Guide till EUs nya AI Act

AI Act, eller den europeiska artificiella intelligenslagen, börjar gälla som lag den 1 januari 2024. Lagen gäller för alla AI-modeller som används i EU, oavsett om de är utvecklade av företag, myndigheter eller andra aktörer.

EU:s AI-lagstiftning syftar till att säkerställa säkerheten för AI-system på EU-marknaden och ge rättslig säkerhet för investeringar och innovationer inom AI, samtidigt som man minimerar de risker som är förknippade med konsumenter samt efterlevnadskostnader för leverantörer.

EU Parlamentet

Lagen ställer krav på att alla AI-modeller ska vara transparenta, riskhanterade, utvärderade och testade mot fientliga attacker. Lagen kommer att övervakas av både nationella myndigheter och ett nytt europeiskt AI-kontor.

Vad handlar AI Act om?

AI Transparens

Lagen ställer krav på att alla AI-modeller ska vara transparenta. Det innebär att användare och andra intressenter ska kunna förstå hur modellerna fungerar och hur de togs fram.

AI Riskhantering

Lagen ställer också krav på att AI-modeller som kan utgöra systemiska risker ska hanteras på ett säkert sätt. Det innebär att modellerna ska testas för att identifiera potentiella risker och att åtgärder vidtas för att minska dessa risker.

AI Utvärdering

Lagen kräver att alla AI-modeller ska utvärderas för att säkerställa att de fungerar som avsett.

Fientliga tester genom AI

Lagen kräver att alla AI-modeller ska testas mot fientliga attacker. Det innebär att modellerna ska utsättas för data som är utformade för att vilseleda eller skada dem.

Reglering för AI modeller

Lagen kommer att övervakas av både nationella myndigheter och ett nytt europeiskt AI-kontor.

Överseende distans är det Europeiska AI-kontoret

Det europeiska AI-kontoret kommer att vara den första instansen globalt som verkställer bindande regler för AI. Kontoret kommer att ha en viktig roll att spela i att säkerställa att AI används på ett ansvarsfullt sätt.

EU AI Act - den första instans som inför en AI reglering

EU:s AI-lag är den mest omfattande och ambitiösa lagstiftningen om AI som hittills har antagits. Lagen gäller för alla AI-modeller som används i EU, oavsett om de är utvecklade av företag, myndigheter eller andra aktörer. Lagen ställer krav på att alla AI-modeller ska vara transparenta, riskhanterade, utvärderade och testade mot fientliga attacker.

Artificiell intelligens förändrar redan vårt vardagsliv. Och detta är bara början. Använd på ett klokt och utbrett sätt, utlovar AI stora fördelar för vår ekonomi och samhälle. Därför välkomnar jag verkligen dagens politiska överenskommelse av Europaparlamentet och rådet om lagen om artificiell intelligens. EU:s lag om AI är det första heltäckande rättsliga ramverket för artificiell intelligens i världen. Så detta är ett historiskt ögonblick. AI-lagen överför europeiska värderingar till en ny era. Genom att fokusera regleringen på identifierbara risker kommer dagens överenskommelse att främja ansvarsfull innovation i Europa. Genom att garantera säkerheten och grundläggande rättigheter för människor och företag kommer den att stödja utvecklingen, implementeringen och användningen av pålitlig AI i EU. Vår AI-lag kommer att bidra väsentligt till utvecklingen av globala regler och principer för människocentrerad AI."

Ursula von der Leyen, ordförande för Europeiska kommissionen

Vad innebär AI Act praktiskt?

AI Act, eller på svenska AI-lagen, är en banbrytande lagstiftning inom Europeiska unionen. Den syftar till att reglera användningen av artificiell intelligens och säkerställa att dess utveckling och användning sker på ett etiskt och säkert sätt. Låt oss utforska de viktigaste aspekterna av denna lag och ge praktiska exempel för att underlätta förståelsen.

Riskbaserat AI graderat system

AI Act klassificerar AI-system efter risknivå. Systemet är baserat på en bedömning av följande faktorer:

• Systemets potentiella påverkan på människor hur kan systemet påverka människors liv, hälsa eller frihet?
• Systemets potentiella fördomar kan systemet diskriminera människor på grund av ålder, kön, etnicitet eller annan faktor?
• Vilka negativa konsekvenser kan systemet ha för samhället?

