AI-forordningen for virksomheder, der køber AI: det skal du spørge leverandørerne om
Meget af samtalen om EU's AI-forordning handler om de virksomheder, der bygger AI. Men de fleste organisationer kommer aldrig til at bygge en model. De køber en: et rekrutteringsværktøj, der sorterer cv'er, en kundeserviceagent, en assistent i software, de allerede bruger. Forordningen har et navn til dig i den rolle. Du er idriftsætter (deployer), og idriftsættere har også ansvar.
Den gode nyhed er, at det meste, forordningen beder købere om, er fornuftig leverandørstyring med AI for øje. Denne artikel gennemgår, hvad der gælder for dig, og hvilke spørgsmål du skal stille, før du godkender et AI-værktøj.
Udbyder eller idriftsætter: hvem er du?
Efter AI-forordningen (forordning (EU) 2024/1689) er udbyderen den, der udvikler et AI-system og bringer det i omsætning, normalt din leverandør. Idriftsætteren er den organisation, der bruger det under eget ansvar, normalt dig. Udbyderne har de tungeste forpligtelser, men idriftsættere er ikke fri for ansvar. I nogle tilfælde, for eksempel når du ændrer et system væsentligt eller sætter dit eget navn på det, kan du selv få udbyderens forpligtelser.
Det gælder for dig som køber
AI-færdigheder (gælder allerede). Siden februar 2025 har organisationer, der bruger AI-systemer, skullet sikre, at medarbejderne har tilstrækkelige AI-færdigheder til det, de bruger dem til (artikel 4). Bruger dine teams AI-værktøjer, skal du kunne vise, at de ved, hvordan de bruger dem ansvarligt.
Forbudt praksis (gælder allerede). Nogle former for AI-brug er helt forbudt, for eksempel følelsesgenkendelse på arbejdspladsen, med snævre undtagelser. Sørg for, at intet af det, du køber, falder ind under dem.
Højrisikosystemer. Bruger du AI på områder, forordningen regner som højrisiko, som rekruttering, personaleledelse, kreditvurdering eller adgang til vigtige tjenester, skal du bruge systemet efter udbyderens instruktioner, give menneskelig kontrol til kompetente personer, overvåge det, opbevare logs og i nogle tilfælde informere dem, det gælder (artikel 26). Disse krav blev udskudt til december 2027 og august 2028. (EU-Kommissionen)
Gennemsigtighed. Når AI interagerer med mennesker eller skaber indhold, kommer der krav om gennemsigtighed, for eksempel at gøre det klart, at folk har med et AI-system at gøre i bestemte situationer.
Spørgsmål du skal stille dine AI-leverandører
Du kan kun opfylde dine forpligtelser, hvis leverandøren giver dig det, du har brug for. Før du godkender et AI-værktøj, bør du få skriftlige svar på dette:
Hvad gør AI'en, og hvad gør den ikke? Bed om dokumentation af tilsigtet brug, kendte begrænsninger og nøjagtighed, og brugsanvisning. For højrisikosystemer er udbyderne forpligtet til at levere det.
Er den højrisiko efter forordningen? Spørg, hvordan leverandøren klassificerer systemet, og hvorfor. Svaret fortæller dig, hvilke forpligtelser der lander hos dig.
Hvordan bevarer vi menneskelig kontrol? Hvad kan en person gennemgå, tilsidesætte eller slå fra? Hvem hos jer skal gøre det, og har de uddannelsen?
Hvad logges, og kan vi få loggene? Idriftsættere af højrisikosystemer skal opbevare de logs, systemet skaber. Sørg for, at du faktisk får adgang til dem.
Bruges vores data til at træne jeres modeller? Det er lige så meget et spørgsmål om GDPR og fortrolighed som om AI-forordningen. Få svaret i kontrakten, ikke kun i en salgssamtale.
For agenter: hvad har den adgang til, og hvad kan den selv gøre? List de systemer, data og handlinger, en agent kan udføre uden et menneske. Agenters adgange har en tendens til at vokse i det stille med hver produktopdatering, så planlæg at tjekke dem igen.
Gør det til en del af leverandørregistreringen
Den enkleste måde at holde styr på det er at stille disse spørgsmål, hver gang et team vil have et nyt værktøj, ikke som en engangsrevision. Tilføj et spørgsmål om AI til registreringen af leverandører, send AI-værktøjer til de rette personer, og gem svarene. Vores gratis tjekliste til leverandørvurdering (på engelsk) har AI-forordningen sammen med NIS2, GDPR og DORA.
Granur bygger det ind i selve vurderingen: AI-leverandører får screening mod rammer som EU's AI-forordning, agenter får et adgangsregister, der viser, hvad hver af dem har adgang til og kan gøre, og oversigten over skygge-AI viser værktøjer, teams er begyndt at bruge uden at spørge. Intet bliver godkendt, uden at det bliver dokumenteret.