Regeringens implementeringsplan
Indflyvningstekst
Forordningen fastsætter regler om anvendelsen af kunstig intelligens-systemer og har til formål at fremme ansvarlig udvikling og udbredelse af kunstig intelligens i EU. Forordningen følger en risikobaseret tilgang, hvor graden af forpligtelser følger graden af risici. Det betyder, at kunstig intelligens-systemer med uacceptabel risiko forbydes, kunstig intelligens-systemer med høj risiko pålægges strenge krav, mens lavrisiko kunstig intelligens-systemer ikke pålægges nogle forpligtelser.
Konsekvenser for Erhvervslivet
Retsakten vurderes at medføre væsentlige konsekvenser særligt for danske virksomheder, der udbyder kunstig intelligens-systemer inden for højrisiko anvendelsesområder.
Udbydere af højrisiko AI pålægges en række forpligtelser om bl.a. etablering af risikostyrringssystem, indføring af kvalitetsstyringssystem og dataforvaltningspraksis, dokumentation og automatiske logfiler, menneskeligt tilsyn, nøjagtighed, robusthed og cybersikkerhed. Der er ikke foretaget et estimat på, hvor mange danske virksomheder, der umiddelbart berøres af retsaktens indhold. DIGST har netop igangsat et arbejde med at kortlægge brugen af AI i Danmark inden for sektorer, der jf. forordningen kan være højrisiko. Denne skal bl.a. give et foreløbigt billede af omfanget. Udover udbydere, pålægges idriftsættere (anvendere) også visse forpligtelser om bl.a. menneskeligt tilsyn, overvågning af systemet og underretning ved risiko for sundhed eller sikkerhed eller for personers grundlæggende rettigheder og opbevaring af logfiler. Disse krav forventes at være mindre ressourcekrævende.
Metode til implementering
Forordningen er direkte gældende i Danmark. Dog fremsættes et nationalt lovforslag om hjemmel til fastsættelse af sanktioner og andre håndhævelsesforanstaltninger samt udpegning af kompetente myndigheder. Digitaliseringsstyrelsen er udpeget som centralt kontaktpunkt efter forordningens art. 70, stk. 2., 3. pkt. og vil koordinere implementeringsarbejdet. Der lægges i forordningen op til en sektorimplementering, hvilket indebærer, at en række myndigheder vil skulle føre tilsyn med overholdelse af forordningen om kunstig intelligens på deres respektive områder, jf. bilag 1 og til dels bilag 3 i forordningen. Der er oprettet en arbejdsgruppe for potentielle kompetente myndigheder. Formålet er at afklare, hvilke myndigheder som skal udpeges som kompetente myndigheder og hermed varetage tilsynsopgaver under forordningen samt bidrage til samarbejde og videndele om best practices efter udpegning.
Inddragelse af interessenter
nteressenter inddrages tidligt og løbende i implementeringsprocessen bl.a. for at identificere konkrete behov for og bidrage til udarbejdelse af vejledning og standarder mhp. efterlevelse af forpligtelser samt tilrettelæggelse af tilsyn. De første møder med interessenter er allerede afholdt, ligesom der er nedsat en følgegruppe, der består af interessenter fra bl.a. erhvervsliv og civilsamfund. Første møde i følgegruppen til AI forordningen er ligeledes afholdt september 2024. Herudover forventes høring afholdt ultimo 2024 over nationalt lovforslag vedr. bl.a. håndhævelsesforanstaltninger.
Undersøgelse af implementering i andre EU-lande
Digitaliseringsstyrelsen deltager med de øvrige medlemslande i arbejdet i AI-udvalget, der har til opgave at rådgive og bistå Kommissionen og medlemsstaterne med henblik på at lette en ensartet og effektiv anvendelse af forordningen. AI-udvalget mødtes første gang 10. september 2024. Derudover deltager Digitaliseringsstyrelsen med andre medlemslande i en arbejdsgruppe om implementering af forordningen.
Særlige hensyn i dansk kontekst
Pga. det danske retsforbehold er der enkelte regler, der ikke finder direkte anvendelse i Danmark. Dette er nærmere beskrevet i præambel (41) i forordningen. JM har ikke taget stilling til, om der skal udarbejdes national lovgivning på dette område.
