Áhættusöm gervigreindarkerfi: hvað gervigreindarlögin krefjast af fyrirtækinu þínu

Gervigreindarkerfi sem eru hááhættusöm eru í brennidepli evrópsku reglugerðarinnar um gervigreind ( reglugerð (ESB) 2024/1689 ), almennt kölluð AI-lögin, sem kynna áhættumiðaðan ramma fyrir þróun, framboð og notkun gervigreindarkerfa. Því meiri sem áhættan er fyrir heilsu, öryggi og grundvallarréttindi, því þyngri eru skyldurnar.

Fyrir stofnanir byrjar eftirlit því ekki með gerð tæknilegra skjala, heldur með réttri flokkun. Fyrst skal kanna hvaða gervigreindarkerfi eru þróuð, keypt eða notuð innan fyrirtækisins. Síðan skal metið hvort kerfi sé bannað , áhættusamt, háð gagnsæisskyldum eða utan sérstakra skyldna.

Þessi grein setur fram hvenær gervigreindarkerfi getur talist áhættusamt, hvaða skyldur gilda um þjónustuaðila og dreifingaraðila og hvaða skref fyrirtæki geta gripið til núna. Hún setur einnig fram tímalínuna eins og hún er núna, eftir að áhættuskyldum samkvæmt stafrænu umniáætluninni hefur verið frestað.

Hvenær er gervigreindarkerfi hááhættulegt?

Mat á áhættusömum gervigreindarkerfum er aðallega gert samkvæmt 6. grein og I. og III. viðauka laga um gervigreind. Tvær leiðir eru í boði.

Fyrsta leiðin varðar gervigreindarkerfi sem eru hluti af vörum sem falla undir evrópska vörulöggjöf sem er talin upp í I. viðauka og krefjast samræmismats þriðja aðila. Hugsið um ákveðin lækningatæki, vélar, lyftur og leikföng. Fyrir þessi kerfi byggir gervigreindarlögin á núverandi samræmismatsferli.

Önnur leiðin varðar gervigreindarkerfi sem notuð eru á þeim sviðum sem talin eru upp í III. viðauka: líffræðileg tölfræði, mikilvægir innviðir, menntun og starfsmenntun, atvinnu- og vinnumarkaðsstjórnun, aðgang að nauðsynlegri einka- og opinberri þjónustu, löggæslu, fólksflutninga, hælisleit og landamæraeftirlit, og réttarkerfi og lýðræðisferli. Ekki leiðir öll notkun innan slíks sviðs sjálfkrafa til flokkunar meðal áhættusamra gervigreindarkerfa: einnig verður að meta sérstaka virkni kerfisins og skilyrði 6. gr.

Undantekningin í 6. gr. (3)

Kerfi sem fellur undir svið III. viðauka telst ekki sjálfkrafa til áhættusamra gervigreindarkerfa: sú flokkun er undanskilin ef það hefur ekki í för með sér verulega áhættu fyrir heilsu, öryggi eða grundvallarréttindi einstaklinga og hefur ekki veruleg áhrif á niðurstöður ákvarðanatöku. Það getur átt við þegar kerfið framkvæmir aðeins þröngt verklagsverkefni, bætir einungis starfsemi sem þegar hefur verið framkvæmd af manni, merkir aðeins frávik frá fyrri ákvarðanatöku manna án þess að koma í stað þess mats, eða framkvæmir einungis undirbúningsverkefni.

Rökstudd og skjalfest skal rækilega notkun þessarar undantekningar. Fyrirtækið skráir ekki aðeins niðurstöðuna heldur einnig staðreyndir og matið sem niðurstaðan byggir á. Þjónustuaðili sem telur að kerfi samkvæmt III. viðauka tilheyri ekki hópi áhættusamra gervigreindarkerfa verður að skjalfesta það mat áður en kerfið er sett á markað eða tekið í notkun og er einnig háður skráningarskyldunni í 49. gr. (2).

Á einum atriði er reglugerðin algild. Í 6. gr. (3) er kveðið á um að gervigreindarkerfi sem vísað er til í III. viðauka teljist alltaf meðal áhættusamra gervigreindarkerfa þegar það framkvæmir persónusnið á einstaklingum. Undantekningin er ekki hægt að virkja í því tilviki.

Hvaða hlutverki gegnir stofnunin ykkar?

Í lögum um gervigreind eru nokkur hlutverk í keðjunni. Tvö þeirra skipta máli fyrir flestar stofnanir. Aðili sem þróar gervigreindarkerfi eða setur það á markað undir eigin nafni eða vörumerki telst þjónustuaðili. Aðili sem notar gervigreindarkerfi í eigin rekstri án þess að hafa þróað það telst almennt dreifingaraðili.

Þessi hlutverkaskipting er ekki stöðug. Fyrirtæki sem breytir keyptu kerfi verulega, selur það áfram undir eigin nafni eða vörumerki, eða breytir fyrirhugaðri notkun þess, getur samt sem áður talist þjónustuaðili og þar með fallið undir þyngri skyldur. Ákvarðið fyrir hvert kerfi hvaða hlutverki þið gegnið og skráið það mat.

