EU:s AI-lag når sitt sista steg i sin mödosamt långa resa från lagstiftningsförslag till verkställbar lag. Det har varit en lång tid på gång. Lagen trädde i kraft den 1 augusti 2024, med en stegvis implementering som ledde till ett flertal tidsfrister under de följande månaderna och åren. Om inte en mycket uppmärksammad ... Förslag om digital omnibus snart godkänns av Europaparlamentet, kommer en viktig deadline att infalla den 2 augusti 2026.

Brittiska företag som utvecklar eller använder högrisksystem i regionen har fram till dess på sig att få ordning på sin AI-styrning. Tillsynsmyndigheter kommer att vilja se bevis på kontroll, inte bara påståenden om efterlevnad. För vissa organisationer kan detta kräva en betydande kulturell förändring. Men pragmatiska standarder för bästa praxis som ISO 42001 kan ta dem dit.

Historien hittills

Sedan lagen trädde i kraft har olika aspekter av den trätt i kraft. Framför allt såg vi i februari 2025 nya läs- och skrivkunnighetskrav för personal träda i kraft, styrningsstrukturer som AI-kontoret och AI-styrelsen lanseras, och förbudet mot AI-system som utgör "oacceptabla risker". Men enligt lagens riskbaserade tillvägagångssätt är detta den enkla biten. Med system som utgör oacceptabla risker förbjudna, och inga nya regler för de som bedöms utgöra minimal eller ingen risk (t.ex. skräppostfilter), riktas fokus mot "begränsade" och "högrisksystem".

De som bedöms ha begränsad risk (som chatbotar och vissa deepfake-generatorer) kommer att behöva "se till att människor informeras när det är nödvändigt för att bevara förtroendet", enligt Europeiska kommissionenMen det är högrisksystem som de största utmaningarna med efterlevnad ligger.

Under Compliance-mikroskopet

Som vi har tidigare förklaradeHögrisksystem är de som används inom områden som biometrisk identifiering, kritiska sektorer som hälso- och sjukvård, utbildning och sysselsättning (där AI-beslut kan påverka människors liv) och viktig infrastruktur (t.ex. energinät och transportsystem). Bland de användningsfall som kommissionen nämner finns poängsättning av prov, robotassisterad kirurgi, sortering av CV, kreditvärdering och programvara som används för att fatta visumbeslut och förbereda domstolsbeslut.

Dessa kommer att omfattas av strikta krav innan de kan släppas ut på marknaden, nämligen:

  • Kontinuerlig riskbedömning och riskreducering
  • Högkvalitativa dataset för att träna och testa AI:n
  • Detaljerad loggning av aktivitet och dokumentation
  • Tydlig information som ska tillhandahållas utfärdaren (organisationer som använder modellerna)
  • Lämplig mänsklig tillsyn
  • Höga nivåer av "robusthet, säkerhet och noggrannhet"

Dessa skyldigheter kompliceras något av de olika krav som ställs på leverantörer (modellutvecklare), driftsättare (användare), importörer och distributörer. Dessa låter tydliga på pappret. Men en driftsättare kommer att klassificeras som en leverantör om de väsentligt modifierar eller ändrar det avsedda syftet med ett system. För att komplicera saken ytterligare kan organisationer ha mer än en roll samtidigt. Tänk dig ett SaaS-företag som tar en tredjepartsmodell, finjusterar den och sedan driftsätter den till kunder i flera jurisdiktioner.

Börjar med synlighet

Allt detta gör AI-styrning icke-förhandlingsbar. Men vad bör en strategi för bästa praxis inkludera på denna snabbt föränderliga marknad? För PSE Consultings VD, Chris Jones, bör synlighet vara första prioritet.

”Många företag använder redan AI i små, distribuerade former över olika funktioner, men väldigt få har en tydlig inventering av var den finns, vilka beslut den påverkar och om den faller inom en högriskkategori”, säger han till IO (tidigare ISMS.online). ”Utgångspunkten bör vara en strukturerad granskning av AI-användningsfall, ägarskap för de tillhörande riskerna och hur dessa risker kopplas tillbaka till befintliga skyldigheter enligt ramverk som GDPR och NIS2.”

Det är här som efterlevnad kan bli komplicerat, på grund av de överlappande skyldigheterna för varje enskilt regelverk, säger Nick Reed, strategichef på Bizzdesign.

