EU godkender AI Act: Verdens første bindende AI-regulering træder i kraft

EU’s AI Act er nu en realitet. Den 21. maj 2024 godkendte EU-Rådet formelt Forordningen vedrørende kunstig intelligens, verdens første bindende lovgivning for AI, og satte dermed punktum for mere end tre års intense forhandlinger. Loven, der blev foreslået af Europa-Kommissionen den 21. april 2021 og vedtaget af Europa-Parlamentet den 13. marts 2024 med 523 stemmer for, 46 imod og 49 hverken-for-eller-imod, introducerer en risikobaseret tilgang til regulering af AI-systemer – en model, der vil få vidtrækkende konsekvenser for virksomheder, iværksættere og den offentlige sektor i hele Europa, herunder Danmark.

At forordningen er historisk, skyldes ikke mindst dens ambitiøse mål: at skabe et fælles retligt rammeværk, der både fremmer innovation og beskytter borgere mod skadelig AI. For danske aktører betyder det, at de fra nu af skal navigere i et nyt reguleringslandskab, hvor overholdelse af AI Act bliver en forudsætning for at operere på det europæiske marked. Samtidig rejser loven spørgsmål om, hvordan den vil påvirke konkurrenceevnen i forhold til lande som USA og Kina, hvor reguleringen endnu er langt mere lempelig. Loven træder i kraft 20 dage efter offentliggørelsen i EU-Tidende og etablerer desuden et nyt EU-organ, European Artificial Intelligence Board, til at sikre nationalt samarbejde og overholdelse.

En risikobaseret model med fire niveauer og særlige regler for generativ AI

AI Act indfører en skarp klassificering af AI-systemer baseret på deres potentielle risiko for samfundet. Systemerne inddeles i fire kategorier, hvoraf den strengeste – uacceptabel risiko – omfatter forbudte anvendelser som social scoring, biometrisk kategorisering til retshåndhævelse og manipulation af adfærd. Disse systemer er totalforbudt i EU, og forbuddet træder i kraft allerede seks måneder efter lovens ikrafttræden.

Den næststrengeste kategori, høj risiko, dækker AI anvendt i kritisk infrastruktur, uddannelse, rekruttering, retsvæsen og sundhedsvæsen. Her kræves omfattende overensstemmelsesvurderinger, dokumentation af sikkerhed, gennemsigtighed og kvalitetsstyring. De fleste forpligtelser for disse systemer gælder først fra 24 måneder efter ikrafttræden, mens visse specifikke forpligtelser for allerede eksisterende højrisiko-systemer først træder i kraft efter 36 måneder.

For begrænset risiko gælder primært gennemsigtighedsforpligtelser, så brugerne ved, at de interagerer med AI – for eksempel i chatbots. Minimal risiko, som omfatter AI i spil eller spamfiltre, reguleres derimod slet ikke yderligere.

En særlig opmærksomhed retter sig mod AI til generelle formål (GPAI), herunder generativ AI som ChatGPT. Disse systemer skal opfylde krav om teknisk dokumentation, og ved systemisk påvirkning skal der foretages yderligere evaluering. Adfærdskodekser for GPAI skal være på plads efter ni måneder, mens reglerne for GPAI træder i kraft efter 12 måneder.

Implementering og tilsyn: Rollerne fordelt på EU- og nationalt niveau

AI Act etablerer European Artificial Intelligence Board som det centrale EU-organ til at sikre samarbejde mellem medlemsstaterne og overvåge implementeringen. I Danmark er Digitaliseringsstyrelsen udpeget som den nationale koordinerende tilsynsmyndighed. Organisationer som DI Digital har været aktive i debatten om lovens praktiske konsekvenser, herunder digitaliseringspolitisk chef Mette Finnemann, der har udtalt sig om behovet for reel forenkling og investeringsincitamenter.