Anbefaling
Anbefaling
Overordnede anbefalinger
Regelforum bemærker indledningsvist, at EU's AI-forordning indeholder elementer, som kan være tvetydige og kræver yderligere fortolkning. Uden klare retningslinjer kan det være vanskeligt for virksomheder og myndigheder at sikre korrekt implementering og overholdelse af reglerne.
Helt central er eksempelvis tolkningen af, hvad der efter forordningen ses som et AI-system, som for nuværende ikke har en tydelig afgrænsning til gængs statistik – som simpel regression og generaliserede lineære modeller - og software. Dertil kommer en række andre centrale begreber, som giver anledning til usikkerhed. Se udvalgte eksempler i afsnittet nederst, efter Regelforums anbefalinger til de enkelte afsnit.
Hvis virksomhedernes AI-processer skal gå så smidigt som muligt – det gælder på alle områder og ikke kun højrisiko-AI - er en hurtig afklaring vigtig. Derfor er det helt centralt, at disse tolkninger er klare og på plads i fornuftig tid i forhold til ikrafttrædelsen af de forskellige dele af forordningen, så der er realistisk tid til at implementere dem og dermed undgå unødige byrder.
For at undgå, at en hurtig afklaring af tvetydige begreber bliver problematisk, så bør implementeringen ske i tæt dialog med erhvervslivet, så retningslinjer mv. understøtter de mest relevante brugsscenarier.
Regelforum har herudover følgende anbefalinger til enkelte dele af planen.
Konsekvenser for erhvervslivet
Regelforum bemærker, at uklarhed i implementeringen kan give øgede byrder hos erhvervsliv og myndigheder og svække konkurrenceevnen samt tillige beskyttelsen af personer og medarbejdere. Dels fordi den enkelte virksomhed/myndighed selv skal bruge ressourcer på at detailtolke kravene, indtil brugbare vejledninger er på plads. Dels fordi eventuelle misforhold mellem egne tolkninger op mod efterfølgende vejledninger giver et unødigt dobbelt implementeringsarbejde.
Regelforum anbefaler:
- At der fra dansk side sættes stort fokus på hurtigt at sikre klare tolkninger af centrale dele af forordningen, og at der samtidig er dansk fokus på at sikre en fornuftig tidshorisont til implementering af disse tolkninger.
Herudover medfører forordningen en nødvendig beskyttelse af medarbejderne på virksomheder, der anvender AI bl.a. som ledelses-/overvågningsværktøj, idet brug af kunstig intelligens overfor medarbejderne er et højrisikoområde, hvor arbejdsgivere skal være forsigtige. Det er meget væsentligt, at der bliver sat fokus på brug af medarbejderdata og AI, da ny forskning påpeger, at elektronisk overvågning og ledelse ved hjælp af algoritmer/kunstig intelligens kan have skadelig virkning på medarbejdernes arbejdsmiljø. Se fx EU’s agentur for arbejdsmiljø “Digital technologies at work and psychosocial risks: evidence and implications for occupational safety and health.”
Særskilt for forordningens regler om højrisiko-systemer & tilhørende standarder
I forhold til de specifikke krav til højrisikosystemer, er der ved at blive udviklet europæiske standarder. Det er pt. forventningen, at de første standarder ligger klar i slutningen af 2025 / starten af 2026, altså tidligst cirka 8 måneder før højrisiko-reglerne træder i kraft, forudsat at tidsplanen ikke skrider. Selv hvis tidsplanen ikke skrider, så giver det kort tid til at implementere det omfattende regelsæt.
Det fremhæver to udfordringer. Dels skal der være den nødvendige tid til at udarbejde standarder af høj kvalitet. Dels skal standarderne være færdige relativt hurtigt, så virksomheder og myndigheder har realistisk mulighed for at implementere dem på en ordentlig måde.
Regelforum anbefaler:
- Et dansk fokus på, at tidsplanen for standarderne ikke skrider. Alternativt at det overvejes at afsøge mulighederne for en udskudt ikrafttrædelse, hvis standarderne ikke er klar - eller ikke kan udarbejdes i en fornuftig kvalitet - senest 6 måneder før ikrafttrædelsestidspunktet.
Forbrugerrådet Tænk anbefaler ikke en udskudt ikrafttrædelse på den baggrund, men at man samarbejder tæt med erhvervslivet i udformningen af standarderne.
