AI Act 2026: allt sem fyrirtæki þurfa að vita

AI Act, formlega reglugerð (ESB) 2024/1689, er fyrsta heildstæða AI-löggjöfin í heiminum. Hún tók gildi í ESB 1. ágúst 2024 og skyldur þar koma til framkvæmda í áföngum. Á Íslandi er reglugerðin enn til skoðunar fyrir upptöku í EES-samninginn. Hún er því ekki almennt í gildi hér enn, nema fyrirtæki falli sérstaklega undir gildissvið hennar vegna starfsemi á ESB-markaði.

Dagsetningar AI Act eiga við innan ESB. Á Íslandi hefst staðbundin gildistaka ekki fyrr en reglugerðin hefur verið tekin upp í EES-samninginn og nauðsynleg innleiðing lokið. Fyrirtæki sem starfa á ESB-markaði geta þó fallið undir reglugerðina fyrr. Þess vegna þarf að greina bæði hvar fyrirtækið starfar og hvaða AI-kerfi það notar.

AI Act byggir á áhættumati. Óásættanleg áhætta (bönnuð): félagsleg stigagjöf hins opinbera, blekkjandi AI sem skaðar viðkvæma hópa, lífkennaflokkun eftir viðkvæmum eiginleikum, rauntíma-lífkennaauðkenning á almannafæri (með fáeinum undantekningum fyrir löggæslu) og tilfinningagreining á vinnustöðum og í skólum. Algjörlega bönnuð frá 2. febrúar 2025. Há áhætta: kerfi sem talin eru upp í III. viðauka (ráðningar, lánveitingar, mikilvægir innviðir, menntun, lífkenni sem ekki eru bönnuð, löggæsla, fólksflutningar, dómskerfi) og AI í vörum samkvæmt I. viðauka. Miklar skyldur: áhættustjórnunarkerfi, gagnastjórnun, tæknileg skjölun, atvikaskráning, mannlegt eftirlit, traustleiki og netöryggi. Takmörkuð áhætta: spjallmenni, djúpfalsanir og AI-efni. Skylt: að upplýsa notendur um AI-notkun og merkja efnið. Lágmarksáhætta: ruslpóstsíur, AI í tölvuleikjum og birgðabestun. Engar sérstakar AI Act-skyldur, en persónuverndarlöggjöf (GDPR) og almenn lög gilda áfram.

Reglugerðin skilgreinir fjögur hlutverk. Veitendur (providers): þeir sem þróa AI-kerfi, eða láta þróa það, til að setja á markað undir eigin nafni. Þyngsta hlutverkið. Notkunaraðilar (deployers): fyrirtæki sem nota AI-kerfi í atvinnustarfsemi. Undir þetta fellur meirihluti íslenskra lítilla og meðalstórra fyrirtækja. Innflytjendur: fyrirtæki sem flytja AI-kerfi frá þriðja landi inn á markað ESB. Dreifingaraðilar: fyrirtæki í aðfangakeðjunni sem bjóða AI-kerfi á markaði án þess að hafa sjálf þróað þau eða flutt þau inn. Mikilvægt: einnig sem notkunaraðili hefur þú skyldum að gegna, sérstaklega gagnvart hááhættukerfum (26. gr.): mannlegt eftirlit, varðveisla atvikaskráa, tilkynning atvika og að tryggja AI-læsi starfsfólks (4. gr.).

Í 4. grein er gerð sú krafa að veitendur og innleiðingaraðilar tryggi, eftir bestu getu, að starfsfólk þeirra og aðrir sem nota AI-kerfi á þeirra vegum búi yfir nægilegri AI-færni. Þar þarf að taka mið af tæknilegri þekkingu viðkomandi, reynslu, menntun, samhengi notkunarinnar og hverjir verða fyrir áhrifum. Í reynd: þjálfun miðuð við hlutverk, ekki almennt námskeið fyrir alla. Markaðsstarfsmaður sem nýtir ChatGPT í textavinnu þarf annað námsefni en mannauðsstjóri sem framkvæmir umsækjendaskimun. Krafan um sannanleika stendur óháð því hver fer með eftirlitið: skjölun, þátttakendur, námsmarkmið og mat þurfa að liggja fyrir. Á Íslandi fer Persónuvernd með persónuverndareftirlit, og endanleg tilnefning eftirlits vegna AI-reglugerðarinnar ræðst þegar hún verður tekin upp í EES-samninginn. Þjálfun í AI-læsi er í boði í gegnum AI-þjálfun.

