Opbygning af et risikostyringssystem i henhold til EU’s AI-lov (artikel 9)

Hvad artikel 9 kræver

I henhold til artikel 9 i EU’s AI-lov skal alle udbydere af højrisikobetonede AI-systemer oprette, gennemføre, dokumentere og vedligeholde en risikostyringssystem — en løbende, iterativ proces, der strækker sig over hele livscyklussen, med regelmæssig, systematisk gennemgang.

Dette er ikke en engangsrisikovurdering.

De fire obligatoriske trin

1. Identificere og analysere kendte og med rimelighed forudsigelige risici for sundhed, sikkerhed og grundlæggende rettigheder.
2. Vurdere og evaluere risici ved anvendelse i henhold til den tilsigtede anvendelse og ved rimeligt forudsigeligt misbrug.
3. Vurder andre risici baseret på data fra overvågningen efter markedsføring.
4. Indføre passende og målrettede risikostyringsforanstaltninger.

Foranstaltningernes rangorden (artikel 9, stk. 5)

• Fjerne eller reducere risici gennem hensigtsmæssig udformning og udvikling.
• Hvis dette ikke er muligt, skal man gennemføre forebyggende og bekæmpende foranstaltninger.
• Angiv information og uddannelse to deployers.

Accept af restrisiko skal dokumenteres.

Sårbare grupper

I henhold til artikel 9, stk. 9, skal der tages særligt hensyn til virkningerne på personer under 18 år og andre sårbare grupper — er ikke noget, man kan vælge.

En brugbar driftsmodel

Risikoregister

Én række pr. risiko: beskrivelse, skadetype, sandsynlighed, alvorlighed, berørt gruppe, ansvarlig, afbødende foranstaltninger, restrisiko, gennemgangsdato.

Log over designbeslutninger

Hvert eneste designvalg, der træffes på grund af en risiko, der kan spores tilbage til den registerpost, den vedrører.

Dokumentation for test og validering

Bias, robusthed, adversarial testing med dokumenteret metodik.

Feed til overvågning efter markedsføring

Hver alvorlig hændelse (artikel 73) medfører, at analysen genoptages.

Kadence

• Kontinuerlig hændelsesbaserede opdateringer.
• Kvartalsvis gennemgang af registret.
• Årligt fuldstændig revurdering, underskrevet på ledelsesniveau.
• Begivenhedsstyret ved væsentlig ændring (artikel 43).

Hvad revisorerne vil bede om

• Den skriftlige procedure.
• Det aktuelle register med ændringshistorik.
• Dokumentation for den seneste årlige gennemgang.
• Spor fra mindst én hændelse til en registeropdatering.
• Dokumentation for analysen af sårbare grupper.

---

Se også: Vejledning til AI-systemer med høj risiko · Oversigt over EU’s AI-lov · Gratis vurdering af parathed