Kort fortalt
Før første brug af et bilag III-system skal visse idriftsættere analysere konsekvenserne for grundlæggende rettigheder, nemlig offentligretlige organer og private enheder, der leverer offentlige tjenester, samt idriftsættere af systemer til kreditvurdering af fysiske personer og risikovurdering og prisfastsættelse inden for livs- og sygeforsikring (bilag III, punkt 5, litra b og c); kritisk infrastruktur (punkt 2) er undtaget. Analysen skal beskrive processen, perioden og hyppigheden, de berørte personer og grupper, risici for skade, menneskeligt tilsyn og tiltag, hvis risici opstår, herunder klagemekanismer. Resultatet meddeles markedsovervågningsmyndigheden, medmindre der er givet undtagelse efter artikel 46, stk. 1.
Det betyder i praksis
Analysen skal være færdig før første anvendelse og opdateres, hvis forholdene ændrer sig. I lignende tilfælde kan I bygge på en analyse, I selv har lavet før, eller en, som udbyderen har lavet. Brug udbyderens oplysninger efter artikel 13 som grundlag.
Eksempel
En bank tager et system i brug, der beregner privatkunders kreditscore (bilag III, punkt 5, litra b). Banken er idriftsætter og skal inden første brug beskrive sine processer, de påvirkede kundegrupper, risici for skade, tilsynet og klagemuligheder samt meddele resultatet til markedsovervågningsmyndigheden.
Ofte stillede spørgsmål
Skal enhver virksomhed, der bruger højrisiko-AI, lave en sådan analyse?
Nej. Kun offentligretlige organer og private enheder, der leverer offentlige tjenester, når de bruger et bilag III-system uden for punkt 2, samt idriftsættere af de to systemtyper i bilag III, punkt 5, litra b og c. Betragtning 96 nævner banker og forsikringsselskaber som eksempler og private enheder, der leverer samfundsnyttige opgaver som uddannelse, sundhedspleje, sociale tjenester, boliger og retspleje.
Er analysen det samme som en DPIA efter GDPR?
Nej, de er to separate analyser med hvert sit retsgrundlag. Er nogle af kravene i artikel 27 allerede opfyldt i en konsekvensanalyse efter GDPR artikel 35 (eller artikel 27 i direktiv (EU) 2016/680), kan idriftsætteren henvise til de relevante afsnit eller medtage dem (stk. 4).
Skal analysen laves hver gang systemet bruges?
Nej. Pligten gælder første anvendelse. I lignende tilfælde kan tidligere analyser eller udbyderens analyser bruges, og idriftsætteren skal opdatere oplysningerne, hvis elementerne ændrer sig eller ikke længere er ajourførte (stk. 2).
Relevante betragtninger
Relaterede bestemmelser
- Artikel 26 – Forpligtelser for idriftsættere af højrisiko-AI-systemer
- Artikel 13 – Gennemsigtighed og formidling af oplysninger til idriftsætterne
- Artikel 46 – Undtagelse fra overensstemmelsesvurderingsprocedure
- Bilag III – Højrisiko-AI-systemer omhandlet i artikel 6, stk. 2
Den officielle ordlyd
1.
Inden idriftsættelse af et højrisiko-AI-system omhandlet i artikel 6, stk. 2, undtagen højrisiko-AI-systemer, der tilsigtes anvendt på det område, der er anført i bilag III, punkt 2, foretager idriftsættere, der er offentligretlige organer eller private enheder, der leverer offentlige tjenester, og idriftsættere af de højrisiko-AI-systemer, der er omhandlet i bilag III, punkt 5, litra b) og c), en analyse af konsekvensen for grundlæggende rettigheder, som anvendelsen af et sådant system kan medføre. Med henblik herpå foretager idriftsætterne en konsekvensanalyse bestående af:
a)
en beskrivelse af idriftsætterens processer, i hvilke højrisiko-AI-systemet vil blive anvendt i overensstemmelse med dets tilsigtede formål
b)
en beskrivelse af den periode og hyppighed, inden for hvilken hvert højrisiko-AI-system tilsigtes anvendt
c)
de kategorier af fysiske personer og grupper, som forventes at blive påvirket af dets anvendelse i den specifikke kontekst
d)
de specifikke risici for skade, der sandsynligvis vil påvirke de kategorier af fysiske personer eller grupper af personer, som er identificeret i henhold til dette stykkes litra c), under hensyntagen til oplysningerne fra udbyderen, jf. artikel 13
e)
en beskrivelse af gennemførelsen af foranstaltninger til menneskeligt tilsyn i overensstemmelse med brugsanvisningen
f)
de foranstaltninger, der skal træffes, hvis disse risici opstår, herunder ordningerne for intern ledelse og klagemekanismer.
2.
Den i stk. 1 fastsatte forpligtelse gælder for den første anvendelse af højrisiko-AI-systemet. Idriftsætteren kan i lignende tilfælde anvende tidligere gennemførte konsekvensanalyser vedrørende grundlæggende rettigheder eller eksisterende konsekvensanalyser, som udbyderen har foretaget. Hvis idriftsætteren under anvendelsen af højrisiko-AI-systemet finder, at nogle af de elementer, der er anført i stk. 1, har ændret sig eller ikke længere er ajourførte, tager idriftsætteren de nødvendige skridt til at ajourføre oplysningerne.
3.
Når den i stk. 1 omhandlede konsekvensanalyse er foretaget, meddeler idriftsætteren markedsovervågningsmyndigheden resultaterne heraf og forelægger den i denne artikels stk. 5 omhandlede udfyldte skabelon som en del af meddelelsen. I det tilfælde, som er omhandlet i artikel 46, stk. 1, kan idriftsættere undtages fra denne meddelelsespligt.
4.
Hvis nogle af de forpligtelser, der er fastsat i denne artikel, allerede er opfyldt ved den konsekvensanalyse vedrørende databeskyttelse, der foretages i henhold til artikel 35 i forordning (EU) 2016/679 eller artikel 27 i direktiv (EU) 2016/680, kan idriftsætteren, når vedkommende foretager den i nærværende artikels stk. 1 omhandlede konsekvensanalyse vedrørende grundlæggende rettigheder, medtage krydshenvisninger til de relevante afsnit i den pågældende konsekvensanalyse vedrørende databeskyttelse eller medtage relevante dele deraf i konsekvensanalysen vedrørende grundlæggende rettigheder.
5.
AI-kontoret udarbejder en skabelon til et spørgeskema, herunder gennem et automatiseret værktøj, der skal gøre det lettere for idriftsættere at overholde deres forpligtelser i henhold til denne artikel på en forenklet måde. Denne skabelon skal, hvor det er relevant, give idriftsætterne mulighed for at medtage krydshenvisninger til de relevante afsnit i konsekvensanalysen vedrørende databeskyttelse eller medtage relevante dele heraf i konsekvensanalysen vedrørende grundlæggende rettigheder i henhold til stk. 4.
Den konsoliderede danske tekst følger 2026-07-27 (CELEX 02024R1689-20260727).