# EU AI-loven: Frist for højrisikosystemer er august 2027 > EU's AI-lov kræver, at højrisiko AI-systemer under bilag III skal opnå fuld overensstemmelse senest den 2. august 2027. Dette kræver en robust ramme for risikostyring, datastyring og menneskeligt opsyn. Source: https://loopbackup.com/da/blog/eu-ai-act-high-risk-deadline-august-2027 Publisher: Loop Backup Content language: da --- ## Kort fortalt * **Frist:** 2. august 2027 * **Hvem er berørt:** Udbydere, brugere, importører og distributører af AI-systemer, der er klassificeret som “højrisiko” under bilag III i EU's AI-lov. * **Hvad kræves:** Fuld overholdelse af de obligatoriske krav til højrisikosystemer, der dækker hele livscyklussen, fra datastyring og risikostyring til overvågning efter markedsføring. * **Nøgleforpligtelser:** Implementering af et risikostyringssystem, sikring af datastyring af høj kvalitet, udarbejdelse af omfattende teknisk dokumentation, muliggørelse af robust menneskeligt opsyn og sikring af høj nøjagtighed og cybersikkerhed. * **Offentlig sektors pligt:** Brugere, der er offentlige myndigheder, skal udføre og offentliggøre en vurdering af grundlæggende rettigheders indvirkning (Fundamental Rights Impact Assessment, FRIA), før de implementerer et højrisikosystem. ## EU's AI-lov: Et nyt reguleringslandskab Den Europæiske Unions lov om kunstig intelligens er en banebrydende lovgivning, der etablerer en omfattende retlig ramme for AI-systemer. Loven, der blev færdiggjort i begyndelsen af 2024, anvender en risikobaseret tilgang, der kategoriserer AI-systemer i fire niveauer: uacceptabel risiko (forbudt), høj risiko, begrænset risiko (underlagt gennemsigtighedsforpligtelser) og minimal risiko (ureguleret). Selvom den fulde anvendelse af forordningen fases ind over flere år, nærmer en kritisk frist sig. Senest den 2. august 2027 skal alle AI-systemer, der falder ind under kategorien **høj risiko**, være i fuld overensstemmelse med lovens strenge krav. Denne frist stemmer overens med den vigtigste horisontale anvendelsesdato for forordningen, 36 måneder efter dens ikrafttræden. For organisationer, der udvikler eller implementerer AI i kritiske sektorer, er dette ikke en fjern bekymring. Vejen til **AI-overholdelse 2027** kræver betydelig forberedelsestid, strategisk planlægning og dyb teknisk implementering. At vente til sidste øjeblik er ikke en holdbar løsning. ## Er dit AI-system “højrisiko”? Bilag III-kategorierne Et AI-system klassificeres som højrisiko, hvis det er en sikkerhedskomponent i et produkt, der er reguleret under anden EU-lovgivning (nævnt i bilag II), eller hvis det falder ind under en af de otte specifikke brugsscenarier, der er nævnt i **bilag III**. Det er denne anden gruppe, der kræver omhyggelig opmærksomhed fra en bred vifte af organisationer. ### De otte højrisikokategorier i bilag III AI-loven antager, at systemer, der anvendes i følgende sammenhænge, er højrisiko: 1. **Biometrisk identifikation og kategorisering:** Dette omfatter både fjernbiometriske identifikationssystemer og systemer til kategorisering af personer baseret på følsomme karakteristika. 2. **Styring og drift af kritisk infrastruktur:** For eksempel systemer, der anvendes til at styre vand-, gas-, varme- eller elforsyning samt digital infrastruktur og vejtrafik. 3. **Uddannelse og erhvervsuddannelse:** AI, der anvendes til at bestemme adgang til uddannelsesinstitutioner, evaluere læringsresultater eller tildele personer til programmer. 4. **Beskæftigelse, arbejdstagerstyring og adgang til selvstændig virksomhed:** Systemer, der anvendes til rekruttering (f.eks. CV-sortering), træffe beslutninger om forfremmelse eller afskedigelse eller overvåge arbejdstageres ydeevne. 5. **Adgang til og nydelse af væsentlige private og offentlige tjenester og ydelser:** Inkluderer AI, der anvendes i kreditvurdering eller risikovurdering for kreditansøgninger, og systemer, der vurderer berettigelse til offentlige ydelser. 