Hvem skal efterleve AI‑forordningen? 

AI‑systemer bliver udviklet, solgt og taget i brug af mange forskellige organisationer og til mange forskellige formål. 

Nogle udvikler AI-systemer fra bunden og bringer det på markedet, mens andre integrerer AI (kunstig intelligens) i deres produkter eller bruger det internt for at øge effektiviteten. 

AI-forordningen opstiller forskellige regler alt efter hvordan en organisation anvender AI, og derfor er det vigtigt at have en forståelse for disse, så organisationens rolle i relation til forordningen kan afklares. 

I denne artikel ser vi derfor på de roller, AI-forordningen definerer, så du kan finde ud af, hvilke der gælder for din organisations brug af AI. Vær desuden opmærksom på, at din organisation kan have flere roller, fordi I bruger AI på flere måder. 

Udbyder 

AI-forordningen definerer en ‘udbyder’ som en organisation eller person, der udvikler et AI-system eller en AI-model og stiller det til rådighed for andre; enten ved at sælge det, tilbyde det gratis eller anvende det i eget navn eller varemærke. 

Du kender sikkert allerede udbydere som OpenAI (skaberen af ChatGPT) og Google (skaberen af Gemini). De er udbydere i kontekst af AI-forordningen, fordi de udvikler AI-modeller og tilbyder dem som en tjeneste til virksomheder, som derefter kan bruge dem i deres egne produkter. 

Din organisation kan også blive kategoriseret som en udbyder, hvis I deler, sælger eller distribuerer AI, som I har udviklet eller væsentligt ændret en andens model. Det kan fx være tilfældet, hvis organisationen udvikler et machine learning værktøj til internt brug og senere beslutter at tilbyde det til et søsterselskab, en kunde eller udbyde det på markedet generelt. Det kan også være tilfældet, når en mindre softwareleverandør laver en algoritme og sælger den på licens til andre virksomheder. 

AI-forordningens definition af ‘udbyder’ 

“ [En] udbyder [er] en fysisk eller juridisk person, en offentlig myndighed, et agentur eller et andet organ, der udvikler eller får udviklet et AI-system eller en AI-model til almen brug og bringer dem i omsætning eller ibrugtager AI-systemet under eget navn eller varemærke, enten mod betaling eller gratis” 

Downstreamudbyder 

En ‘downstreamudbyder’ er en virksomhed, der tager en eksisterende AI-model (sin egen model eller fra en anden udbyder) og integrerer denne i et produkt eller en tjeneste. Virksomheden kan stadig tilpasse eller ændre modellen, før den integreres i produktet og tilbydes kunderne. 

Et eksempel på en downstreamudbyder er virksomheden Salesforce, fordi de integrerer AI (bl.a. modeller fra OpenAI) i deres software fx AI-chatbots og analyseværktøjer ind i deres CRM-software, så deres kunder kan automatisere salgs- og supportopgaver. 

Mindre virksomheder kan også være downstreamudbydere fx en SaaS-virksomhed, når de licenserer, tilpasser eller på anden måde integrerer en AI-model i deres løsninger med henblik på salg. 

AI-forordningens definition af ‘downstreamudbyder’ 

“[En] downstreamudbyder [er] en udbyder af et AI-system, herunder et AI-system til almen brug, som integrerer en AI-model, uanset om AI-modellen leveres af udbyderen selv og integreres vertikalt eller leveres af en anden enhed på grundlag af kontraktforhold. 

Idriftsætter 

En idriftsætter er enhver organisation eller person, der anvender et AI-system som led i driften af fx sin virksomhed. Enhver virksomhed, offentlig myndighed eller institution, der bruger AI-systemer i interne arbejdsprocesser eller ved leveringen af ydelser til kunder, er derfor en idriftsætter. 

Hvis din organisation benytter AI-systemer fx ChatGPT til tekst- eller billedskabelse, så falder organisationen i denne kategori, da I derfor anvender et AI-system til internt brug. 