Helstu skyldur

Þeir sem bjóða upp á áhættusöm gervigreindarkerfi eru háðir skyldum, þar á meðal þeim sem fram koma í 8. til 17., 43. og 47. til 49. gr.:

• áhættustjórnunarkerfi sem nær yfir allan líftíma
• gagnastjórnun, þar á meðal að greina og leiðrétta skekkju í gögnunum sem notuð eru, þar á meðal þjálfunar-, staðfestingar- og prófunargögn
• tæknileg skjöl í samræmi við IV. viðauka og atburðaskráningu
• skýrar notkunarleiðbeiningar fyrir dreifingaraðila
• hönnun sem gerir kleift að hafa virkt eftirlit með fólki
• kröfur um nákvæmni, áreiðanleika og netöryggi
• gæðastjórnunarkerfi, samræmismat, ESB-samræmisyfirlýsing, CE-merking og skráning í gagnagrunn ESB

Fyrir gervigreindarkerfi með mikilli áhættu sem notuð eru til fjarlægrar líffræðilegrar auðkenningar eins og um getur í 1. lið a-liðar III. viðauka, setur 14. gr. (5) viðbótarkröfu um eftirlit manna: ekki má taka neinar aðgerðir eða ákvarðanir á grundvelli auðkenningarinnar nema hún hafi verið staðfest sérstaklega af að minnsta kosti tveimur einstaklingum með nauðsynlega hæfni, þjálfun og vald. Þetta er þekkt sem fjögurra augna meginreglan.

Dreifingaraðilar eru háðir vægari en ekki síður mikilvægum skyldum samkvæmt 26. og 27. grein: notkun í samræmi við notkunarleiðbeiningar, hæft eftirlit manna, eftirliti með rekstri kerfisins, skýrslugjöf um áhættu og alvarleg atvik og varðveislu skráa í að minnsta kosti sex mánuði. Starfsmenn sem munu vinna með kerfið og þeir sem það er notað á verða að fá upplýsingar fyrirfram.

Ákveðnir dreifingaraðilar verða einnig að framkvæma áhrifamat á grundvallarréttindi, svokölluð „mat á áhrifum á grundvallarréttindi“ samkvæmt 27. gr. Þetta á í öllum tilvikum við um aðila sem lúta opinberum rétti, einkaaðila sem veita opinbera þjónustu og dreifingaraðila sem nota kerfi til lánshæfismati eða til að meta vátryggingaráhættu í líf- og sjúkratryggingum.

Tímalína og núverandi staða

Lögin um gervigreind tóku gildi 1. ágúst 2024 og koma til framkvæmda í áföngum. Í reynd er mikilvægt að greina á milli skyldna sem þegar eru í gildi, skyldna sem eiga að taka gildi síðar og tilkynntra breytinga sem formlega hafa ekki enn tekið gildi.

Bönnuð starfsemi (5. grein): Í gildi frá 2. febrúar 2025

Læsi í gervigreind (4. grein): Gildir frá 2. febrúar 2025

Almenn gervigreindarlíkön: Gildandi frá 2. ágúst 2025

Gagnsæisskyldur (50. gr.): í gildi frá 2. ágúst 2026; ekki frestað

Mikil áhætta samkvæmt viðauka III: gildir frá 2. desember 2027, eftir frestunina

Mikil áhætta samkvæmt viðauka I: gildir frá 2. ágúst 2028, eftir sömu frestun

Þessi frestun er viðurkennd lög. Framkvæmdastjórn Evrópusambandsins kynnti stafræna umfangspakkann 19. nóvember 2025 með tillögu um að fresta skyldum fyrir áhættusöm gervigreindarkerfi. Breytingarreglugerðin, reglugerð (ESB) 2026/1744, var birt í Stjórnartíðindum ESB 24. júlí 2026 og tók gildi 27. júlí 2026.

Aðeins hááhættukerfið breyttist. Skyldurnar samkvæmt III. kafla fyrir kerfi sem flokkuð eru í III. viðauka gilda nú frá 2. desember 2027 og þær sem varða kerfi sem flokkuð eru í I. viðauka frá 2. ágúst 2028. Allt annað hélt upprunalegri dagsetningu sinni, þannig að frestunin skapaði ekki almenna hlé á lögum um gervigreind.

Frestunin er ekki skilyrðislaus á sama hátt og einföld breyting á dagsetningu væri. Beiting skuldbindinga um mikla áhættu er tengd framboði samhæfðra staðla og fylgigagna sem þarf til að uppfylla þá, og nýju dagsetningarnar virka sem ytri mörk þess fyrirkomulags frekar en markmið sem getur enn runnið lengra. Því er óskynsamlegt að gera ráð fyrir frekari framlengingu.

