EU AI Act for SMV: Krav til AI governance

Brugen af kunstig intelligens vokser hastigt blandt danske virksomheder, men implementeringen af **EU AI Act for SMV** stiller nye regulatoriske krav. Uanset om I anvender standardiserede værktøjer som Microsoft 365 Copilot eller overvejer specialudviklede algoritmer, skal I have styr på jeres AI governance og dokumentation.

Hvad betyder EU AI Act for SMV'er?

EU AI Act er EU's forordning om kunstig intelligens, der fastsætter regler baseret på et risikobaseret princip. For de fleste SMV'er indebærer forordningen ikke et forbud mod teknologien, men derimod et krav om transparens, datastyring og ansvarlighed.

Regelsættet opdeler AI-løsninger i fire risikoniveauer:

• **Uacceptabel risiko:** Forbudte systemer (fx social scoring og manipulation).
• **Høj risiko:** Kritiske systemer inden for blandt andet rekruttering (screening af CV'er), kreditvurdering og kritisk infrastruktur.
• **Begrænset risiko:** Systemer med krav om gennemsigtighed, såsom chatbots og AI-genereret indhold, hvor brugere skal vide, at de interagerer med AI.
• **Minimal risiko:** Hverdagssoftware som spamfiltre og AI-assisteret kontorsoftware, der frit må anvendes uden særlige dokumentationsbyrder.

Hvilke systemer skal I dokumentere?

Hvis jeres virksomhed udelukkende anvender standardløsninger (såkaldt *deployer* eller anvender), bærer I et andet ansvar end softwarehuset, der udvikler modellerne. Ikke desto mindre skal I kunne redegøre for jeres interne brug.

Dokumentationskravene rammer især SMV'er, der anvender AI i højrisikoprocesser:

• **Rekruttering og HR:** Bruger I værktøjer til automatiseret frasortering af ansøgere, regnes det som højrisiko under forordningen. Det kræver risikovurdering, logning af data og overvågning af bias.
• **Kunde- og kreditscoring:** Algoritmer, der afgør kunders kreditværdighed eller adgang til services, er underlagt skærpede krav til gennemskuelighed.
• **Produktsikkerhed:** AI indlejret i fysiske produkter, der kræver CE-mærkning.

Elementer i en pragmatisk AI governance

Effektiv AI governance handler for en SMV ikke om tunge, bureaukratiske processer, men om at etablere klare rammer for, hvem der må bruge hvad, og til hvilke formål.

Jeres AI governance bør som minimum indeholde:

• **En fortegnelse over AI-systemer:** En opdateret liste over samtlige AI-værktøjer, der anvendes i organisationen, inklusiv formål og behandlede datatyper.
• **Retningslinjer for databeskyttelse (Acceptable Use Policy):** Klare instruktioner til medarbejderne om, hvilke data der aldrig må indtastes i eksterne AI-tjenester (fx personoplysninger, forretningshemmeligheder og kildekode).
• **Menneskeligt tilsyn (*Human-in-the-loop*):** En fast procedure for, at kritiske beslutninger, der påvirker mennesker, aldrig træffes udelukkende af en algoritme, men altid godkendes af en medarbejder.
• **Leverandørstyring:** Dokumentation for, at jeres cloud- og softwareleverandører overholder europæiske standarder for databehandling.

Sådan kommer I i gang

1. **Kortlæg jeres nuværende værktøjer:** Registrér hvilke AI-modeller, browserudvidelser og softwarefunktioner jeres medarbejdere allerede benytter i hverdagen. 2. **Klassificér risikoniveauet:** Vurdér om jeres systemer falder under minimal, begrænset eller høj risiko i forhold til EU AI Act. 3. **Udarbejd en AI-politik:** Fastlæg retningslinjer for håndtering af forretningsdata, immaterielle rettigheder og fortrolighed ved brug af AI. 4. **Uddan medarbejderne:** Sørg for at personalet forstår reglerne om datasikkerhed og kender grænserne for brugen af generative værktøjer.

Ofte stillede spørgsmål

Skal en SMV overholde EU AI Act, hvis vi kun bruger standardsoftware?:

Ja, som anvender (*deployer*) af AI har I ansvar for at overholde gennemsigtighedskrav og sikre, at systemerne anvendes efter hensigten, særligt hvis de bruges til HR eller kreditvurderinger.

Er Microsoft 365 Copilot omfattet af dokumentationskravene?:

Microsoft 365 Copilot falder som udgangspunkt under minimal eller begrænset risiko ved normal kontorbrug, men jeres interne datadeling og adgangskontrol skal stadig dokumenteres for at undgå læk af interne data.

Hvad er straffen for manglende overholdelse for SMV'er?:

Forordningen fastsætter bødestørrelser afhængigt af overtrædelsens karakter og virksomhedens størrelse, men for SMV'er gælder differentierede loft over administrative bøder i modsætning til store koncerner.

Hos THINGGAARD IT rådgiver vi jyske virksomheder om pragmatisk it-sikkerhed, compliance og sikker konfiguration af cloud- og AI-miljøer.