Article 5 — Forbudte AI-praksisser (EU AI Act)

Article 5 i Regulation (EU) 2024/1689 — Forbudte AI-praksisser. Officiel tekst, praktisk fortolkning, centrale forpligtelser og complianceimplikationer.

Resumé af den officielle tekst

Article 5 i Regulation (EU) 2024/1689 (EU AI Act) udgør hele Title II og fastlægger en absolut liste over AI-praksisser, der er forbudt i hele Den Europæiske Union. Forbuddene retter sig mod AI-systemer, hvis skadepotentiale anses for så alvorligt, at ingen risikostyringsforanstaltning eller overensstemmelsesvurdering kan gøre dem acceptable.

Artiklen forbyder: (1) AI-systemer, der anvender subliminale teknikker uden for en persons bevidsthed eller bevidst udnytter psykologiske svagheder eller sårbarheder til at forvride adfærd på en måde, der forårsager eller sandsynligvis vil forårsage betydelig skade; (2) AI-systemer, der udnytter alder, handicap eller socioøkonomiske forhold til skadeligt at forvride adfærd; (3) AI-systemer, der bruges af offentlige myndigheder eller på deres vegne til social scoring — evaluering eller klassificering af fysiske personer baseret på social adfærd eller udledte personlige karakteristika — når dette fører til skadelig eller ugunstig behandling; (4) AI-systemer, der vurderer risikoen for, at en person begår en strafbar handling udelukkende på basis af profilering eller personlighedstræk; (5) realtids fjernbiometrisk identifikation af fysiske personer i offentligt tilgængelige rum til retshåndhævelsesformål, med forbehold for begrænsede og strengt kontrollerede undtagelser; (6) realtids- eller post fjernbiometriske systemer, der bruges til at udlede følsomme attributter såsom race, politisk overbevisning, fagforeningsmedlemskab, religiøse overbevisninger eller seksuel orientering; (7) AI-systemer, der opretter eller udvider ansigtsgenkendelsesbaser ved utargeteret scraping af internettet eller CCTV-optagelser; og (8) AI-systemer, der udleder følelser hos fysiske personer i arbejdspladser og uddannelsesmæssige sammenhænge, undtagen af sikkerhedsårsager.

Hvad dette betyder i praksis

Article 5 trækker en hård compliancegrænse, der berører enhver organisation, der udvikler, ibrugtager eller importerer AI-systemer til EU-markedet, uanset størrelse eller sektor.

For teknologiudbydere og AI-udviklere betyder forbuddene, at visse produktkategorier simpelthen ikke lovligt kan bringes i omsætning på EU-markedet. En leverandør, der markedsfører et produktivitetsværktøj for arbejdsstyrken, der inkluderer følelsesregistrering til at overvåge medarbejderengagement — markering af stressede eller uengagerede medarbejdere over for ledere — skal fjerne eller redesigne denne funktion inden 2. februar 2025. Tilsvarende falder en detailanalytik-startup, hvis system udleder kundestemning fra ansigtsudtryk i butikken, inden for forbuddet mod følelsesudledning i ikke-sikkerhedsmæssige sammenhænge.

For organisationer, der bruger tredjeparters AI-værktøjer, er due diligence ligeså obligatorisk. En HR-afdeling, der ibrugtager en rekrutteringsplatform, der udfører skjult psykografisk profilering til at screene kandidater, risikerer fælles ansvar som bruger.

For offentlige myndigheder er forbuddet mod social scoring særligt betydningsfuldt. Ethvert AI-system, der aggregerer adfærdsdata — betalingshistorik, mobilitetsmønstre, onlineaktivitet — til at producere en borgerscore, der derefter begrænser adgangen til offentlige tjenester eller ydelser, er ulovligt, uanset om systemet er teknisk sofistikeret.

For retshåndhævelsesorganer kræver den snævre undtagelse fra forbuddet mod realtids biometrisk identifikation robuste procedurer for forudgående godkendelse, geografiske og tidsmæssige begrænsninger, obligatorisk logning og efterfølgende rapportering til nationale tilsynsmyndigheder. Ad hoc- eller kontinuerlig idriftsættelse uden forudgående retslig eller administrativ godkendelse er ulovlig selv inden for undtagelsens anvendelsesområde.