Baserat på denna bedömning klassificeras AI-system i en av tre riskkategorier:

• Låg risk AI-system som har en låg potentiell påverkan på människor och som inte utgör någon risk för diskriminering eller negativa konsekvenser.
• Medelhög risk är AI-system som har en medelhög potentiell påverkan på människor och som kan utgöra en viss risk för diskriminering eller negativa konsekvenser.
• Hög risk är AI-system som har en hög potentiell påverkan på människor och som utgör en betydande risk för diskriminering eller negativa konsekvenser.

Högrisksystem

AI-system som klassificeras som högrisk måste nu genomgå en obligatorisk bedömning av inverkan på grundläggande rättigheter. Denna bedömning ska utföras av en oberoende expert och ska omfatta följande faktorer:

• Systemets potentiella negativa konsekvenser för grundläggande rättigheter - hur kan systemet påverka människors rättigheter till privatliv, icke-diskriminering, skydd mot automatiserat beslutsfattande etc.?
• Systemets potentiella effekter på samhället - hur kan systemet påverka samhällets välbefinnande, till exempel genom att öka ojämlikheten eller kränka mänskliga rättigheter?

Om bedömningen visar att ett högrisksystem kan ha en negativ inverkan på grundläggande rättigheter, måste systemets ägare vidta åtgärder för att minska dessa risker. Åtgärder kan till exempel omfatta:

• Utökade skyddsåtgärder - till exempel kan systemet förses med säkerhetsåtgärder för att förhindra diskriminering.
• Information till användare - användarna måste informeras om de potentiella riskerna med systemet.
• Begränsad användning - systemet kan begränsas till användningsområden där riskerna är låga.

Exempel på AI högrisksystem

Några exempel på AI-system som kan klassificeras som högrisk är:

• System som används för att fatta beslut som påverkar människors liv, till exempel system som används för att bedöma kreditvärdighet, anställningsbarhet eller straffrättsliga åtgärder.
• System som används för att samla in eller behandla känsliga personuppgifter, till exempel system som används för att övervaka människors rörelser eller för att analysera deras hälsodata.
• System som kan användas för att sprida desinformation eller hatpropaganda.

Riskbaserat graderat system är ett viktigt verktyg för att säkerställa att AI används på ett ansvarsfullt sätt. Systemet hjälper till att identifiera AI-system som kan utgöra en risk för människor och samhället och säkerställer att dessa system granskas noggrant.

Reglering av grundmodeller

Grundmodeller är stora språkmodeller som kräver betydande beräkningskraft för att träna. De är ofta tränade på enorma mängder data och kan användas för en mängd olika uppgifter, till exempel textgenerering, översättning och analys.

AI-lagen, som trädde i kraft i EU den 1 januari 2024, klassificerar grundmodeller som högrisksystem. Det innebär att de måste genomgå en obligatorisk bedömning av inverkan på grundläggande rättigheter.

Här är några av de potentiella riskerna med grundmodeller

• Grundmodeller kan lära sig fördomar från de data som de tränas på. Detta kan leda till att de diskriminerar människor på grund av ålder, kön, etnicitet eller annan faktor.
• Grundmodeller kan användas för att generera falsk information, till exempel fejkade nyheter eller propaganda. Detta kan skada demokratin och det allmänna välbefinnandet.
• Grundmodeller kan användas för att manipulera människors tankar och beteende. Detta kan användas för att sprida desinformation eller för att påverka politiska val.

För att minska dessa risker kräver AI-lagen att grundmodeller måste uppfylla följande krav

• Grundmodellernas ägare måste tillhandahålla information om hur modellerna fungerar och hur de tränades.
• Grundmodellernas ägare måste vidta åtgärder för att minska risken för diskriminering, falsk information och manipulation.
• Grundmodellerna måste utvärderas för att säkerställa att de fungerar som avsett.
• Grundmodellerna måste testas mot fientliga attacker, till exempel försök att vilseleda eller skada dem.

Exempel på grundmodeller

• GPT-3: En avancerad språkmodell från OpenAI som kan generera text, översätta språk och svara på frågor på ett människolikt sätt.
• LaMDA: En språkmodell från Google AI som kan generera text, översätta språk och svara på frågor på ett informativt sätt.
• Bard: En språkmodell från Google AI som kan generera text, översätta språk och svara på frågor på ett kreativt sätt.

Regleringen av grundmodeller är ett viktigt steg för att säkerställa att dessa kraftfulla verktyg används på ett ansvarsfullt sätt. Reglerna kommer att hjälpa till att skydda människor och samhället från de potentiella riskerna med grundmodeller.

