Risiko- og konsekvensanalyse under EU AI Act: en rolig guide

Hvorfor overhovedet en risiko- og konsekvensanalyse?

De fleste danske virksomheder bruger allerede kunstig intelligens. Ofte uden at kalde det AI, fordi det ligger indbygget i CRM-systemet, i regnskabsprogrammet eller i den chatbot, der svarer kunder om aftenen. EU AI Act er skrevet, fordi den slags teknologi kan få reelle konsekvenser for mennesker, for eksempel den, der bliver sorteret fra i en ansøgning, eller den, der ikke ved, at det er en maskine, der svarer.

En risiko- og konsekvensanalyse er måden at få hold på det på. Ikke for at bestå en jura-eksamen, men for at kunne svare roligt på to spørgsmål: Hvor risikofyldt er den her brug af AI efter loven, og hvad kan den betyde for de mennesker, den berører? Når I kan svare på det, kan I også handle på det. Det er hele pointen.

Vi skriver med vilje uden løftede pegefingre. Bøderne i forordningen er sat højt, men de er tænkt som proportionalitet over for store udbydere, ikke som en trussel mod en dansk mindre virksomhed. Skræk er en dårlig rådgiver. Den bedre grund til at lave analysen er, at den giver jer overblik og tryghed til at bruge teknologien godt.

Hvad loven kræver, og hvornår

EU AI Act deler brug af kunstig intelligens ind efter risiko, og pligterne følger niveauet. Nogle få, meget indgribende former er helt forbudt. Det har de været siden 2. februar 2025 efter forordningens artikel 5. Fra samme dato gælder også et krav om, at de medarbejdere, der arbejder med AI, har den fornødne forståelse af, hvad de har med at gøre. Det står i artikel 4, og det er selve grunden til, at compliance og oplæring hører sammen.

Det næste, der træder i kraft, er kravet om åbenhed. Fra 2. august 2026 skal det være tydeligt for folk, når de møder kunstig intelligens på måder, hvor de ellers ikke ville vide det. Det gælder chatbots, der taler med kunder, og det gælder billeder, lyd og video, der er skabt eller ændret med AI og fremstår ægte. Pligten står i artikel 50. Den eneste lempelse er, at de tekniske krav til maskinlæsbar mærkning får et par ekstra måneder, til 2. december 2026, for systemer, der allerede var på markedet.

De tungeste krav gælder såkaldt højrisiko-AI, altså systemer, der bruges til for eksempel ansættelse, kreditvurdering eller adgang til vigtige ydelser. En ændringspakke, der i daglig tale kaldes Digital Omnibus, har rykket de datoer. Kravene til højrisiko efter bilag III gælder nu fra 2. december 2027, og for AI indbygget i regulerede produkter efter bilag I fra 2. august 2028. I har med andre ord god tid til at forberede jer, hvis I lander i den kategori. Men forberedelsen begynder med at vide, om I gør.

De færreste rammes af højrisiko-kravene. Men åbenhedskravet rammer alle, der bruger AI i deres kommunikation, og det gælder fra august 2026.

De fire niveauer, forklaret i hverdagssprog

Loven arbejder med fire niveauer, og det hjælper at kende dem, før man går i gang. Forbudt er de ganske få, meget indgribende anvendelser, som ingen må bruge, for eksempel social scoring af mennesker. Dem sætter de allerfleste ingen kryds ved. Høj risiko er de få områder, hvor meget står på spil for mennesker, som rekruttering, kredit og forsikring. Her stiller loven flere krav, men det er til at håndtere trin for trin.

Begrænset risiko er den store mellemgruppe, hvor det nye først og fremmest er åbenhedskravet: sig åbent, at det er AI. Og minimal risiko er hverdagsteknologien, hvor der ikke følger særlige pligter med ud over god skik og kravet om AI-færdigheder. Langt det meste, en almindelig virksomhed bruger, ligger i de to nederste niveauer. Det er godt at vide, før man går i gang, så analysen bliver en bekræftelse frem for en bekymring.

