EU's AI-forordnings overensstemmelsescheckliste

Udpeg en enkelt AI-ansvarlig ejer på ledelsesniveau.

Interaktioner med tilsynsmyndigheder i henhold til artikel 22 kræver ét kontaktpunkt.

Offentliggør en intern politik for AI-anvendelse, der dækker tilladte værktøjer, dataklasser og oplysningspligt.

Udgangspunkt for kompetencestøtte i henhold til artikel 4 og gennemsigtighed i henhold til artikel 50.

Tilføj AI-risici til virksomhedens risikoregister med kvartalsvis gennemgang.

Leverer dokumentation til risikostyringssystemet, som hoejrisiko-udbydere skal kunne fremvise (art. 9).

Godkend en AI-hændelseshåndteringsplan (hvem beslutter at trække et AI-værktøj tilbage).

Eftermarkedsovervågning i henhold til art. 72 forudsætter, at denne eksisterer.

Bestyrelsen eller ExCo modtager en AI-overensstemmelsesrapport mindst to gange om året.

Dokumenterer ledelsesmæssigt tilsyn – det første, en revisor beder om.

Centralt register over alle AI-systemer, der er udviklet, købt eller indlejret – herunder skjult IT-anvendelse.

Forudsætning for klassificering og leverandørdokumentation.

For hvert system: formål, leverandør, dataklasser, beslutningspåvirkning, brugerpopulation.

Felter, der kræves til dokumentation i bilag IV.

Klassificér hvert system som forbudt, hoejrisiko-AI-system (bilag III / bilag I), begrænset risiko (art. 50) eller minimal risiko.

Bestemmer alle efterfølgende forpligtelser.

Dokumentér begrundelsen for klassificeringen, og genvurder ved ændringer i funktioner.

Tilsynsmyndigheder afviser 'stol på os' – de ønsker begrundelsen.

Mærk anvendelser, der berører HR, kredit, uddannelse, biometri, essentielle tjenester eller retshåndhævelse.

Automatiske udløsere for bilag III.

Grundlæggende AI-træning rulles ud til alle medarbejdere, der anvender AI i deres rolle.

Artikel 4 som ændret ved Omnibus.

Avanceret uddannelse til teams, der arbejder med hoejrisiko-AI-systemer eller kundevendte AI-løsninger.

Proportionalitetsprincippet i art. 4.

Registrer, hvem der blev uddannet, hvornår, og hvilket indhold der blev gennemgået.

Kun dokumentation, som en tilsynsmyndighed anerkender.

Opdater uddannelsen efter enhver ændring af udstyr, værktøj eller politik – ikke kun en gang om året.

Kompetencerne skal holde trit med de værktøjer, der anvendes.

Chatbots og voice agents skal oplyse, at brugeren interagerer med AI.

Art. 50, stk. 1.

AI-genererede billeder, lyd, video og tekst skal mærkes som sådanne ved levering.

Art. 50, stk. 4 og deepfake-regimet.

Følelsesgenkendelse og biometrisk kategorisering skal underrette berørte personer.

Art. 50, stk. 3.

Nye AI-genererende systemer skal producere maskinlæsbare vandmærker.

Art. 50, stk. 2; 4-måneders overgangsperiode for eksisterende systemer udløber 2. december 2026.

Webassistenter og supportflows skal have et tilgængeligt 'dette er AI'-skilt.

Kombinerer art. 50, stk. 1 med brugervenlighedskrav.

Dokumenteret risikostyringssystem, der dækker hele livscyklussen (art. 9).

Centralt element i regimet for hoejrisiko-AI-systemer.

Datastyringskontroller: repræsentative, relevante og fejlfri trænings- og valideringsdata (art. 10).

Skævheder og kvalitetsproblemer starter her.

Teknisk dokumentation i henhold til bilag IV åbnes og vedligeholdes (art. 11).

Uden denne findes der ikke en konformitetsvurdering.

Automatiske hændelseslogfiler aktiveres og opbevares (art. 12).

Tilsynsmyndighederne ønsker sporbarhed, ikke skærmbilleder.

Menneskelig tilsyn integreret i arbejdsgangen, ikke tilføjet efterfølgende (Art. 14).

'Menneske i løkken' skal kunne dokumenteres ende-til-ende.

Nøjagtigheds-, robustheds- og cybersikkerhedstests med bestået/ikke-bestået-tærskler (Art. 15).

Kræves i den tekniske dokumentation.

Kvalitetsstyringssystem, der dækker design, test og overvågning (Art. 17).

Notificerede organer tjekker dette først.

Konformitetsvurderingsprocedure valgt og CE-mærkning planlagt (Art. 43).

Afgør, hvilken bilag der gælder for din udvikling.

Overvågningsplan for markedsovervågning med definerede signaler og eskalering (Art. 72).

'Udlevér og glem' er ikke længere lovligt.

Procedure for rapportering af alvorlige hændelser med 15-dages frist kortlagt (Art. 73).

Manglende rapporter medfører selvstændig bøde.

Klausuler fra AI-forordningen tilføjet til indkøbs- og leverandørkontraktskabeloner.

Brugerens forpligtelser i henhold til Art. 26 afhænger af leverandørens dokumentation.

Leverandørdokumentation indsamlet for hver hoejrisiko-leverandør: dokumentation, tilsynsdesign, hændelseshistorik.

Brugere overtager eventuelle mangler.

Databeskyttelseskonsekvensvurdering (DPIA) opdateret til at omfatte AI-specifikke risici.

GDPR Art. 35 supplerer forpligtelserne i AI-forordningen.

Behandlingsregistreringer opdateret for AI-baserede beslutninger.

Tilsynsmyndigheder krydstjekker GDPR- og AI-forordningsregistre.