AI-systemfortegnelse og klassificering — arbejdsbog til AI Act

Første skridt i enhver AI Act-indsats: list jeres systemer, og klassificer dem derefter ad en beslutningsvej, der prøver undtagelserne før bilag III. Niveauet beregnes af jeres svar, det skrives ikke ind.

I kan ikke klassificere det, I ikke har listet, og I kan ikke budgettere et program uden at vide, hvor mange systemer der falder i hver kategori. Denne fil gør begge ting, i den rækkefølge der undgår de sædvanlige fejl.

Rækkefølgen betyder noget

De fleste klassificeringsøvelser går direkte til bilag III og spørger "står dette på listen?". Sådan ender en bedragerimodel klassificeret som højrisiko: den ser ud som kreditvurdering, og undtagelsen, der tager den ud, ligger inde i samme punkt.

Beslutningsvejen stiller her de otte spørgsmål i den rækkefølge, der giver det rigtige svar:

1. Er det overhovedet et AI-system? Art. 3, punkt 1 kræver slutning. En deterministisk regelmotor falder helt ud — og at tælle den er budget, I ikke bruger.
2. Er det en forbudt praksis? Art. 5, i kraft siden februar 2025. Her stopper I før alt andet.
3. Gælder en undtagelse? Afsløring af finansielt bedrageri, biometrisk verifikation en til en, kreditværdighed for juridiske personer.
4. Bilag I? Så den 2. august 2028.
5. Bilag III? Så den 2. december 2027.
6. Gælder filteret i art. 6, stk. 3 — og er det uden virkning, fordi systemet profilerer fysiske personer?
7. Gælder art. 50 om transparens uanset dette?
8. Er I udbyder eller ibrugtager, og vender art. 25 den rolle om?

Niveauet beregnes, det skrives ikke ind

I besvarer fem ja/nej-spørgsmål pr. system. Arbejdsbogen beregner niveauet. Det vejer mere, end det lyder: en klassificering, nogen har skrevet ind, er en mening, mens en klassificering, som en formel har udledt af angivne svar, er et revisionsspor. Hvis en myndighed er uenig, kan I vise, hvilket svar der gav resultatet.

Tomme rækker forbliver tomme — de tælles ikke i tavshed som højrisikosystemer. Oversigtsfanen giver de tal, en budgetsamtale har brug for: listede systemer, uden for anvendelsesområdet, forbudte, højrisiko, ikke højrisiko.

Hvad der normalt sker

Organisationer kommer ud af dette med væsentligt færre højrisikosystemer, end de frygtede, og med et eller to, de ikke havde bemærket — typisk i HR, fordi bilag III, punkt 4 fanger jer som arbejdsgiver, uanset jeres branche.

Hvis hvert system i jeres fortegnelse kommer ud som højrisiko, er klassificeringen med stor sandsynlighed forkert. Filen siger det udtrykkeligt og angiver, hvilke tre undtagelser der bør læses igen.

Hvad det dækker i forordningen

• Art. 3(1) — er det et AI-system
• Art. 5 — forbudte former for praksis
• Bilag I / bilag III
• Art. 6(3) — filteret
• Art. 25 — udbyder eller ibrugtager