Risk Management System (AI Act)
Et Risk Management System er i EU AI Act-sammenhæng det strukturerede system, som udbydere af højrisiko-AI-systemer skal etablere, implementere, dokumentere og vedligeholde gennem hele AI-systemets livscyklus. Kravet er defineret i Artikel 9 og er en af de mest centrale forpligtelser i forordningen.
Formålet er at sikre, at risici for sundhed, sikkerhed og grundlæggende rettigheder identificeres, vurderes og håndteres systematisk. Det er ikke en engangsøvelse, men en løbende proces, der følger AI-systemet fra udvikling over deployment til afvikling.
For danske virksomheder, der udvikler eller anvender højrisiko-AI-systemer, bliver kravet gældende den 2. august 2026. Manglende overholdelse kan medføre bøder på op til 35 millioner euro eller 7 % af den globale årsomsætning.
Hvad kræver Artikel 9 konkret?
Artikel 9 i EU AI Act opstiller fire krav til et risk management system for højrisiko-AI. Det første er identifikation: virksomheden skal kortlægge alle kendte og rimeligt forudsigelige risici, både ved tilsigtet brug og ved rimeligt forudsigelig fejlanvendelse. Det inkluderer risici for sundhed, sikkerhed og grundlæggende rettigheder som privatlivsbeskyttelse og ikke-diskrimination.
Det andet krav er estimering og evaluering. Hver identificeret risiko skal vurderes i forhold til sandsynlighed, alvorsgrad og hvilke befolkningsgrupper der potentielt påvirkes. Det er her, virksomheden prioriterer, hvilke risici der kræver mest opmærksomhed.
Det tredje krav er risikohåndtering. Virksomheden skal vedtage målrettede foranstaltninger: først forsøge at eliminere risici gennem design, dernæst implementere kontroller for de risici, der ikke kan fjernes, og endelig informere og træne brugerne. Human-in-the-loop-mekanismer spiller ofte en central rolle her.
Det fjerde krav er løbende overvågning. Risk management-systemet skal opdateres baseret på data fra post-market monitoring, bruger-feedback og eventuelle hændelser. Det er en iterativ proces, ikke et dokument, der laves en gang og arkiveres.
Consile hjælper danske virksomheder med at opbygge risk management systems, der lever op til EU AI Act. Kontakt os for en uforpligtende vurdering af jeres AI-compliance-parathed.
Risk Management System i praksis
For virksomheder, der allerede arbejder med ISO 31000 eller lignende risikostyringsrammer, vil dele af AI Act-kravet føles genkendeligt. Forskellen er, at AI Act stiller specifikke krav til AI-konteksten: risikovurderingen skal adressere bias, datakvalitet, robusthed og AI governance som selvstændige risikodimensioner.
I praksis betyder det, at compliance-afdelingen ikke kan arbejde isoleret. Risk management-systemet kræver input fra datavidenskab (hvilke fejlmønstre kan modellen udvise?), jura (hvilke rettigheder er i spil?), forretningen (hvordan bruges systemet reelt?) og IT-sikkerhed (hvilke angrebsflader eksisterer?).
Datatilsynet bliver den primære tilsynsmyndighed i Danmark for højrisiko-AI-systemer, der involverer persondata, mens Digitaliseringsstyrelsen har det overordnede ansvar for AI-forordningen. Virksomheder bør forberede sig på, at tilsynet kan anmode om dokumentation for risk management-systemet.
En konkret tilgang er at integrere AI-risikostyring i eksisterende Enterprise Risk Management-rammer og supplere med AI-specifikke kontroller. Det reducerer overhead og sikrer, at AI-risici behandles på samme ledelsesniveau som øvrige forretningsrisici.
Hvad et Risk Management System ikke er
Et risk management system under AI Act er ikke en checkliste, der udfyldes en gang ved lancering. Det er heller ikke en ren teknisk test af modellens præcision. Artikel 9 kræver en holistisk vurdering, der omfatter sociale, etiske og juridiske risici ud over de rent tekniske.
Det er heller ikke det samme som en Data Protection Impact Assessment (DPIA) under GDPR, selvom der er overlap. DPIA fokuserer på persondata, mens AI Act-risikostyringen har et bredere scope, der inkluderer sikkerhed, grundlæggende rettigheder og samfundsmæssig påvirkning. Mange virksomheder vil dog have gavn af at koordinere de to processer for at undgå dobbeltarbejde.
Endelig er det vigtigt at forstå, at kravet ikke kun gælder udviklere. Virksomheder, der deployer højrisiko-AI (såkaldte "deployers" i AI Act-terminologien), har også forpligtelser til at overvåge systemet og rapportere problemer til udbyderen. EU AI Act skaber et delt ansvar gennem hele værdikæden.
Relaterede termer
EU AI Act er den første omfattende AI-lovgivning i verden. Forstå kravene, risikokategorierne og hvad det betyder for danske virksomheder.
AI Governance er den organisatoriske ramme for ansvarlig AI-brug. Forstå hvad det indebærer og hvorfor det er afgørende for din virksomhed.
AI Compliance dækker de processer og systemer, virksomheder skal have på plads for at overholde AI-regulering som EU AI Act. Forstå kravene og kom i gang.
Højrisiko AI-systemer er underlagt strenge krav i EU AI Act. Forstå klassificeringen, forpligtelserne og hvad det betyder for din virksomhed.
AI Readiness handler om, hvorvidt din organisation reelt er parat til at implementere og skalere AI. Forstå de seks dimensioner, der afgør succes.
Human-in-the-Loop (HITL) sikrer menneskelig kontrol over AI-systemer. Forstå hvordan HITL fungerer, hvornår det er nødvendigt, og hvad det kræver i praksis.
AI Risk Management handler om at identificere, vurdere og håndtere risici ved AI-systemer. Lær frameworks, best practices og krav fra EU AI Act.
Ofte stillede spørgsmål om Risk Management System (AI Act)
Hvornår skal mit risk management system være på plads?+
Kravene til højrisiko-AI-systemer træder i kraft den 2. august 2026. Virksomheder, der allerede udvikler eller anvender højrisiko-AI, bør starte forberedelserne nu for at sikre rettidig overholdelse.
Gælder kravet også, hvis vi kun bruger AI fra en tredjepart?+
Ja. AI Act skelner mellem udbydere og deployers. Som deployer har du pligt til at overvåge systemet, følge brugsanvisningen og rapportere hændelser. Du skal dog ikke nødvendigvis opbygge hele risk management-systemet selv, men du skal dokumentere din del af risikostyringen.
Kan Consile hjælpe med at opbygge et risk management system?+
Ja. Consile rådgiver danske virksomheder om AI-compliance og hjælper med at designe risikostyringsrammer, der opfylder AI Act-kravene og samtidig passer ind i jeres eksisterende governance-struktur.