Ekspertpanel i EU AI Act: rolle og funktion

EU AI Act bygger på en risikobaseret model, men de mest avancerede AI-modeller passer ikke ind i traditionelle kategorier. En model, der er trænet på enorme mængder beregningskraft, kan have egenskaber, som end ikke udviklerne selv kan forudsige fuldt ud, og som kan sprede sig til tusindvis af nedstrøms-applikationer på tværs af brancher. Det er den type risiko, som AI Act kalder systemisk, og som kræver en anden slags tilsyn end almindelig produktkontrol.

Derfor har man bygget en ekstra evalueringsfunktion ind i systemet. Ekspertpanelet skal levere den tekniske dømmekraft, som AI-kontoret i Kommissionen ikke nødvendigvis selv besidder, og som markedsovervågningsmyndighederne i de enkelte medlemslande slet ikke er dimensioneret til at udføre alene.

Panelets kerneopgave er at vurdere, om en given GPAI-model bør klassificeres som havende systemisk risiko, en status der udløser skærpede krav om risikostyring, hændelsesrapportering og cybersikkerhed hos udbyderen. Vurderingen sker på baggrund af tekniske indikatorer som træningsberegningskraft, antal brugere og modellens kapabiliteter inden for eksempelvis cyberangreb eller manipulation.

Panelet kan også advare Kommissionen, hvis det opdager modeller, der ser ud til at nærme sig tærsklen for systemisk risiko, men endnu ikke er formelt klassificeret. Den funktion er central, fordi udviklingen i AI-kapabiliteter går hurtigere end de fleste reguleringscyklusser, og fordi en model kan skifte risikoprofil markant fra en version til den næste. Panelet bidrager desuden med teknisk ekspertise til at udarbejde de adfærdskodekser og standarder, som udbydere kan bruge til at dokumentere overholdelse.

Ekspertpanelet arbejder ikke alene. Det indgår i et samspil med AI Board, som samler repræsentanter fra medlemslandene, og med Kommissionens eget AI-kontor, der har den formelle håndhævelsesmyndighed. Panelet leverer den videnskabelige vurdering, AI Board koordinerer den politiske og praktiske implementering på tværs af landene, og AI-kontoret træffer de endelige afgørelser, herunder om en model skal klassificeres som systemisk risikabel.

Den arbejdsdeling betyder, at beslutninger om de mest magtfulde AI-modeller ikke længere hviler på en enkelt myndigheds vurdering. Det giver flere øjne på hver vurdering, men det betyder også, at processen for en udbyder, der bliver undersøgt, involverer flere lag og potentielt længere sagsbehandlingstider end en ren national tilsynssag ville have gjort.

For de fleste danske virksomheder, der bruger AI-modeller frem for at udvikle dem selv, ændrer panelets arbejde ikke umiddelbart på jeres egne forpligtelser. Men det er relevant af to grunde. For det første betyder en klassificering som systemisk risiko, at jeres leverandør får skærpede dokumentationskrav, hvilket i praksis kan give jer bedre indsigt i, hvordan modellen er testet, og hvilke begrænsninger den har. For det andet er panelets vurderinger en tidlig indikator for, hvilke modeller der kan blive underlagt yderligere restriktioner eller krav om ændringer. Det kan påvirke jeres egen leverandørrisiko, hvis I har bygget kritiske processer op omkring en bestemt model.