Tvö atriði verðskulda sérstaka athygli. Í fyrsta lagi var gagnsæisskyldunni samkvæmt 50. grein og skyldunni um læsi á gervigreind samkvæmt 4. grein ekki frestað: 50. grein hefur verið í gildi frá 2. ágúst 2026 og 4. grein frá 2. febrúar 2025. Í öðru lagi bætir pakkinn nýju banni við 5. grein, sem beinist að gervigreindarforritum sem framleiða kynferðislegar myndir án samþykkis og að kynferðislegu ofbeldisefni gegn börnum sem eru búin til með gervigreind.

Fyrir stofnanir þýðir þetta að desember 2027 er dagurinn til að skipuleggja skjölun með mikilli áhættu, en skyldur varðandi gagnsæi, læsi og almenn markmið snúast frekar um núverandi reglufylgni en undirbúning.

Eftirlit og refsingar

Í Hollandi hefur framkvæmdarlög um gervigreindarlögin ekki enn tekið gildi. Drög að þeim voru birt til opinberrar samráðs 20. apríl 2026. Þau fela hollensku persónuverndarstofnuninni (Autoriteit Persoonsgegevens) hlutverk eftirlitsaðila á þeim sviðum þar sem enginn geiraeftirlitsaðili er tilnefndur, með sérstakri gervigreindareiningu, og fela hollensku stofnuninni fyrir stafræna innviði (RDI) samræmingarhlutverki, en geiraeftirlitsaðilar halda sínum eigin sviðum. Þangað til lögin hafa verið samþykkt og öðlast gildi er nákvæm úthlutun valds og viðurlög á landsvísu ekki ákveðin.

Í 99. grein laga um gervigreind er kveðið á um nokkra hámarksflokka refsingar. Refsingin fer eftir eðli brotsins og, ef við á, árlegri veltu fyrirtækisins um allan heim. Hæsta hámarkið á við um brot á bönnuðum starfsháttum í 5. grein; lægra hámark á við um brot á öðrum skyldum, þar á meðal skyldum fyrir veitendur og dreifingaraðila áhættusamra gervigreindarkerfa; og lægsta hámarkið á við um að veita yfirvöldum rangar, ófullkomnar eða villandi upplýsingar. Hagstæðara kerfi gildir fyrir lítil og meðalstór fyrirtæki, þar á meðal sprotafyrirtæki. Raunveruleg refsing er ákvörðuð með hliðsjón af gildandi reglum um refsingar og aðstæðum málsins.

Hagnýt leiðarvísir

• Gerðu skrá yfir öll gervigreindarkerfi sem fyrirtækið þitt þróar, kaupir eða notar.
• Ákvarðið fyrir hvert kerfi hvaða hlutverki þið gegnið: veitandi eða dreifingaraðili.
• Ákvarðið áhættuflokk fyrir hvert kerfi og skjalfestið það mat, þar með talið hvort vísað sé til undantekningarinnar í 6. gr. (3).
• Setja upp stjórnun gervigreindar og skipa ábyrgðarmann.
• Tryggið starfsfólk sem vinnur með þessi kerfi færni í gervigreind; sú skylda á sér nú þegar stað.
• Innleiða gagnsæisráðstafanirnar samkvæmt 50. grein; þær hafa verið í gildi frá 2. ágúst 2026.
• Hefjið tæknileg skjöl og, ef þörf krefur, mat á áhrifum grundvallarréttinda með góðum fyrirvara.
• Farið yfir samninga við birgja varðandi úthlutun hlutverka, upplýsingagjöf og endurskoðunarréttindi.
• Skipuleggið skjölun um hááhættu fyrir 2. desember 2027 fyrir kerfi samkvæmt III. viðauka og 2. ágúst 2028 fyrir kerfi samkvæmt I. viðauka.

Hvað gervigreindarlögin krefjast af fyrirtæki þínu

Lögin um gervigreind hafa grundvallaráhrif á hvernig stofnanir þróa, kaupa og nota gervigreind. Frestun á skyldum vegna mikillar áhættu kaupir tíma fyrir þyngsta hluta kerfisins, en lætur allt annað óbreyttast: bönnin í 5. grein, skyldan um læsi á gervigreind, reglurnar um almenn gervigreindarlíkön og gagnsæisskyldurnar í 50. grein gilda allar í dag. Best er að nota tímann sem vinnust í flokkun og skjölun, því það eru skrefin sem ekki er hægt að þjappa saman síðar. Fyrir víðtækari yfirsýn yfir reglugerðina, sjá heildarleiðbeiningar okkar um lög ESB um gervigreind , sem bætast við áherslu þessarar greinar á gervigreindarkerfi með mikilli áhættu.

Law & More aðstoðar stofnanir við að skrá og flokka gervigreindarkerfi sín, ákvarða hlutverk þeirra sem birgja eða dreifingaraðila, fara yfir og semja samninga við birgja gervigreindar og setja upp stjórnun gervigreindar. Ef þú vilt vita hvaða skyldur gilda nú um fyrirtækið þitt og hvaða skref ættu að hafa forgang, þá skaltu ekki hika við að hafa samband við okkur.

Algengar spurningar

Hér að neðan svörum við þeim spurningum sem okkur eru oftast spurðar um þetta efni.