Metode til implementering
AI-forordningen følger op på regler, der allerede gælder i medfør af GDPR-forordningen og skal primært medføre, at der bliver klarhed over, hvordan og i hvilken form gældende regulering skal efterleves ved brug af kunstig intelligens, ligesom der indføres en række dokumentationskrav. Implementeringen bør have fokus på både erhvervsliv, myndigheder og beskyttelsen af medarbejderne mhp. at fastholde, at forordningen først og fremmest skaber klarhed, fremfor nye unødige administrative byrder og bureaukrati, som ellers ville kunne være til skade for virksomhedernes konkurrenceevne.
Regelforum anbefaler:
- En innovationsvenlig implementering støttet af praksisnær vejledning og klare retningslinjer både for virksomheder, der udvikler og anvender kunstig intelligens. God og rettidig vejledning bør løbende tilpasses, så vejledningerne ikke først kommer samtidig med at lovgivningen træder i kraft – som med GDPR. Virksomhederne skal derudover vide, hvor de kan henvende sig for at få vejledning og hjælp.
- Herudover er det centralt at højrisikokategorier såsom medarbejderdata fremstår tydeligt med de beskyttelseshensyn, der ligger heri.
Inddragelse af interessenter
Regelforum finder, at den angivne implementeringsplan er fornuftig og sikrer god inddragelse af relevante interessenter. Regelforum medlemmer bidrager gerne med at formidle og kommunikere omkring ændringer (som fx gjort ved overgangen til MitID Erhverv).
Herudover ser Regelforum frem til, at den af Digitaliseringsministeriet nedsatte følgegruppe, bestående af erhvervsorganisationer samt enkelte organisationer fra civilsamfundet, kan komme frem med relevante synspunkter.
Det kan samtidig overvejes, om relevante høringer på udvalgte/centrale vejledninger og tolkninger, bør gennemføres skriftligt mellem de kalendersatte møder i følgegruppen for at sikre input fra en bred kreds af relevante interessenter.
Regelforum anbefaler:
- At det gode fokus på interessentinddragelse i implementeringen fastholdes, og at der fokuseres på at inddrage relevante interessenter, hvor det er muligt og relevant for at bidrage til en klar og balanceret tolkning af reglerne i forhold til det overordnede arbejde hos det europæiske AI-Office.
- At man forholder sig til, hvordan teknologi og digitalisering bedst kan understøtte den indrapportering, der måtte komme. Der bør tænkes på tværs af al regulering og tages udgangspunkt i virksomhedernes situation, fremfor opdelingen i love eller organisering af den offentlige sektor. I den digitale understøttelse er det vigtigt, at man tænker tværgående i løsninger og har fokus på sammenhæng med øvrig regulering om rapportering og at virksomheder kun skal indberette data én gang. Ydermere bør man tænke i, hvor det er muligt at automatisere indberetninger i overensstemmelse med tankerne i automatisk erhvervsrapportering.
Undersøgelse af implementering i andre EU-lande
Da forordningen implementeres med ét koordinerende tilsyn samt forventeligt flere sektor-tilsyn pr. land vil det være relevant at være opmærksom på, hvordan der efter implementering sikres ens håndhævelse på tværs af både de enkelte lande og på tværs af de forskellige sektortilsyn. En løbende undersøgelse af håndhævelsen i udvalgte lande kunne bidrage til at sikre en ensartet håndhævelse og dermed level playing field for danske virksomheder og myndigheder.
Regelforum anbefaler:
- At der i dansk regi er fokus på at håndhævelsen i udvalgte EU-lande løbende følges med henblik på at sikre en ensartet håndhævelse på tværs af lande og sektorer.
Særlige hensyn
Regelforum anser et sektorbaseret tilsyn som det rigtige valg i forhold til tilsynet med forordningen. En række af de elementer, som følger af højrisikoreglerne, kræver domæne og branchekendskab, hvorfor det er en klar fordel, at et tilsyn i forvejen har dette kendskab. Regelforum støtter derfor tilgangen med et sektorbaseret tilsyn.
Endelig er det afgørende, at der i implementeringen er fokus på innovationsfremme således, at der identificeres og fjernes barrierer for AI-innovation også i Danmark. Der bør fx foregå en løbende orientering af interessenter vedrørende den regulatoriske sandkasse. Ikke kun med henblik på at fostre innovation, men også med henblik på at foregribe problematisk praksis og sikre en sund udvikling og anvendelse af AI-systemer.
