Gervigreindarkerfi sem eru hááhættusöm eru í brennidepli evrópsku reglugerðarinnar um gervigreind ( reglugerð (ESB) 2024/1689 ), almennt kölluð AI-lögin, sem kynna áhættumiðaðan ramma fyrir þróun, framboð og notkun gervigreindarkerfa. Því meiri sem áhættan er fyrir heilsu, öryggi og grundvallarréttindi, því þyngri eru skyldurnar.
Fyrir stofnanir byrjar eftirlit því ekki með gerð tæknilegra skjala, heldur með réttri flokkun. Fyrst skal kanna hvaða gervigreindarkerfi eru þróuð, keypt eða notuð innan fyrirtækisins. Síðan skal metið hvort kerfi sé bannað , áhættusamt, háð gagnsæisskyldum eða utan sérstakra skyldna.
Þessi grein setur fram hvenær gervigreindarkerfi getur talist áhættusamt, hvaða skyldur gilda um þjónustuaðila og dreifingaraðila og hvaða skref fyrirtæki geta gripið til núna. Hún fjallar einnig um núverandi tímalínu, þar á meðal breytingarnar samkvæmt Digital Omnibus ferlinu. Viðmiðunardagsetning þessarar greinar er 25. júlí 2026.
Hvenær er gervigreindarkerfi hááhættulegt?
Mat á áhættusömum gervigreindarkerfum er aðallega gert samkvæmt 6. grein og I. og III. viðauka laga um gervigreind. Tvær leiðir eru í boði.
Fyrsta leiðin varðar gervigreindarkerfi sem eru hluti af vörum sem falla undir evrópska vörulöggjöf sem er talin upp í I. viðauka og krefjast samræmismats þriðja aðila. Hugsið um ákveðin lækningatæki, vélar, lyftur og leikföng. Fyrir þessi kerfi byggir gervigreindarlögin á núverandi samræmismatsferli.
Önnur leiðin varðar gervigreindarkerfi sem notuð eru á þeim sviðum sem talin eru upp í III. viðauka: líffræðileg tölfræði, mikilvægir innviðir, menntun og starfsmenntun, atvinnu- og vinnumarkaðsstjórnun, aðgang að nauðsynlegri einka- og opinberri þjónustu, löggæslu, fólksflutninga, hælisleit og landamæraeftirlit, og réttarkerfi og lýðræðisferli. Ekki leiðir öll notkun innan slíks sviðs sjálfkrafa til flokkunar meðal áhættusamra gervigreindarkerfa: einnig verður að meta sérstaka virkni kerfisins og skilyrði 6. gr.
Undantekningin í 6. gr. (3)
Kerfi sem fellur undir svið III. viðauka telst ekki sjálfkrafa til áhættusamra gervigreindarkerfa: sú flokkun er undanskilin ef það hefur ekki í för með sér verulega áhættu fyrir heilsu, öryggi eða grundvallarréttindi einstaklinga og hefur ekki veruleg áhrif á niðurstöður ákvarðanatöku. Það getur átt við þegar kerfið framkvæmir aðeins þröngt verklagsverkefni, bætir einungis starfsemi sem þegar hefur verið framkvæmd af manni, merkir aðeins frávik frá fyrri ákvarðanatöku manna án þess að koma í stað þess mats, eða framkvæmir einungis undirbúningsverkefni.
Rökstudd og skjalfest skal rækilega notkun þessarar undantekningar. Fyrirtækið skráir ekki aðeins niðurstöðuna heldur einnig staðreyndir og matið sem niðurstaðan byggir á. Þjónustuaðili sem telur að kerfi samkvæmt III. viðauka tilheyri ekki hópi áhættusamra gervigreindarkerfa verður að skjalfesta það mat áður en kerfið er sett á markað eða tekið í notkun og er einnig háður skráningarskyldunni í 49. gr. (2).
