Den 2 augusti markeras en ny milstolpe i det europeiska regulatoriska landskapet när centrala delar av EU:s AI-förordning (EU 2024/1689) träder i kraft. Efter att de inledande förbuden mot otillåten AI-anvädning aktiverades under föregående år, förskjuts det rättsliga fokuset nu mot de allmänna transparensskyldigheterna samt den operationella tillsynen. För företag, myndigheter och systemleverantörer innebär detta att den juridiska riskanalysen måste sträcka sig längre än till rent tekniska specifikationer och direkt adressera hur AI-system exponeras mot marknaden och slutanvändaren.
Transparensplikten enligt artikel 50: Ett stärkt konsumentskydd i den digitala sfären
Credit: Unsplash
Kärnan i den etapp som nu aktiveras utgörs av de uttryckliga transparenskraven i förordningens artikel 50. Bestämmelserna bygger på den rättsliga principen om att en fysisk person har rätt att bli informerad när denne exponerats för eller interagerar med ett AI-system. I praktiken innebär detta att leverantörer och tillhandahållare av AI-lösningar som är utformade för direkt interaktion med människor måste implementera tekniska och kommunikativa mekanismer som säkerställer att systemets icke-mänskliga natur är ställd utom rimligt tvivel.
Motsvarande skyldigheter gäller när AI-system används för biometrisk kategorisering eller känseligenkänning. I dessa fall kräver lagstiftningen att den berörda personen informeras i förväg och ges insyn i behandlingen. Undantag medges endast under mycket specifika förhållanden, exempelvis inom ramen för brottsbekämpande verksamhet där lagstödet är uttryckligt. Detta representerar en tydlig harmonisering av konsumentskyddet och den personliga integriteten på EU-nivå.
EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2024/1689 av den 13 juni 2024 om harmoniserade regler för artificiell intelligens och om ändring av förordningarna (EG) nr 300/2008 (utdrag-p.1):
Leverantörer ska säkerställa att AI-system som är avsedda att interagera direkt med fysiska personer utformas och utvecklas på ett sådant sätt att de berörda fysiska personerna informeras om att de interagerar med ett AI-system, såvida detta inte är uppenbart för en fysisk person som är normalt informerad och skäligen uppmärksam och medveten, med beaktande av användningens omständigheter och sammanhang. Denna skyldighet är inte tillämplig på AI-system som enligt lag får upptäcka, förebygga, förhindra, utreda eller lagföra brott, med förbehåll för lämpliga garantier för tredje parters rättigheter och friheter, såvida inte dessa system är tillgängliga för allmänheten för att anmäla ett brott.
Även om det från och med imorgon krävs att AI-genererat material märks med en maskinläsbar, osynlig vattenstämpel - för ökad transparen - så görs ett undatag för äldre AI-system som var tillgängliga före detta datum gäller ett undantag fram till den 2 december 2026 för att hinna implementera tekniken.
Syntetiskt innehåll, deepfakes och den tekniska spårbarheten
Den snabba utvecklingen inom generativ AI har ställt jurister och tillsynsmyndigheter inför betydande utmaningar avseende bevisrätt, upphovsrätt och skydd mot informationsmanipulering. AI-förordningen bemöter detta genom att ålägga tillhandahållare som genererar eller manipulerar bild-, ljud- eller videomaterial – så kallade deepfakes – en skyldighet att tydligt klargöra materialets ursprung.
Det rättsliga ansvaret stannar dock inte vid enbart visuell eller auditiv märkning. Leverantörer av generativ AI åläggs att bygga in tekniska lösningar som möjliggör spårbarhet och identifiering av sådant innehåll. Det handlar om implementering av osynliga vattenstämplar och strukturerad metadata som överensstämmer med öppna, internationella standarder. Syftet är att skapa en obrytbar kedja av autenticitet i det digitala informationsflödet, vilket minskar risken för att företag ofrivilligt medverkar till spridning av vilseledande och/eller upphovsrättsligt skyddat material.
Tillsynsarkitekturen och granskningen av allmänna AI-modeller
En central aspekt av den nuvarande fasen är operationaliseringen av den tillsynsstruktur som ska övervaka marknaden. Det Europeiska AI-kontoret (EU AI Office) erhåller nu fulla befogenheter att bedriva tillsyn och utöva sanktionsrätt gentemot leverantörer av allmänna AI-modeller (så kallade General Purpose AI-modeller eller GPAI). Denna tillsyn omfattar bland annat verifiering av att modellerna överensstämmer med EU:s upphovsrättsliga regelverk samt att leverantörerna tillhandahåller adekvat teknisk dokumentation avseende träning och utvärdering.
För de modeller som anses utgöra systemiska risker ställs ännu högre krav på modellutvärderingsprotokoll, incidentrapportering och cybersäkerhetsåtgärder. Att denna centraliserade tillsyn nu aktiveras innebär att globala aktörer som tillhandahåller grundläggande AI-infrastruktur inom unionen måste underkasta sig en jurisdiktionsövervakning av ett slag som saknar motsvarighet utanför EU.
Justerade tidslinjer för högrisksystem och det framtida rådrummet
Det är av stor betydelse för organisationer att skilja mellan de transparenskrav som nu träder i kraft och det mer omfattande regelverket för så kallade högrisk-AI-system enligt bilaga III. Regelverket avseende högrisk-AI – vilket omfattar system inom bland annat rekrytering, kreditvärdering, kritiskt infrastruktur och rättskipning – har genom EU:s uppdaterade tidslinjer och lagstiftningsinitiativ skjutits fram.
Denna förskjutning ger organisationer ett värdefullt tidsfönster att upprätta robusta ramverk för intern styrning och riskhantering (AI Governance). Att kravhanteringen för högrisksystem inträder först 2027 och 2028 innebär dock inte att arbete kan skjutas upp. De grundläggande transparenskraven, i kombination med dataskyddsförordningens (GDPR) redan existerande krav på automatiserat beslutsfattande, kräver en omedelbar genomlysning av organisationens samlade AI-portfölj.
Strategiska rekommendationer för compliance och riskminimering
Ur ett affärsjuridiskt perspektiv bör organisationer omgående vidta åtgärder för att säkerställa efterlevnad och minimera exponeringen för de sanktionsavgifter som förordningen stipulerar. Det första steget är att genomföra en strukturerad inventering av samtliga AI-system som är i drift, både internt utvecklade och tredjepartstjänster, för att korrekt klassificera dem enligt förordningens riskkategorier.
Därefter bör avtal med leverantörer och underleverantörer av IT-tjänster ses över. Det är nödvändigt att säkerställa att ansvarsfördelningen avseende transparensmärkning, spårbarhet och datakvalitet är tydligt reglerad i kommersiella kontrakt. Slutligen rekommenderas upprättandet av en intern AI-policy som kombinerar legal compliance med praktiska riktlinjer för medarbetarna, vilket lägger grunden för en hållbar och juridiskt trygg användning av artificiell intelligens i verksamheten.
___________