Et eksempel på en idriftsætter kunne være et hospital, der anvender et AI-baseret værktøj, læger kan anvende til at diagnosticere og dermed hurtigere opdage sygdomme. Hospitalet er en idriftsætter, fordi det bruger et færdigudviklet AI-system uden at ændre den underliggende AI-model. 

AI-forordningens definition af idriftsætter 

[En] idriftsætter [er] en fysisk eller juridisk person, en offentlig myndighed, et agentur eller et andet organ, der anvender et AI-system under sin myndighed, medmindre AI-systemet anvendes som led i en personlig ikkeerhvervsmæssig aktivitet 

Bemyndiget repræsentant 

En bemyndiget repræsentant er en person eller virksomhed i EU, der repræsenterer en udbyder uden for EU. Denne repræsentant skal sikre, at AI-forordningen overholdes på udbyderens vegne. 

Hvis en udbyder af et AI-system vil tilbyde AI-løsninger i EU, skal udbyderen derfor udpege en bemyndiget repræsentant i EU for at sikre fuld overholdelse af AI-forordningen. 

AI-forordningens definition af bemyndiget repræsentant 

[En] ‘bemyndiget repræsentant’ [er] en fysisk eller juridisk person, der befinder sig eller er etableret i Unionen, og som har modtaget og accepteret et skriftligt mandat fra en udbyder af et AI-system eller en AI-model til almen brug til på dennes vegne at opfylde og udføre de forpligtelser og procedurer, der er fastsat i denne forordning 

Importør 

En importør er en virksomhed eller person i EU, der importerer AI-systemer udviklet af en virksomhed uden for EU for derved at gøre dem tilgængelige på det europæiske marked. Det vil typisk være fysiske produkter som IoT-enheder, robotter eller maskiner. Det er importørens ansvar at sikre sig, at de indførte AI-systemer overholder EU-reglerne inden de sælges eller tages i brug i Europa. 

AI-forordningens definition af importør 

[En] importør [er] en fysisk eller juridisk person, som befinder sig eller er etableret i Unionen, og som bringer et AI-system i omsætning, der bærer en i et tredjeland etableret fysisk eller juridisk persons navn eller varemærke 

Distributør 

En distributør er en virksomhed, som gør AI-systemer tilgængelige på markedet, men som ikke selv har udviklet eller importeret AI-systemet. Distributører er en del af forsyningskæden da de gør AI-systemer tilgængelige for andre aktører fx idriftsættere uden selv at foretage ændringer i AI-systemet. 

En elektronikforhandler kan være en distributør, hvis denne sælger AI-drevne enheder købt fra en leverandør (fx en downstreamudbyder, der har integreret AI i enheden fra en udbyder), og en softwareforhandler kan være distributør, hvis denne sælger licenser til software der gør brug af AI. 

AI-forordningens definition af distributør 

[En] distributør [er] en fysisk eller juridisk person i forsyningskæden, bortset fra udbyderen eller importøren, som gør et AI-system tilgængeligt på EU-markedet 

Operatør 

AI-forordningen bruger betegnelsen ‘operatør’ som en samlende kategori for de centrale roller i et AI-systems forsyningskæde. Betegnelsen ‘operatør’ omfatter udbydere, idriftsættere, bemyndigede repræsentanter, importører og distributører, og dækker altså over de aktører der udvikler, markedsfører, distribuerer, importerer eller professionelt anvender AI-systemer. 

Betegnelsen omfatter ikke private slutbrugere eller forbrugere, der blot interagerer med et AI-system. 

AI-forordningens definition af operatør 

[En] operatør [er] en udbyder, producent af et produkt, idriftsætter, bemyndiget repræsentant, importør eller distributør 

Producent af et produkt 

Udtrykket ‘producent af et produkt’ anvendes i AI-forordningen, men er i modsætning til roller som udbyder, idriftsætter, bemyndiget repræsentant, importør og distributør, ikke defineret i artikel 3. Begrebet nævnes dog som en af forordningens ‘operatører’ sammen med de øvrige roller, og derfor inkluderer vi også begrebet i denne artikel. 

