Foto: Grette

Foto: Grette

AI-forordningen og unntak for høyrisikosystemer

Av advokat Peter Lenda, advokatfirmaet Grette.

AI-forordningen er på vei. Etter at lovteksten for noen uker siden ble vedtatt av EU-parlamentets komite for det indre marked og forbrukerbeskyttelse (IMCO), er det ventet at den vil bli stemt over av EU-parlamentet i begynnelsen av april. Etter at den passerer EU-rådet så kan forordningen ventes å tre i kraft i overgangen mellom april/mai. Fremover skal vi ta for oss sentrale sider av forordningen. Først ute er unntaksbestemmelsen knyttet til løsninger som ikke skal klassifiseres som høyrisiko AI-systemer. Et viktig unntak som kan gi større trygghet for bruk av AI for både tilbydere og kjøpere av AI-løsninger.


Klassifisering av høyrisiko AI-systemer står sentralt i forordningen

AI-forordningen kommer med en risikobasert inndeling av AI-systemer hvor de AI-løsninger som gir høyest risiko for borgeres grunnleggende friheter og rettigheter vil være ulovlig, slik som "social scoring". Nivået under er høyrisiko AI-systemer med en streng og omfattende regulering. Det vil derfor være av største betydning i praksis for et selskap som ønsker å benytte eller på annen måte være involvert i AI-systemer å avgjøre om AI-systemet det bruker, utvikler, importerer, distribuerer eller implementerer, utgjør et høyrisiko AI-system. Eksempelvis vil det komme et krav om sertifisering av høyrisiko AI-systemer som vil innebære økte kostnader og tid før de kan tas i bruk. Under høyrisiko AI-systemer er de regulatoriske kravene mer begrenset.

Hva er så et høyrisiko AI-system? AI-forordningen vurderer to typer AI-systemer som høyrisiko:

AI-systemer ment å brukes som et produkt (eller sikkerhetskomponenten av et produkt) omfattet av spesifikk EU-lovgivning, slik som sivil luftfart, kjøretøy sikkerhet, marineutstyr, leketøy, heiser, trykkutstyr og personlig verneutstyr.

 

AI-systemer oppført i Vedlegg III, slik som fjernstyrte biometrisk identifikasjonssystemer, AI-systemer brukt som en sikkerhetskomponent i kritisk infrastruktur, og AI-systemer brukt i utdanning, arbeid, kredittvurdering, rettshåndhevelse, migrasjon og den demokratiske prosessen.

 

Hvordan et system vil klassifiseres som et høyrisiko AI-system vil være av stor betydning for om en virksomhet vil tørre å ta en AI-løsning i bruk. Gode veiledninger for klassifisering vil her være avgjørende for å sikre at løsninger tas i bruk uten opphold. Og spesielt vil dette gjelde hvordan unntak eller definisjonen fra å bli klassifisert som et høyrisiko AI-system vil forstås, og som vil kunne gi større trygghet for å ta i bruk AI-løsninger som ikke er å anse som høyrisiko AI-systemer.

 

Støttesystemer som et unntak fra høyrisiko AI-systemer

Det er her unntaket for støttesystemer kommer inn. Unntaket fremkommer av utkastet til AI-forordningen artikkel 6 nr 2a, og det er nærmere omtalt i fortalens punkt 32a. Det presiseres i forordningen av «formålet med forordningen er at et AI-system som ikke i vesentlig grad påvirker utfallet av beslutningsprosesser, forstås som et AI-system som ikke påvirker substansen, og dermed utfallet, av beslutningsprosesser, enten de er menneskelige eller automatiserte» (vår oversettelse). Det sentrale er altså at systemet i seg selv ikke i vesentlig grad påvirker utfallet av beslutningsprosesser. Det taler for at du kan benytte et AI-system som støtte eller hjelp til beslutninger, men det skal ikke være det avgjørende. Dette kan gi grunnlag for tvil, for når begynner vi å stole på et system så mye at vi gir det avgjørende betydning?

Men for å kunne klassifiseres som et støttesystemer som ikke er et høyrisiko AI-systemer, må visse kriterier møtes. Dette vil være tilfelle der AI-systemet møter en eller flere av kriteriene, slik som:

  • om de er ment å utføre en smal prosedyreoppgave;
  • forbedre resultatet av en tidligere utført menneskelig aktivitet;
  • oppdage beslutningsmønstre eller avvik fra tidligere beslutningsmønstre og ikke er ment å erstatte eller påvirke den tidligere utførte menneskelige vurderingen, uten tilstrekkelig menneskelig gjennomgang; eller
  • utføre en forberedende oppgave til en vurdering.

Derimot, hvis AI-systemet utfører profilering av fysiske personer, anses det alltid som et høyrisiko AI-system.

 

Forståelse for praktisering blir sentralt

Som med GDPR vil det kunne ventes retningslinjer innen forståelsen av AI-forordningen. For forståelsen av støttesystem-unntaket vil slike retningslinjer kunne bli meget viktige. Dette er fordi unntaket i praksis vil være sentralt for å kunne unngå den høye regulatoriske byrden og kostnaden som følger med klassifiseringen som et høyrisiko AI-system. Dette vil gjelde både tilbydere av en AI-løsning, for at denne skal kunne tilbys til en kjøper eller videreselges, men også for kjøper av en løsning før denne tar i bruk løsningen (deployer). Hvis en leverandør ønsker å stole på dette unntaket vil det måtte dokumenteres og vurderes nøye. Merk at ved bruk av dette unntaket vil det også komme et krav om at AI-systemet må registreres i EU-databasen for høyrisiko AI-systemer før det blir satt på markedet eller tas i bruk.

 

Forordningens frister

Basert på utkastet og den ventede vedtakelsen i EU-parlamentet og av EU-rådet, så har vi forsøkt å legge en tentativ tidslinje for forordningens ikrafttredelse:

  • AI-forordningen vil tre i kraft 20 dager etter publisering i EU-tidende (Official Journal), hvilket vil si mot slutten av april/begynnelsen av mai 2024. Etter ikrafttredelse vil følgende tidsplaner følge:
  • Etter 6 måneder: håndhevelse av forbudte AI-praksiser vil begynne (estimert okt/nov 2024).
  • Etter 12 måneder: Krav til visse typer generativ AI (eller mer presist «general purpose AI models») vil tre i kraft, bortsett fra løsninger som har blitt satt på markedet før denne datoen; disse vil gjelde etter ytterligere 24 måneder (estimer til april/mai 2025). Ps. I neste IT-Gruk om AIA ser vi på denne type modeller.
  • Etter 24 måneder: AI-forordningen vil gjelde, og de fleste andre forpliktelsene vil tre i kraft fra denne datoen (estimert til april/mai 2026).
  • Etter 36 måneder: forpliktelser for høyrisiko-systemer oppført i Vedlegg II vil tre i kraft (estimert til april/mai 2027).
  • Etter 48 måneder: forpliktelser for høyrisiko AI-systemer ment for bruk av offentlige myndigheter som var på markedet før AI-loven trådte i kraft, vil tre i kraft (estimert til april/mai 2028). Da vil bøtesystemet komme for fullt.
Tilbake
 

Erik Sønsterud utnevnt til permanent administrerende direktør i Brav

 
Innholdsmarkedsføring:
ZIENER is looking for a independent sales agent for Norway!
 
Lars Syse Christiansen utnevnt til ny finansdirektør i XXL Group
 
Aclima overtar europeiske distribusjonsrettigheter fra Odex Aps
 
Sprek 50-års markering for Osprey i Lofoten