Risiko og konsekvens er ikke det samme

Navnet på analysen rummer to ting, og det er værd at holde dem adskilt. Risikoklassifikationen handler om, hvilket niveau jeres brug havner på efter loven, og hvilke pligter det udløser. Konsekvensanalysen handler om noget mere konkret: hvad kan det her betyde for de mennesker, systemet berører, hvis noget går skævt? Hvem rammes, hvor hårdt, og kan de forstå og klage over en afgørelse?

For højrisiko-systemer er en egentlig konsekvensanalyse for grundlæggende rettigheder et krav for visse aktører efter artikel 27. Det gælder blandt andet offentlige organer, private udbydere af offentlige tjenester og brug inden for kreditvurdering og forsikring. For de øvrige niveauer er den samme øvelse ikke et lovkrav, men en klog forberedelse. Den koster lidt tid nu og sparer meget senere.

Bruger systemet oplysninger om mennesker, er der en ting mere at holde styr på. Så skal I også vurdere, om I har brug for en konsekvensanalyse for databeskyttelse efter GDPR. De to analyser overlapper, og det giver mening at se dem i sammenhæng frem for at lave dem hver for sig.

Sådan griber I det an

Første skridt er ikke at hyre jurister. Det er at skabe sig et overblik over, hvilken kunstig intelligens I allerede bruger, og tage en anvendelse ad gangen. Har I både en chatbot og et værktøj, der gennemgår ansøgninger, så er det to analyser, ikke en, fordi de ligger på hvert sit risikoniveau.

For hver anvendelse er der nogle få ting at have styr på. Er I dem, der har bygget systemet, eller bruger I andres? Rollen afgør, hvilke pligter der falder på jer. Bruger systemet oplysninger om mennesker? Ligger anvendelsen på et af de følsomme områder? Og lige så vigtigt: hvem har ansvaret for at holde øje med systemet i drift, så et menneske kan forstå, efterprøve og om nødvendigt tilsidesætte det, maskinen foreslår? Det kalder loven meningsfuldt menneskeligt tilsyn, og det er hjørnestenen i at bruge AI ansvarligt.

Når I har svarene, skriv dem ned og datér dem. En analyse, der er gemt, dateret og forsynet med, hvem der lavede den, er den dokumentation, I kan tage frem, hvis nogen spørger. Det behøver ikke fylde mere end en side.

To veje til det samme resultat

Vi har bygget to gratis værktøjer, der fører jer gennem præcis den her øvelse. De hviler på det samme regelgrundlag og giver den samme rapport, som I kan gemme eller printe. Forskellen er formen. Vælg den, der passer til jer.

Uanset hvilken vej I vælger, er resultatet et udkast, ikke en endelig juridisk afgørelse. Værktøjerne strukturerer jeres overblik og peger på de rigtige spørgsmål. Ved høj risiko, persondata eller reel tvivl bør I stadig søge juridisk og databeskyttelsesfaglig bistand. Men de allerfleste vil opdage, at billedet er roligere, end de troede.

Et spørgsmål at tage med til jeres eget bord

Det er den samme tilgang, vi tror på i alt vores arbejde. Man begynder med at forstå, hvor man står, tager et lille skridt, lærer af det og bygger videre. En risiko- og konsekvensanalyse er ikke en mur, man rammer den 2. august. Det er en måde at få ro på. Rammer og tryghed er ikke det modsatte af udvikling. De er det, der gør, at folk tør bruge det nye.

Så spørgsmålet er egentlig ikke, om reglerne når jer. Det er, om I ved nok om jeres egen brug af AI til at leve op til dem uden besvær. Ved I, hvilken kunstig intelligens I allerede bruger i dag, og hvem hos jer der har ansvaret for den? Det er der, en tryg vej begynder, og det tager kun få minutter at få det første overblik.