EU AI-aktens risikoniveauer: en praktisk introduktion

Hvordan risikopyramiden fungerer i praksis

Loven er en risikobaseret lov. Tungere brug fører med sig tungere pligter; forbudte praksisser har ingen overholdelsesvej. Kommissionens oversigt er det korteste officielle indgangspunkt, før du dykker ned i artiklerne (Europæiske Kommission — AI-lov). Hold den officielle tidsskriftstekst åben, når en leverandørs slide er i konflikt med primærloven (Forordning (EU) 2024/1689).

Datoer ændrer sig. Den digitale omnibus-pakke ændrede flere højrisikodatoer for ansøgninger efter den oprindelige kalender viste sig at være uanvendelig for standarder og retningslinjer. Behandle enhver datotabel — herunder vores — som et øjebliksbillede og tjek en vedligeholdt tidsplan, før du forpligter dig til en budget (EU AI-lov implementeringstidsplan). "Vi havde planlagt august 2026" er ikke en forsvar, hvis den bindende dato er senere — og det er heller ikke en grund til at fryse arbejdet.

Leverandør vs. udrullede i én sætning

Leverandører placerer systemet på markedet eller sætter det i drift under deres navn; udrullere bruger det under deres myndighed. Mange virksomhedsagentstakke kombinerer begge roller. Klassificér systemet først, og tildel derefter, hvem der ejer hvilken pligt. At blande de to samtaler er, hvordan hold "afslutter" en checkliste, som ingen kan underskrive.

Uacceptabelt risiko: direkte forbudt

Artikel 5 forbyder praksisser som sociale scoringsystemer hos offentlige myndigheder, visse former for realtids-remote biometrisk identifikation i offentligt tilgængelige rum (med smalle undtagelser) og følelsesgenkendelse på arbejdspladser og skoler i de sammenhænge, artiklen definerer. Disse forbud trådte i kraft den 2. februar 2025. Der er ingen overensstemmelsesvej: hvis dit system falder ind under dette, kan det ikke markedsføres på EU-markedet.

Produktteams opfinder sommetider en "begrænset tilstand" for en forbudt praksis. Det skaber ikke en juridisk vej. Hvis det ønskede formål er den forbudte praksis, stop. Hvis en funktion kunne bruges på den måde som en forudsigelig misbrug, dokumenter misbruget og de tekniske eller kontraktmæssige kontroller, der blokerer det — og få råd, når grænsen er uklar.

Checkliste — skærmning af forbudt brug

- Erklæring om ønsket formål gennemgået i forhold til artikel 5-kategorier - Liste over forudsigelige misbrug skrevet (ikke kun demoer af "happy path") - Plan for afbrydelse eller deaktivering, hvis en funktion glider ind i forbudt område - Ingen salgsprosa, der antyder en "overensstemmende version" af en forbudt praksis

Høj-risiko: dokumentations- og overvågningsbyrden

Et system er høj-risiko gennem to stier i Artikel 6: det er en sikkerhedskomponent i et produkt dækket af EU-harmoniseringsloven nævnt i Bilag I, eller dets ønskede formål falder under en af Bilag IIIs domæner - herunder biometri, kritisk infrastruktur, uddannelse, beskæftigelse, adgang til essentielle private og offentlige tjenester (kredit og forsikring er hyppige udløsere), lovoverholdelse, migration og administration af retfærdighed. Fulde høj-risiko-kapitels forpligtelser for selvstændige Bilag III-systemer gælder nu fra den 2. december 2027 under Digital Omnibus-ændringerne (den oprindelige generelle dato var den 2. august 2026). Bilag I-produkt-indsat høj-risiko-systemer gælder fra den 2. august 2028. Bekræft den aktuelle tidsplan, før du printer en skærm.

Når du er høj-risiko, omfatter byrden en risikostyringssystem (Art. 9), datastyring (Art. 10), teknisk dokumentation (Art. 11), automatisk logging (Art. 12), gennemsigtighed over for udrulere (Art. 13), menneskelig overvågning (Art. 14) og nøjagtighed/cybersikkerhedsforventninger (Art. 15). Vores søsterartikel gennemgår de dokumentationsglækker, teams oftest overse.

