Har mitt företag skyldigheter enligt EU:s AI-förordning?

Svar från juristen: Som användare av AI-system omfattas du av AI-förordningen (som än så länge bara är ett förslag). Det innebär att när AI-förordningen börjar gälla finns vissa skyldigheter med mera för dig som är fysiskt närvarande eller etablerad inom EU eller använder resultatet från AI inom EU. Men AI-förordningen (EU:s AI Act) ska inte tillämpas när du rent personligt icke-yrkesmässigt använder AI, till exempel för att ta fram en inbjudan till ett födelsedagskalas.

Operatör i AI-förordningen 

AI-förordningen (EU:s AI Act) definierar användare som varje fysisk eller juridisk person, inbegripet en offentlig myndighet, en byrå eller ett annat organ, under vars överinseende systemet används. Det gör att det är ditt företag som får skyldigheter som användare när du eller dina anställda använder AI i ditt företag. Ditt företag kan som användare också benämnas operatör i AI-förordningen (EU:s AI Act).

Om ditt företag använder AI-system med hög risk har det vissa skyldigheter. AI-system med hög risk kan till exempel vara säkerhetskomponenter i produkter som till exempel omfattas av lagregler som bygger på EU-regler om produktsäkerhet med mera enligt AI-förordningens bilaga II eller AI-system som tas AI-förordningens bilaga III som till exempel biometrisk fjärridentifiering eller avsedda att användas för rekrytering eller urval av fysiska personer inför anställning.

När företag använder AI-system med hög risk

Skyldigheterna när företag är användare av AI-system med hög risk är:

1. Använda AI-systemen enligt bruksanvisningarna.
2. Se till att de som ska utöva mänsklig tillsyn hos användaren har den kompetens, utbildning och befogenhet som krävs.
3. Skyldigheterna enligt ovan ska inte påverka andra användarskyldigheter enligt unionsrätten, nationell rätt eller användarens handlingsutrymme när det gäller att organisera sina egna resurser och aktiviteter i syfte att genomföra de åtgärder för mänsklig tillsyn som leverantören anger.
4. I den mån användaren har kontroll över indata säkerställa att den är relevant med hänsyn till ändamålet.
5. Om användare har skäl att tro att användningen i enlighet med bruksanvisningen kan leda till att AI-systemet utgör en risk i den mening som avses i artikel 65.1 (läs: inverka negativt på personers hälsa och säkerhet i en omfattning som går utöver vad som anses rimligt och godtagbart) ska de informera leverantören eller distributören och tillfälligt stoppa användningen av systemet. Användare ska också informera leverantören eller distributören när de har identifierat en allvarlig incident och avbryta användningen av AI-systemet. Om användaren inte kan nå leverantören ska användaren rapportera allvarliga incidenter till marknadskontrollmyndigheten.
6. Spara de loggar som genereras automatiskt av systemet i fråga, i den mån sådana loggar står under deras kontroll. De ska spara dem i minst sex månader, om inte annat föreskrivs i tillämplig unionsrätt eller nationell rätt, i synnerhet unionsrätten om skydd av personuppgifter.
7. Använda den information som tillhandahålls av leverantören till exempel bruksanvisning för att uppfylla sin skyldighet att genomföra en konsekvensbedömning avseende dataskydd enligt artikel 35 GDPR.
8. Samarbeta med de nationella behöriga myndigheterna om alla åtgärder som dessa myndigheter vidtar med avseende på ett AI-system för vilket de är användare.

Upplysa fysiska personer som utsätts för AI-systemen

Det finns även vissa krav på att upplysa de fysiska personer som utsätts för AI-systemen. Användare av system för biometrisk kategorisering eller känsloigenkänning ska informera de fysiska personer som exponeras för systemet om systemets drift. Informationen ska lämnas på ett tydligt och urskiljbart sätt senast vid tidpunkten för den första kontakten eller exponeringen.

Användare av ett AI-system som genererar eller manipulerar bilder eller ljud eller videoinnehåll som på ett märkbart sätt liknar befintliga personer, objekt, platser eller andra enheter eller händelser och som för en person felaktigt skulle framstå som autentiska (deepfake), ska upplysa om att innehållet har skapats artificiellt eller manipulerats. Informationen ska lämnas på ett tydligt och urskiljbart sätt senast vid tidpunkten för den första kontakten eller exponeringen.

AI-förordningen har också regler om vad som gäller om du som användare till exempel deltar i testning av nytt AI-system innan det släpps ut på marknaden.

Enligt AI-förordningen ska EU-kommissionen och medlemsstaterna uppmuntra framtagande av uppförandekoder även för andra AI-system än de med hög risk. Det kan därför som användare finnas skäl att uppmärksamma om sådana införs.

Sanktionsavgifter i AI-förordningen

Det är medlemsstaterna som ska fastställa regler om sanktioner, inbegripet administrativa sanktionsavgifter, som ska tillämpas vid överträdelser av bestämmelserna i AI-förordningen och vidta alla nödvändiga åtgärder för att se till att de tillämpas korrekt och effektivt. Sanktionerna ska särskilt ta hänsyn till små och medelstora företags, inbegripet nystartade företags, storlek och intressen och deras ekonomiska bärkraft. De ska också ta hänsyn till om användningen av AI-systemet sker i samband med personlig icke-yrkesmässig verksamhet. Det finns vissa beloppsnivåer för sanktionsavgifter i AI-förordningen (EU:s AI Act).