Opbygning af et risikostyringssystem for EU's AI-lovgivning (artikel 9)

Hvad artikel 9 kræver

Artikel 9 i EU's AI-forordning kræver, at enhver udbyder af et AI-system med høj risiko etablerer, implementerer, dokumenterer og vedligeholder et risikostyringssystem – en kontinuerlig, iterativ proces gennem hele livscyklussen, med regelmæssig systematisk gennemgang.

Dette er ikke en engangsrisikovurdering.

De fire obligatoriske trin

1. Identificer og analyser kendte og rimeligt forudsigelige risici for sundhed, sikkerhed og grundlæggende rettigheder.
2. Anslå og evaluer risici under tilsigtet brug og rimeligt forudsigelig misbrug.
3. Evaluer andre risici fra data om overvågning efter markedsføring.
4. Vedtag passende og målrettede risikostyringsforanstaltninger.

Foranstaltningernes hierarki (artikel 9, stk. 5)

• Eliminer eller reducer risici gennem passende design og udvikling.
• Hvor det ikke er muligt, implementer afbødende foranstaltninger og kontrolforanstaltninger.
• Giv information og træning til brugere.

Accept af resterende risiko skal dokumenteres.

Sårbare grupper

Artikel 9, stk. 9, kræver særlig overvejelse af indvirkningen på personer under 18 år og andre sårbare grupper – ikke valgfrit.

En anvendelig driftsmodel

Risikoregistreringsliste

En række pr. risiko: beskrivelse, skadetype, sandsynlighed, alvorlighedsgrad, berørt gruppe, ejer, afbødning, resterende risiko, gennemgangsdato.

Log over designbeslutninger

Hvert designvalg truffet på grund af en risiko, der kan spores til den registreringsindgang, det adresserer.

Dokumentation for test og validering

Bias, robusthed, adversiv test med dokumenteret metode.

Feed til overvågning efter markedsføring

Hver alvorlig hændelse (artikel 73) udløser genåbning af analysen.

Kadence

• Kontinuerlige hændelsesdrevne opdateringer.
• Kvartalsvis gennemgang af registeret.
• Årlig fuld reevaluering, underskrevet på ledelsesniveau.
• Begivenhedsdrevet ved væsentlig ændring (artikel 43).

Hvad revisorer vil bede om

• Den skriftlige procedure.
• Det aktuelle register med ændringshistorik.
• Dokumentation for den seneste årlige gennemgang.
• Spor fra mindst én hændelse til en registeropdatering.
• Dokumentation for analyse af sårbare grupper.

---

Relateret: Vejledning til AI-systemer med høj risiko · Oversigt over EU's AI-forordning · Gratis klarhedsvurdering