FAQ om AI-forordningen

AI-forordningen trådte i kraft den 1. august 2024, men reglerne finder løbende anvendelse. Hovedparten af bestemmelserne i AI-forordningen finder anvendelse fra den 2. august 2026, men med følgende undtagelser:

• 2. februar 2025: Reglerne i AI-forordningens kapitel I og II, herunder reglerne om AI-færdigheder (artikel 4) og de forbudte former for AI-praksis (artikel 5), finder anvendelse.
  
  
• 2. august 2025: Reglerne i AI-forordningens kapitel III, afdeling 4, kapitel V, VII og XII og artikel 78 (om bemyndigende myndigheder og bemyndigede organer, forpligtigelser for AI-modeller til almen brug, sanktioner, forvaltning, og fortrolighed) finder anvendelse, med undtagelse af artikel 101.
  
  
• 2. august 2027: Reglerne i AI-forordningens artikel 6, stk. 1 (om højrisiko-AI-systemer, der er omfattet af produktlovgivningen i bilag I, afsnit A) og de tilsvarende forpligtigelser i AI-forordningen finder anvendelse.

Reglerne om AI-færdigheder (artikel 4 i AI-forordningen) gælder fra den 2. februar 2025, dvs. fra nu af.

Reglerne om de forbudte former for AI-praksis (artikel 5 i AI-forordningen) gælder fra den 2. februar 2025, dvs. fra nu af.

Dele af AI-forordningen, der omhandler højrisiko-AI-systemer, finder allerede anvendelse fra den 2. august 2026.  Det er dog med undtagelse af højrisiko-AI-systemer, der er omfattet af produktlovgivningen i AI-forordningens bilag I, afsnit A. Reglerne vedrørende disse højrisiko-AI-systemer gælder først fra den 2. august 2027.

Forpligtigelserne for AI-modeller til almen brug (AI-forordningens kapitel V) gælder fra den 2. august 2025.

Et AI-system er i AI-forordningens artikel 3, nr. 1, defineret som: ”et maskinbaseret system, som er udformet med henblik på at fungere med en varierende grad af autonomi, og som efter idriftsættelsen kan udvise en tilpasningsevne, og som til eksplicitte eller implicitte mål af det input, det modtager, udleder, hvordan det kan generere output såsom forudsigelser, indhold, anbefalinger eller beslutninger, som kan påvirke fysiske eller virtuelle miljøer.”

Europa-Kommissionen har udgivet en vejledning, som uddyber AI-forordningens definition af et AI-system. Du kan læse mere om definitionen her (på engelsk).

Efter AI-forordningen er en ”udbyder” en fysisk eller juridisk person, der udvikler/får udviklet et AI-system. En ”idriftsætter” er en fysisk eller juridisk person, der anvender et AI-system. Begreberne er defineret i AI-forordningens artikel 3, nr. 3 og 4.

Det er vores forventning, at der i regi af AI Boardet vil blive udarbejdet nærmere vejledning om de to begreber – særligt i forhold til, hvor meget der skal til, før man skifter rolle og går fra at være en ”idriftsætter” til at blive en ”udbyder”. Vi vil løbende opdatere vores hjemmeside, når der kommer yderligere information herom.

Digitaliseringsstyrelsen har lavet en vejledning om AI-forordningens krav til at sikre AI-færdigheder (artikel 4), som du kan finde her.

Kort om AI-færdigheder (artikel 4)

Det følger af AI-forordningens artikel 4, at alle virksomheder og myndigheder, der udbyder og idriftsætter AI-systemer, skal sikre, at deres medarbejdere og andre personer, som er involveret i drift og anvendelse af AI-systemer på deres vegne, besidder et tilstrækkeligt niveau af AI-færdigheder.

Kravet skelner ikke mellem, hvilken risiko der er forbundet med anvendelsen af det enkelte AI-system. Det fremgår heller ikke, hvilke konkrete tiltag udbydere og idriftsættere kan eller skal iværksætte for at sikre et tilstrækkeligt niveau af AI-færdigheder blandt deres medarbejdere og andre personer.

Udbydere og idriftsættere skal dog ved fastlæggelsen af niveauet inddrage følgende hensyn:

• De involverede medarbejderes tekniske viden, erfaring og uddannelse.
  