Yderligere udvalgte eksempler på uklarhed i forordningen:
Regelforum bemærker, at der er uklarhed i forordningen ift. eksempelvis:
- De facto-krav, som ikke fremgår af forordningen
- Definitionen af AI; mangler klar adskillelse til gængs statistik
- Overgangen fra provider (udvikler) til deployer (bruger) er uklar; finjustering kan resultere i overgang
- Uklart hvornår en model falder under general purpose-reglerne
- Post market monitoring; risiko for overførsel af personfølsomme og/eller forretningsfølsomme data
Regelforum medlemmer bidrager gerne til at uddybe uklarhederne nærmere og pege på løsninger på disse områder – eksempelvis i følgegruppen.
Regeringens svar
Erhvervslivets EU- og Regelforum har sendt bemærkninger og syv delanbefalinger til Digitaliseringsministeriets implementeringsplan for forordningen om kunstig intelligens (AI-forordningen). Ministeriet følger anbefalingerne. I det følgende svares på de anbefalinger, som Regelforum har haft til de enkelte dele af implementeringsplanen.
Anbefaling 1: Følges
Regelforum anbefaler: At der fra dansk side sættes stort fokus på hurtigt at sikre klare tolkninger af centrale dele af forordningen, og at der samtidig er dansk fokus på at sikre en fornuftig tidshorisont til implementering af disse tolkninger.
Der arbejdes i regi af AI-udvalget på vejledninger og retningslinjer, som bl.a. skal sikre klare tolkninger af centrale begreber og afgrænsning af anvendelsesområder, herunder ift. gængs statisk og enklere traditionelle softwaresystemer. Fra dansk side er der fokus på, at vejledningerne udarbejdes rettidigt, så der sikres en fornuftig tidshorisont til implementering, og at vejledningerne understøtter, at kravene i forordningen fremstår klart.
Anbefaling 2: Følges
Regelforum anbefaler: Et dansk fokus på, at tidsplanen for standarderne ikke skrider. Alternativt at det overvejes at afsøge mulighederne for en udskudt ikrafttrædelse, hvis standarderne ikke er klar - eller ikke kan udarbejdes i en fornuftig kvalitet - senest 6 måneder før ikrafttrædelsestidspunktet.
Forbrugerrådet Tænk anbefaler ikke en udskudt ikrafttrædelse på den baggrund, men at man samarbejder tæt med erhvervslivet i udformningen af standarderne.
Fra dansk side er der fokus på, at standarder udvikles i så god tid som muligt, inden kravene til brug af højrisiko-AI finder anvendelse. Digitaliseringsstyrelsen lagde ved seneste møde i AI-udvalget vægt på, AI-udvalget bliver nødt til at tænke i planer for det tilfælde, at tidsplanen for udviklingen af standarder skrider mhp. at sikre, at interessenter understøttes i hvordan højrisikokravene overholdes. Digitaliseringsministeriet og -styrelsen opfordrer alle interessenter, herunder erhvervslivet til at deltage aktivt i udviklingen af standarder. Det kan både sikre indflydelse på og viden om standardernes udformning og understøtte, at standarderne færdiggøres så hurtigt som muligt. Opfordringen blev i øvrigt gentaget på følgegruppemøde 9. januar 2025 af en af deltagerne, som deltager i standardarbejdet. Deltageren understreger, at de mangler tekniske eksperter til arbejdet.
Anbefaling 3: Følges
Regelforum anbefaler: En innovationsvenlig implementering støttet af praksisnær vejledning og klare retningslinjer både for virksomheder, der udvikler og anvender kunstig intelligens. God og rettidig vejledning bør løbende tilpasses, så vejledningerne ikke først kommer samtidig med at lovgivningen træder i kraft – som med GDPR. Virksomhederne skal derudover vide, hvor de kan henvende sig for at få vejledning og hjælp.
