AI System Categorization i erhvervslivet
For virksomheder starter kategorisering med et overblik. Mange organisationer har langt flere AI-systemer i drift, end de er bevidste om. Det inkluderer indlejret AI i CRM-platforme, chatbots på hjemmesiden, scoring-modeller i salgsafdelinger og automatiserede beslutningsprocesser i HR.
Det første skridt er en AI-inventar: en systematisk kortlægning af alle AI-systemer i virksomheden, deres formål, datakilder og berørte personer. Hvert system vurderes derefter mod EU AI Acts kategorier, primært ved at analysere use casen og den potentielle påvirkning på menneskers rettigheder og sikkerhed.
Kategoriseringen har direkte konsekvenser for ressourcer og tidslinjer. Et højrisiko-system kræver en AI Governance-struktur med risikostyringssystem, teknisk dokumentation, conformity assessment og løbende monitorering. Et system med minimal risiko kræver ingen af delene, men det er stadig klogt at dokumentere vurderingen.
Danske virksomheder i finanssektoren, sundhedssektoren og den offentlige sektor vil typisk have flere højrisiko-systemer end gennemsnittet. Men selv en standard B2B-virksomhed kan have højrisiko-elementer, hvis AI bruges til medarbejdervurdering eller kreditbeslutninger.
Den praktiske gevinst ved kategorisering rækker ud over compliance. Processen tvinger ledelsen til at tage stilling til, hvilke AI-systemer der er forretningskritiske, hvor risikoen er størst, og hvor indsatsen bør prioriteres. Det er i sig selv en værdifuld strategisk øvelse.
Hvad AI System Categorization ikke er
Kategorisering er ikke en engangsøvelse. AI-systemer ændrer sig over tid, nye use cases opstår, og modeller opdateres. En kategorisering, der blev lavet ved lancering, kan være forældet seks måneder senere. Virksomheder bør integrere kategoriseringen i deres løbende ansvarlig AI-processer.
Kategorisering er heller ikke det samme som risikovurdering. Kategoriseringen placerer et system i en regulatorisk risikoklasse. Risikovurderingen er den dybere analyse af specifikke risici, mitigerende foranstaltninger og residualrisiko. Begge dele er nødvendige, men kategorisering kommer først.
Endelig er kategorisering ikke kun et juridisk ansvar. Det er et ledelsesansvar. Bestyrelse og direktion bør kende virksomhedens AI-portefølje og de tilhørende risikokategorier, præcis som de kender andre compliance-forpligtelser.
