Opbygning af et risikostyringssystem for EU's AI-lovgivning (artikel 9)

Hvad artikel 9 kræver

Artikel 9 i EU's AI-forordning kræver, at enhver udbyder af et højrisiko-AI-system etablerer, implementerer, dokumenterer og vedligeholder en risikostyringssystem – en løbende, iterativ proces gennem hele livscyklussen med regelmæssig systematisk gennemgang.

Dette er ikke en engangsrisikovurdering.

De fire obligatoriske trin

1. Identificer og analyser kendte og rimeligt forudsigelige risici for sundhed, sikkerhed og grundlæggende rettigheder.
2. Vurder og evaluer risici ved tilsigtet anvendelse og rimeligt forudsigelig misbrug.
3. Evaluer yderligere risici baseret på data fra overvågning efter markedsføring.
4. Implementér passende og målrettede risikostyringstiltag.

Hierarki for tiltag (artikel 9, stk. 5)

• Eliminér eller reducer risici gennem passende design og udvikling.
• Hvor det ikke er muligt, implementér afbødende tiltag og sikkerhedsforanstaltninger.
• Giv information og uddannelse til brugere.

Accept af resterende risiko skal dokumenteres.

Sårbare grupper

Artikel 9, stk. 9, kræver særlig overvejelse af indvirkningen på personer under 18 år og andre sårbare grupper – dette er ikke valgfrit.

En operationel driftsmodel

Risikoregister

En række pr. risiko: beskrivelse, skadetype, sandsynlighed, alvorlighedsgrad, berørt gruppe, ejer, afbødning, resterende risiko, gennemgangsdato.

Log over designbeslutninger

Ethvert designvalg, der træffes på baggrund af en risiko, som kan spores til den pågældende registreringspost.

Dokumentation for test og validering

Bias, robusthed, adversarial test med dokumenteret metode.

Input til overvågning efter markedsføring

Enhver alvorlig hændelse (artikel 73) udløser genåbning af analysen.

Frekvens

• Løbende hændelsesbaserede opdateringer.
• Kvartalsvis gennemgang af registeret.
• Årlig fuld revurdering, underskrevet på ledelsesniveau.
• Begivenhedsbaseret ved væsentlig ændring (artikel 43).

Hvad revisorer vil anmode om

• Den skriftlige procedure.
• Det aktuelle register med ændringshistorik.
• Dokumentation for den seneste årlige gennemgang.
• Spor fra mindst én hændelse til en opdatering af registeret.
• Dokumentation for analyse af sårbare grupper.

---

Relateret: Vejledning til AI-systemer med høj risiko · Oversigt over EU's AI-forordning · Gratis klarhedsanalyse