Foto: Grette
Av advokat Peter Lenda, advokatfirmaet Grette.
AI-forordningen er på vei. Etter at lovteksten for noen uker siden ble vedtatt av EU-parlamentets komite for det indre marked og forbrukerbeskyttelse (IMCO), er det ventet at den vil bli stemt over av EU-parlamentet i begynnelsen av april. Etter at den passerer EU-rådet så kan forordningen ventes å tre i kraft i overgangen mellom april/mai. Fremover skal vi ta for oss sentrale sider av forordningen. Først ute er unntaksbestemmelsen knyttet til løsninger som ikke skal klassifiseres som høyrisiko AI-systemer. Et viktig unntak som kan gi større trygghet for bruk av AI for både tilbydere og kjøpere av AI-løsninger.
Klassifisering av høyrisiko AI-systemer står sentralt i forordningen
AI-forordningen kommer med en risikobasert inndeling av AI-systemer hvor de AI-løsninger som gir høyest risiko for borgeres grunnleggende friheter og rettigheter vil være ulovlig, slik som "social scoring". Nivået under er høyrisiko AI-systemer med en streng og omfattende regulering. Det vil derfor være av største betydning i praksis for et selskap som ønsker å benytte eller på annen måte være involvert i AI-systemer å avgjøre om AI-systemet det bruker, utvikler, importerer, distribuerer eller implementerer, utgjør et høyrisiko AI-system. Eksempelvis vil det komme et krav om sertifisering av høyrisiko AI-systemer som vil innebære økte kostnader og tid før de kan tas i bruk. Under høyrisiko AI-systemer er de regulatoriske kravene mer begrenset.
Hva er så et høyrisiko AI-system? AI-forordningen vurderer to typer AI-systemer som høyrisiko:
AI-systemer ment å brukes som et produkt (eller sikkerhetskomponenten av et produkt) omfattet av spesifikk EU-lovgivning, slik som sivil luftfart, kjøretøy sikkerhet, marineutstyr, leketøy, heiser, trykkutstyr og personlig verneutstyr.
AI-systemer oppført i Vedlegg III, slik som fjernstyrte biometrisk identifikasjonssystemer, AI-systemer brukt som en sikkerhetskomponent i kritisk infrastruktur, og AI-systemer brukt i utdanning, arbeid, kredittvurdering, rettshåndhevelse, migrasjon og den demokratiske prosessen.
Hvordan et system vil klassifiseres som et høyrisiko AI-system vil være av stor betydning for om en virksomhet vil tørre å ta en AI-løsning i bruk. Gode veiledninger for klassifisering vil her være avgjørende for å sikre at løsninger tas i bruk uten opphold. Og spesielt vil dette gjelde hvordan unntak eller definisjonen fra å bli klassifisert som et høyrisiko AI-system vil forstås, og som vil kunne gi større trygghet for å ta i bruk AI-løsninger som ikke er å anse som høyrisiko AI-systemer.
Støttesystemer som et unntak fra høyrisiko AI-systemer
Det er her unntaket for støttesystemer kommer inn. Unntaket fremkommer av utkastet til AI-forordningen artikkel 6 nr 2a, og det er nærmere omtalt i fortalens punkt 32a. Det presiseres i forordningen av «formålet med forordningen er at et AI-system som ikke i vesentlig grad påvirker utfallet av beslutningsprosesser, forstås som et AI-system som ikke påvirker substansen, og dermed utfallet, av beslutningsprosesser, enten de er menneskelige eller automatiserte» (vår oversettelse). Det sentrale er altså at systemet i seg selv ikke i vesentlig grad påvirker utfallet av beslutningsprosesser. Det taler for at du kan benytte et AI-system som støtte eller hjelp til beslutninger, men det skal ikke være det avgjørende. Dette kan gi grunnlag for tvil, for når begynner vi å stole på et system så mye at vi gir det avgjørende betydning?
Men for å kunne klassifiseres som et støttesystemer som ikke er et høyrisiko AI-systemer, må visse kriterier møtes. Dette vil være tilfelle der AI-systemet møter en eller flere av kriteriene, slik som:
Derimot, hvis AI-systemet utfører profilering av fysiske personer, anses det alltid som et høyrisiko AI-system.
Forståelse for praktisering blir sentralt
Som med GDPR vil det kunne ventes retningslinjer innen forståelsen av AI-forordningen. For forståelsen av støttesystem-unntaket vil slike retningslinjer kunne bli meget viktige. Dette er fordi unntaket i praksis vil være sentralt for å kunne unngå den høye regulatoriske byrden og kostnaden som følger med klassifiseringen som et høyrisiko AI-system. Dette vil gjelde både tilbydere av en AI-løsning, for at denne skal kunne tilbys til en kjøper eller videreselges, men også for kjøper av en løsning før denne tar i bruk løsningen (deployer). Hvis en leverandør ønsker å stole på dette unntaket vil det måtte dokumenteres og vurderes nøye. Merk at ved bruk av dette unntaket vil det også komme et krav om at AI-systemet må registreres i EU-databasen for høyrisiko AI-systemer før det blir satt på markedet eller tas i bruk.
Forordningens frister
Basert på utkastet og den ventede vedtakelsen i EU-parlamentet og av EU-rådet, så har vi forsøkt å legge en tentativ tidslinje for forordningens ikrafttredelse:
