AI-förordningen delar in AI-system i fyra risknivåer. AI som bedöms utgöra en otillåten risk, till exempel social poängsättning, känsloigenkänning i arbetslivet eller biometrisk massövervakning i offentliga miljöer, är helt förbjuden. AI-system som klassas som högrisk omfattar sådana som används i beslut som påverkar människor i utsatta eller rättsligt känsliga situationer, till exempel vid rekrytering, skolbetyg, kreditbedömning eller rättsväsendet. Dessa får endast användas om de uppfyller strikta krav på transparens, datakvalitet, dokumentation och mänsklig tillsyn. AI-system med begränsad risk kräver att användaren informeras om att hen interagerar med ett AI-system, medan system med minimal risk får användas utan särskilda krav men omfattas av allmänna principer om säkerhet och ansvarsfull användning.

AI-förordningen ersätter inte GDPR utan är tänkt att komplettera den. Det innebär att all behandling av personuppgifter i AI-system fortsatt måste följa dataskyddsförordningens krav på laglig grund, ändamålsbegränsning, transparens och information till de registrerade. AI-förordningen tillför nya regler för själva AI-systemens utformning, funktion och användning, särskilt när systemen används för automatiserat beslutsfattande som kan påverka individers rättigheter eller skyldigheter.

Organisationer som använder högrisk-AI måste säkerställa att de AI-system de använder är tränade på datamängder som är korrekta, relevanta och inte leder till diskriminerande utfall. De behöver också se till att det finns tydliga processer för mänsklig tillsyn och möjlighet till ingripande i de fall där AI används i beslut som rör människor. För varje AI-system som omfattas av förordningen krävs det dokumentation som beskriver syftet med systemet, hur det fungerar, vilka datakällor som används och vilka risker som har identifierats. Det är också viktigt att det finns en tydlig samverkan mellan dataskyddsombud, IT, HR och verksamhetsledning för att säkerställa att kraven enligt både AI-förordningen och GDPR uppfylls.

Om din organisation använder AI i sin verksamhet – eller planerar att göra det – är det klokt att redan nu identifiera vilka system som påverkas av förordningen. Det är viktigt att komma ihåg att även AI-funktioner som köps in som en del av större IT-system eller tjänster (till exempel beslutsstöd, rekryteringsverktyg eller analysplattformar) omfattas av reglerna, och att användaren kan hållas ansvarig.