Á einum atriði er reglugerðin algild. Í 6. gr. (3) er kveðið á um að gervigreindarkerfi sem vísað er til í III. viðauka teljist alltaf meðal áhættusamra gervigreindarkerfa þegar það framkvæmir persónusnið á einstaklingum. Undantekningin er ekki hægt að virkja í því tilviki.
Hvaða hlutverki gegnir stofnunin ykkar?
Í lögum um gervigreind eru nokkur hlutverk í keðjunni. Tvö þeirra skipta máli fyrir flestar stofnanir. Aðili sem þróar gervigreindarkerfi eða setur það á markað undir eigin nafni eða vörumerki telst þjónustuaðili. Aðili sem notar gervigreindarkerfi í eigin rekstri án þess að hafa þróað það telst almennt dreifingaraðili.
Þessi hlutverkaskipting er ekki stöðug. Fyrirtæki sem breytir keyptu kerfi verulega, selur það áfram undir eigin nafni eða vörumerki, eða breytir fyrirhugaðri notkun þess, getur samt sem áður talist þjónustuaðili og þar með fallið undir þyngri skyldur. Ákvarðið fyrir hvert kerfi hvaða hlutverki þið gegnið og skráið það mat.
Helstu skyldur
Þeir sem bjóða upp á áhættusöm gervigreindarkerfi eru háðir skyldum, þar á meðal þeim sem fram koma í 8. til 17., 43. og 47. til 49. gr.:
- áhættustjórnunarkerfi sem nær yfir allan líftíma
- gagnastjórnun, þar á meðal að greina og leiðrétta skekkju í gögnunum sem notuð eru, þar á meðal þjálfunar-, staðfestingar- og prófunargögn
- tæknileg skjöl í samræmi við IV. viðauka og atburðaskráningu
- skýrar notkunarleiðbeiningar fyrir dreifingaraðila
- hönnun sem gerir kleift að hafa virkt eftirlit með fólki
- kröfur um nákvæmni, áreiðanleika og netöryggi
- gæðastjórnunarkerfi, samræmismat, ESB-samræmisyfirlýsing, CE-merking og skráning í gagnagrunn ESB
Fyrir gervigreindarkerfi með mikilli áhættu sem notuð eru til fjarlægrar líffræðilegrar auðkenningar eins og um getur í 1. lið a-liðar III. viðauka, setur 14. gr. (5) viðbótarkröfu um eftirlit manna: ekki má taka neinar aðgerðir eða ákvarðanir á grundvelli auðkenningarinnar nema hún hafi verið staðfest sérstaklega af að minnsta kosti tveimur einstaklingum með nauðsynlega hæfni, þjálfun og vald. Þetta er þekkt sem fjögurra augna meginreglan.
Dreifingaraðilar eru háðir vægari en ekki síður mikilvægum skyldum samkvæmt 26. og 27. grein: notkun í samræmi við notkunarleiðbeiningar, hæft eftirlit manna, eftirliti með rekstri kerfisins, skýrslugjöf um áhættu og alvarleg atvik og varðveislu skráa í að minnsta kosti sex mánuði. Starfsmenn sem munu vinna með kerfið og þeir sem það er notað á verða að fá upplýsingar fyrirfram.
Ákveðnir dreifingaraðilar verða einnig að framkvæma áhrifamat á grundvallarréttindi, svokölluð „mat á áhrifum á grundvallarréttindi“ samkvæmt 27. gr. Þetta á í öllum tilvikum við um aðila sem lúta opinberum rétti, einkaaðila sem veita opinbera þjónustu og dreifingaraðila sem nota kerfi til lánshæfismati eða til að meta vátryggingaráhættu í líf- og sjúkratryggingum.
Tímalína og núverandi staða
Lögin um gervigreind tóku gildi 1. ágúst 2024 og koma til framkvæmda í áföngum. Í reynd er mikilvægt að greina á milli skyldna sem þegar eru í gildi, skyldna sem eiga að taka gildi síðar og tilkynntra breytinga sem formlega hafa ekki enn tekið gildi.
