Analys: Vem har råd att vänta på tydliga AI-regler?

Företag som köper AI-tjänster behöver veta vilka krav de ska skriva in i avtalen. Leverantörer behöver veta vilka regler tjänsterna ska byggas för. Båda möter osäkerhet när tekniken utvecklas snabbare än lagstiftningen. Det dilemmat diskuterades vid ett rundabordssamtal hos tankesmedjan Think.ai. Deltagarna hade erfarenhet av juridik, policyarbete, offentlig verksamhet och leveranser av digitala tjänster. Uttalandena knöts inte till enskilda deltagare.

EU AI Act skiljer mellan olika användningar. AI för rekryteringsurval och vissa kreditbedömningar kan klassas som högrisk, vilket medför krav på bland annat riskhantering, dokumentation och mänsklig kontroll. Genom EU:s ändringspaket AI Omnibus har de centrala högriskkraven skjutits fram: För dessa användningar börjar reglerna gälla den 2 december 2027, och för högrisk-AI som omfattas av produktregleringen den 2 augusti 2028. Den senare gruppen omfattar vissa system i medicintekniska produkter och maskiner.

För äldre system som omfattas och har släppts på marknaden eller tagits i bruk före det relevanta datumet gäller kraven i regel först efter betydande ändringar i utformningen. Högrisksystem avsedda för offentliga myndigheter har en bortre gräns: leverantörer och användarorganisationer ska ha vidtagit nödvändiga åtgärder för att uppfylla kraven senast den 2 augusti 2030.

Övergångsperioden kan påverka lanseringar och upphandlingar, men förbuden i EU AI Act och andra lagar, däribland GDPR, gäller fortfarande. Deltagarna sade att köpare bör klargöra i avtalen hur framtida ändringar av tjänsten, avsedda användningar och underlag från leverantörer ska hanteras. Ett påstående om att en produkt följer reglerna avgör inte i sig vad kunden får göra med den; riskklassningen beror på den avsedda användningen.

Deltagarna efterlyste konkret vägledning från myndigheter och sade att standarder kan hjälpa. De betonade samtidigt att certifiering av ett AI-ledningssystem inte är ett generellt godkännande av varje användning. De varnade också för att dokumentation och revisioner kan belasta mindre leverantörer och gynna etablerade företag.

Samtalet tog även upp CADA, Europeiska kommissionens förslag från juni om att stärka Europas datacenterkapacitet och skapa ett ramverk för moln- och AI-suveränitet. Förslaget är ännu inte lag. De fyra föreslagna nivåerna för offentlig sektor sträcker sig från lagring och behandling inom EU till starkare krav på oberoende, kontroll och programvarans leveranskedja. Deltagarna varnade för att köpare som väljer den högsta nivån av slentrian kan begränsa ramverket i praktiken och öka leverantörernas kostnader och kundernas begränsningar.

Samtalet avslutades med oenighet om var AI-arbetet bör börja; källtexten tar slut innan den punkten fullföljs.