Artikel 95 — Adfærdskodekser for frivillig anvendelse af specifikke krav (EU AI-forordningen)

Artikel 95 i forordning (EU) 2024/1689 — Adfærdskodekser for frivillig anvendelse af specifikke krav. Officiel tekst, praktisk fortolkning, centrale forpligtelser og implikationer for overholdelse.

Sammenfatning af den officielle tekst

Artikel 95 i forordning (EU) 2024/1689 (EU AI-forordningen), der er placeret i afsnit X (Adfærdskodekser og retningslinjer), opretter en frivillig ramme, gennem hvilken udbydere af AI-systemer, der ikke er klassificeret som højrisiko, kan vælge at forpligte sig til krav, der går ud over deres juridiske udgangspunkt.

Nærmere bestemt opfordrer artikel 95 udbydere af AI-systemer med ikke-høj risiko til at udarbejde adfærdskodekser, der sigter mod at udvide anvendelsen af kravene i afsnit III, kapitel 2 — de obligatoriske forpligtelser, der gælder for AI-systemer med høj risiko — på frivillig basis. Disse krav omfatter risikostyringssystemer, datastyring og -forvaltningspraksis, teknisk dokumentation, registrering, gennemsigtighed og levering af oplysninger til brugere, foranstaltninger til menneskelig kontrol, nøjagtighed, robusthed og cybersikkerhed. Artikel 95 opfordrer også udtrykkeligt adfærdskodekser til at adressere AI-systemers miljømæssige bæredygtighed.

Udarbejdelsen af sådanne adfærdskodekser kan involvere udbydere, brugere, repræsentative organisationer og andre relevante interessenter, herunder civilsamfund og akademia. AI-kontoret og nationale kompetente myndigheder er pålagt at lette denne proces. Kommissionen er bemyndiget til at udstede retningslinjer om form, indhold og processer i forbindelse med adfærdskodekser i henhold til denne artikel. Eksisterende frivillige forpligtelser og branchens selvregulerende rammer kan tages i betragtning ved udarbejdelse af adfærdskodekser i henhold til artikel 95, hvilket undgår unødvendig duplikering.

Hvad dette betyder i praksis

Artikel 95 skaber et rum for ansvarlige AI-aktører til at signalere pålidelighed ved frivilligt at tilpasse sig de højere standarder, der gælder for AI med høj risiko — selv når de ikke er juridisk forpligtet til at gøre det.

For udbydere af AI-systemer med begrænset eller minimal risiko betyder dette, at de i stedet for blot at opfylde de lettere forpligtelser, der gælder for deres produkter (for eksempel gennemsigtighedsmeddelelser for chatbots i henhold til artikel 50), kan vælge at implementere et fuldt risikostyringssystem, gennemføre revisioner af datastyring, opretholde teknisk dokumentation og indbygge mekanismer til menneskelig kontrol — og formalisere denne forpligtelse gennem en offentligt erklæret adfærdskodeks.

I praksis kan deltagelse i en adfærdskodeks i henhold til artikel 95 tjene flere strategiske funktioner. Det kan differentiere et produkt på et konkurrencepræget marked, hvor virksomhedskunder eller offentlige indkøbsteams kræver påviselig pålidelighed. Det kan opbygge de interne processer og dokumentationsvaner, der letter fremtidig overholdelse, hvis et produkt senere omklassificeres som højrisiko. Det kan også styrke organisationens position i dialog med regulatorer og i forbindelse med hændelsesundersøgelser.

Et praktisk eksempel: En udbyder af et AI-drevet rekrutteringsscreeningsværktøj, der falder lige under tærsklen for høj risiko i bilag III, kan alligevel vedtage en adfærdskodeks, der forpligter til biasafprøvning, transparent modeldokumentation og periodisk menneskelig gennemgang af algoritmiske afgørelser — foranstaltninger der opbygger brugertillid og foregriber reguleringsudvikling.

Adfærdskodekser forventes at være specifikke, målbare og offentligt tilgængelige. Organisationer bør behandle dem ikke som marketinginstrumenter, men som operationelle forpligtelser underlagt egentlig intern styring.