Bönnuð starfsemi (5. grein): Í gildi frá 2. febrúar 2025
Læsi í gervigreind (4. grein): Gildir frá 2. febrúar 2025
Almenn gervigreindarlíkön: Gildandi frá 2. ágúst 2025
Gagnsæisskyldur (50. grein): Gildir frá 2. ágúst 2026; ekki frestað
Mikil áhætta samkvæmt viðauka III: Formlega enn 2. ágúst 2026; þegar Omnibus-samningurinn tekur gildi, eigi síðar en 2. desember 2027.
Mikil áhætta samkvæmt viðauka I: Formlega enn 2. ágúst 2027; þegar Omnibus-samningurinn tekur gildi, eigi síðar en 2. ágúst 2028.
Þann 19. nóvember 2025 birti framkvæmdastjórn Evrópusambandsins stafræna umfangspakkann þar sem lagt er til að fresta beitingu skuldbindinga fyrir áhættusöm gervigreindarkerfi. Bráðabirgða pólitískt samkomulag náðist 7. maí 2026. Evrópuþingið veitti samþykki sitt 16. júní 2026 og ráðið veitti lokasamþykki sitt 29. júní 2026.
Á viðmiðunardegi þessarar greinar er birting hennar í Stjórnartíðindum Evrópusambandsins þó ekki enn lokið. Breytingin tekur gildi á þriðja degi eftir birtingu. Þangað til gilda upprunalegu tímalínur laga um gervigreind en 2. ágúst 2026 er gildistaka fyrir skuldbindingar um mikla áhættu samkvæmt III. viðauka. Almennt er búist við birtingu fyrir þann dag en það hefur ekki enn verið staðfest.
Frestunin er enn fremur skilyrt. Beiting skyldna fyrir gervigreindarkerfi með mikilli áhættu er bundin ákvörðun framkvæmdastjórnarinnar um að nauðsynlegir samhæfðir staðlar og stuðningstæki séu tiltæk, og síðan kemur aðlögunartímabil. Dagsetningarnar 2. desember 2027 og 2. ágúst 2028 virka sem varadagsetningar frekar en einföld frestun.
Tvö atriði verðskulda sérstaka athygli. Í fyrsta lagi hefur gagnsæisskyldunni samkvæmt 50. grein og skyldunni um læsi á gervigreind samkvæmt 4. grein ekki verið frestað: þær eru áfram á upprunalegri tímalínu. Í öðru lagi bætir pakkinn nýju banni við 5. grein, sem beinist að gervigreindarforritum sem framleiða kynferðislegar myndir án samþykkis og að kynferðislegu ofbeldisefni gegn börnum sem eru búin til með gervigreind.
Fyrir stofnanir þýðir þetta að það er skynsamlegt að skipuleggja fyrir desember 2027, en að halda ætti skráningu eins og ágúst 2026 sé enn bindandi, þar til Stjórnartíðindin kveða á um annað.
Eftirlit og refsingar
Í Hollandi vantar enn innleiðingarlöggjöf fyrir gervigreindarlögin á þeim tíma sem þessi grein fjallar um. Gert er ráð fyrir að hollenska eftirlitið með stafrænum innviðum og hollenska persónuverndarstofnunin gegni lykilhlutverki í samræmingu, en eftirlitsaðilar á hverjum geira beri áfram ábyrgð innan síns sviðs. Nákvæm úthlutun valds og lagalegur grundvöllur þess verður þó að ákvarða á grundvelli endanlegra innleiðingarlaga frá Hollandi.
