Ändrad tidsplan, men vissa regler gäller nu
Ungefär samtidigt som transparenskraven började gälla, ändrades tidsplanen för de omfattande reglerna om så kallad "högrisk-AI". Reglerna skulle ha börjat gälla i augusti i år, men efter stora påtryckningar gick EU till slut med på att flytta fram tidpunkten till den 2 december 2027 (högrisk-AI enligt bilaga III till AI-förordningen) respektive 2 augusti 2028 (högrisk-AI enligt bilaga I).
Den nya tidsplanen för högriskreglerna har fått stort fokus den senaste tiden, vilket gör det lätt att missa de krav som gäller redan nu - bland annat de ovan nämnda transparenskraven. Transparenskraven i artikel 50 i AI-förordningen gäller inte bara för de företag som utvecklar AI, utan även för de som "bara" använder AI i sin verksamhet. Exempelvis kan både ett företag som har utvecklat en chattbot på sin hemsida och ett företag som använder AI för att generera bilder till marknadsmaterial behöva informera om att det rör sig om AI-genererat innehåll.
I den här artikeln fokuserar vi just på transparenskraven. Vilka träffas av kraven och vad innebär de? När ska man informera om att innehåll är AI-genererat?
Er roll avgör allt - är ni leverantör och/eller tillhandahållare av AI-system?
Vid första anblick kan transparenskraven verka relativt okomplicerade: användaren ska i vissa fall informeras om att den interagerar med ett AI-system och det ska framgå att visst innehåll är AI-genererat. Syftet är att den som interagerar med AI, eller tar del av innehåll som genererats av AI, ska kunna förstå att det är fråga om AI. I praktiken är det däremot långt ifrån enkelt att bedöma vilka skyldigheter kraven innebär. Att EU-kommissionens nya riktlinjer och uppförandekod för just transparensreglerna landar på närmare 100 sidor säger en hel del.
En grundläggande fråga man måste besvara för att bedöma vilka skyldigheter ett företag har enligt transparenskraven är vilken roll företaget har enligt AI-förordningens mening. Företagets roll är avgörande för att bedöma både vilka krav på transparens som gäller och vilka krav som i övrigt gäller enligt förordningen. Bedömningen av företagets roll görs för varje AI-system (eller AI-verktyg) för sig och vilken roll företaget har kan variera mellan olika AI-system.
Transparenskraven träffar företag som är leverantörer (providers) och företag som är tillhandahållare (deployers) av AI-system.
- Förenklat är en leverantör den som utvecklar eller låter utveckla ett AI-system och som släpper det på marknaden eller tar det i bruk under eget namn.
- En tillhandahållare är den aktör som använder ett AI-system som någon annan har utvecklat i sin egen verksamhet. Det kan exempelvis vara ett bolag som köper in ett externt utvecklat HR-verktyg med AI-funktioner och använder det i sin rekryteringsprocess
Har ni koll på ert företags roll/roller enligt AI-förordningen?
Eftersom frågan om företagets roll är avgörande för vilka krav som gäller i AI-förordningen är det viktigt att landa rätt i bedömningen. I praktiken uppstår ofta gränsdragningsfrågor och det kan därför vara viktigt att ta hjälp av juridisk expertis för rådgivning.
Vad transparenskraven faktiskt innebär
När det har konstaterats att ett företag är leverantör och/eller tillhandahållare av ett eller flera AI-system, kan det enklare bedömas vad transparenskraven innebär för verksamheten i fråga. Transparenskraven beskrivs närmare i artikel 50 i AI-förordningen och i de tidigare nämnda riktlinjerna från EU-kommissionen.
De mest omfattande transparenskraven träffar leverantörer. För leverantörer gäller:
Informera om att användaren interagerar med AI (artikel 50.1)
Leverantörer av AI-system som är avsedda att interagera med människor - exempelvis chattbottar, röstassistenter och AI-agenter - ska informera användaren om att det är fråga om ett AI-system. Undantag från informationsplikten gäller om det redan är uppenbart för en normalt informerad användare att de interagerar med AI, men undantaget ska tolkas snävt.
