AI Act 2026: allt sem fyrirtæki þurfa að vita

AI Act, formlega reglugerð (ESB) 2024/1689, er fyrsta heildstæða AI-löggjöfin í heiminum. Hún var samþykkt 13. júní 2024, birt í Stjórnartíðindum ESB 12. júlí 2024 og tók gildi 1. ágúst 2024. Frá þeim degi taka skyldurnar gildi í áföngum og reglugerðin tekur að fullu gildi 2. ágúst 2026. Reglugerðin gildir beint í öllum aðildarríkjum ESB og nær til Íslands í gegnum EES-samninginn, án sérstakrar innleiðingar í landsrétt.

Í reglugerðinni eru fjórar lykildagsetningar. 2. febrúar 2025: bönnuð AI-notkun (5. gr.) tekur gildi og skylda til AI-læsis (4. gr.) gildir fyrir öll fyrirtæki sem nota AI. 2. ágúst 2025: skyldur veitenda almennra AI-líkana (GPAI), eins og OpenAI, Anthropic, Google og Mistral, ásamt ákvæðum um stjórnarhætti og flestum viðurlögum. 2. ágúst 2026: meginhluti reglugerðarinnar, þar á meðal reglur um hááhættukerfi (III. viðauki) og gagnsæiskröfur fyrir kerfi með takmarkaða áhættu. 2. ágúst 2027: reglur um hááhættu-AI sem er innbyggð í vörur samkvæmt núgildandi vörulöggjöf ESB (I. viðauki, til dæmis lækningatæki, vélar og leikföng).

AI Act byggir á áhættumati. Óásættanleg áhætta (bönnuð): félagsleg stigagjöf hins opinbera, blekkjandi AI sem skaðar viðkvæma hópa, lífkennaflokkun eftir viðkvæmum eiginleikum, rauntíma-lífkennaauðkenning á almannafæri (með fáeinum undantekningum fyrir löggæslu) og tilfinningagreining á vinnustöðum og í skólum. Algjörlega bönnuð frá 2. febrúar 2025. Há áhætta: kerfi sem talin eru upp í III. viðauka (ráðningar, lánveitingar, mikilvægir innviðir, menntun, lífkenni sem ekki eru bönnuð, löggæsla, fólksflutningar, dómskerfi) og AI í vörum samkvæmt I. viðauka. Miklar skyldur: áhættustjórnunarkerfi, gagnastjórnun, tæknileg skjölun, atvikaskráning, mannlegt eftirlit, traustleiki og netöryggi. Takmörkuð áhætta: spjallmenni, djúpfalsanir og AI-efni. Skylt: að upplýsa notendur um AI-notkun og merkja efnið. Lágmarksáhætta: ruslpóstsíur, AI í tölvuleikjum og birgðabestun. Engar sérstakar AI Act-skyldur, en persónuverndarlöggjöf (GDPR) og almenn lög gilda áfram.

Reglugerðin skilgreinir fjögur hlutverk. Veitendur (providers): þeir sem þróa AI-kerfi, eða láta þróa það, til að setja á markað undir eigin nafni. Þyngsta hlutverkið. Notkunaraðilar (deployers): fyrirtæki sem nota AI-kerfi í atvinnustarfsemi. Undir þetta fellur meirihluti íslenskra lítilla og meðalstórra fyrirtækja. Innflytjendur: fyrirtæki sem flytja AI-kerfi frá þriðja landi inn á markað ESB. Dreifingaraðilar: fyrirtæki í aðfangakeðjunni sem bjóða AI-kerfi á markaði án þess að hafa sjálf þróað þau eða flutt þau inn. Mikilvægt: einnig sem notkunaraðili hefur þú skyldum að gegna, sérstaklega gagnvart hááhættukerfum (26. gr.): mannlegt eftirlit, varðveisla atvikaskráa, tilkynning atvika og að tryggja AI-læsi starfsfólks (4. gr.).

Í 4. grein er gerð sú krafa að veitendur og innleiðingaraðilar tryggi, eftir bestu getu, að starfsfólk þeirra og aðrir sem nota AI-kerfi á þeirra vegum búi yfir nægilegri AI-færni. Þar þarf að taka mið af tæknilegri þekkingu viðkomandi, reynslu, menntun, samhengi notkunarinnar og hverjir verða fyrir áhrifum. Í reynd: þjálfun miðuð við hlutverk, ekki almennt námskeið fyrir alla. Markaðsstarfsmaður sem nýtir ChatGPT í textavinnu þarf annað námsefni en mannauðsstjóri sem framkvæmir umsækjendaskimun. Eftirlitsaðilar, í Hollandi Persónuverndarstofnunin (Autoriteit Persoonsgegevens) og RDI, hafa lýst því yfir að þeir framfylgja kröfunni um sannanleika: skjölun, þátttakendur, námsmarkmið og mat. Þetta er í boði í gegnum AI-þjálfun.