Í 99. grein laga um gervigreind er kveðið á um nokkra hámarksflokka refsingar. Refsingin fer eftir eðli brotsins og, ef við á, árlegri veltu fyrirtækisins um allan heim. Hæsta hámarkið á við um brot á bönnuðum starfsháttum í 5. grein; lægra hámark á við um brot á öðrum skyldum, þar á meðal skyldum fyrir veitendur og dreifingaraðila áhættusamra gervigreindarkerfa; og lægsta hámarkið á við um að veita yfirvöldum rangar, ófullkomnar eða villandi upplýsingar. Hagstæðara kerfi gildir fyrir lítil og meðalstór fyrirtæki, þar á meðal sprotafyrirtæki. Raunveruleg refsing er ákvörðuð með hliðsjón af gildandi reglum um refsingar og aðstæðum málsins.
Hagnýt leiðarvísir
- Gerðu skrá yfir öll gervigreindarkerfi sem fyrirtækið þitt þróar, kaupir eða notar.
- Ákvarðið fyrir hvert kerfi hvaða hlutverki þið gegnið: veitandi eða dreifingaraðili.
- Ákvarðið áhættuflokk fyrir hvert kerfi og skjalfestið það mat, þar með talið hvort vísað sé til undantekningarinnar í 6. gr. (3).
- Setja upp stjórnun gervigreindar og skipa ábyrgðarmann.
- Tryggið starfsfólk sem vinnur með þessi kerfi færni í gervigreind; sú skylda á sér nú þegar stað.
- Undirbúa gagnsæisráðstafanir samkvæmt 50. grein með það að markmiði að hefja 2. ágúst 2026.
- Hefjið tæknileg skjöl og, ef þörf krefur, mat á áhrifum grundvallarréttinda með góðum fyrirvara.
- Farið yfir samninga við birgja varðandi úthlutun hlutverka, upplýsingagjöf og endurskoðunarréttindi.
- Fylgist með birtingu Omnibus-pakkans í Stjórnartíðindum og aðlagið áætlanagerð ykkar í samræmi við það.
Niðurstaða
Lögin um gervigreind hafa grundvallaráhrif á hvernig stofnanir þróa, kaupa og nota gervigreind. Tilkynnt frestun á skyldum vegna mikillar áhættu veitir aukatíma en er ekki enn gildandi lög og þær skyldur sem þegar gilda eða taka gildi 2. ágúst 2026 hafa ekki áhrif á þær. Því er skynsamlegt að skipuleggja miðað við nýju dagsetningarnar en vera undirbúinn fyrir þær gömlu. Fyrir víðtækari yfirsýn yfir reglugerðina, sjá heildarleiðbeiningar okkar um lög ESB um gervigreind , sem bætast við áherslu þessarar greinar á gervigreindarkerfi sem valda mikilli áhættu.
Law & More aðstoðar stofnanir við að skrá og flokka gervigreindarkerfi sín, ákvarða hlutverk þeirra sem birgja eða dreifingaraðila, fara yfir og semja samninga við birgja gervigreindar og setja upp stjórnun gervigreindar. Viltu vita hvaða skyldur gilda nú um fyrirtækið þitt og hvaða skref ættu að vera forgangsatriði? Hafðu samband við okkur til að ræða þetta án skuldbindinga.
Algengar spurningar
Hér að neðan svörum við þeim spurningum sem okkur eru oftast spurðar um þetta efni.
Hvað er lögin um gervigreind?
Evrópska reglugerðin um gervigreind (reglugerð (ESB) 2024/1689). Hún tók gildi 1. ágúst 2024 og kemur til framkvæmda í áföngum, þar sem skyldur verða þyngri eftir því sem áhættan sem fylgir gervigreindarkerfi eykst.
Hvenær er gervigreindarkerfi hááhættulegt?
Eftir tveimur leiðum: sem hluti af vöru sem fellur undir vörulöggjöfina sem talin er upp í I. viðauka, eða með notkun innan eins af þeim sviðum sem talin eru upp í III. viðauka. Í síðara tilvikinu er sviðið eitt og sér ekki ákvarðandi; tiltekið hlutverk og skilyrði 6. gr. skipta einnig máli.
