Ny krav til ansvarlig brug af AI i offentlig sektor fra 2026

Offentlige myndigheder og private virksomheder, der leverer offentlige tjenester eller opererer i regulerede sektorer som sundhed, forsikring og finans, står over for en ny, omfattende forpligtelse inden for kunstig intelligens. Fra august 2026 skal brugere af højriskant AI-systemer – såkaldte "deployers" – foretage en grundlæggende rettigheds-vurdering (Fundamental Rights Impact Assessment, FRIA) før systemet tages i brug. Kravet er en del af EU’s kunstige intelligens-forordning (AI Act) og sigter mod at forebygge skader på menneskerettigheder som privatliv, ligestilling og frihed for diskrimination. For danske ledere og specialister er det ikke længere et spørgsmål om, om FRIA skal implementeres, men hvordan – og om man er klar i tide.

Det er især i sektorer med direkte indvirkning på borgere, hvor AI-systemer kan have langtrækkende konsekvenser, at FRIA får størst betydning. I Danmark, hvor offentlige myndigheder allerede har erfaring med vurderinger af databeskyttelse (DPIA), er der en vis forståelse for systematisk risikovurdering. Men FRIA er mere end en teknisk kontrolliste – den fordrer en aktiv, strategisk tilgang til menneskerettigheder. Ifølge en ny vejledning fra Det Danske Institut for Menneskerettigheder (DIHR) og European Center for Not-For-Profit Law (ECNL) må FRIA ikke reduceres til en formularfyldning. Den skal være en levende proces, hvor berørte parter inddrages, og hvor organisationer reflekterer over, hvordan AI påvirker sårbarheder i samfundet. Projektet, der løb fra januar til juni 2025 og blev finansieret af European Artificial Intelligence & Society Fund, understreger, at manglende forberedelse kan føre til juridiske risici, offentlig kritik og tab af tillid.

Baggrund: Hvorfor FRIA er et redskab for medlemsstater

FRIA indgår i artikel 46 i AI Act og gælder specifikt for brugere af AI-systemer, der falder ind under Annex III – de såkaldte højriskant systemer. Det omfatter blandt andet systemer til ansættelsesvurdering, kreditvurdering, adgang til sociale ydelser og sundhedsdiagnostik. Undtagelser findes dog: systemer til kritisk infrastruktur som transport og energi er ikke omfattet, hvilket har givet anledning til kritik fra menneskerettighedsorganisationer. Ifølge juristen Eduardo Gill-Pedro fra Lunds Universitet er FRIA-designet som et minimumskrav, hvilket betyder, at medlemsstater frit kan indføre strengere regler uden at stride mod EU-retten. Dette adskiller FRIA fra reglerne for AI-udviklere, som er fuldt harmoniserede for at sikre fri varehandel inden for EU. FRIA giver derfor medlemsstater en unik mulighed for at skræddersy beskyttelsen af grundlæggende rettigheder efter deres egen juridiske og samfundsmæssige kontekst – noget, der sætter Danmark i en stærk position til at forankre menneskerettigheder i sin digitale transformation.

Krav og indhold: Hvad skal en FRIA indeholde?

En FRIA skal foretages før systemet tages i brug, men brugeren kan bygge på tidligere vurderinger, så længe de er opdaterede og aktuelle. Vurderingen skal dokumentere flere konkrete elementer: systemets anvendelsesformål og -frekvens, hvilke befolkningsgrupper der er berørt, og hvilke konkrete risici der identificeres – herunder diskrimination, overvågning og manglende gennemsigtighed. Disse risici skal baseres på informationer fra leverandøren, men brugeren har selv ansvaret for at vurdere, om de er tilstrækkelige. Desuden skal der beskrives, hvordan menneskelig tilsyn sikres, og hvilke reaktionsplaner der er ved identificerede risici – fx hvordan man griber ind, hvis et AI-system systematisk diskriminerer en gruppe. Resultaterne skal rapporteres til den kompetente tilsynsmyndighed, medmindre der gælder en undtagelse. I Danmark vil det sandsynligvis være Datatilsynet eller en ny, særskilt AI-tilsynsmyndighed, der endnu ikke er oprettet. Den Europæiske AI-Office arbejder på at udvikle en standardiseret skabelon for FRIA, men den endelige form er endnu ikke offentliggjort. Det betyder, at organisationer allerede nu må forberede sig med ufuldstændige informationer – og risikere at skulle omstrukturere sine processer senere.

Praktiske udfordringer og risici ved implementering

En af de største udfordringer ved FRIA er, at den ikke kun er en juridisk forpligtelse, men en kulturel og organisatorisk omstilling. Mange organisationer mangler både kompetencer og ressourcer til at gennemføre en meningsfuld vurdering. Vejledningen fra DIHR og ECNL advarer mod, at FRIA bliver en "tick-box exercise", hvor man udelukkende udfylder en formular uden at inddrage eksperter eller berørte parter. Det kan medføre, at alvorlige risici overses – især for sårbarheder i marginaliserede grupper. Eksempelvis har tidligere studier vist, at AI-systemer i sundhedssektoren kan forvride diagnoser for minoritetsgrupper, hvis træningsdata er usammenlignelige. En effektiv FRIA kræver derfor adgang til diversitetsdata, etiske komitéer og mulighed for at høre organisationer som menneskerettighedsforeninger eller patientforeninger. Desuden er det uklart, hvordan tilsynsmyndighederne vil håndhæve kravet. Skal alle FRIA’er godkendes før brug? Eller vil der være stikprøvekontroller? Manglende klarhed øger usikkerheden blandt danske virksomheder, især i små og mellemstore virksomheder, der ikke har juridiske afdelinger med AI-ekspertise.

Reaktioner og fremtidige perspektiver

Reaktionerne på FRIA har været blandet. Mens menneskerettighedsorganisationer som DIHR og ECNL roser initiativet som et vigtigt skridt mod ansvarlig AI, er der bekymring for, at undtagelser – som for kritisk infrastruktur – svækker virkningen. Derudover er det uklart, hvordan medlemsstater vil udnytte deres mulighed for at skærpe reglerne. I Danmark har regeringen endnu ikke offentliggjort en strategi for implementering af AI Act, hvilket efterlader offentlige og private aktører i en venteposition. Ifølge DIHR’s vejledning bør danske organisationer dog ikke vente. De bør allerede nu etablere interne processer, træne medarbejdere i menneskerettighedsbaseret tænkning og begynde at udvikle protokoller for FRIA. Især i sundhedssektoren, hvor AI allerede anvendes til prioritering af patienter og diagnosticering, er det afgørende at have systemer på plads, der kan identificere og afbøde skadelige effekter. Den Europæiske AI-Office forventes at offentliggøre yderligere retningslinjer i løbet af 2025, og danske beslutningstagere bør følge udviklingen tæt.

For Danmark repræsenterer FRIA en mulighed for at tage en førende rolle i den europæiske diskussion om ansvarlig AI. Ved at gå ud over minimumskravet og inddrage borgerne aktivt i vurderingsprocessen kan danske myndigheder og virksomheder skabe tillid og forankring. Men det kræver handling nu – ikke om et år. Med kun cirka 18 måneder til, at kravet træder i kraft, er tiden knap. Organisationer, der ignorerer FRIA, risikerer ikke kun bøder, men også et tab af legitimitet i et samfund, hvor tillid til teknologi er under pres. FRIA er ikke bare en forvaltningsbyrde – den er et redskab til at sikre, at AI tjener mennesker, ikke omvendt.