6. **Retshåndhævelse:** Systemer, der anvendes til at vurdere risikoen for, at en person begår en strafbar handling, vurdere pålideligheden af beviser eller udføre kriminalitetsanalyse. 7. **Migration, asyl og grænsekontrolstyring:** AI, der anvendes til risikovurderinger, kontrol af rejsedokumenter eller behandling af asylansøgninger. 8. **Retsforvaltning og demokratiske processer:** Systemer, der er beregnet til at hjælpe en retsmyndighed med at undersøge og fortolke fakta og lovgivning. Hvis din organisation udvikler eller bruger et AI-system til et af disse formål, skal du forberede dig på fuld overensstemmelse. ## Vejen til overensstemmelse: Kernekrav At opnå overholdelse inden august 2027 involverer en mangefacetteret tilgang, centreret om et sæt obligatoriske forpligtelser for højrisikosystemer. Disse er detaljeret i kapitel 2 i loven. ### AI-overensstemmelsesvurdering Før et system markedsføres, skal udbydere gennemgå en **AI-overensstemmelsesvurdering**. For de fleste **bilag III**-systemer vil dette være en intern vurdering (selvvurdering) i forhold til kravene. Hvis en udbyder imidlertid ikke har anvendt de relevante harmoniserede standarder (når de er offentliggjort af EU), vil der kræves en tredjeparts overensstemmelsesvurdering, der involverer et bemyndiget organ. De centrale krav, der skal opfyldes, omfatter: #### 1. Risikostyringssystem (artikel 9) Udbydere skal etablere, implementere, dokumentere og vedligeholde et løbende risikostyringssystem. Denne proces skal køre gennem hele AI-systemets livscyklus. Den omfatter identifikation, analyse og evaluering af kendte og forudsigelige risici, som AI'en kan udgøre for sundhed, sikkerhed eller grundlæggende rettigheder. Den kræver også vedtagelse af passende risikostyringsforanstaltninger. #### 2. Data og datastyring (artikel 10) Dette er et af de mest dataintensive krav. Trænings-, validerings- og testdatasæt skal opfylde strenge kvalitetskriterier. Dette inkluderer at sikre, at data er relevante, repræsentative og, så vidt muligt, fri for fejl og skævheder. Udbydere skal have passende datastyrings- og administrationspraksis, herunder dokumentation af dataherkomst. Integriteten og robustheden af disse datasæt er altafgørende; udnyttelse af robuste, sikre backup-løsninger, såsom dem, der tilbydes af **[Loop Backup](/)**, er afgørende for at beskytte dette kritiske overholdelsesaktiv mod tab eller korruption. #### 3. Teknisk dokumentation (artikel 11) Udbydere skal oprette og vedligeholde omfattende teknisk dokumentation *før* systemet markedsføres. Denne dokumentation skal vise, at AI-systemet overholder alle højrisikokrav. Den skal være detaljeret nok til, at nationale kompetente myndigheder kan vurdere overholdelse og skal indeholde oplysninger om systemets formål, kernekomponenter, logik, data og forudbestemte ændringer. #### 4. Journalføring (artikel 12) Højrisikosystemer skal være designet til automatisk at generere hændelseslogfiler, mens de er i drift. Disse logfiler skal være sikre, sporbare og manipulationssikre. Målet er at sikre et niveau af sporbarhed af systemets funktion gennem hele dets livscyklus, hvilket er afgørende for overvågning efter markedsføring og hændelsesundersøgelse. Korrekt opbevaring og beskyttelse af disse logfiler, ofte underlagt strenge opbevaringsplaner, er en vigtig overvejelse for din datastyringsstrategi. #### 5. Gennemsigtighed og tilvejebringelse af information (artikel 13) Systemer skal designes, så brugere kan fortolke systemets output og bruge det korrekt. Udbydere skal levere omfattende og klare brugsanvisninger. Disse oplysninger skal dække systemets identitet, dets tilsigtede formål, dets nøjagtighedsniveau, rollen for menneskeligt opsyn og dets overordnede muligheder og begrænsninger. #### 6. Menneskeligt opsyn (artikel 14) Dette er et grundlæggende princip i loven. Højrisikosystemer skal designes og udvikles på en måde, der muliggør effektivt opsyn af et menneske. Dette omfatter implementering af foranstaltninger, der giver en person mulighed for at forstå systemets funktion og at gribe ind, tilsidesætte eller stoppe