Checklista
EU:s AI-förordning – checklista för svenska företag
En praktisk genomgång av vad AI-förordningen innebär för ett företag som använder AI internt: hur ni klassar era system, vad som krävs per risknivå och hur det hänger ihop med GDPR.
Berör den er?
Om ni använder AI som påverkar människor eller beslut i verksamheten: sannolikt ja. Förordningen omfattar både leverantörer och användare av AI-system, och skyldigheterna som användare är reella även när ni köpt lösningen färdig.
Det första steget är enkelt och underskattat: att veta vilka AI-system som faktiskt används. I de flesta organisationer har verktyg införts avdelningsvis utan samlad överblick.
De fyra risknivåerna
Oacceptabel risk. Förbjudna tillämpningar, exempelvis social poängsättning och vissa former av manipulativ eller känsloavläsande AI på arbetsplatsen.
Hög risk. Bland annat AI i rekrytering och personalbeslut, kreditbedömning och säkerhetskritiska komponenter. Omfattas av krav på riskhantering, datastyrning, dokumentation, loggning, mänsklig tillsyn och robusthet.
Begränsad risk. Framför allt transparenskrav – användare ska veta att de interagerar med AI, och AI-genererat innehåll ska gå att identifiera.
Minimal risk. Merparten av vardagens tillämpningar. Inga särskilda krav, men god praxis är fortsatt god praxis.
Checklista: åtta punkter att gå igenom
1. Inventera samtliga AI-system i organisationen, inklusive de som införts avdelningsvis.
2. Klassificera varje system enligt risknivåerna ovan.
3. Utse en ansvarig för AI-frågor med mandat att stoppa användning.
4. Dokumentera syfte, datakällor och begränsningar för varje system.
5. Säkerställ mänsklig tillsyn där systemet påverkar individer – och att den som utövar tillsynen har möjlighet att gå emot förslaget.
6. Aktivera loggning så att beslut går att rekonstruera i efterhand.
7. Höj AI-kompetensen hos dem som använder systemen; kompetenskravet är uttryckligt i förordningen.
8. Ta in AI-frågan i leverantörsavtal – vem ansvarar för vad när modellen har fel?
Förhållandet till GDPR
De två regelverken överlappar men ersätter inte varandra. GDPR styr behandlingen av personuppgifter: rättslig grund, minimering, registrerades rättigheter och den särskilda regleringen av automatiserat beslutsfattande. AI-förordningen styr AI-systemets risk och livscykel oavsett om personuppgifter är inblandade.
Praktiskt tjänar man på att hantera dem tillsammans. En konsekvensbedömning som täcker båda perspektiven blir både billigare och mer användbar än två separata processer.
Vad ni bör göra först
Börja med inventeringen. Den kräver ingen juridisk expertis, tar oftast några dagar och avgör hur stort resten av arbetet blir. Är alla system minimal risk är det en kort resa. Finns AI i rekryteringsflödet är det en längre – och då är det bättre att veta det nu.
Notera att bestämmelserna införs stegvis; kontrollera vilka delar som gäller vid er tidpunkt hos ansvarig tillsynsmyndighet innan ni sätter er tidplan.
Läs vidare
Vanliga frågor
Gäller AI-förordningen även om vi bara köper AI, inte bygger den?
Ja. Förordningen lägger skyldigheter både på den som utvecklar och den som använder ett AI-system. Som användare har ni bland annat ansvar för hur systemet används, för mänsklig tillsyn och för att personal har tillräcklig kompetens.
Vad räknas som högrisk?
Bland annat AI som används vid rekrytering, urval, befordran och uppsägning, samt vid kreditbedömning och i vissa säkerhetskritiska produkter. HR-området är alltså särskilt relevant för många företag.
Räcker det att vi följer GDPR?
Nej, de reglerar olika saker. GDPR handlar om personuppgifter, AI-förordningen om AI-systemets risk – även när inga personuppgifter behandlas. Ofta gäller båda samtidigt.
Hjälper lokal AI oss med efterlevnaden?
Det förenklar mycket av GDPR-delen eftersom data inte lämnar organisationen och tredjelandsöverföringar undviks. Kraven på dokumentation, tillsyn och riskhantering i AI-förordningen gäller dock oavsett var modellen körs.