EU AI-forordningens overholdelsescheckliste

Udpeg en enkelt ansvarlig AI-ejer på ledelsesniveau.

Interaktioner med tilsynsmyndigheden i henhold til artikel 22 kræver ét kontaktpunkt.

Offentliggør en intern AI-brugspolitik, der dækker tilladte værktøjer, dataklasser og offentliggørelse.

Grundlag for artikel 4's forståelse og artikel 50's gennemsigtighed.

Tilføj AI-risici til virksomhedens risikoregister med kvartalsvis gennemgang.

Understøtter den dokumentation for risikostyringssystemet, som udbydere af højrisiko-AI skal fremlægge (Art. 9).

Godkend en playbook for AI-hændelsesrespons (hvem beslutter at trække et AI-værktøj tilbage).

Markedsovervågning i henhold til art. 72 forudsætter, at dette eksisterer.

Bestyrelsen eller ExCo modtager en AI-overholdelsesrapport mindst to gange om året.

Dokumenterer ledelsens tilsyn – det første en revisor beder om.

Centralt register over hvert AI-system, der er bygget, købt eller integreret – herunder skygge-IT-brug.

Forudsætning for klassificering og leverandørdokumentation.

For hvert systemregistrering: formål, leverandør, dataklasser, beslutningspåvirkning, brugerpopulation.

Felter, der kræves til bilag IV-dokumentation.

Klassificer hvert system som forbudt, højrisiko (bilag III / bilag I), begrænset risiko (art. 50) eller minimal.

Bestemmer enhver efterfølgende pligt.

Dokumenter klassifikationsprincipperne, og gennemgå dem igen, når funktionerne ændres.

Tilsynsmyndighederne afviser 'stol på os' – de vil have begrundelsen.

Markér enhver brug, der berører HR, kredit, uddannelse, biometri, væsentlige tjenester eller retshåndhævelse.

Automatiske Annex III-triggere.

Grundlæggende AI-træning udrullet til alle medarbejdere, der bruger AI i deres rolle.

Artikel 4 som ændret ved Omnibus.

Avanceret træning for teams, der driver højrisiko- eller kundevendte AI-systemer.

Proportionalitetsprincippet i art. 4.

Registrer hvem der blev trænet, hvornår, og hvilket indhold.

Kun dokumentation en regulator accepterer.

Opfrisk træning årligt og efter enhver væsentlig ændring af værktøj eller politik.

Overvågning efter markedsføring fører tilbage til kompetenceudvikling.

Chatbots og stemmeagenter oplyser, at brugeren interagerer med AI.

Art. 50, stk. 1.

AI-genererede billeder, lyd, video og tekst mærkes som sådan ved levering.

Art. 50, stk. 4 og deepfake-regimet.

Genkendelse af følelser og biometrisk kategorisering giver meddelelse til berørte personer.

Art. 50, stk. 3.

Nye AI-genererende systemer producerer maskinlæsbare vandmærker.

Art. 50, stk. 2; 4-måneders frist for eksisterende systemer udløber 2. december 2026.

Webassistenter og supportflows indeholder en tilgængelig 'dette er AI'-meddelelse.

Kombinerer Art. 50, stk. 1 med brugervenlighedsforventninger.

Risikostyringssystem, der dækker hele livscyklussen dokumenteret (art. 9).

Centralt artefakt i højrisikoregimet.

Datastyringskontroller: repræsentative, relevante, fejlfrit trænings- og valideringsdata (art. 10).

Bias og kvalitetsfejl starter her.

Bilag IV teknisk dokumentation åbnet og vedligeholdt (artikel 11).

Uden denne er der ingen overensstemmelsesvurdering.

Automatiske hændelseslogfiler aktiveret og opbevaret (artikel 12).

Regulatorer ønsker sporbarhed, ikke skærmbilleder.

Menneskelig overvågning indbygget i arbejdsgange, ikke eftermonteret (artikel 14).

'Human in the loop' skal dokumenteres ende-til-ende.

Nøjagtigheds-, robustheds- og cybersikkerhedstest med bestået-/ikke-bestået-tærskler (artikel 15).

Påkrævet i den tekniske fil.

Kvalitetsstyringssystem, der dækker design, test, overvågning (artikel 17).

Bemyndigede organer kontrollerer dette først.

Valgt rute for overensstemmelsesvurdering og planlagt CE-mærkning (artikel 43).

Bestemmer hvilket bilag der gælder for dit system.

Overvågningsplan efter markedsføring med definerede signaler og eskalering (artikel 72).

'Ship and forget' er ikke længere lovligt.

Procedure for rapportering af alvorlige hændelser med frist på 15 dage udarbejdet (artikel 73).

Manglende rapporter medfører bøder.

AI Act-klausuler tilføjet indkøbs- og leverandørkontraktskabeloner.

Implementørens forpligtelser i henhold til artikel 26 afhænger af leverandørens dokumentation.

Leverandørdokumentation indsamlet for hver højrisikoleverandør: dokumentation, oversight-design, hændelseshistorik.

Implementører arver mangler.

Databeskyttelseskonsekvensanalyse (DPIA) opdateret til at inkludere AI-specifikke risici.

GDPR artikel 35 matcher forpligtelserne i AI Act.

Behandlingsfortegnelser opdateret for AI-baserede beslutninger.

Regulatorer krydstjekker GDPR- og AI Act-registre.