Fra dansk side er der stort fokus på, at der udvikles praksisnære vejledninger, der tager udgangspunkt i interessenternes behov og løbende kan tilpasses. Derfor inddrager Digitaliseringsstyrelsen også løbende følgegruppen for implementering af AI forordningen og de underliggende arbejdsgrupper i det vejledningsmateriale, der udarbejdes med henblik på at sikre praksisnær, lettilgængelig og anvendelig vejledning til forordningen. Den første vejledning om AI-færdigheder har netop været i høring i følgegruppen og bliver nu lagt på DIGST.dk. Digitaliseringsstyrelsen vil fortsætte denne proces med kommende vejledninger, der løbende lægges op. Derudover er Digitaliseringsstyrelsen ved at undersøge, om det er muligt at lave et interaktivt værktøj, der kan hjælpe myndigheder og virksomheder med at risikoplacere sig ift. forordningen.
Anbefaling 4: Følges
Regelforum bemærker indledningsvist ift. implementeringsmetode: Implementeringen bør have fokus på både erhvervsliv, myndigheder og beskyttelsen af medarbejderne mhp. at fastholde, at forordningen først og fremmest skaber klarhed.
Regelforum anbefaler: Herudover er det centralt at højrisikokategorier såsom medarbejderdata fremstår tydeligt med de beskyttelseshensyn, der ligger heri.
Digitaliseringsministeriet peger på, at højrisikokategorierne i AI-forordningen ikke er baseret på datatyper, som fx medarbejderdata, men derimod på kunstig intelligens-systemer, der anvendes inden for en række områder. Med hensyn til efterspørgslen efter det brede perspektiv på både erhvervsliv, myndigheder og medarbejderbeskyttelse, så har forordningen også fokus på brugen af medarbejderdata og AI. Det har den bl.a. gen-nem reglerne om forbudte AI-praksisser, hvor brug af AI til følelsesgen-kendelse på arbejde hører under samt højrisikoanvendelsesområder ift. rekruttering, forfremmelse og opsigelse. Dette vil vi også have fokus på i implementeringen
Anbefaling 5: Følges
Regelforum anbefaler: At det gode fokus på interessentinddragelse i implementeringen fastholdes, og at der fokuseres på at inddrage relevante interessenter, hvor det er muligt og relevant for at bidrage til en klar og balanceret tolkning af reglerne i forhold til det overordnede arbejde hos det europæiske AI-Office.
Digitaliseringsstyrelsen fortsætter implementeringsarbejdet med fokus på at inddrage relevante interessenter og opfordrer også interessenter – særligt i følgegruppen for implementering af AI-forordningen – til at bidrage til en klar og balanceret tolkning af reglerne, fx med skriftlige eksempler på use-cases, der kan medtages i arbejdet hos AI Office og kan konkretisere udfordringer ved afgrænsning af reglernes anvendelsesområde.
Anbefaling 6: Følges
Regelforum anbefaler: At man forholder sig til, hvordan teknologi og digitalisering bedst kan understøtte den indrapportering, der måtte komme. Der bør tænkes på tværs af al regulering og tages udgangspunkt i virksomhedernes situation, fremfor opdelingen i love eller organisering af den offentlige sektor. I den digitale understøttelse er det vigtigt, at man tænker tværgående i løsninger og har fokus på sammenhæng med øvrig regulering om rapportering og at virksomheder kun skal indberette data én gang. Ydermere bør man tænke i, hvor det er muligt at automatisere indberetninger i overensstemmelse med tankerne i automatisk erhvervsrap-portering.
Det er ikke endnu besluttet, hvem der skal føre tilsyn med højrisikokravene i forordningen inden for hvilke områder. Det er heller ikke besluttet, hvordan tilsynet bliver udformet. I implementering af AI-forordningen er der dog også bl.a. fokus på virksomhedernes byrder forbundet med at leve op til reglerne.
Digitaliseringsstyrelsen arbejder generelt med at sikre samarbejde om implementering og tilsyn med digital EU-lovgivning på tværs af myndigheder, hvor der tages udgangspunkt i virksomhedernes situation.
Anbefaling 7: Følges
Regelforum anbefaler: At der i dansk regi er fokus på at håndhævelsen i udvalgte EU-lande løbende følges med henblik på at sikre en ensartet håndhævelse på tværs af lande og sektorer.
Digitaliseringsstyrelsen deltager aktivt i AI-udvalget og de underliggende arbejdsgrupper, der har til opgave at lette en ensartet og effektiv anvendelse af forordningen.