AI-förordningen - EU
AI-förordningen i EU
AI-förordningen i EU reglerar utveckling och användning av AI-modeller inom unionen. Målet med förordningen är att skapa en etisk hållbar och trygg miljö för innovation inom AI och samtidigt skydda de fri- och rättigheter som medborgarna har.
Tidsplan för när förordningen träder i kraft
- 1 augusti 2024: Delar av AI-förordningen börjar att gälla.
- Maj 2025: Praxisregler börjar tillämpas.
- 2 februari 2025: Det är inte längre tillåtet att utveckla eller använda AI-modeller med oacceptabel risk.
- 2 augusti 2025: Kraven för allmänna ändamål för AI-modeller börjar att gälla, som bland annat innebär att de måste uppfylla transparenskraven.
- 2 augusti 2026: Hela AI-förordningen börjar gälla och är tillämpbar.
Information om AI-förordningen i EU
AI-förordningen i EU har blivit en viktig del av vardagen för många, speciellt företag, eftersom det finns många fördelar med att använda AI-modeller. EU har därför valt att reglera området, för att skapa en bra miljö både för innovation och medborgarna.
Finns det riktlinjer om AI-förordningen?
Ja, du kan hitta olika riktlinjer som EU-kommissionen publicerar löpande på deras webbplats. Däremot finns det ingen direkt samlingssida för att kunna hitta dem på ett enkelt sätt. Här är några av de riktlinjer som de har publicerat:
Förhållandet mellan GDPR och AI-förordningen
AI-förordningen gäller parallellt med GDPR. Om en AI-modell behandlar personuppgifter, oavsett om det sker vid användningen eller utvecklingen, gäller GDPR. Om en AI-modell inte behandlar personuppgifter, gäller enbart AI-förordningen. Dessutom kan det finnas fler lagar och förordningar att ha i beaktande, beroende på vad det är för typ av AI-modell som utvecklas eller används.
De olika risknivåerna enligt AI-förordningen i EU
AI-förordningen i EU reglerar och skiljer mellan fyra olika risknivåer. Det bygger således på ett riskbaserat tillvägagångssätt. Nedan kan du läsa mer om dessa risknivåer, som utgörs av följande: oacceptabel risk, hög risk, begränsad risk, minimal eller ingen risk.
Oacceptabel risk
Det är inte tillåtet att utveckla eller använda AI-modeller som innebär en oacceptabel risk enligt AI-förordningen. Däremot finns det undantag. Exempelvis kan det vara tillåtet vid brottsbekämpningssyfte. Följande åtta (8) metoder uppfyller kraven för att anses utgöra en oacceptabel risk:
- Social poängsättning.
- Skadlig manipulation och vilseledning som är AI-baserad.
- Skadligt utnyttjande av sårbarheter som är AI-baserad.
- Bedöma eller förutse risken för enskilda brott.
- Känsloigenkänning vid arbetsplatser eller utbildningsinstitutioner.
- Skapa eller utöka databaser för ansiktsigenkänning, genom att skrapa internet eller CCTV-material via oriktad skrapning.
- Biometrisk kategorisering, för att härleda vissa egenskaper som är skyddade.
- Biometrisk fjärridentifiering i realtid med brottsbekämpande syfte på platser som är allmänt tillgängliga.
Hög risk
Det finns två kategorier av AI-modeller som anses vara av hög risk enligt AI-förordningen. Det kan vara tillåtet, men kräver bland annat att företag utför en riskbedömning.
1. Den första kategorin handlar om AI-modeller som regleras av EU:s produktsäkerhetslagstiftning. Exempelvis:
- Leksaker.
- Bilar.
- Medicintekniska produkter.
- Flyg.
2. Den andra kategorin avser de AI-modeller måste bli registrerade i en EU-databas och faller inom någon av dessa sju områden:
- Utbildning/yrkesutbildning.
- Både hantering och drift av infrastruktur som är kritisk.
- Brottsbekämpning.
- Hantering av asyl, migration och gränskontroll.
- Sysselsättning, förvaltning av arbetstagare och tillgång till egenföretagande.
- Hjälp med rättslig tolkning och tillämpning av lagen.
- Tillgång till och ägande av nödvändig egendom som är privat.
Begränsad risk
Det finns regler även för AI-modeller som har en begränsad risk. Exempelvis vissa transparensskyldigheter. Kraven är att:
- Innehållet måste märkas att det har blivit genererat av AI.
- AI-modellen ska utformas på ett sätt så att den inte genererar olagligt innehåll. Om upphovsrättsskyddad data har använts vid träning av AI-modellen, måste sammanfattningar av det offentliggöras.
Minimal eller ingen risk
EU-förordningen innehåller dessutom regler för AI-modeller som anses ha en minimal eller ingen risk. Många AI-modeller ingår i denna kategori. Exempel på AI-modeller med minimal risk:
- Spamfilter
- AI-aktiverade videospel
Vem bedömer risken med AI-modellen?
It is for the provider of the AI model to assess whether which of the four levels of risk in the AI Act applies to the AI model in question. The risks can relate both to how the system is designed and how it is used.
Det är leverantören av AI-modellen som måste göra en bedömning av huruvida vilken av de fyra risknivåerna i AI-förordningen som gäller för AI-modellen ifråga. Riskerna kan både handla om hur systemet utformas och hur det används.
AI-regulatorisk sandlåda
En leverantör av en AI-modell ska kunna testa och utvärdera systemet innan det börjar användas eller släpps på marknaden inom EU. Det är länderna i EU som ska se till att det finns regulatoriska sandlådor.
Ansvarig myndighet för tillsyn av AI-förordningen
Det kan vara flera myndigheter i ett medlemsland som ansvarar för marknadskontrollen av AI-förordningen, även kallat för tillsynsuppgifter. Däremot måste det finnas en myndighet som har det övergripande ansvaret. Det kommer att finnas möjlighet för medborgare att kunna lämna in klagomål till nationella myndigheter avseende AI-modeller.
Mer info
Personuppgiftsansvar vid utveckling och användning av AI-modeller
Det är viktigt att veta vilket företag som är personuppgiftsansvarig vid utveckling och användning av AI-modeller. Företaget som bestämmer ändamålet och har det yttersta ansvaret för personuppgiftsbehandlingen, är personuppgiftsansvarig. Vissa fall kan det vara två eller fler företag som är gemensamt personuppgiftsansvariga. Exempelvis två företag som utvecklar en AI-modell tillsammans för dela på utvecklingskostnaderna. Dessutom är det möjligt att överlåta behandlingen av personuppgifter till ett personuppgiftsbiträde, men det är inte möjligt att överlåta det självaste ansvaret.