Centrale forpligtelser

• Frivillig vedtagelse: Udbydere af AI-systemer med ikke-høj risiko inviteres, men er ikke forpligtet til at udarbejde og anvende adfærdskodekser, der udvider kravene i afsnit III kapitel 2 til deres systemer.
• Omfang af frivillige krav: Adfærdskodekser kan dække risikostyring, datastyring, teknisk dokumentation, gennemsigtighed, menneskelig kontrol, nøjagtighed, robusthed, cybersikkerhed og miljømæssig bæredygtighed af AI-systemer.
• Inklusiv udarbejdelsesproces: Adfærdskodekser bør udarbejdes med input fra udbydere, brugere, repræsentative organisationer og relevante interessenter, herunder civilsamfund og akademia, med facilitering fra AI-kontoret og nationale kompetente myndigheder.
• Kompatibilitet med eksisterende rammer: Kodekser kan bygge på eksisterende frivillige forpligtelser eller branchens selvregulerende initiativer for at undgå duplikering, forudsat at disse rammer er forenelige med forordningens mål.
• Kommissionens retningslinjer: Europa-Kommissionen kan udstede retningslinjer, der specificerer den forventede form, indhold og processer for adfærdskodekser i henhold til denne artikel, og give en referenceramme for interesserede parter.
• Miljømæssig bæredygtighed: Adfærdskodekser opfordres udtrykkeligt til at inkludere bestemmelser, der fremmer AI-systemers miljømæssige bæredygtighed gennem hele deres livscyklus, hvilket afspejler forordningens bredere politikmål.

Forbindelse til andre artikler

Artikel 95 bør læses sammen med de obligatoriske gennemsigtighedsforpligtelser i artikel 50, som repræsenterer det faktiske juridiske minimumsniveau for mange AI-systemer med ikke-høj risiko. Den henter sit substantielle indhold ved reference fra afsnit III, kapitel 2 (artiklerne 9–15), som fastsætter kravene — risikostyring, datastyring, teknisk dokumentation, logning, gennemsigtighed, menneskelig kontrol, nøjagtighed, robusthed og cybersikkerhed — som udbydere af AI-systemer med høj risiko skal opfylde, og som udbydere med ikke-høj risiko frivilligt kan vedtage.

Artikel 95 suppleres af artikel 96, som bemyndiger Kommissionen til at udstede retningslinjer om den praktiske gennemførelse af denne artikel. Den forbinder sig også til artikel 56, som etablerer AI-kontoret som et faciliterende organ, og til den bredere ordning i artikel 55 vedrørende adfærdskodekser for AI-modeller til generelle formål, som fungerer som en parallel, men adskilt, frivillig ramme for en anden kategori af aktører. Tilsammen afspejler disse bestemmelser forordningens lagdelte tilgang: obligatoriske minimumsniveauer, frivillige lofter og institutionel facilitering.

Tidsplan for overholdelse

Artikel 95 trådte i anvendelse som en del af EU AI-forordningens generelle anvendelsesdato. Forordningen trådte i kraft den 1. august 2024, tyve dage efter dens offentliggørelse i Den Europæiske Unions Tidende. Anvendelsen af forordningens bestemmelser er faseinddelt:

• 1. februar 2025: Forbud mod AI-praksis med uacceptabel risiko (afsnit II) trådte i anvendelse.
• 2. august 2025: Bestemmelser vedrørende AI-modeller til generelle formål (afsnit VIII) og styringsstrukturer (afsnit III i styringskapitlet) trådte i anvendelse.
• 2. august 2026: Størstedelen af forordningens bestemmelser, herunder forpligtelser for AI-systemer med høj risiko i henhold til bilag I (produktsikkerhedslovgivning), trådte i anvendelse.
• 2. august 2027: Forpligtelser for AI-systemer med høj risiko opført i bilag III trådte fuldt i anvendelse.

Artikel 95, der henhører under afsnit X, trådte i anvendelse den 2. august 2026 som en del af forordningens generelle anvendelse. Men i betragtning af dens frivillige karakter opfordres udbydere, der ønsker at bruge adfærdskodekser som et compliance- og tillidsopbyggende værktøj, til at engagere sig i processen så tidligt som muligt — særligt da AI-kontoret kan begynde at facilitere udarbejdelse af kodekser langt forud for de formelle frister, og tidlige deltagere har fordel af at forme indholdet af disse kodekser.