Märk AI-genererat innehåll (artikel 50.2)
Leverantörer av AI-system som genererar syntetiskt ljud-, bild-, video- eller textinnehåll ska säkerställa att innehållet är märkt i ett maskinläsbart format så att det går att identifiera som AI-genererat. Enligt kommissionens riktlinjer kan märkningen behöva genomföras med flera tekniker i kombination, exempelvis vattenmärkning, metadata och/eller kryptografiska metoder, för att anses tillräckligt robust. Undantag från märkningskravet gäller för system som utför en "hjälpfunktion" för redigering eller som inte väsentligt ändrar indata - exempelvis system för rättstavningskontroll eller mindre färgjusteringar av bilder.
Även tillhandahållare behöver i vissa situationer uppfylla transparenskraven. För dem gäller:
Informera om användning av system för känsloigenkänning och biometrisk kategorisering (artikel 50.3)
Tillhandahållare av AI-system för känsloigenkänning eller biometrisk kategorisering ska informera de individer som exponeras för AI-systemet om att AI:n används.
- Med känsloigenkänning avses system som identifierar eller härleder känslor eller avsikter hos fysiska personer utifrån deras biometriska data. Det kan exempelvis vara en smartklocka som analyserar hjärtfrekvens för att tolka känslorna hos användaren eller ett AI-verktyg som används av en kundtjänst för att tolka kundernas sinnesstämning.
- Med biometrisk kategorisering avses system som placerar individer i specifika kategorier utifrån biometriska data, exempelvis ålder eller kön.
Informera om att deepfakes och texter om ämnen av allmänt intresse är AI-genererade (artikel 50.4)
Tillhandahållare som använder AI för att ta fram deepfakes (alltså innehåll som liknar exempelvis vissa existerande personer eller platser och som kan framstå som autentiskt) ska tydligt informera om att innehållet är AI-genererat. Begreppet deepfakes tolkas brett enligt kommissionens riktlinjer. Även fotorealistiska bilder av fiktiva personer som ser riktiga ut kan omfattas. Samma informationsplikt gäller för AI-genererad text som publiceras i syfte att informera allmänheten om ämnen av allmänt intresse - såsom politik, folkhälsa eller miljö. Då måste det alltså också informeras om att det är fråga om AI-genererat innehåll.
Riktlinjerna ger flera konkreta exempel: en AI-genererad sammanfattning av en nyhetsartikel, en AI-genererad artikel som jämför olika dieter, AI-genererad investerarinformation på ett börsnoterat bolags webbplats eller ett AI-genererat vädermeddelande på sociala medier. I dessa fall måste det framgå att det är fråga om AI-genererat innehåll. Undantag gäller om texten har genomgått en faktisk mänsklig granskning och en fysisk eller juridisk person bär redaktionellt ansvar för publiceringen. Undantaget ska tolkas snävt och en rent formell genomläsning räcker inte.
Tre steg att börja med nu
Transparenskraven gäller fullt ut och träffar långt fler verksamheter än många räknar med. Redan en chattbot på hemsidan eller AI-genererade produktbilder kan utlösa en skyldighet att informera om att det är fråga om AI-genererat innehåll. Samtidigt är kraven komplexa: gränsdragningen mellan leverantör och tillhandahållare, bedömningen av vad som utgör en deepfake, frågan om det föreligger undantag från informationsplikt med mera. Många frågor kräver analys i det enskilda fallet.
Vår rekommendation är att börja med tre konkreta steg:
- Se till att det genomförs en kartläggning av vilka AI-system eller AI-verktyg som köpts in, används och/eller utvecklats i verksamheten.
- Bedöm er roll enligt AI-förordningen specifikt för varje system - är ni exempelvis leverantör och/eller tillhandahållare?
- Bedöm vilka krav som gäller för er enligt AI-förordningen - både enligt transparenskravet i artikel 50 och i övrigt enligt förordningen.
Om ni ser till att bedömningarna ovan genomförs lägger ni grunden inte bara för efterlevnad av transparenskraven utan även för det bredare compliancearbete som väntar inför att högriskreglerna träder i kraft år 2027-2028.
Hör av er till oss på Forefront så berättar vi mer om hur vi kan stötta ert företag i arbetet med AI-förordningen - oavsett om det handlar om en första kartläggning eller ett mer omfattande compliancearbete. Här kan du läsa mer om hur vi arbetar med tech och compliance.
