Modellen
De fire nivåene
Dette er en innføring, ikke en fullstendig juridisk beslutningsmodell. Transparenskrav kan også gjelde for høyrisikosystemer. For KI-generert tekst om spørsmål av offentlig interesse kan menneskelig gjennomgang eller redaksjonell kontroll, med redaksjonelt ansvar, gi unntak fra merkingsplikten. Tilbyderens tekniske merking og brukerens informasjon til mottakeren er ulike plikter. Se EU-kommisjonens oversikt.
| Nivå | Hva det betyr | Norsk SMB-eksempel | Typisk tiltak |
|---|---|---|---|
| Uakseptabel risiko | Praksiser som er forbudt eller må stoppes/avgrenses. | Manipulerende scoring av kunder basert på sårbarhet eller uakseptabel overvåking. | Stans, juridisk vurdering og alternativ prosess. |
| Høyrisiko | Bruk som kan påvirke rettigheter, sikkerhet eller tilgang til viktige muligheter. | AI som rangerer jobbsøkere, vurderer kreditt, støtter medisinsk prioritering eller kontrollerer kritisk drift. | Systemklassifisering, dokumentasjon, risikostyring, menneskelig tilsyn og leverandørkrav. |
| Begrenset risiko | Bruk hvor mennesker må informeres om KI eller AI-generert innhold. | Chatbot som møter kunder, deepfake-innhold og visse KI-genererte tekster om spørsmål av offentlig interesse. | Vurder informasjon og merking etter artikkel 50, eventuelle unntak og hvem som har ansvaret. |
| Minimal risiko | Vanlig støttebruk med lavere AI Act-krav, men fortsatt sikkerhets- og personvernansvar. | Interne tekstutkast, møteoppsummeringer og idéarbeid uten sensitive data eller beslutningseffekt. | AI-policy, opplæring, datakontroll og leverandøroversikt. |
Høyrisiko
Annex III: områdene du bør sjekke først
For norske virksomheter er Annex III-listen ofte det første stedet å lete etter reell AI Act-risiko. Det er ikke nok å spørre om systemet er avansert. Spør heller om AI-en påvirker mennesker i situasjoner der feil, diskriminering eller manglende kontroll kan få store konsekvenser.
HR
Rekruttering og arbeid
CV-screening, rangering av kandidater, prestasjonsanalyse eller beslutningsstøtte i oppsigelse og forfremmelse bør vurderes som risikosone.
Finans
Kreditt og forsikring
AI som påvirker tilgang til kreditt, pris, risikoprofil eller forsikringsvilkår kan kreve langt mer dokumentasjon enn generell analyse.
Helse
Helse og omsorg
AI som påvirker triage, prioritering, diagnostisk støtte eller helseråd må vurderes nøye sammen med medisinsk regelverk og personvern.
Metode
Slik klassifiserer du et brukstilfelle
- Beskriv formålet. Hva skal AI-systemet faktisk hjelpe dere med, og hvilke beslutninger påvirkes?
- Avklar rolle. Bruker dere et ferdig system, tilpasser dere det, eller tilbyr dere det videre til kunder?
- Identifiser berørte personer. Kunder, ansatte, søkere, pasienter, elever eller andre grupper kan endre risikoen.
- Sjekk Annex III og forbudt praksis. Ikke anta lav risiko før disse er utelukket.
- Vurder transparens. Vurder informasjon om KI-samhandling og merkekrav for bestemte typer innhold. KI-generert tekst har ikke en generell merkingsplikt.
- Dokumenter konklusjonen. Skriv ned hvorfor brukstilfellet havner der det havner, og når det skal revurderes.
FAQ
Vanlige spørsmål
Er hele virksomheten høyrisiko hvis ett AI-system er høyrisiko?
Nei. Klassifiseringen gjelder normalt det konkrete AI-systemet og bruksområdet. En virksomhet kan ha ti minimale brukstilfeller og ett høyrisiko-brukstilfelle.
Er ChatGPT høyrisiko?
Ikke i seg selv. Hvis verktøyet brukes til generelle utkast, er risikoen ofte lavere. Hvis det brukes til å rangere søkere, gi helseråd eller påvirke rettigheter, endrer vurderingen seg.
Vil du teste et konkret brukstilfelle?
SPADEs egenvurdering gir en foreløpig risikoklasse, forklaring og neste steg. Resultatet vises med en gang.