Modellen
De fire nivåene
| Nivå | Hva det betyr | Norsk SMB-eksempel | Typisk tiltak |
|---|---|---|---|
| Uakseptabel risiko | Praksiser som er forbudt eller må stoppes/avgrenses. | Manipulerende scoring av kunder basert på sårbarhet eller uakseptabel overvåking. | Stans, juridisk vurdering og alternativ prosess. |
| Høyrisiko | Bruk som kan påvirke rettigheter, sikkerhet eller tilgang til viktige muligheter. | AI som rangerer jobbsøkere, vurderer kreditt, støtter medisinsk prioritering eller kontrollerer kritisk drift. | Systemklassifisering, dokumentasjon, risikostyring, menneskelig tilsyn og leverandørkrav. |
| Begrenset risiko | Bruk hvor mennesker må informeres om KI eller AI-generert innhold. | Chatbot på nettsiden, AI-genererte produkttekster eller syntetisk innhold i kundedialog. | Transparens, merking, kvalitetssikring og intern eier. |
| Minimal risiko | Vanlig støttebruk med lavere AI Act-krav, men fortsatt sikkerhets- og personvernansvar. | Interne tekstutkast, møteoppsummeringer og idéarbeid uten sensitive data eller beslutningseffekt. | AI-policy, opplæring, datakontroll og leverandøroversikt. |
Høyrisiko
Annex III: områdene du bør sjekke først
For norske virksomheter er Annex III-listen ofte det første stedet å lete etter reell AI Act-risiko. Det er ikke nok å spørre om systemet er avansert. Spør heller om AI-en påvirker mennesker i situasjoner der feil, diskriminering eller manglende kontroll kan få store konsekvenser.
HR
Rekruttering og arbeid
CV-screening, rangering av kandidater, prestasjonsanalyse eller beslutningsstøtte i oppsigelse og forfremmelse bør vurderes som risikosone.
Finans
Kreditt og forsikring
AI som påvirker tilgang til kreditt, pris, risikoprofil eller forsikringsvilkår kan kreve langt mer dokumentasjon enn generell analyse.
Helse
Helse og omsorg
AI som påvirker triage, prioritering, diagnostisk støtte eller helseråd må vurderes nøye sammen med medisinsk regelverk og personvern.
Metode
Slik klassifiserer du et brukstilfelle
- Beskriv formålet. Hva skal AI-systemet faktisk hjelpe dere med, og hvilke beslutninger påvirkes?
- Avklar rolle. Bruker dere et ferdig system, tilpasser dere det, eller tilbyr dere det videre til kunder?
- Identifiser berørte personer. Kunder, ansatte, søkere, pasienter, elever eller andre grupper kan endre risikoen.
- Sjekk Annex III og forbudt praksis. Ikke anta lav risiko før disse er utelukket.
- Vurder transparens. Må mennesker informeres om at de samhandler med KI eller ser AI-generert innhold?
- Dokumenter konklusjonen. Skriv ned hvorfor brukstilfellet havner der det havner, og når det skal revurderes.
FAQ
Vanlige spørsmål
Er hele virksomheten høyrisiko hvis ett AI-system er høyrisiko?
Nei. Klassifiseringen gjelder normalt det konkrete AI-systemet og bruksområdet. En virksomhet kan ha ti minimale brukstilfeller og ett høyrisiko-brukstilfelle.
Er ChatGPT høyrisiko?
Ikke i seg selv. Hvis verktøyet brukes til generelle utkast, er risikoen ofte lavere. Hvis det brukes til å rangere søkere, gi helseråd eller påvirke rettigheter, endrer vurderingen seg.
Vil du teste et konkret brukstilfelle?
SPADEs egenvurdering gir en foreløpig risikoklasse, forklaring og neste steg. Resultatet vises med en gang.