Stutta svarið: AI Act er ekki enn almennt í gildi á Íslandi
AI Act, reglugerð ESB 2024/1689, tók gildi innan Evrópusambandsins árið 2024. Á Íslandi er hún enn til skoðunar fyrir upptöku í EES-samninginn. Þar til þeirri upptöku og nauðsynlegri innleiðingu er lokið er reglugerðin ekki almenn íslensk lagaskylda.
Undantekningin er starfsemi sem fellur sjálfstætt undir gildissvið reglugerðarinnar, til dæmis þegar íslenskt fyrirtæki býður AI-kerfi á ESB-markaði eða niðurstöður kerfisins eru notaðar þar. Fyrirtæki með slíka starfsemi þurfa sértæka lögfræðilega greiningu.
Rétta nálgunin er hvorki að láta eins og lögin gildi nú þegar á Íslandi né að bíða með alla grunnvinnu.
Hvað gildir nú þegar?
GDPR og íslensk persónuverndarlög gilda nú þegar um vinnslu persónuupplýsinga. Það breytist ekki þótt vinnslan fari fram með AI.
Fyrir fyrirtæki þýðir það meðal annars:
- Ekki setja persónuupplýsingar í AI-verkfæri án skýrs tilgangs og lagagrundvallar.
- Vita hvaða þjónustuveitandi vinnur gögnin, hvar þau eru geymd og hvort þau eru notuð til þjálfunar.
- Meta sérstaklega sjálfvirkar ákvarðanir sem hafa lagaleg eða sambærileg veruleg áhrif á einstaklinga.
- Tryggja öryggi, gagnalágmörkun og réttindi skráðra einstaklinga.
- Halda mannlegri yfirferð þar sem niðurstaðan hefur áhrif á fólk, fjárhag eða réttindi.
Persónuvernd er réttur íslenskur upphafspunktur fyrir persónuverndarkröfur. Fyrir formlegt lögfræðilegt mat þarf íslenskan lögfræðing eða regluvörslusérfræðing.
Af hverju er samt skynsamlegt að undirbúa sig fyrir AI Act?
Góð AI-stjórnun borgar sig áður en hún verður lagaskylda. Hún minnkar líkur á gagnaleka, röngum niðurstöðum, óljósri ábyrgð og verkfærum sem enginn hefur samþykkt.
Fjórir hlutir nýtast strax:
- Skrá yfir AI-verkfæri og kerfi sem fyrirtækið notar.
- Einfaldar reglur um hvaða gögn mega fara inn í þau.
- Mannleg yfirferð á mikilvægum niðurstöðum.
- Þjálfun sem passar við hlutverk og áhættu hvers starfsmanns.
Ef AI Act verður tekin upp í EES-samninginn verður þessi grunnvinna einnig upphafið að formlegri flokkun og skjölun.
Áhættuflokkarnir í reglugerðinni
AI Act byggir á áhættu. Reglurnar eru strangari eftir því sem AI-kerfið getur haft meiri áhrif á réttindi og öryggi.
Bönnuð notkun. Tiltekin notkun sem brýtur alvarlega gegn grundvallarréttindum, til dæmis ákveðin félagsleg stigagjöf eða blekkjandi notkun gegn viðkvæmum hópum.
Há áhætta. Kerfi sem geta haft mikil áhrif á fólk, til dæmis í ráðningum, lánshæfismati, lífkennum, menntun eða mikilvægum innviðum. Þar fylgja umfangsmiklar kröfur um skjölun, gagnagæði, eftirlit og mannlega ábyrgð.
Gagnsæiskröfur. Notendur þurfa í ákveðnum tilvikum að vita að þeir tali við AI eða sjái AI-myndað efni.
Lágmarksáhætta. Mörg algeng verkfæri og framleiðninotkun falla hér. Sérstakar AI Act-kröfur geta verið litlar, en GDPR, samningar og almenn ábyrgð gilda áfram.
Þessir flokkar lýsa reglugerðinni innan ESB. Þeir verða ekki sjálfkrafa íslensk lagaskylda fyrr en upptökuferli EES er lokið.
Fimm skref sem íslenskt fyrirtæki getur tekið núna
Kortleggðu notkunina. Spurðu hvert teymi hvaða AI-verkfæri það notar, í hvaða tilgangi og með hvaða gögnum.
