AI-förordningen gäller inte för en hel sektor eller endast för stora företag. Den gäller för den som fyller en viss roll i förhållande till ett AI-system: om ni utvecklar det, marknadsför det, eller använder det inom er egen organisation. Ett installationsföretag med tio anställda kan lika väl omfattas som ett multinationellt företag, så snart ett AI-system används som faller inom förordningens tillämpningsområde.
För de flesta små och medelstora företag är frågan inte om de utvecklar AI själva, utan för att de använder mjukvara där en AI-funktion är inbyggd: ett verktyg för CV-screening, en chatbot på webbplatsen, ett planeringssystem som automatiskt föreslår scheman. I en sådan situation är ni vanligtvis inte leverantören av AI-systemet, utan den så kallade användarens ansvariga. Det är en lättare roll än för den part som utvecklade systemet, men inte utan förpliktelser: förordningen skiljer mellan olika riskkategorier, och vilken kategori som är tillämplig bestämmer vilka skyldigheter som följer med rollen.
Rollen bestämmer skyldigheten, inte branschen
Förordningen använder en riskbaserad indelning. Vissa tillämpningar betraktas som oacceptabel risk och är förbjudna, andra som högrisk med motsvarande skyldigheter, och många tillämpningar faller utanför dessa tyngre kategorier. En chatbot som svarar på kundfrågor faller i praktiken ofta i en annan kategori än ett system som medverkar till beslut om vem som anställs eller sägs upp. Den senare kategorin, personalval och -bedömning, nämns i förordningen som ett exempel på en tillämpning som kräver särskild uppmärksamhet, just för att resultatet har direkta konsekvenser för enskilda personer.
Det betyder att två företag i samma bransch kan påverkas på olika sätt. En kontorsorganisation som endast använder ett planeringsverktyg befinner sig i en annan kategori än en organisation som använder AI vid rekrytering och personalval. Frågan är därför inte "arbetar jag med AI", utan "vilken typ av AI-system använder jag, och i vilken roll".
Praktiska exempel från ett litet eller medelstort företag
En personalchef som köper ett rekryteringsverktyg med AI-funktionalitet blir därmed användarens ansvariga för systemet. Leverantören av verktyget är vanligtvis leverantören och bär en annan del av skyldigheterna, men det befriar inte användaren automatiskt från allt ansvar. En kontorschef som använder en textgenerator för att skriva jobbannonser befinner sig vanligtvis i en lättare kategori än om generatorn också medverkar till beslut om vem som inbjuds till samtal.
En direktör för ett installationsföretag som använder AI-styrd planeringsprogramvara för att fördela montörer befinner sig i en helt annan situation än om samma programvara också används för att motivera prestationsbedömningar. Tekniken kan vara identisk; tillämpningen och effekten på människor bestämmer indelningen. Det är just därför ett allmänt påstående som "detta gäller inte för små företag" inte är korrekt: företagets storlek spelar ingen roll i själva förordningen när det gäller att bestämma riskkategorin.
Om ni endast använder en färdig verktyg
Många företag köper in mjukvara utan att anpassa den. Även då kan förordningen vara tillämplig, om än vanligtvis med en lättare uppsättning skyldigheter än för den part som utvecklade systemet. Den praktiska fråga som då är relevant är inte bara juridisk: vilken information ger er leverantör om systemets natur, och är denna information tillräcklig för att ni själva ska kunna avgöra i vilken kategori ni hamnar. gå igenom begreppen och kategorierna lugnt ger ett utgångspunkt utan att ni omedelbar behöver en jurist.
Det påverkar också samtalet som ni för som inköpande part med en programvaruleverantör: inte bara om pris och funktionalitet, utan också om vad systemet exakt gör med uppgifterna om era medarbetare eller kunder, och om leverantören själv redan har arbetat med klassificeringen. Den som för detta samtal först efter att systemet redan är i bruk missar det tillfälle då det är enklast att reglera.
Var ni kan kontrollera detta för er egen situation
Eftersom klassificeringen beror på det specifika systemet och den specifika tillämpningen inom er organisation, är ett allmänt svar alltid en utgångspunkt, aldrig en slutpunkt. För er egen situation rekommenderas det att konsultera den officiella texten eller kontakta den behörig tillsynsmyndigheten; en plattform som vår kan väl hjälpa er att snabbt se vilka frågor som är relevanta. Med ett par frågor som direkt ger en indikation får ni utan förpliktelse en första bild av var er situation möjligen står.
Är ni nyfiken på hur vi får vår information och varför vi medvetet inte gör några bestämda uttalanden om enskilda fall? Det förklarar vi på sidan om hur vår information sammanställs. Och om ni stöter på en fråga som inte besvaras här, titta då på samlingen med vanliga frågor eller gör den kostnadsfria snabbsökningen för att se vilka ämnen som är relevanta för er verksamhet.