Det er en utbredt misforståelse at AI Act kun gjelder de store AI-utviklerne. Realiteten er at den treffer langt bredere, og faktisk kan virksomheter i en rekke ulike bransjer som ikke utvikler AI selv bli omfattet. AI Act treffer flere ulike aktører, fra AI-startups til virksomheter som bruker AI i egen drift.
Les også: Viktigere enn noen gang å bruke AI trygt og effektivt
Hva er AI Act – og hvorfor er den viktig?
Sommeren 2024 ble EUs nye AI Act vedtatt – den første omfattende lovgivningen som direkte regulerer kunstig intelligens. AI Act er laget for å regulere bruken av AI-teknologi på utvikling, distribusjon og bruk av AI-systemer. AI Act skal sikre at vi kan ha tillit til AI, samtidig som den fremmer innovasjon og begrenser unødvendige restriksjoner på utvikling.
Reglene bygger på en risikobasert tilnærming, der AI Act stiller ulike krav til AI-systemene avhengig av hvilken risiko de innebærer for samfunnet og enkeltindivider – jo høyere risiko, desto strengere krav. Mens de fleste AI-systemer vil innebære liten eller ingen risiko, vil noen systemer medføre større risikoer som må håndteres for å unngå uønskede konsekvenser. Norske virksomheter må derfor være obs på at dagens AI-praksis i norsk næringsliv snart vil falle inn under streng regulering fra EU.
Hvilke virksomheter berøres?
Hovedkategoriene av virksomhetene som berøres av AI Act kan oppsummeres til:
1. Tilbydere av AI-systemer og general-purpose AI-modeller (providers)
AI Act gjelder for virksomheter som utvikler eller gjør AI-systemer tilgjengelige i EU, enten ved å selge, distribuere eller ta dem i bruk under eget navn og varemerke – uavhengig av om de er etablert i EU eller i tredjeland. Dette inkluderer alt fra store teknologigiganter til mindre programvareselskaper som utvikler spesifikke AI-løsninger og språkmodeller. Hvis virksomheten din utvikler eller trener maskinlæringsmodeller, omfattes den mest sannsynlig av kravene i AI Act.
2. Brukere av AI-systemer (deployers)
Dette er virksomheter som benytter AI-systemer i egen drift og er etablert eller befinner seg i EU. Selv om de ikke har utviklet teknologien selv, omfattes de av regelverket når de tar den i bruk. Dette gjelder eksempelvis arbeidsgivere som bruker AI-verktøy til å sortere og vurdere jobbsøknader eller nettbutikker som benytter AI for personaliserte produktanbefalinger og annen markedsføring. Disse virksomhetene må sikre at deres produkter samsvarer med regelverket før de lanseres.
3. Virksomheter utenfor EU – dersom output fra AI-systemet brukes i EU
AI Act har et såkalt ekstra-territoriell virkning. Det betyr at også aktørene utenfor EU må følge regelverket dersom resultatene av AI-systemene deres brukes i EU og påvirker personer eller virksomheter der. Dette gjelder for eksempel et canadisk selskap som tilbyr en AI-basert kredittscoretjeneste til banker i Italia.
4. Importører og distributører av AI-systemer
Dette er virksomheter som importerer eller selger AI-systemer inn på det europeiske markedet, uten nødvendigvis å ha utviklet teknologien selv. De har ansvar for å sikre at systemene de omsetter er i samsvar med regelverket. Dette kan for eksempel gjelde en distributør i Spania som bringer et AI-basert overvåkningskamera fra Sør-Korea til EU-markedet.
5. Produsenter som integrerer AI i produkter
Når en produsent kombinerer et AI-system med et fysisk produkt og markedsfører det under sitt eget navn eller varemerke, må både produktet og AI-systemet følge regelverket. Dette kan for eksempel treffe bilprodusenter som inkluderer et AI-basert førerstøttesystem i bilene sine eller en produsent av medisinsk utstyr til Østerrike som bruker AI i et kreftdiagnoseverktøy.
6. Autoriserte representanter i EU for tilbydere utenfor EU
Hvis en AI-leverandør utenfor EU ønsker å tilby sine løsninger i EU, men ikke har en egen etablering her, må det utpekes en representant i EU. Denne representanten har plikter etter AI Act og fungerer som kontaktpunkt for myndighetene.
7. Berørte personer i EU (affected persons)
AI Act gjelder også indirekte for enkeltpersoner – de som faktisk utsettes for AI-systemer. Reglene skal sikre deres rettigheter og beskytte dem mot skade, diskriminering og urettferdig behandling. Reglene skal for eksempel beskytte arbeidssøkere som blir vurdert av et AI-system i en rekrutteringsprosess, eller innbyggere som får innvilget eller avslått sosialstøtte basert på en automatisert AI-beslutning.