AI-ansvarlig: pligt eller frivilligt?

Har vi brug for en AI-ansvarlig?

Nej, EU AI Act indeholder ikke et krav om at udpege en AI-ansvarlig. I modsætning til GDPR med databeskyttelsesrådgiveren (art. 37 GDPR) kender AI-forordningen ikke en sådan rolle. EU-Kommissionen fastslår i sine spørgsmål og svar om AI-kompetence, at der for art. 4 ikke er foreskrevet nogen bestemt organisationsstruktur, hverken en AI-ansvarlig eller et AI-udvalg.

Pligten er noget andet: Udbydere og idriftsættere træffer foranstaltninger til at støtte udviklingen af AI-kompetencen hos deres personale og andre personer på deres vegne (art. 4, stk. 1). Hvem der planlægger og følger op på disse foranstaltninger, bestemmer virksomheden selv.

Hvornår giver et fast ansvar alligevel mening?

En udpeget person er det værd, så snart flere AI-værktøjer er i brug, eller teams selv afprøver nye tjenester. Så er der brug for en, der bevarer overblikket og besvarer spørgsmål, for eksempel i disse tilfælde:

• Din virksomhed bruger flere AI-tjenester, f.eks. ChatGPT, Microsoft Copilot og AI-funktioner i CRM-systemet.
• Du anvender AI på et område efter bilag III, f.eks. ved udvælgelse af ansøgere. Fra den 2. december 2027 skal det menneskelige tilsyn dér ligge hos personer med den nødvendige kompetence, uddannelse og myndighed (art. 26, stk. 2).
• Kunder eller revisorer, f.eks. ved ISO 27001-audits, spørger efter en ansvarlig for AI.

Hvilke opgaver passer til rollen?

Typisk er fire opgaver, som også kan fordeles på flere personer:

• Føre en oversigt over de anvendte AI-systemer og deres udbydere.
• Udarbejde og vedligeholde en AI-politik, f.eks. med vores skabelon til en AI-politik.
• Planlægge foranstaltninger til AI-kompetence og dokumentere, hvem der hvornår har deltaget i hvilken foranstaltning.
• Vurdere nye AI-projekter: Er de omfattet af reglerne for høj risiko eller af gennemsigtighedskravene efter art. 50?

En enkel foranstaltning for alle medarbejdere er et dokumenteret EU AI Act-kursus med personligt certifikat og en revisionsrapport til virksomheden.

Kan databeskyttelsesrådgiveren overtage det?

Ja, det er muligt, men det er ikke et krav. Kommissionen besvarer spørgsmålene om en AI-ansvarlig, om en dobbeltrolle med databeskyttelsesrådgiveren og om et AI-udvalg samlet: For art. 4 er der ikke foreskrevet nogen bestemt struktur. Overtager databeskyttelsesrådgiveren rollen, må det ikke give en interessekonflikt med vedkommendes opgaver efter GDPR (art. 38, stk. 6, GDPR). Den, der selv træffer afgørelse om brugen af AI, bør ikke samtidig kontrollere databeskyttelsen heraf.

Hyppige spørgsmål om AI-ansvarlig

Er der en bøde, hvis vi ikke har en AI-ansvarlig?

Nej. EU AI Act kræver ikke en AI-ansvarlig, så der er heller ingen bøde for det. Sanktioner ved overtrædelse af art. 4 fastsætter medlemsstaterne (art. 99, stk. 1); art. 4 kræver foranstaltninger til AI-kompetence, ikke en bestemt rolle. Læs mere på siden Bøder.

Kræver en AI-ansvarlig en bestemt uddannelse?

Nej, en foreskrevet uddannelse eller eksamen findes ikke. Meningsfuldt er viden om de anvendte AI-systemer, EU AI Act og databeskyttelse. Heller ikke for medarbejderne kræver Kommissionen et certifikat; en intern registrering af kurser og andre foranstaltninger er nok.

Gælder det også for små virksomheder?

Ja. Art. 4 gælder uafhængigt af virksomhedens størrelse for alle udbydere og idriftsættere. I små virksomheder står ledelsen ofte selv for koordineringen, en egen stilling er ikke nødvendig. Hvad art. 4 kræver i detaljer, forklarer siden Art. 4: AI-kompetence.

Uddan dit team nu Skabelon til AI-politik

Bemærk: Dette bidrag er til generel information og erstatter ikke juridisk rådgivning.