passende træning af medarbejdere og klare procedurer for eskalation.
Transparens er central: den dataansvarlige skal oplyse formål, behandlingsgrundlag, om der indgår automatiserede afgørelser, samt give meningsfulde oplysninger om logikken og de forventede konsekvenser. Kommunikationsniveauet skal tilpasses målgruppen, herunder børn og andre sårbare personer.
Behandling af følsomme oplysninger, f.eks. biometri til adgangskontrol, vil ofte kræve gyldigt samtykke og et reelt alternativ til behandlingen. Datatilsynet har i en sag om ansigtsgenkendelse i et fitnesscenter vurderet, at samtykke forudsætter et alternativ, f.eks. adgang i bemandede tidsrum eller via telefonisk support. Læs afgørelsen hos Datatilsynet.
Praktiske skridt til compliance
Virksomheder, der udvikler eller anvender AI, bør etablere en tværfaglig governance-struktur og prioritere dokumentation fra dag ét. Det reducerer risikoen for omkostningsfulde redesigns og sikrer hurtig håndtering af afvigelser.
En operationel tilgang kan følge disse trin:
- Kortlæg AI-brug og datastrømme, herunder formål, datatyper, modtagere og overførsler.
- Fastlæg behandlingsgrundlag, anvend dataminimering, og vurder behov for anonymisering eller pseudonymisering.
- Udfør DPIA og eventuel FRIA, etabler risikostyring og kvalitetskrav til træningsdata.
- Udarbejd politikker for transparens, menneskelig indgriben, logning, teknisk dokumentation og sikkerhed.
- Etabler løbende monitorering, hændelsesrapportering og medarbejdertræning.
Sanktioner og håndhævelse
GDPR giver tilsynsmyndighederne adgang til påbud, kritik og bøder op til 20 mio. EUR eller 4 procent af global koncernomsætning, alt efter overtrædelsens karakter og omfang.
AI-forordningen opererer med bøder i intervallet 2–7 procent af omsætningen eller op til 35 mio. EUR. Sanktionens størrelse afhænger bl.a. af kategori, compliance-indsats og risikoens alvor. Tidlig klassificering, solid dokumentation og klare processer er derfor afgørende for at begrænse eksponeringen.
