Förslag till förordning om harmoniserade regler för AI

AI, det vill säga artificiell intelligens, är ett begrepp de flesta av oss är bekanta med vid det här laget. AI används i allt större utsträckning i både den offentliga såväl som i den privata sektorn. Användningsområdena för AI är många och sträcker sig över flera branscher. Det kan exempelvis handla om självkörande bilar, virtuella assistenter eller olika verktyg för bildanalys och igenkänning av röster och ansikten (för fler exempel se gärna Europaparlamentets nyhetsartikel om vad AI är och hur det används). Fler och fler länder, både inom och utanför EU, investerar i utvecklingen av AI. Användandet av olika system för AI har hittills dock varit i princip oreglerat.

Den 21 april 2021 presenterade EU-kommissionen sitt förslag till en förordning om harmoniserade regler för AI inom ramen för strategin för det digitala Europa. Det föreslagna rättsliga ramverket har sin utgångspunkt i etiska riktlinjer för utveckling och användning av AI med syftet att bland annat skydda hälsa, säkerhet och grundläggande mänskliga rättigheter. Förslaget innebär också att varje medlemsstat ska utse eller etablera minst en tillsynsmyndighet som ska ansvara för att säkerställa att de nödvändiga förfarandena följs. Vidare innehåller förslaget regler som fokuserar på att underlätta för innovation, exempelvis via så kallade regulatoriska sandlådor.

Ett riskbaserat angreppsätt

Den föreslagna förordningen ska tillämpas på tillhandahållare av AI-system som används på den inre marknaden (oavsett om tillhandahållaren är etablerad inom EU eller ej) och användare av AI-system inom EU. Förordningen är även tillämplig på användare och tillhandahållare av AI-system, där det som genereras av AI-systemet används inom EU, oavsett vart tillhandahållaren eller användaren befinner sig. Olika typer av AI-system och dess användning indelas i följande kategorier:

Förbjudna AI-system, exempelvis AI-system som använder subliminala metoder för att manipulera en persons beteende på så vis att den personen eller annan orsakas fysisk eller psykisk skada eller AI-system som utnyttjar sårbarheter hos en viss specifik grupp av människor, och sårbarheten beror på t.ex. ålder eller mental/fysisk funktionsnedsättning.
Högrisk AI-system. Som exempel anges bland annat AI-system som använder biometriska uppgifter för att identifiera och kategorisera fysiska personer. För att få använda högrisk AI-system krävs en CE-märkning som kan fås efter en prövning av behörigt offentligt organ.
Övriga AI-system. De AI-system som inte innebär någon eller liten risk får användas utan restriktioner. Förslaget innehåller dock ramar för inrättande av frivilliga uppförandekoder för tillhandahållare av AI-system som inte utgör högrisk.

Definitioner och exempel på högrisk AI-system kommer anges i en bilaga. Förslaget innehåller även informations- och transparenskrav för hur AI-system avsedda att interagera med fysiska personer ska utformas och utvecklas så att fysiska personer blir informerade om att de interagerar med AI-system, om det inte är uppenbart att så är fallet.

KPMG:s kommentar

Ny teknik och en snabb digital utveckling och anpassning är nödvändig för företag och myndigheter för att hänga med i de förändringar omvärlden står inför. Detta ställer även krav på att lagstiftning och riktlinjer upprättas och justeras. När gråzoner och oreglerade områden uppstår finns en risk att skyddsvärda intressen åsidosätts, men även ett onödigt förhindrande av innovation och progression. Regeringen uppger i faktapromemoria 2020/21:FPM109 publicerad 26 maj att de är positiv till kommissionens arbete att skapa enhetlig reglering för AI inom EU och att Sverige ska vara ledande i att ta tillvara på möjligheterna och den betydande potentialen av AI. Vidare är regler som ökar transparens och individens möjlighet till kontroll och insyn kring data, tydliggör förbjudna användningsområden och möjliggör tillsyn och efterlevnad välkomnade.

Ny lagstiftning innebär således såväl möjligheter som utmaningar, då förslaget kan innebära en ökad administrativ börda för de som omfattas av reglerna. I förordningen föreslås även att införa straffavgifter om brott mot förordningen sker, med böter på upp till 30 000 000 EUR eller upp till 6 % av föregående års globala omsättningen om det gäller ett företag vars omsättning är högre än det stadgade bötesbeloppet. Även EU:s institutioner kan bli ålagda straffavgifter genom beslut av den Europeiska dataskyddsstyrelsen. Det kan således även bli kostsamt att inte följa den föreslagna förordningen.

KPMG Legal Services följer den rättsliga utvecklingen på området. Kontakta oss gärna om ni har några frågor.

Mattias Bergman
+46 70 939 66 64
mattias.bergman@kpmg.se

Josefin Gustavsson
+46 70 914 43 87
josefin.gustavsson@kpmg.se