Sektir eru þrepaskiptar og með skýrum hámörkum. Allt að 35 milljónir evra eða 7% af árlegri heimsveltu (það sem hærra er) fyrir bannaðar AI-iðkanir (5. grein). Allt að 15 milljónir evra eða 3% af árlegri heimsveltu fyrir flest önnur brot, þar á meðal kröfur um áhættusöm kerfi, gagnsæi og reglur um veitendur GPAI. Allt að 7,5 milljónir evra eða 1% af árlegri heimsveltu fyrir rangar eða villandi upplýsingar til eftirlitsaðila. Sérstök ákvæði gilda um lítil og meðalstór fyrirtæki og sprotafyrirtæki: aðildarríkjum er heimilt að setja lægri hámörk fyrir smærri rekstraraðila og taka verður tillit til meðalhófs við ákvörðun sektar. Í Hollandi er Persónuverndarstofnunin (AP) helsti eftirlitsaðilinn, ásamt sviðsbundnum aðilum á borð við RDI, AFM og NZa.

Þær gilda samhliða, þær koma ekki í stað hver annarrar. GDPR (AVG) heldur fullu gildi fyrir allt sem snertir persónuupplýsingar. AI-kerfi sem vinnur persónuupplýsingar þarf að uppfylla GDPR (lagaheimild, tilgangsbinding, gagnalágmörkun, réttindi skráðra) og AI-reglugerð ESB (áhættuflokkun, skjölun, mannlegt eftirlit). NIS2, netöryggistilskipunin fyrir nauðsynlegar og mikilvægar einingar, snertir AI á sviði tæknilegra varna og tilkynningarskyldu vegna atvika. Í reynd er áhættumat unnið samþætt: DPIA vegna GDPR, mat á áhrifum á grundvallarréttindi (FRIA) fyrir áhættusama AI hjá opinberum innleiðingaraðilum og NIS2-áhættugreining, og byggir allt þetta á sömu gögnum.

Hollenska persónuverndarstofnunin (AP) hefur verið tilnefnd í Hollandi sem markaðseftirlitsaðili AI-reglugerðar ESB, til viðbótar við hefðbundið hlutverk sitt sem GDPR-eftirlitsaðili. AP heldur úti sérstöku þemasvæði um reiknirit og AI með leiðbeiningum, algengum spurningum og sviðsskýrslum. Helstu áherslur: AI-færni er ekki formsatriði heldur raunveruleg skylda, djúpfalsanir án skýrrar merkingar eru vandasamar bæði samkvæmt GDPR og AI-reglugerð ESB, og sjálfvirk ákvarðanataka með lagaleg áhrif fellur bæði undir 22. grein GDPR og 26. grein AI-reglugerðar ESB. AP gefur út ársfjórðungslega skýrslu um áhættu vegna reiknirita í Hollandi.

Þrjár leiðir, í þessari röð. Leið 1, fljót yfirsýn: AI-úttekt á hálfum til einum degi, öll AI-kerfi kortlögð, áhættuflokkun og þrjár forgangsaðgerðir á einni A4-síðu. Sjá einnig gjaldfrjálsa AI-úttekt til að fá fyrstu mynd. Leið 2, grunnvinna: setja upp AI-skrá, innleiða þjálfun í AI-færni, skrifa AI-stefnu og innri verkferla og samþætta við fyrirliggjandi GDPR-vinnu. Leið 3, áhættusöm eða stórtæk kerfi: fyrir fyrirtæki með raunverulega áhættusöm kerfi eða GPAI-smiði er sett upp innleiðingarferli með áhættustýringarkerfi, tæknilegri skjölun, mannlegu eftirliti og eftirfylgni eftir markaðssetningu. Í þessari leið er unnið með AI-lögfræðingum og, þegar fjárhags- og rekstrarþættir skarast, með endurskoðendum.

Að bíða er dýr stefna. Þrjár ástæður. Í fyrsta lagi: 4. grein (AI-læsi) og 5. grein (bönnuð háttsemi) eru þegar í gildi frá 2. febrúar 2025. Notir þú AI nú án nokkurrar þjálfunar eða án skoðunar á bannaðri notkun, ertu þegar að brjóta reglur. Í öðru lagi: má gera ráð fyrir að innleiðing áhættuhárra kerfa taki sex til tólf mánuði fyrir áhættustýringu, skjölun, gagnagæði og úttektir. Ætlir þú að vera í samræmi við reglur fyrir 2. ágúst 2026 þarftu að hefjast handa snemma árs 2026, ekki í júlí. Í þriðja lagi: birgjar og viðskiptavinir fara þegar að krefjast sönnunar. Stór innkaupsaðili sem kaupir AI-einingu vill sjá skjölun, jafnvel þótt lögunum sé ekki enn framfylgt að fullu. Að byrja kostar minna en að flýta sér. Eins dags úttekt veitir þér strax yfirsýn og forgangslista.