”Till exempel kan ett AI-system som behandlar personuppgifter i en kritisk infrastrukturkontext utlösa skyldigheter enligt GDPR, NIS2 och AI-lagen samtidigt. När organisationer behandlar dessa som separata efterlevnadsspår duplicerar de arbete och kan missa de gemensamma drag som möjliggör mycket större effektivitet i hanteringen av efterlevnad”, säger han till IO.

”Att hantera detta kräver strukturell synlighet i hela företaget. Organisationer behöver en sammanhängande bild av hur AI, affärsaktiviteter, data och kritiska system möts; inte bara inom enskilda regelverk utan över alla. Företagsarkitektur tillhandahåller den gemensamma, företagsomfattande semantiska modellen som kopplar AI-system till de funktioner, processer, data, tredje parter och skyldigheter de berör på ett sätt som möjliggör samordnad styrning snarare än fragmenterade initiativ som duplicerar insatser.”

Nästa steg för organisationer som följer reglerna är att förstå sin position i AI-leveranskedjan.

”Många organisationer antar att de bara är användare av AI, men i praktiken kan de agera som integratörer eller distributörer när de väl anpassar eller integrerar modeller i sina egna tjänster”, säger Jones från PSE Consulting. ”Det förändrar deras skyldigheter och deras riskexponering, så det är viktigt att kartlägga dessa roller tidigt.”

Bizzdesigns Reed håller med och menar att synlighet återigen blir avgörande.

”För att fastställa roll och bedöma riskexponering behöver organisationer se hur AI-system kopplas till det bredare företaget: vilka affärsmöjligheter de stöder, vilka processer de möjliggör, vilka data de har tillgång till och vilka leverantörer som levererar dem”, säger han.

”Utan den sammanhängande synen riskerar rollklassificeringen att baseras på åsikter snarare än fakta. Testet kommer när något förändras. Om ett leverantörsverktyg omklassificeras som högrisk eller dras tillbaka från marknaden, kan ni då omedelbart svara på vilka processer som är beroende av det, vilka data det berör, om det finns alternativ och hur snabbt ni skulle kunna agera?”

En mogen strategi med ISO 42001

För att bygga upp den flexibilitet de behöver för att följa regelverket mitt i regelförändringar, omklassificering av leverantörer och strategiska förändringar måste organisationer anta en strukturerad och konsekvent strategi för styrning, fortsätter Reed. Det är här ISO 42001 kan hjälpa till.

”Det formaliserar förväntningar kring riskhantering, dokumentation, tillsyn och kontinuerlig förbättring under hela AI-livscykeln”, säger han. ”För organisationer som navigerar i EU:s AI-lag tillsammans med GDPR och NIS2, hjälper ramverk som ISO 42001 till att översätta myndighetskrav till repeterbara processer som compliance- och riskteam kan driftsätta med tillförsikt.”

Nik Kairinos, VD och medgrundare på RAIDS AI, delar med sig av mer pragmatiska skäl till varför ISO 42001 kan hjälpa.

”EU har utvecklat ett utkast till en europeisk standard som specifikt tar upp kraven i artikel 17 i lagen, som föreskriver kvalitetsledningssystem (QMS) för AI-leverantörer med hög risk: prEN 18286 (Artificiell intelligens – kvalitetsledningssystem för regleringsändamål enligt EU:s AI-lag)”, säger han till IO.

”Organisationer med befintlig ISO 42001-certifiering har ett betydande försprång när det gäller efterlevnad av EU:s AI-lag, eftersom den utgör den operativa grunden för prEN 18286. Med presumtionen om överensstämmelse kan organisationer som implementerar prEN 18286 anta att de uppfyller skyldigheterna enligt artikel 17 – så det är detta som företag behöver fokusera på.”

Målet bör inte vara att börja från början utan snarare utöka befintliga relevanta kontroller och säkerhetsmodeller till AI-området, säger Jones från PSE Consulting.

”De organisationer som kommer att anpassa sig bäst är de som behandlar pålitlig AI som en operativ disciplin snarare än en efterlevnadsövning”, avslutar han. ”Om du vet var din AI finns, vem som äger den och hur den beter sig när saker går fel, är du redan en bra bit på vägen mot att uppfylla förordningens syfte.”

Med potentiella böter för bristande efterlevnad på upp till 15 miljoner euro (13 miljoner pund) eller 3 % av den globala årsomsättningen finns det ingen tid att vänta.