Förbjudna AI system i AI Act

Vissa AI-system kommer att förbjudas, med en sex månaders tidsfrist för företag att säkerställa efterlevnad. Detta inkluderar:

• Biometriska kategoriseringssystem som använder känsliga egenskaper (t.ex. politiska, religiösa övertygelser, sexuell läggning).
• Oinriktad skrapning av ansiktsbilder från internet för att skapa databaser för ansiktsigenkänning.
• Känslomässig igenkänning på arbetsplatser och i utbildningsinstitutioner.
• Social poängsättning baserad på socialt beteende eller personliga egenskaper.
• AI system som manipulerar mänskligt beteende för att kringgå fri vilja.
• AI som utnyttjar sårbarheter hos personer på grund av ålder, funktionshinder eller social situation.

Transparenskrav för högrisk AI-system

Syftet med transparenskravet är att ge användare och andra intressenter möjlighet att förstå hur högrisk AI-system fungerar och hur de kan påverka dem. Detta kan hjälpa till att skydda människor från potentiella risker, till exempel diskriminering, falsk information eller manipulation.

Transparenskravet kan innebära att företag måste offentliggöra följande information om sina högrisk AI-system:

• Systemets syfte och funktion? Vad gör systemet? Hur fungerar det?
• Data som används för att träna systemet? Vilka data användes för att träna systemet? Hur samlades in dessa data?
• Metoder som används för att träna systemet? Vilka metoder användes för att träna systemet? Hur kan dessa metoder påverka systemet?
• Resultaten av systemet? Hur har systemet presterat i tester? Finns det några kända problem med systemet?

För företag som vill skydda sin immateriella egendom kan transparenskravet vara en utmaning. De måste hitta ett sätt att tillhandahålla den nödvändiga informationen utan att avslöja känslig information, till exempel hur systemet är programmerat eller vilka data som används för att träna det.

Tillgodose transparenskravet utan att avslöja känslig information

• De kan tillhandahålla information i en generell form, till exempel genom att beskriva systemets funktion utan att gå in på detaljer om hur det är implementerat.
• De kan tillhandahålla information i en anonymiserad form, till exempel genom att använda pseudonymer för data eller genom att sudda ut känslig information.
• De kan tillhandahålla information i en begränsad form, till exempel genom att endast tillhandahålla information till användare som har en legitim intresse av att få den.

Det är viktigt att notera att transparenskravet är ett minimikrav. Företag kan välja att tillhandahålla mer information än vad som krävs av lagen. Detta kan vara till hjälp för att öka förtroendet för systemet och för att visa att företaget är engagerat i ansvarsfull användning av AI.

Hantering av fördomar i AI-system

AI-system kan lära sig fördomar från de data som de tränas på. Detta kan leda till att systemen diskriminerar människor baserat på ålder, kön, etnicitet eller annan faktor.

Metoder för att hantera fördomar i AI-system

• En av de viktigaste metoderna för att hantera fördomar i AI-system är att förbättra datakvaliteten. Detta kan göras genom att samla in data från ett mer representativt urval av människor och genom att ta bort data som innehåller fördomar.
• Det finns också en rad metoder som kan användas för att förbättra AI-modeller så att de blir mindre fördomsfulla. Detta kan göras genom att använda metoder som maskininlärning för att identifiera och ta bort fördomar från modeller.
• Processförbättring, ibland kan det vara tillräckligt att ändra hur ett AI-system används för att minska risken för fördomar. Detta kan göras genom att ändra vilka data som används för att träna systemet eller genom att ändra hur systemet fattar beslut.

Exempel på hur fördomar kan hanteras i AI-system

• Rekryteringsverktyg som använder AI för att sortera CV:n kan diskriminera kandidater baserat på kön, etnicitet eller ålder. Detta kan undvikas genom att använda dataförbättring för att samla in data från ett mer representativt urval av kandidater.
• Ansiktsigenkänningssystem kan diskriminera människor baserat på ras eller etnicitet. Detta kan undvikas genom att använda modellförbättring för att identifiera och ta bort fördomar från systemen.
• Finansiella system kan diskriminera människor baserat på deras ekonomiska situation. Detta kan undvikas genom att använda processförbättring för att ändra hur systemen fattar beslut.

Dokumentationskrav för AI-system

AI-lagen, EU's AI Act ställer krav på dokumentation för AI-system. Detta innebär att företag som utvecklar eller använder AI-system måste tillhandahålla dokumentation som visar att systemen uppfyller kraven i lagen.

