AI Act: Forstå de fire AI risk levels

Med den nye EU AI-act er der blevet ny indført ny lovgivning og retningslinjer, baseret på det risk level, en AI udgør.

Sidste år gik vi igennem hvad den handler om, hvem den påvirker og hvad du skal gøre for at overholde reglerne. 

I dette blogpost gennemgår vi de fire AI risk levels, som defineret af AI-act'en: The unacceptable, the high, the limited, and the minimal or no risk. Målet er at give dig en forståelse for de forskellige regler, der gælder for hvert risk level.

Lad os gennemgå levels'ene en af gange.

Denne slags AI-systemer udgør det højeste risikoniveau. Og på grund af denne risiko er de nu fuldstændigt blevet forbudt i EU, gældende fra starten af 2025.

Og hvordan kan det være, spørger du?

Fordi de strider i mod mange af EU's kerneværdier, såsom respekt for menneskelig ligestilling, frihed og grundlæggende menneskerettigheder.

Disse systemer inkluderer bl.a.:

1. Social score: At rangere mennesker baseret på deres adfærd, der i sidste ende påvirker deres valg af muligheder og adgang til services.

2. Emotionel manipulering: Når services bruger følelser til at fastholde brugere, ofte uden at de selv er klar over det. Dette inkluderer også, hvordan oplysninger om bestemte grupper bliver misbrugt, herunder oplysninger om deres alder, handicap eller i nogle tilfælde deres sociale eller økonomiske situation. 

Kort sagt: Det, som i den ene Black Mirror-episode/Kinas sociale kreditsystem ville aldrig kunne finde sted i en EU-kontekst.

Begge eksempler ovenfor er allerede nævnt i vores tidligere blog om AI-act'en. Andre systemer, som endnu ikke er nævnt, inkluderer:

1.  Scraping af ansigtsbilleder (scraping): At opbygge eller udvide databaser ved at indsamle ansigtsbilleder fra internettet eller videoovervågningsoptagelser. 

2. Forudsigende politiarbejde: At forsøge at forudsige, hvornår og hvor kriminalitet sker, og hvem der kan være involveret, baseret på eksisterende bias. 

Så for at konkludere: Alle de dystopiske AI'er og robotter, som du kan forestille dig fra sci-fi-film, er alle blevet forbudte.

Thank god.

2. High risk

AI-systemer i denne kateogori er tilladt i EU, men det er samtidig de mest regulerede. De skal leve op til strenge krav, bl.a. inden for risikostyring, data governance, teknisk dokumentation og menneskeligt tilsyn.

I de fleste tilfælde er disse AI-systemer indbygget i udstyr inden for kritiske områder, som bl.a. det medicinske, køretøjer, elevatorer eller maskineindustrien.

Hvis de bliver misbrugt, kan det ende med at gå ud over folks sundhed og sikkerhed, deres grundlæggende rettigheder og kan endda ende med negativt at påvirke miljøet.

Lad os kigge på nogle eksempler på disse højrisiko-systemer i forskellige sektorer:

1. Kritisk infrastrukturer: Styring og drift af vejtrafik, energiforsyning eller digitale infrastrukturer.

2.  Uddannelse og beskæftigelse: Fx når man rekrutterer en ny medarbejder eller laver performance-evalueringer. 

3.  Migration: Behandling af ansøgninger om asyl, visa eller opholdstilladelser. 

Når de her AI-systemer ikke er reguleret, kan de være med til at skabe eksisterende bias. Måske endda profilere specifikke grupper, som fx minoriteter.

Med andre ord: Når AI får lov at løbe løbsk, kan det begynde at få nogle præferencer… og ikke den gode af slagsen. 

3. Limited risk

AI-systemer kategoriseret i dette risk level udgør ikke ligeså stor en risiko, som vi har set i de to tidligere risk levels. 

Men alligevel er transparens stadig vigtigt at understrege, fordi disse systemer kan inkluderer en risiko for manipulering eller vildledning. Dette inkluderer værktøjer som er integreret i chatbots eller  følelsesgenkendelse.

Fx når du chatter med ChatGPT burde den fortælle dig, at du skriver med en computer og ikke et tilfældigt menneske på den anden side af skærmen.

Denne transparens er med til at skabe tillid og gøre tingene mere gennemskuelige. 

4. Minimal or no risk

Dette er hvad AI-act'en har defineret som det lavelse risk level. Og inkluderer resten af de AI-systemer, som ikke falder ind under de ovennævnte risikoniveauer, fx spamfiltre og AI-drevne videospil.

Disse systemer har ikke behov for decideret at følge nogle regler. Men det anbefales stadig at have en form f for at undgå potentielle problemer.

Hvorfor?

Det hele handler om transparens. Det er for at sikre sig at der ikke bliver skabt nogen form for bias eller diskrimination.

Så... Hvad nu?

Forhåbentlig har denne guide hjulpet dig med bedre at forstå de fire AI-risikokategorier i AI-act'en, og måske også givet dig en idé om, hvilken kategori din AI passer ind under. Hvis et AI-værktøj bruges i kritiske områder som fx sundhed eller infrastruktur, er det sandsynligvis high risk. Hverdagsværktøjer som chatbots er derimod ofte limited risk.

Husk at gennemgå AI Act’ens detaljerede retningslinjer for at forstå de præcise krav til hver kategori, og konsekvenserne ved ikke at overholde dem.

Generelt er det også en god ide at foretage en risikovurdering for at vurdere, hvordan jeres AI-system kan påvirke sikkerheden eller menneskers rettigheder. 

Selv om vores ekspertise ligger inden for cybersikkerhedsbevidsthed og phishing-træning, opfordrer vi dig til at se de nye regler som en mulighed for at øge gennemsigtigheden og tilliden til din AI-praksis.

Hvis du har brug for støtte til at opbygge en kultur med awareness og beredskab, er vi her for at hjælpe med træningsløsninger, der styrker din overordnede sikkerhed.