Settu eina síðu af vinnureglum. Hvaða verkfæri eru leyfð? Hvaða gögn mega aldrei fara inn? Hvenær þarf mannlega yfirferð? Hver fær tilkynningu ef eitthvað fer úrskeiðis?
Flokkaðu áhrifin. Greindu á milli einfaldra textadraga og kerfa sem hafa áhrif á ráðningar, lán, heilbrigði eða réttindi.
Þjálfaðu eftir hlutverki. Markaðsstarfsmaður, mannauðsstjóri og forritari þurfa ekki sömu þjálfun. Allir þurfa þó að skilja takmarkanir, gagnaáhættu og staðreyndayfirferð.
Endurskoðaðu reglulega. Verkfæri, samningar og löggjöf breytast hratt. Árleg yfirferð er lágmark, oftar fyrir viðkvæma notkun.
Hvernig DataDream getur hjálpað
DataDream veitir ekki lögfræðilega staðfestingu á samræmi. Við hjálpum fyrirtækjum að byggja rekstrargrunninn sem þarf hvort sem er:
- Kortlagningu AI-notkunar og verkfæra
- AI-stefnu og vinnureglur
- Þjálfun fyrir teymi
- Mannlega yfirferð og rekjanleika í AI-vinnuferlum
- Tæknilega endurhönnun þegar áhættan er meiri en ávinningurinn
Fyrir sértæka lögfræðilega flokkun vinnur fyrirtækið með íslenskum lögfræðingi. DataDream tekur síðan tæknilega og rekstrarlega hlutann áfram.
Viltu koma grunninum á hreint? Ræddu AI-stefnuna við DataDream eða hafðu samband.
Hvaða ferli ætti AI að taka yfir hjá þér?
Segðu okkur stuttlega frá fyrirtækinu. Við svörum hreinskilnislega hvort AI sé rétta lausnin.
Algengar spurningar
- Hvað er gervigreindarlöggjöfin (AI Act)?
- Gervigreindarlöggjöfin (reglugerð 2024/1689) er fyrsta víðtæka gervigreindarlöggjöf í heiminum. Nálgunin er áhættumiðuð: skyldurnar skalast eftir því hvað gervigreindin gerir og hvar hún er notuð. Lögin gilda fyrir alla sem bjóða gervigreind á ESB-markaðnum eða nota hana innan ESB, þar á meðal hollensk lítil og meðalstór fyrirtæki sem nota utanaðkomandi gervigreind.
- Hvað þarf að gera strax samkvæmt gervigreindarlöggjöfinni?
- Frá 2. febrúar 2025 gildir 4. grein: gervigreindarlæsi. Sérhver skipulagsheild sem notar gervigreind, líka lítið fyrirtæki með tíu starfsmenn sem nota ChatGPT, verður að tryggja að starfsfólk viti hvað gervigreind er, hverjar áhætturnar eru og hvernig á að nota hana á ábyrgan hátt. Skjalfestu þjálfun og stefnu. Spjallmenni og efni búið til af gervigreind verður að vera merkjanlegt sem slíkt.
- Hvenær taka þyngri skyldurnar gildi?
- 2. desember 2027 er lykildagsetningin: þá taka skyldur fyrir sjálfstæð há-áhættu gervigreindarkerfi gildi (svo sem gervigreind í ráðningum, lánveitingum, sjúkdómsgreiningu eða námsmati). Þeirri dagsetningu var frestað frá 2. ágúst 2026 í júlí 2026. Ef þú notar gervigreind í starfsmannamálum eða viðskiptavinamati hefurðu þangað til til að koma áhættustjórnun, skjölun og mannlegu eftirliti í lag. Gagnsæisskyldan fyrir spjallmenni og raddmenni hefur gilt frá 2. ágúst 2026.
- Hverjar eru sektirnar samkvæmt gervigreindarlöggjöfinni?
- Allt að 35 milljónir evra eða 7% af heimsveltu fyrir bannaða gervigreindarnotkun, og lægri en samt umtalsverðar (allt að 15 milljónir eða 3% af veltu) fyrir önnur brot. Framfylgni gagnvart há-áhættu notkun hefst raunverulega frá 2026; árið 2025 leggja eftirlitsaðilar aðallega áherslu á fræðslu og útgáfu leiðbeininga.