systemet, hvis det opfører sig på en uventet måde eller udgør en risiko. #### 7. Nøjagtighed, robusthed og cybersikkerhed (artikel 15) AI-systemet skal opnå et passende niveau af nøjagtighed, robusthed og cybersikkerhed. Det skal være modstandsdygtigt over for fejl, mangler eller uoverensstemmelser, der kan opstå inden for systemet eller det miljø, det opererer i. Det skal også være modstandsdygtigt over for ondsindede forsøg på at ændre dets brug eller ydeevne. ## Ud over lanceringen: Overvågning efter markedsføring og FRIA Overholdelse slutter ikke, når et produkt er på markedet. ### Overvågning efter markedsføring Udbydere er forpligtet til at implementere et overvågningssystem efter markedsføring (artikel 72). Dette system indsamler og analyserer proaktivt præstationsdata fra højrisiko AI-systemet gennem hele dets levetid. Målet er løbende at verificere overholdelse og identificere nye risici, med en pligt til at rapportere alvorlige hændelser til de relevante myndigheder. ### Vurdering af grundlæggende rettigheders indvirkning (FRIA) For brugere, der er offentlige organer (eller private organer, der handler på deres vegne), introducerer loven et specifikt, afgørende skridt: **FRIA** (artikel 29a). Før et højrisiko AI-system tages i brug, skal disse organisationer foretage en konsekvensanalyse, der evaluerer: * Den specifikke kontekst og formål med implementeringen. * Den potentielle indvirkning på grundlæggende rettigheder, især for berørte grupper. * De foranstaltninger, der skal iværksættes for at mindske eventuelle identificerede risici. Resuméet af FRIA skal offentliggøres, hvilket sikrer offentlig gennemsigtighed. ## Tjekliste: Forberedelse til 2027-fristen Fristen den 2. august 2027 for **EU AI-lovens højrisiko**-systemer kræver øjeblikkelig handling. Kravenes kompleksitet og dybde betyder, at en "vent og se"-tilgang vil føre til manglende overholdelse. Her er en tjekliste til at starte din rejse. * **Udfør en AI-systeminventar:** Identificer og kortlæg alle AI-systemer, du i øjeblikket udvikler, implementerer eller anskaffer. Opret et centralt register for at spore deres formål, status og datakilder. * **Udfør højrisikoklassifikation:** For hvert system på din inventar skal du udføre en formel vurdering for at afgøre, om det falder ind under bilag III's højrisikokategorier. Dokumentér begrundelsen for din klassifikation. * **Gap-analyse mod krav:** Mål din nuværende udviklings- og styringspraksis mod kernekravene (risikostyring, datastyring, gennemsigtighed osv.) for at identificere og prioritere overholdelsesgab. * **Etabler en risikostyringsramme:** Implementer en kontinuerlig, dokumenteret risikostyringsproces for dine AI-systemer som specificeret i artikel 9. Dette er ikke en engangsopgave, men en vedvarende proces. * **Gennemgå datastyring og herkomst:** Gennemgå alle trænings-, validerings- og testdatasæt grundigt. Indfør robuste procedurer til at styre datakvalitet, fjerne skævheder og sikre integriteten og herkomsten af dine dataaktiver. * **Begynd at udarbejde teknisk dokumentation:** Vent ikke til 2027. Begynd at udarbejde den omfattende tekniske dokumentation, der kræves i artikel 11, nu. Dette er en betydelig opgave, der kræver input fra flere teams. * **Planlæg for menneskeligt opsyn og FRIA:** Design klare og effektive mekanismer for menneskeligt opsyn for hvert system. Hvis du er et offentligt organ eller en leverandør til et, skal du begynde at afgrænse processen for at udføre en vurdering af grundlæggende rettigheders indvirkning (FRIA). ## Konklusion: Tiden er inde til at handle Fristen i august 2027 kan virke fjern, men grundlaget for overholdelse skal lægges i dag. At opnå overensstemmelse med EU's AI-lov er ikke blot en juridisk forhindring; det er en strategisk nødvendighed, der demonstrerer en forpligtelse til troværdig, etisk og robust AI. Ved at starte nu kan organisationer omdanne udfordringen med lovoverholdelse til en konkurrencefordel, opbygge modstandsdygtige systemer og opnå tillid fra kunder og tilsynsmyndigheder.