  
• Den kontekst, AI-systemet anvendes i.
  
  
• De personer eller grupper af personer, som AI-systemet skal anvendes på.

Udbydere og idriftsættere af AI-systemer har skulle efterleve kravet om AI-færdigheder siden den 2. februar 2025.

AI-forordningen klassificerer AI-systemer som højrisiko, hvis:

• AI-systemet er indlejret som sikkerhedskomponent i et produkt, eller i sig selv er et produkt omfattet af produktlovgivningen, der fremgår af AI-forordningens bilag I, afsnit A (artikel 6, stk. 1).
  
  
• AI-systemet er beregnet til at blive anvendt inden for ét af de områder, der er oplistet i AI-forordningens bilag III. Det gælder f.eks. inden for uddannelse, beskæftigelse, retshåndhævelse eller migration.

Du kan læse mere om reglerne vedrørende højrisiko-AI her.

AI-forordningen definerer i artikel 5 otte områder, hvori det er forbudt at anvende et AI-system. 

Kort om de forbudte former for AI-praksis (artikel 5) 

Det følger af AI-forordningens artikel 5, at en begrænset gruppe af AI-systemer vurderes at udgøre en uacceptabel risiko. Disse systemer er derfor forbudte og må ikke anvendes i EU. I EU har man vurderet, at disse AI-systemer  udgøre en klar trussel mod sundheden, sikkerheden, borgernes grundlæggende rettigheder og værdighed.

Et eksempel på en forbudt AI-praksis er AI-systemer, der kan bruges til at udlede en persons følelsesmæssige tilstand på en arbejdsplads eller en uddannelsesinstitution (artikel 5, stk. 1, litra f). Sådanne systemer er forbudte, da de vurderes at kunne føre til forskelsbehandlende resultater og kan være indgribende i de berørte personers rettigheder og friheder.

Et andet eksempel på en forbudt AI-praksis er AI-systemer, der kan foretage en social bedømmelse (på engelsk ”social scoring”), som medfører en skadelig eller ugunstig behandling af fysiske personer eller hele grupper heraf (artikel 5, stk. 1, litra c). Sådanne systemer er forbudte, idet de kan føre til forskelsbehandling og udelukkelse af visse grupper.

Reglerne om de forbudte former for AI-praksis finder anvendelse fra 2. februar 2025, dvs. fra nu af. Det er værd at bemærke, at Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen (som fører tilsyn med de forbudte former for AI-praksis i Danmark) først vil føre et egentligt tilsyn fra den 2. august 2025, da håndhævelses- og sanktionsbestemmelserne i lov nr. 467 af 14. maj 2025 om supplerende bestemmelser til forordningen om kunstig intelligens først træder i kraft fra denne dato.

Endelig bør det fremhæves, at dele af AI-forordningens artikel 5 om forbudte AI-praksisser er omfattet af det danske retsforbehold. I Danmark finder følgende regler om forbudte former for AI-praksis således ikke anvendelse:

• Artikel 5, stk. 1, litra d, i det omfang den finder anvendelse på brugen af AI-systemer, der er omfattet af retsforbeholdet.
  
  
• Artikel 5, stk. 1, litra g, fsva. brugen af AI-systemer til biometrisk kategorisering til aktiviteter inden for politisamarbejde og retligt samarbejde i straffesager.
  
  
• Artikel 5, stk. 1, litra h.

Du kan læse mere om de forbudte former for AI-praksis her.

Europa-Kommissionen har derudover udgivet en vejledning, som beskriver de forbudte former for AI-praksis (på engelsk).

Europa-Kommissionen har på nuværende tidspunkt udgivet to vejledninger vedrørende AI-forordningen:

1) Vejledning om definitionen på et AI-system (på engelsk)

2) Vejledning om de forbudte former for AI-praksis (på engelsk)

Der vil løbende blive udgivet yderligere vejledninger, som hjemmesiden vil blive opdateret med. 

Den regulatoriske sandkasse er et samarbejde mellem Datatilsynet og Digitaliseringsstyrelsen, hvor forskellige aktører i samfundet kan få gratis adgang til relevant ekspertise og praksisnær vejledning i GDPR  samt bestemte emner inden for AI-forordningen.