Getur kerfi samkvæmt III. viðauka samt sem áður fallið utan við flokkinn fyrir mikla áhættu?
Já, þar sem það hefur ekki í för með sér verulega áhættu og hefur ekki veruleg áhrif á ákvarðanatöku, til dæmis þegar það framkvæmir þröngt verklagslegt eða eingöngu undirbúningsverkefni. Það mat verður að vera skjalfest. Þar sem kerfið framkvæmir persónusnið á einstaklingum á undantekningin aldrei við.
Er ég þjónustuaðili eða dreifingaraðili?
Þú ert þjónustuaðili ef þú þróar kerfið eða setur það á markað undir þínu eigin nafni eða vörumerki, og almennt dreifingaraðili ef þú notar keypt kerfi. Ef þú breytir keyptu kerfi verulega eða selur það áfram undir þínu eigin nafni, getur þú samt orðið þjónustuaðili.
Hvaða skyldur gilda um veitendur?
Meðal annars áhættustýring, gagnastjórnun, tæknileg skjöl, skráning, notkunarleiðbeiningar, eftirlit manna, kröfur um nákvæmni og netöryggi, gæðastjórnunarkerfi, samræmismat, CE-merking og skráning í gagnagrunn ESB.
Hvaða skyldur gilda um dreifingaraðila?
Notkun í samræmi við leiðbeiningar, hæft eftirlit með fólki, eftirlit, skýrslugjöf um áhættu og alvarleg atvik og varðveisla skráa í að minnsta kosti sex mánuði. Starfsmenn sem hlut eiga að máli og þeir sem kerfið er notað til skulu upplýstir fyrirfram.
Hvenær þarf að framkvæma áhrifamat á grundvallarréttindi?
Í 27. grein er þetta krafist af, meðal annars, aðilum sem lúta opinberum rétti, einkaaðilum sem veita opinbera þjónustu og tryggingaveitendum sem nota kerfi til lánshæfismati eða til að meta vátryggingaráhættu í líf- og sjúkratryggingum.
Hefur áhættuskuldbindingum verið frestað?
Samþykkt breyting frestar gildistöku til 2. desember 2027 í síðasta lagi fyrir III. viðauka og 2. ágúst 2028 fyrir I. viðauka. Á viðmiðunardegi þessarar greinar hefur sú breyting ekki enn verið birt í Stjórnartíðindum, þannig að upprunalega dagsetningin 2. ágúst 2026 gildir formlega enn.
Hvað á nú þegar við í dag?
Ólögleg starfsemi samkvæmt 5. grein og skylda um læsi á gervigreind frá 2. febrúar 2025, og reglur um almenn gervigreindarlíkön frá 2. ágúst 2025. Gagnsæisskyldur samkvæmt 50. grein taka gildi 2. ágúst 2026 og hafa ekki verið frestað.
Hver hefur eftirlit með lögum um gervigreind í Hollandi?
Innleiðingarlöggjöf vantar enn. Gert er ráð fyrir að hollenska eftirlitsstofnunin fyrir stafræna innviði og hollenska persónuverndarstofnunin gegni lykilhlutverki í samræmingu, ásamt eftirlitsaðilum á hverjum geira. Endanleg úthlutun valds mun ráðast af hollensku innleiðingarlöggjöfinni.
Hvað ætti stofnunin mín að gera núna?
Byrjaðu á að gera lista yfir öll gervigreindarkerfi sem þú þróar, kaupir eða notar. Skráðu fyrir hvert kerfi hvaða hlutverk þú hefur, hvaða áhættuflokkur á við og hvaða skyldur fylgja. Settu einnig upp stjórnun á gervigreind, tryggðu læsi á gervigreind og endurskoðaðu samninga birgja um úthlutun hlutverka, upplýsingagjöf og endurskoðunarréttindi.