Artikel 6-test - hvordan vi kører det i en workshop

- Skriv det ønskede formål i én enkel paragraf. Forbud marketing-beskrivelser. - Spørg: er dette en sikkerhedskomponent i et Bilag I-produkt? Hvis ja, følg Bilag I-stien og sektoriel produktlovsinteraktion. - Ellers gå gennem Bilag IIIs domæner én for én. Arbejdsskæringsvurdering, arbejderstyring, kreditværdighed og uddannelsesvurdering er de virksomheds-agents magnet. - Optegn beslutningen, ejeren og datoen. Gennemgå, når formålet eller udrulerklassen ændres. - Hvis svaret er "måske", behandle det som høj-risiko til planlægning, indtil rådgivere siger andet. Tvetydighed er ikke en fri pas til at gøre ingenting.

Klasse | Typiske eksempler | Kerneopgaveform | Kalender note (verificér live) Uacceptabel | Social scoring af offentlige myndigheder; forbudt biometrisk / følelsesbrug i Art. 5 | Forbud - ingen overholdelsesvej | Fra den 2. februar 2025 Høj-risiko (Bilag III) | Rekrutteringsagenter, kreditvurderingshjælpemidler, uddannelsesvurderingsværktøjer | Dokumenter, logging, overvågning, risikostyring, overensstemmelsesvej | Fra den 2. december 2027 (Omnibus) Høj-risiko (Bilag I) | AI som sikkerhedskomponent i regulerede produkter | Samme høj-risiko-kapitel + sektoriel produktlov | Fra den 2. august 2028 (Omnibus) Begrænset-risiko | Mange chatbots; syntetisk medie med gennemsigtighedsforpligtelser | Afslør AI / mærk syntetisk indhold (Art. 50-familie) | Gennemsigtighed er stadig på 2026-spor - genkontrollér tidsplanen Minimal-risiko | Spam-filtre; mange interne udarbejdelseshjælpemidler | Ingen obligatoriske AI-akt-forpligtelser; frivillige koder kun | Klassificér stadig - antag ikke

Begrænset risiko: transparensforpligtelser

Chatbots, deepfake-genereringsværktøjer og emotionsgenkendelse uden for højrisikokontekster lander ofte her. Den primære pligt er transparens: brugere skal vide, at de interagerer med AI, og syntetisk indhold skal være mærket, hvor loven kræver det. Der er ingen overensstemmelsesvurdering for almindelige chatbots med begrænset risiko. Gebyrer for bestemt informations- og transparensfejl ligger på et lavere niveau end gebyrer for forbudte praksisser (Artikel 99 bruger trin; se reguleringsteksten for de præcise lofter).

Behandle ikke "begrænset risiko" som "ignor kalenderen." Flere transparensforpligtelser forblev på 2026-sporerne, selv om højrisikodatoer blev ændret. Vandmærkning og relaterede tekniske mærkningsregler for systemer, der allerede er på markedet, har deres egne underdatoer på offentlige tidsplaner. Læs implementationsplanens side, før du fortæller en kunde, "alt er rykket til 2027.", Checkliste — ærlighed ved begrænset risiko

- Brugerretning afsløring af, at samtalepartneren er AI (hvor det kræves) - Plan for mærkning af syntetisk medie til genereret lyd/video/billeder - Ingen påstand om "højrisikocertificeret" for en chatbot med begrænset risiko - Separat note, hvis en chatbotfunktion senere føder en beslutning i bilag III

Spamfiltre, mange anbefalingsmotorer og de fleste interne udarbejdelsesassistenter befinder sig her. De fleste virksomheds AI-agenter, der træffer eller påvirker konsekvensfulde beslutninger, befinder sig ikke i denne kategori — det er det gap, holdene undervurderer, når de peger på en skriveassistent og konkluderer, at hele virksomheden er "uden for området."

Hvis din agent kun udarbejder og en menneskelig altid genskriver ind i et andet system uden AI-påvirkede beslutninger, kan du være tættere på minimalt risiko. Hvis agentens score, rang eller anbefaling er den faktiske beslutning, genlse Annex III. Formål og brug slår arkitekturdiagrammer.

