Ny regulering på vej
EU-Kommissionens nye hvidbog indeholder et bud på en ny lovgivningsmæssig ramme for regulering af AI. Denne ramme består overordnet af følgende elementer:
- Mulige tilpasninger af den nuværende regulering
- Nye retlige krav til AI-løsninger med høj risiko
- Nyt krav om forudgående konformitetsvurdering
- Frivillig mærkningsordning
Mulige tilpasninger af den nuværende regulering
EU-Kommissionen mener, at den gældende lovgivning kan styrkes, så den i højere grad adresserer de risici, som AI-løsninger medfører. Følgende problemfelter finder EU-Kommissionen særligt relevante at håndtere:
- Uigennemsigtig AI besværliggør effektiv anvendelse og håndhævelse af EU- og national regulering
- Den gældende EU-regulering har begrænsninger, der hindrer passende regulering af AI, navnlig vedr. sikkerhed af produkter og services baseret på AI
- Risici, der opstår i løbet af AI-løsningers livscyklus, håndteres ikke tilstrækkeligt i den eksisterende EU-regulering
- Der er uvished om ansvarsfordelingen mellem de forskellige aktører, der optræder i forsyningskæden, herunder producent og kunde, når AI-løsningen ændrer sig undervejs grundet træning af algoritmen
- AI kan give anledning til nye risici, der ikke direkte bliver adresseret i den eksisterende EU-regulering, herunder cybersikkerhed, personskade m.v.
EU-Kommissionen ønsker at håndtere disse problemfelter på EU-niveau fremfor på nationalt plan for at sikre det indre marked og global konkurrencedygtighed.
Nye retlige krav til AI-løsninger med høj risiko
Udover tilpasninger af gældende EU-lovgivning, ønsker EU-Kommissionen at introducere en ny lovgivningsmæssig ramme for regulering af AI. For at undgå at lovgivningen bliver unødvendigt indgribende og byrdefuld for de aktører, der beskæftiger sig med AI, lægger EU-Kommissionen op til en risikobaseret tilgang. Denne risikobaserede tilgang indebærer, at de nye retlige krav alene finder anvendelse på AI-løsninger, der kan anses for at være af ”høj risiko”.
En AI-løsning er ifølge EU-Kommissionen af ”høj risiko”, hvis begge følgende kriterier er opfyldt:
- AI-løsningen anvendes i en sektor, hvor væsentlige risici generelt må forventes at forekomme, f.eks. sundhedssektoren, transportsektoren, energisektoren og dele af den offentlige sektor (herunder bl.a. asyl, migration, grænsekontrol, domstolene, socialforsorg, beskæftigelsesområdet m.v.). De relevante sektorer vil være udtømmende opregnet i den kommende ramme for regulering.
- AI-løsningen anvendes på en måde, der indebærer, at væsentlige risici sandsynligvis vil opstå. Dette vil bl.a. være tilfældet, hvis anvendelsen har juridiske eller tilsvarende betydelige virkninger for enkeltpersoners eller virksomheders rettigheder, eller hvis anvendelsen udgør en risiko for personskade, død eller betydelig materiel eller immateriel skade. Inspirationen fra databeskyttelsesforordningen er her tydelig.
En AI-løsning vil med andre ord alene være omfattet af den nye regulering, hvis AI-løsningen anvendes i en relevant sektor og i sig selv indebærer sandsynlige, væsentlige risici.
Typer af krav
EU-Kommissionen kommer med et bud på følgende temaer, som reguleringen kan stille obligatoriske krav til for højrisiko-AI-løsninger:
- Træningsdata – undgå bias og sikre sikkerhed
- Data og journalføring – krav om dokumentation for og opbevaring af datasæt, programmering og tests m.v.
- Informationsforpligtelser – herunder tydelig markering af AI-løsningens begrænsninger m.v.
- Robusthed og nøjagtighed – sikre datakvalitet og reproducerbarhed m.v.
- Menneskeligt tilsyn (”human oversight”) – sikre forskellige former for menneskelig involvering og validering
- Specifikke krav for særlige former for AI-løsninger, f.eks. løsninger der anvendes til biometrisk fjernidentifikation
Det fremgår mere specifikt af hvidbogen, hvad der nærmere kan stilles af krav under disse temaer.
Krav om forudgående konformitetsvurdering
Udover de retlige krav til AI-løsninger med høj risiko, overvejer EU-Kommissionen at opstille et generelt krav om forudgående konformitetsvurdering (”objective, prior conformity assessment”). Dette krav har til formål at verificere og sikre, at AI-løsninger lever op til de relevante krav inden idriftsættelse.
Den forudgående vurdering kan bestå i afprøvning, inspektion eller certificering af AI-løsningen, herunder tjek af AI-løsningens algoritme og træningsdatasæt. Generelt åbner EU-Kommissionen op for, at standarder og online-værktøjer kan spille en central rolle og facilitere compliance i forhold til dette krav. Dette vil især være gældende for små og mellemstore virksomheder, der ikke har ressourcerne til selv at foretage vurderingen.
Kravet om forudgående konformitetsvurdering udgør dog ikke en vedvarende godkendelse af AI-løsningen. Der vil stadigvæk være mulighed for efterfølgende kontrol, f.eks. udført af nationale tilsynsmyndigheder.