Sandkassen har til hensigt at understøtte innovation og brugen af gode AI-løsninger gennem projekt- og praksisnær vejledning om konkrete regulatoriske rammer, og dermed bidrage til at sikre ansvarlig og lovlig anvendelse af AI-løsninger.

Formålet med den regulatoriske sandkasse er også at bidrage til at nedbringe tiden fra udvikling til drift og sikre, at færre projekter strander eller helt afsluttes på grund af usikkerhed om de regulatoriske rammer.

Sandkassen er tiltænkt virksomheder, myndigheder og andre organisationer, der udvikler eller anvender AI-løsninger, hvor der sker behandling af personoplysninger og/eller som er omfattet af AI-forordningen. Alle typer af virksomheder, myndigheder og andre organisationer har mulighed for at ansøge om at deltage i et sandkasseforløb, og det er også muligt at søge samlet, hvis flere virksomheder eller myndigheder samarbejder om at udvikler eller anvender AI-løsninger.

Det er vigtigt, at ansøgere er tilstrækkeligt langt i processen med projektet til, at de har identificeret nogle konkrete regulatoriske udfordringer, som de ønsker vores hjælp til at løse, og at man på forhånd har gjort sig nogle grundlæggende overvejelser om mulige løsninger.

Et sandkasseforløb kan bl.a. bestå af:

• Hjælp til gennemførelse af konsekvensanalyser vedrørende databeskyttelse (DPIA)
  
  
• Indspil til aktuelle juridiske løsninger på konkrete databeskyttelsesudfordringer
  
  
• Udforskning af muligheder for at implementere databeskyttelse by design
  
  
• Hjælp til vurdering og afvejning af legitime interesser
  
  
• Hjælp til vurdering og håndtering af risici for de registrerede
  
  
• Hjælp til at identificere øvrige konkrete databeskyttelsesudfordringer
  
  
• Hjælp til at foretage risikoklassifikation efter AI-forordningen af AI-løsningen

Længden af et sandkasseforløb er afhængig af det konkrete projekt. Det kan derfor både være af længere varighed, som udgangspunkt fire måneder, men kan også være et kortere forløb.

Forud for selve forløbet, afholdes et opstartsmøde, hvor konkrete problemstillinger, indhold, længde af forløb mv. identificeres.

Efter et sandkasseforløb er afsluttet, vil erfaringerne fra forløbet blive kommunikeret til offentligheden, eksempelvis i en rapport, så andre kan få gavn af dem. Virksomheder, myndigheder og organisationer, som har deltaget i et vejledningsforløb i sandkassen, vil derfor fungere som foregangseksempler og være til hjælp for andre virksomheder, myndigheder og organisationer.

 I Danmark fungerer Digitaliseringsstyrelsen som centralt kontaktpunkt for AI-forordningen og koordinerer arbejdet omkring gennemførelsen af AI-forordningen. 

Selve tilsynet med reglerne i AI-forordningen vil ske i samarbejde med andre offentlige myndigheder, idet AI-forordningen lægger op til at der føres et sektorbaseret tilsyn. 

På nuværende tidspunkt er Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen udpeget som tilsynsmyndigheder (markedsovervågningsmyndigheder) vedrørende overholdelsen af reglerne om de forbudte former for AI-praksis i AI-forordningens artikel 5 i Danmark. 

Derudover vil EU-Kommissionen føre tilsyn med overholdelsen af reglerne vedrørende AI-modeller til almen brug.  

Det er endnu uafklaret præcis, hvem der på nationalt plan kommer til at føre tilsyn med overholdelsen af reglerne om højrisiko-AI-systemer og gennemsigtighedsforpligtigelserne.

Siden vil løbende blive opdateret, når den endelig tilsynsmodel er afklaret.

Du kan læse mere om tilsyn med AI-forordningen her.

Din henvendelse handler i første omgang om personoplysninger. Det anbefales, at du i stedet henvender dig til Datatilsynet på: dt@datatilsynet.dk, da Datatilsynet fører tilsyn med overholdelsen af de databeskyttelsesretlige regler (GDPR) i Danmark.

På nuværende tidspunkt eksisterer der ikke en egentlig klageadgang, men du kan altid henvende dig til aia@digst.dk med oplysninger og spørgsmål.