EU AI-forordningens overholdelsescheckliste

Udpeg en enkelt ansvarlig AI-ejer på ledelsesniveau.

Interaktioner med tilsynsmyndighederne i henhold til artikel 22 kræver ét kontaktpunkt.

Offentliggør en intern AI-politik, der dækker tilladte værktøjer, dataklasser og offentliggørelse.

Grundlag for forståelse i henhold til artikel 4 og gennemsigtighed i henhold til artikel 50.

Tilføj AI-risici til virksomhedens risikoregister med kvartalsvis gennemgang.

Understøtter den dokumentation for risikostyringssystemet, som udbydere af højrisiko-AI skal fremlægge (Art. 9).

Godkend en playbook for AI-hændelseshåndtering (hvem beslutter at trække et AI-værktøj tilbage).

Markedsovervågning i henhold til art. 72 forudsætter, at dette eksisterer.

Bestyrelsen eller ExCo modtager en AI-overholdelsesrapport mindst to gange om året.

Dokumenterer ledelsens tilsyn – det første, en revisor beder om.

Centralt register over hvert AI-system, der er udviklet, købt eller integreret – herunder skygge-IT-brug.

Forudsætning for klassificering og leverandørdokumentation.

For hver systemregistrering: formål, leverandør, dataklasser, beslutningspåvirkning, brugerpopulation.

Felter, der kræves til bilag IV-dokumentation.

Klassificér hvert system som forbudt, højrisiko (bilag III / bilag I), begrænset risiko (art. 50) eller minimal.

Bestemmer enhver efterfølgende forpligtelse.

Dokumentér klassificeringsprincipperne, og gennemgå dem igen, når funktionerne ændres.

Tilsynsmyndighederne accepterer ikke 'stol på os' – de vil have begrundelsen.

Marker enhver anvendelse, der berører HR, kredit, uddannelse, biometri, væsentlige tjenester eller retshåndhævelse.

Automatiske udløsere i henhold til bilag III.

Grundlæggende AI-træning udrullet til alle medarbejdere, der anvender AI i deres rolle.

Artikel 4 som ændret ved Omnibus.

Avanceret træning for teams, der udvikler højrisiko- eller kundeorienterede AI-systemer.

Proportionalitetsprincippet i art. 4.

Registrér, hvem der har modtaget træning, hvornår, og hvilket indhold der blev dækket.

Den eneste dokumentation, en tilsynsmyndighed accepterer.

Opfrisk træning årligt og efter enhver væsentlig ændring af værktøj eller politik.

Overvågning efter markedsføring fører tilbage til kompetenceudvikling.

Chatbots og stemmeagenter oplyser, at brugeren interagerer med AI.

Art. 50, stk. 1.

AI-genererede billeder, lyd, video og tekst mærkes som sådanne ved levering.

Art. 50, stk. 4 og deepfake-regimet.

Registrering af følelser og biometrisk kategorisering medfører underretning til berørte personer.

Art. 50, stk. 3.

Nye AI-genererende systemer producerer maskinlæsbare vandmærker.

Art. 50, stk. 2; 4-måneders frist for eksisterende systemer udløber 2. december 2026.

Webassistenter og supportflows indeholder en tilgængelig 'dette er AI'-meddelelse.

Kombinerer Art. 50, stk. 1 med brugervenlighedsforventninger.

Risikostyringssystem, der dækker hele livscyklussen, dokumenteret (art. 9).

Centralt artefakt i højrisikoregimet.

Datastyringskontroller: repræsentative, relevante, fejlfri trænings- og valideringsdata (art. 10).

Bias og kvalitetsfejl starter her.

Bilag IV teknisk dokumentation åbnet og vedligeholdt (artikel 11).

Uden denne er der ingen overensstemmelsesvurdering.

Automatiske hændelseslogfiler aktiveret og opbevaret (artikel 12).

Regulatorer ønsker sporbarhed, ikke skærmbilleder.

Menneskelig overvågning integreret i arbejdsgange, ikke tilføjet efterfølgende (artikel 14).

'Human in the loop' skal dokumenteres ende-til-ende.

Nøjagtigheds-, robustheds- og cybersikkerhedstest med bestået-/ikke-bestået-tærskler (artikel 15).

Påkrævet i den tekniske fil.

Kvalitetsstyringssystem, der dækker design, test og overvågning (artikel 17).

Bemyndigede organer kontrollerer dette først.

Valgt rute for overensstemmelsesvurdering og planlagt CE-mærkning (artikel 43).

Bestemmer, hvilket bilag der gælder for dit system.

Overvågningsplan efter markedsføring med definerede signaler og eskalering (artikel 72).

'Ship and forget' er ikke længere lovligt.

Procedure for rapportering af alvorlige hændelser med 15-dages frist udarbejdet (artikel 73).

Manglende rapportering medfører bøder.

AI Act-klausuler tilføjet indkøbs- og leverandørkontraktskabeloner.

Implementørens forpligtelser i henhold til artikel 26 afhænger af leverandørens dokumentation.

Leverandørdokumentation indsamlet for hver højrisikoleverandør: dokumentation, oversight-design, hændelseshistorik.

Implementører overtager mangler.

Databeskyttelseskonsekvensanalyse (DPIA) opdateret til at omfatte AI-specifikke risici.

GDPR artikel 35 stemmer overens med forpligtelserne i AI Act.

Behandlingsaktivitetsfortegnelser opdateret for AI-baserede beslutninger.

Regulatorer krydstjekker GDPR- og AI Act-registre.