Organisationer bør foretage en opgørelse over alle AI-systemer i brug eller under udvikling, kortlægge hvert enkelt i forhold til Article 5-kriterierne og straks ophøre med forbudte operationer.

Centrale forpligtelser

• Ophøre med eller aldrig idriftsætte noget AI-system, der anvender subliminale, manipulerende eller sårbarhedsudnyttende teknikker til at forvride menneskelig adfærd på måder, der sandsynligvis vil forårsage betydelig skade, uden nogen undtagelse eller proportionalitetsafvejning til rådighed.
• Forbyde social scoring af offentlige myndigheder eller enheder, der handler på deres vegne: anvend ikke AI til at evaluere eller klassificere fysiske personer for social adfærd eller udledte personlighedstræk, når resultatet fører til skadelig eller diskriminerende behandling.
• Dekommisionere forudsigelsesbaserede politiværktøjer, der vurderer individuel kriminel risiko udelukkende baseret på profilering, personlighedstræk eller tidligere association uden konkret adfærdsbevis.
• Undlade scraping af biometriske data fra internettet, CCTV eller andre kilder til at oprette eller udvide ansigtsgenkendelsesbaser; eksisterende baser, der er opbygget på denne måde, må ikke bruges.
• Ikke idriftsætte AI-systemer, der udleder følsomme personlige attributter — race eller etnisk oprindelse, politiske meninger, fagforeningsmedlemskab, religiøse eller filosofiske overbevisninger, seksuel orientering — fra biometriske eller adfærdsmæssige data.
• Anvende strenge forudgående godkendelses- og logningskontroller, hvis man opererer som retshåndhævelsesorgan og er afhængig af den snævre Article 5(2)–(5)-undtagelse for realtids fjernbiometrisk identifikation; hver idriftsættelse skal være tidsbegrænset, geografisk afgrænset og underlagt efterfølgende rapportering.

Forholdet til andre artikler

Article 5 skal læses som toppen af EU AI Act's risikobaserede hierarki. Den opererer i forbindelse med definitionerne i Article 3, som fastlægger, hvad der udgør et "AI-system", en "udbyder" og en "bruger" — de aktører, der er underlagt forbuddene. Sondringen mellem forbudte praksisser under Article 5 og højrisiko AI-systemer under Article 6 og Annex III er grundlæggende: forbudte systemer kan slet ikke lovligt bruges, mens højrisikosystemer kan idriftsættes underlagt overensstemmelsesvurderinger, registrering og løbende overvågningsforpligtelser.

Article 9 (risikostyringssystemer) og Articles 10–15 (data governance, transparens, menneskelig tilsyn) finder downstream anvendelse på tilladte højrisikosystemer, men har ingen afhjælpende rolle for Article 5-forbud. Article 99 fastlægger bødestrukturen, herunder den øverste bødeklasse, der gælder for Article 5-overtrædelser. Article 85 og bestemmelserne om markedsovervågning (Articles 74–78) regulerer håndhævelse. Nationale kompetente myndigheder udpeget under Article 70 er ansvarlige for overvågning af overholdelse af forbuddene på medlemsstatsniveau.

Tidsplan for compliance

• 1. august 2024 — Regulation (EU) 2024/1689 trådte i kraft, tyve dage efter offentliggørelse i Den Europæiske Unions Tidende.
• 2. februar 2025 — Article 5-forbud trådte direkte i kraft i alle EU-medlemsstater. Dette var den første substantielle anvendelsesdato under den fasede plan fastsat i Article 113. Fra denne dato udgør enhver idriftsættelse, markedsplacering eller ibrugtagning af et forbudt AI-system en regulatorisk overtrædelse, der er underlagt bøder under Article 99.
• 2. august 2025 — Regler om AI-modeller til generelle formål (Title VIII, Articles 51–56) trådte i kraft.
• 2. august 2026 — Forpligtelser for de fleste højrisiko AI-systemer oplistet i Annex III finder anvendelse, sammen med governance- og markedsovervågningsbestemmelser.
• 2. august 2027 — Udvidet transitional frist for højrisiko AI-systemer, der allerede var på markedet inden august 2024 og falder under Annex I (sikkerhedskomponent i regulerede produkter).

For Article 5 specifikt er der ingen henstandsperiode eller overgangsordning: fristen var 2. februar 2025, og compliance er nu forsinket for enhver organisation, der endnu ikke har handlet.