Syftet med dokumentationskravet är att säkerställa att AI-system utvecklas och används på ett ansvarsfullt sätt. Dokumentationen kan hjälpa till att identifiera och hantera risker, till exempel diskriminering, falsk information eller manipulation.

Dokumentationskraven för AI-system omfattar

• Systemets syfte och funktion? Vad gör systemet? Hur fungerar det?
• Vilka data användes för att träna systemet? Hur samlades in dessa data?
• Vilka metoder användes för att träna systemet? Hur kan dessa metoder påverka systemet?
• Hur har systemet presterat i tester? Finns det några kända problem med systemet?
• Vilka åtgärder har vidtagits för att minska riskerna med systemet?
• Vilka åtgärder har vidtagits för att säkerställa att systemet används på ett ansvarsfullt sätt?

För företag, särskilt små och medelstora företag, kan dokumentationskraven innebära en betydande administrativ börda. Företag måste hitta ett sätt att samla in och organisera den nödvändiga dokumentationen på ett effektivt sätt.

Hantera dokumentationskraven

• Börja planera för dokumentationen i ett tidigt skede av utvecklingsprocessen.
• Det finns mallar som kan användas för att skapa dokumentation för AI-system.
• Använd automatisering för att underlätta insamlingen och organiseringen av dokumentation.

Mänsklig tillsyn

Högrisk AI-system kräver mänsklig tillsyn för att minimera risker. Detta kan innebära att en person måste godkänna viktiga beslut som fattas av AI, till exempel inom medicinsk diagnostik eller juridiska bedömningar.

Sanktioner

Icke-efterlevnad kan leda till betydande böter, från €35 miljoner eller 7% av den globala omsättningen till €7,5 miljoner eller 1,5% av omsättningen, beroende på överträdelsen och företagets storlek.

Finns det likheter mellan AI Act och GDPR?

AI Act har tydliga kopplingar till den allmänna dataskyddsförordningen GDPR. Båda regleringarna syftar till att säkerställa individens rättigheter och integritet, men de fokuserar på olika aspekter av tekniken och dataskyddet.

AI Act är en lagstiftning som har införts för att reglera användningen av artificiell intelligens (AI) inom Europeiska unionen. Syftet med AI Act är att skapa en balans mellan innovation och skydd av individens rättigheter. Genom att fastställa tydliga regler och riktlinjer för användningen av AI-system, strävar AI Act efter att främja ansvarig och etisk användning av denna teknik.

GDPR å andra sidan är en omfattande dataskyddsförordning som syftar till att skydda individens personuppgifter och säkerställa deras integritet. Genom att fastställa strikta regler för insamling, lagring och behandling av personuppgifter, ger GDPR individer kontroll över sina egna data och kräver att företag och organisationer är transparenta i sin dataskyddspraxis.

AI Act och cybersäkerhet

AI Act kan påverka cybersäkerheten för företag på ett antal sätt. Den ställer krav på att AI-system ska vara säkra och robusta, och att de ska skyddas mot fientliga attacker. Dessa krav kan hjälpa till att förbättra cybersäkerheten för företag, men de kan också innebära en ökad administrativ börda.

Här är några specifika exempel på hur AI Act kan påverka cybersäkerheten för företag:

• Företag måste identifiera och hantera risker för fientliga attacker mot AI-system. Detta kan innebära att de måste implementera säkerhetsåtgärder som brandväggar, intrusionsdetekterings- och förhindrandesystem (IDS/IPS) och data kryptering.
• Företag måste säkra data som används för att träna AI-system. Detta kan innebära att de måste använda starka lösenord och autentisering, och att de måste skydda data från obehörig åtkomst.
• Företag måste testa sina AI-system regelbundet för att identifiera och åtgärda säkerhetsbrister. Detta kan innebära att de använder penetrationstester och andra säkerhetstester.

AI Act kan också bidra till att förbättra cybersäkerheten för företag genom att öka medvetenheten om cybersäkerhetsrisker. Den kräver att företag ska ge information till användare om hur AI-system fungerar och hur de kan skydda sig mot cyberattacker.

Sammantaget kan AI Act ha en positiv inverkan på cybersäkerheten för företag. Den kan hjälpa företag att identifiera och hantera risker för fientliga attacker, och den kan öka medvetenheten om cybersäkerhetsrisker.

Här är några tips för företag som vill förbereda sig för AI Act:

• Börja granska dina AI-system för att identifiera eventuella risker
• Utveckla planer för att uppfylla de nya kraven om du tänker på AI system
• Samarbeta med experter på cybersäkerhet på Förebygg för att få hjälp inom området.