Straffesatser i tal (verificer stadig i artikel 99)

Artikel 99 fastsætter loft efter alvorlighed: forbudte praksisser op til 35 millioner EUR eller 7% af den globale årlige omsætning (hvilket som helst er højere); højrisiko-ikke-overholdelse op til 15 millioner EUR eller 3%; visse forkerte oplysninger / gennemsigtighedsfejl op til 7,5 millioner EUR eller 1,5%. Disse er maksimum, ikke automatisk faktura. Alligevel er de årsag til, at klassificering er et bestyrelsesniveau-emne, ikke en fredag eftermiddag-chore.

Til procesvokabulariet uden for EU-lovgivningen låner holdene undertiden NIST AI Risk Management Framework. Det er fint til intern regerings sprog (NIST AI RMF). Det ændrer ikke din niveau under forordning (EU) 2024/1689. EU's bredere digitalpolitisk kontekst sidder også omkring loven; Kommissionens "Europe fit for the digital age"-sider hjælper med at placere AI-regler ved siden af nærliggende digitale filer (Europe fit for the digital age), men niveauering starter stadig fra artiklerne 5-6 og bilagene.

Almindelige klassificeringsfejl

- At klassificere modellen i stedet for brugen. Den samme grundlæggende model kan drive en spam-filter og en ansættelses-ranker. Brugen afgør niveauet. - At antage, at "kun internt" betyder minimal risiko. Interne ansættelsesværktøjer er en klassisk udløser for bilag III. - At fryse kalenderen på 2. august 2026 for alle højrisikopgaver. Omnibus flyttede bilag III/bilag I højrisikoansøgningsdatoer; gennemsigtighedspligterne flyttede ikke alle med dem. - At lade salgsafdelingen vælge niveauet. Salgsafdelingen ønsker "lav risiko." Ingeniør- og juridiske afdelinger ejer kortet. - At springe en skriftlig beslutning over. Hvis du ikke kan vise, hvorfor du ikke er højrisiko, vil en reviewer antage, at du aldrig har set på det.

Beslutningskriterier: hvad skal gøres i dette kvartal

Hvis du bygger eller køber EU-orienteret AI i 2026:

- Inventar systemer, der påvirker beskæftigelse, kredit, uddannelse eller essentielle tjenester - Kør Artikel 6-testen og gem det skrevne resultat - Hold forbudt brug og gennemsigtighedsarbejde på den nærmeste kalender - Brug 2027/2028 højrisiko-løbet til at bygge dokumentation, logføring og tilsyn — vent ikke til ugen før datoen - Peger hver ekstern krav på EUR-Lex eller Kommissionens side, ikke på en podcast-sammenfatning.

Hvad dette ikke er

Denne introduktion er ikke juridisk rådgivning, ikke en overensstemmelsesvurdering og ikke et løfte om, at VendorVet (eller nogen checklisteværktøj) garanterer korrekt klassificering eller "aldrig overser" en højrisikoanvendelse. Vi opfinder ikke kundemetrics eller hævder, at du "bestemt undgår" en bøde. Datoer i denne artikel reflekterer den digitale omnibus-skift for højrisikoapplikationer, som almindeligvis rapporteres efter midten af 2026, og du skal altid verificere dem mod Den Officielle Journal og en vedligeholdt implementeringstidsplan, før du binder et overholdelsesprogram.

Afslutning

Kortlæg niveauet først. Åbn derefter den rigtige checkliste. Forbudte praksisser stopper; højrisikosystemer indsamler beviser; begrænsede risikosystemer fortæller sandheden til brugerne; minimalrisikosystemer har stadig brug for en ærlig opgørelse. Når dokumentationsbelastningen starter, læs teknisk dokumentationscheckliste herefter — det er der, hvor de fleste hold opdager hullerne, som klassificering alene ikke kan løse.

Referencer

- Forordning (EU) 2024/1689 (EUR-Lex) - Europa-Kommissionen — AI-akt - EU AI-akt — Implementeringstidsplan - NIST AI-risikostyringsramme - Europa-Kommissionen — Europa klar til den digitale tidsalder

Relaterede artikler

- Teknisk dokumentation under EU's AI-akt: hvad hold normalt gør forkert - Udforsk det fulde AI micro-SaaS emne matrix →