Tidslinjen for ikrafttræden er lagt an med følgende overgangsperioder: - 6 måneder: Forbud mod AI med uacceptabel risiko træder i kraft. - 9 måneder: Adfærdskodekser for GPAI skal være klar. - 12 måneder: Regler for GPAI gælder. - 24 måneder: Hovedparten af forpligtelserne for højrisiko-AI træder i kraft. - 36 måneder: Specifikke forpligtelser for allerede eksisterende højrisiko-systemer gælder.

Europa-Kommissionen står for implementeringsretsakter, mens Europa-Parlamentet og EU-Rådet har været ansvarlige for vedtagelsen. DI Digital har i sine høringssvar om relateret lovgivning, herunder Digital Networks Act, peget på risikoen for dobbeltregulering og øgede administrative byrder, når AI Act skal samspille med anden EU-lovgivning som Digital Services Act, Digital Markets Act og GDPR.

Kritik og usikkerheder: Dobbeltregulering og manglende præcision

Selvom AI Act roses for at skabe forudsigelighed og fælles standarder på det indre marked, har kritikerne peget på flere udfordringer. En af de største bekymringer er, at mange af lovens konkrete krav endnu ikke er fastlagt. Det skyldes, at Europa-Kommissionen skal udarbejde en række delegerede retsakter, der vil præcisere de tekniske og administrative detaljer. Dette skaber usikkerhed for virksomhederne, der ikke ved, præcis hvilke forpligtelser de skal leve op til.

Derudover frygter nogle, at de strenge krav til højrisiko-AI kan gøre det sværere for europæiske virksomheder – særligt startups – at konkurrere med aktører fra USA og Kina, hvor reguleringen er mindre restriktiv. Brancheforeninger som DI Digital har advaret om, at AI Act sammen med anden EU-lovgivning kan skabe dobbeltregulering, der hæmmer innovation og investeringer. Samtidig understreges det, at harmoniserede regler kan styrke tilliden til europæisk AI og gøre det mere attraktivt for investorer og kunder.

”Der er behov for reel forenkling og investeringsincitamenter, hvis vi skal sikre, at europæiske virksomheder kan konkurrere på lige vilkår.”

— Mette Finnemann, digitaliseringspolitisk chef, DI Digital

Hvad betyder AI Act for danske virksomheder, iværksættere og den offentlige sektor?

For danske aktører markerer AI Act et paradigmeskift i tech-regulering. Alle virksomheder, der udvikler eller bruger AI i professionel sammenhæng, skal sikre sig, at deres systemer overholder de nye krav. Det gælder særligt inden for områder som sundhed, uddannelse, rekruttering og kritisk infrastruktur, hvor AI oftest falder under højrisiko-kategorien og dermed kræver omfattende dokumentation og risikovurdering.

For virksomheder betyder det, at de skal kortlægge deres nuværende og fremtidige AI-systemer og iværksætte de nødvendige compliance-foranstaltninger. Det kan omfatte alt fra HR-software til medicinsk diagnostik, hvor fejl eller bias kan have alvorlige konsekvenser. For iværksættere kan de harmoniserede regler åbne nye muligheder på tværs af EU, men de skal også være opmærksomme på de administrative byrder, der følger med overholdelsen af lovens krav. For den offentlige sektor, der i stigende grad bruger AI i sagsbehandling, sundhedsvæsen og uddannelse, vil kravene om dokumentation og risikovurdering blive en central del af arbejdet med at implementere teknologien.

AI Act vil påvirke alt fra kommunale sagsbehandlingssystemer til nationale sundhedsplatforme, hvor AI kan spille en afgørende rolle i beslutningsprocesser. Samtidig kan loven styrke tilliden til europæisk AI ved at sikre, at systemerne er sikre, gennemsigtige og i overensstemmelse med grundlæggende rettigheder.

Mens lovens fulde effekt først vil mærkes om nogle år, bør danske aktører allerede nu begynde at forberede sig. De kommende måneder og år vil vise, om forordningen formår at balancere innovation og beskyttelse – eller om den i stedet bliver en byrde, der svækker Europas konkurrenceevne på det globale tech-marked.