Bestyrelsens ansvar og sanktionsrisiko
EU’s AI-forordning indfører gradvist nye pligter for både udviklere og brugere af AI, herunder virksomheder der idriftsætter AI-systemer i driften. Overtrædelser kan udløse betydelige bøder, i niveau med eller højere end sanktionerne efter GDPR. Bestyrelsen skal derfor sikre, at virksomheden har en klar styringsramme for ansvar, processer og kontrol.
Forordningen omfatter maskinbaserede systemer, der kan lære eller danne modeller ud fra data og generere output som anbefalinger eller beslutninger. Traditionel regelbaseret software, der blot eksekverer faste regler, falder udenfor. En korrekt klassifikation af værktøjer er forudsætning for retvisende risikovurdering, dokumentation og tilsyn.
AI-færdigheder og kompetencestyring
Kravet om AI-færdigheder gælder fra 2. februar 2025. Virksomheder skal sikre, at medarbejdere, som anvender AI, har tilstrækkelig viden til at bruge systemerne forsvarligt. Vurderingen er konkret og omfatter bl.a. teknisk forståelse, brugskontekst og de berørte persongrupper. Kravet er et aktivt compliancekrav, der fordrer planlagt kompetenceopbygning.
AI-færdigheder dækker både teknologisk forståelse (hvordan systemet er udviklet og fungerer) og praktiske evner (rigtig anvendelse, kendskab til begrænsninger og datatyper). Bestyrelsen bør påse, at der etableres differentierede og obligatoriske træningsforløb, at roller og ansvar er tydeligt beskrevet, og at læring samt kontrol dokumenteres.
Gennemsigtighed og mærkning
Fra 2. august 2026 gælder skærpede gennemsigtighedskrav. AI-genererede billeder og videoer, herunder deepfakes, der kan forveksles med autentisk materiale, skal tydeligt mærkes som AI-genereret. Manglende mærkning kan forvrænge beslutningsgrundlag og indebærer sanktionsrisiko.
AI-genereret tekst om spørgsmål af offentlig interesse skal som udgangspunkt også markeres, medmindre et menneske reelt har anvendt AI som værktøj og efterfølgende foretaget substantiel kontrol. Bestyrelsen bør kræve klare politikker, publiceringsarbejdsgange og kontrolpunkter i kommunikation og marketing samt sporbar dokumentation for menneskelig gennemgang.
Højrisiko-AI og forbudte anvendelser
Visse systemer klassificeres som højrisiko, bl.a. AI anvendt i rekruttering (annoncering, screening og evaluering) samt til kreditvurdering. Anvendes et højrisikosystem, skærpes kravene til anvendelse, dokumentation og kontrol, og virksomheden påtager sig et selvstændigt ansvar for forsvarlig brug.
Forpligtelserne omfatter i praksis både organisatoriske, tekniske og adfærdsmæssige tiltag. Følgende illustrerer centrale krav, som virksomheden skal efterleve i driften:
- Brugsanvisning: Systemet skal anvendes i overensstemmelse med leverandørens dokumentation og begrænsninger.
- Kompetencer: Brugere skal besidde relevante AI-færdigheder og være trænet i korrekt brug.
- Forståelse for fejlrisici: Medarbejdere skal kende bias og fairnesstemaer og kunne identificere fejl.
- Menneskeligt tilsyn: Resultater må ikke accepteres ukritisk; der skal ske aktiv, dokumenteret kontrol.
Forordningen indeholder også absolutte forbud, herunder social scoring, biometrisk kategorisering efter følsomme karakteristika og emotion recognition i arbejdsmæssige sammenhænge. Bestyrelsen bør sikre et ajourført overblik over alle AI-værktøjer – også decentralt indkøbte – samt klare godkendelsesprocesser, der forebygger forbudte anvendelser.
