Ny AI-hovedlov: tilsyn, roller og sanktioner
Regeringen har fremsat en ny AI-hovedlov (L 3), der udmønter hele EU’s AI-forordning i dansk ret. Hvor den gældende lov primært dækkede forbuddene, udvides rammerne nu til også at omfatte regler om højrisiko-AI, gennemsigtighed og de tilknyttede tilsyns- og sanktionsmekanismer. Tilsynet fordeles efter anvendelsesområdet for det konkrete AI-system, hvilket kan medføre, at samme virksomhed møder flere myndigheder.
Lovforslaget viderefører og udvider myndighedernes beføjelser, herunder adgang til erhvervslokaler uden retskendelse, test på stedet, oplysningspligt og mulighed for kontrolkøb. Flere overtrædelser kriminaliseres, også for virksomheder der alene bruger AI. Det gør rolleafklaring mellem udbyder og idriftsætter afgørende. Forbuddene, gennemsigtighedskravene og pligten til at samarbejde med myndighederne gælder fra ikrafttrædelsen, mens reglerne for højrisiko-AI og AI i produkter får senere anvendelse. Hele lovforslaget kan læses hos Folketinget på dette link: L 3.
Harmoniseret standard EN 18286 under AI-forordningen
Europa-Kommissionen har offentliggjort henvisning i EU-Tidende til EN 18286, den første harmoniserede standard under AI-forordningen. Standarden, udviklet af CEN og CENELEC, giver en fælles ramme for kvalitetsledelse af AI-systemer med fokus på proceskrav til kvalitetssikring, risikostyring, gennemsigtighed og løbende overvågning.
Som harmoniseret standard giver efterlevelse af EN 18286 en formodning for overensstemmelse med de krav i AI-forordningen, som standarden dækker for højrisiko-AI. Anvendelsen er frivillig, men den tilbyder en anerkendt metode til at dokumentere compliance og reducere regulatorisk usikkerhed. Gennemførelsesafgørelsen kan læses hos EUR-Lex: henvisning til EN 18286.
Gør dit arbejde med sundhedsdata og AI lidt lettere efter Djøfs kursus
Læs mere her →Cyber Resilience Act: nye rapporteringspligter for digitale produkter
De første operative krav i Cyber Resilience Act (CRA) gælder nu. Producenter af hardware og software skal indberette aktivt udnyttede sårbarheder og alvorlige sikkerhedshændelser, der påvirker produkter med digitale elementer, via en fælles indberetningskanal til både den nationale CSIRT og EU’s cybersikkerhedsagentur ENISA. Øvrige hovedkrav træder i kraft senere. Læs Kommissionens nyhed her: safer and more secure digital products. Forordningsteksten findes her: CRA.
Virksomheder bør hurtigst muligt afklare deres rolle efter CRA (producent, importør eller distributør), da producentbegrebet kan ramme bredt. Samtidig bør de etablere intern governance for sårbarhedshåndtering, sikkerhedsopdateringer, dokumentation og incident response, så processer på tværs af jura, it-sikkerhed og forretning kan understøtte både CRA- og AI-krav effektivt.
