AI-system med hög risk i fokus i nya förordningen

AI-förordningen som trädde i kraft i somras var i fokus när Almegas AI-forum hade höstens första träff. Förutom en uppskattad dragning av Integritetskyddsmyndighetens (IMY) Per Nydén hann deltagarna med att såväl framtidsspana som utbyta erfarenheter kring AI-frågor i olika branscher.

Efter att den första hypen kring artificiell intelligens nu har lagt sig så har många företag istället på allvar börjat se vad tekniken innebär just för deras organisation och bransch. Bland spaningarna som hördes i rummet fanns bland annat tankar kring att det händer mycket kring öppen källkod, där kvaliteten just nu höjs på flera sätt. Flera ser att man beställarsidan har ökat sin kunskap och ”ställer fler och bättre frågor”, istället för att be om en ”AI-lösning” på ett problem.

Inom vård och omsorg är automatisering av journalföring ett område som undersöks och någon annan ser också att AI-förordningen ritar om spelplanen lite. Lösningar som tidigare varit godkända kan behöva ses över.

Flera konstaterar att många bedömningar behöver göras när man ser över möjligheten att använda AI-system. Inte minst måste juridik och teknik behöver samspela tätt, något som också IMY:s Per Nydén kom in på i sin dragning av AI-förordningen.

– Tekniker och jurister behöver jobba tätt tillsammans i den här frågan, säger Per Nydén. Del behövs jurister öka sin förståelse för hur tekniken fungerar och dels behöver tekniksidan hjälpa juristerna.

Förordningen, också kallad AI-act, definierar och reglerar AI-system på fyra risknivåer: låg, begränsad, hög och oacceptabel (förbjuden) nivå. Det som främst kommer att regleras i AI-förordningen är AI-system som klassas som ”hög risk”.

Här finns både regler för den som utvecklar systemen och den som tillhandahåller, det vill säga exempelvis köper in och använder systemen.  AI-system med hög risk ska till exempel CE-märkas innan de släpps ut på marknaden inom EU.

– Inventera vilka AI-system ni använder idag eller kan komma att använda inom en snar framtid, uppmanade Per Nydén.

Förordningen trädde i kraft 1 augusti 2024 men inte förrän 2 augusti 2026 börjar majoriteten av reglerna i förordningen att gälla.

– Det är två år kvar, men många har mycket att förbereda så tiden kommer gå fort, säger Per Nydén och jämför med arbetet inför att GDPR började gälla i maj 2018.

Vad gäller AI-system med hög risk, är huvudregeln att AI-förordningen inte ska tillämpas på sådana system som släpps före 2 augusti 2026. Men genomgår ett högrisk-AI-system efter det datumet en betydande förändring kan man förenklat säga att det ska klassas som ett nytt system och då gäller förordningen.

– Många system lär släppas strax innan, spår Per Nydén som har ett annat viktigt medskick:

–GDPR kommer att gälla parallellt med AI-förordningen, de ersätter inte varandra.