En producent af et produkt er den virksomhed eller person, der sørger for at få et produkt fremstillet. Dette gælder uanset om de producerer produktet selv eller outsourcer produktionen blot at produktet markedsføres under deres eget navn eller varemærke. 

Definition af fabrikant i forordning (EF) nr. 765/2008  

[En] ‘fabrikant’ [er] enhver fysisk eller juridisk person, som fremstiller et produkt eller får et produkt konstrueret eller fremstillet og markedsfører dette produkt under sit navn eller varemærke 

Eksempel: Løsning til Predictive Maintenance (fejlforudsigelsesmodel) 

Det næste eksempel er fiktivt og bruges med henblik på at illustrere AI-forordningens roller i én forsyningskæde, samt at en organisation samtidigt kan have flere roller. 

Udbyder 

NeuralPredict Inc. (USA) udvikler en generel AI-model, som kan anvendes til ‘predictive maintenance’ og stiller modellen til rådighed via et API, så kunder kan tilgå modellen fra hele verden. 

Bemyndiget repræsentant 

NeuralPredict Inc. hyrer et advokatfirma i Irland kaldet ‘AI Act Compliance Partners LLP’, som de giver mandat til at handle på deres vegne i EU. Advokatfirmaet håndterer alle indberetninger til myndighederne, koordinerer med medlemsstaterne og holder NeuralPredicts dokumentation og anmeldelser opdateret. 

Downstreamudbyder og producent af et produkt 

En tysk virksomhed kaldet ‘SensorTech GmbH’ køber en licens til NeuralPredict Inc’s løsning til ‘predictive maintenance’, men finjusterer AI-modellen med vibrations- og temperaturdata fra industriudstyr, som de har adgang til. Herefter integrerer de AI-model i deres egen produkt kaldet “SensorGuard edge-analytics”, som de sælger under eget navn. SensorTech GmbH producerer hardwaren, samler enhederne, laver risikovurderinger, udarbejder teknisk dokumentation og sikrer korrekt CE-mærkning. 

Importør 

Virksomheden SensorTech GmbH importerer også det kinesisk producerede AI-system “MachineEye”, som er et produkt der bruger machine learning til overvåge maskinudstyr. SensorTech sælger MachineEye produktet i EU fra Tyskland.

Distributør

Virksomheden EngiSupply BV fra Holland har lavet en aftale med SensorTech GmbH, så de kan sælge “SensorGuard edge-analytics” produktet til kunder i Holland, hvilket de gør uden at foretage ændringer i hardware eller software.

Idriftsætter

Virksomheden AutoPartsCo Srl fra Italien køber produktet “SensorGuard edge‑analytics” for at implementere det i deres produktionsapparat for at optimere vedligeholdelsen heraf. 

Hvad gør du nu?

Din organisation skal klarlægge, hvilke roller den har efter AI-forordningen, dvs. om I udvikler, integrerer, importerer, distribuerer eller blot anvender AI internt. Dette er vigtigt, så I kan opfylde rollernes tilhørende krav.  

Start dette arbejde med at liste alle produkter og tjenester, som I udbyder til slutbrugere eller selv anvender internt, og afgør herefter, om der anvendes AI. Her kan du tage din systemoversigt frem, som du allerede anvender til din GDPR-compliance, og som gerne skulle dække de fleste produkter og tjenester.

Med dette overblik, så er næste skridt at vurdere hvordan, at I anvender AI. Mange organisationer vil som minimum være idriftsætter af AI, fordi AI ofte er integreret i interne værktøjer fx SaaS eller bruges direkte via ChatGPT, Microsoft Copilot, Github Copilot, mv., men alle organisationer er naturligvis forskellige.