Sektir eru þrepaskiptar og með skýrum hámörkum. Allt að 35 milljónir evra eða 7% af árlegri heimsveltu (það sem hærra er) fyrir bannaðar AI-iðkanir (5. grein). Allt að 15 milljónir evra eða 3% af árlegri heimsveltu fyrir flest önnur brot, þar á meðal kröfur um áhættusöm kerfi, gagnsæi og reglur um veitendur GPAI. Allt að 7,5 milljónir evra eða 1% af árlegri heimsveltu fyrir rangar eða villandi upplýsingar til eftirlitsaðila. Sérstök ákvæði gilda um lítil og meðalstór fyrirtæki og sprotafyrirtæki: aðildarríkjum er heimilt að setja lægri hámörk fyrir smærri rekstraraðila og taka verður tillit til meðalhófs við ákvörðun sektar. Á Íslandi tekur reglugerðin gildi þegar hún verður felld inn í EES-samninginn; eftirlit fellur að líkindum undir Persónuvernd ásamt sviðsbundnum eftirlitsaðilum.

Þær gilda samhliða, þær koma ekki í stað hver annarrar. GDPR (AVG) heldur fullu gildi fyrir allt sem snertir persónuupplýsingar. AI-kerfi sem vinnur persónuupplýsingar þarf að uppfylla GDPR (lagaheimild, tilgangsbinding, gagnalágmörkun, réttindi skráðra) og AI-reglugerð ESB (áhættuflokkun, skjölun, mannlegt eftirlit). NIS2, netöryggistilskipunin fyrir nauðsynlegar og mikilvægar einingar, snertir AI á sviði tæknilegra varna og tilkynningarskyldu vegna atvika. Í reynd er áhættumat unnið samþætt: DPIA vegna GDPR, mat á áhrifum á grundvallarréttindi (FRIA) fyrir áhættusama AI hjá opinberum innleiðingaraðilum og NIS2-áhættugreining, og byggir allt þetta á sömu gögnum.

AI-reglugerð ESB er EES-tæk reglugerð sem gert er ráð fyrir að verði tekin upp í EES-samninginn; þar til það gerist er hún ekki formlega í gildi á Íslandi, en það er aðeins tímaspursmál og skynsamlegt er að búa sig undir hana strax. Persónuvernd fer með eftirlit með persónuverndarlöggjöf (GDPR), sem er þegar í gildi á Íslandi í gegnum EES-samninginn, og kemur að líkindum til með að gegna lykilhlutverki í eftirliti með AI samhliða öðrum eftirlitsaðilum. Grunnreglurnar haldast óbreyttar: gagnsæi gagnvart notendum, mannlegt eftirlit með áhættusömum kerfum, skjölun og að sjálfvirk ákvarðanataka með lagaleg áhrif fellur bæði undir 22. grein GDPR og AI-reglugerðina. Að byggja kerfin þannig frá byrjun sparar dýrar lagfæringar síðar.

Þrjár leiðir, í þessari röð. Leið 1, fljót yfirsýn: AI-úttekt á hálfum til einum degi, öll AI-kerfi kortlögð, áhættuflokkun og þrjár forgangsaðgerðir á einni A4-síðu. Sjá einnig gjaldfrjálsa AI-úttekt til að fá fyrstu mynd. Leið 2, grunnvinna: setja upp AI-skrá, innleiða þjálfun í AI-færni, skrifa AI-stefnu og innri verkferla og samþætta við fyrirliggjandi GDPR-vinnu. Leið 3, áhættusöm eða stórtæk kerfi: fyrir fyrirtæki með raunverulega áhættusöm kerfi eða GPAI-smiði er sett upp innleiðingarferli með áhættustýringarkerfi, tæknilegri skjölun, mannlegu eftirliti og eftirfylgni eftir markaðssetningu. Í þessari leið er unnið með AI-lögfræðingum og, þegar fjárhags- og rekstrarþættir skarast, með endurskoðendum.

Þú þarft ekki að haga þér eins og reglugerðin sé þegar íslensk lagaskylda, en það er samt óskynsamlegt að bíða með grunnvinnuna. GDPR gildir nú þegar, viðskiptavinir og birgjar geta krafist skjölunar og góð AI-stjórnun tekur tíma. Byrjaðu á skrá yfir verkfæri, gagnareglum, mannlegri yfirferð og þjálfun. Þá nýtist vinnan strax og undirbúningurinn verður einfaldari ef AI Act verður tekin upp í EES.