AI-förordningen i praktiken

Leverantörens dokumentation finns. En egen bedömning av det som faktiskt görs finns inte.

Regleringen av AI utgår inte från tekniken utan från användningen. Samma modell kan vara i det närmaste oreglerad i ett sammanhang och tungt reglerad i ett annat.

Uppdelningen går i trappsteg. En liten grupp användningar är förbjudna. En avgränsad grupp bär tunga skyldigheter därför att de rör människors rättigheter eller tillgång till samhällets tjänster. En stor grupp bär framför allt krav på öppenhet om att det är en maskin som svarat.

Regelverket skiljer också på den som tillhandahåller en lösning och den som tar den i bruk, och lägger egna skyldigheter på båda. Är ni den som tar i bruk har ni skyldigheter som inte härleds ur leverantörens: att kunna säga vad lösningen används till, att ha en mänsklig kontroll som är verklig och inte formell, att se till att de som berörs får veta, och att kunna visa att ni bedömt saken.

Offentlig verksamhet hamnar dessutom oftare högt i trappan än en privat verksamhet med samma teknik, just därför att det ni gör avgör vad enskilda får och inte får.

Så här går det fel

Verktyget upphandlas som stöd för att skriva. Bedömningen görs, den landar lågt, och det är riktigt.

En tid senare använder en enhet samma verktyg för att göra en första sortering av inkomna ansökningar, eftersom det var praktiskt och ingen sa emot. Produkten är oförändrad, så ingen tänker på att något har ändrats. Ingenting i ordningen krävde en ny bedömning vid ändrad användning, så trappsteget byttes utan att någon prövade det.

Vad det innebär juridiskt

Skyldigheterna för den som tar en lösning i bruk gäller oavsett vad avtalet säger, och en felaktig klassificering är er risk och inte leverantörens. Frånvaron av en dokumenterad bedömning är i sig en brist, eftersom en tillsyn prövar det underlag ni kan visa och inte den omsorg ni minns. Regelverket ersätter heller ingenting: dataskydd, offentlighet och sekretess, förvaltningsrättens krav på motivering och er arkivskyldighet gäller vid sidan av och träffar ofta hårdare. En användning kan alltså vara tillåten enligt AI-regelverket och ändå otillåten av andra skäl.

Det här måste någon bestämma

Att klassificeringen görs per användning och inte per verktyg, och innan lösningen byggs, eftersom svaret avgör vad som måste finnas i den.

Vem som gör bedömningen, vem som prövar den, och att den skrivs ned med de skäl som bar den.

Vad som utlöser en ny bedömning. Det viktigaste är en ändrad användning: ett verktyg som köpts som skrivstöd och börjar användas för att sortera ansökningar har bytt trappsteg utan att produkten ändrats. Och att en avgränsning ni lutar er mot, som att lösningen bara får användas till utkast, har en motsvarighet i systemet och inte bara i en text.