Post-market monitoring i praksis for virksomheder
For virksomheder, der udvikler eller udbyder AI-systemer, betyder post-market monitoring en ny driftsforpligtelse. Det er ikke nok at bygge et AI-system, teste det og sende det ud i verden. Udbyderen forbliver ansvarlig for systemets adfærd, så længe det er i brug.
I praksis kræver det en kombination af teknisk infrastruktur og organisatoriske processer. Teknisk skal virksomheden etablere model monitoring med dashboards, der sporer nøgletal som præcision, fairness, svartider og fejlrater. Organisatorisk kræver det klare roller: hvem modtager alerts, hvem beslutter at eskalere, og hvem kommunikerer med myndigheder.
Virksomheder, der allerede arbejder med AI risk management, har et forspring. Post-market monitoring er i praksis den operationelle forlængelse af risikovurderingen: de risici, der blev identificeret før lancering, skal nu overvåges løbende.
For virksomheder, der primært er idriftsættere (deployers) og ikke udbydere, er kravene lettere, men ikke fraværende. Idriftsættere skal sikre menneskeligt tilsyn, overvåge systemets brug i overensstemmelse med brugsvejledningen, og rapportere alvorlige hændelser til udbyderen.
En vigtig nuance er, at virksomheder, der allerede har post-market monitoring under eksisterende EU-harmoniseringslovgivning (f.eks. medicinsk udstyr), kan integrere AI Act-kravene i deres eksisterende system, forudsat det opnår et tilsvarende beskyttelsesniveau.
Hvad post-market monitoring ikke er
Post-market monitoring er ikke det samme som en conformity assessment (overensstemmelsesvurdering). Conformity assessment er den forudgående evaluering af, om et AI-system opfylder kravene, før det lanceres. Post-market monitoring er det, der sker bagefter. De to er komplementære: conformity assessment siger "systemet var i orden ved lanceringen", mens post-market monitoring siger "systemet er stadig i orden".
Det er heller ikke blot en teknisk log. Overvågning af AI kræver mere end at gemme data i en database. Det kræver aktiv analyse, definerede tærskelværdier for hvornår der er et problem, og processer til at handle på fund. En log uden analyse og handling opfylder ikke kravene i EU AI Act.
Endelig er post-market monitoring ikke valgfrit for højrisiko-AI-systemer. Selvom Kommissionen udgiver frivillige skabeloner, er selve overvågningspligten lovbunden. Virksomheder, der ignorerer kravet, risikerer bøder på op til 3% af den globale årsomsætning.
