1. AI Act - risk, ansvar och transparens

I den här lektionen fokuserar vi på AI Act. Målet är att förstå hur EU:s riskbaserade modell fungerar och varför den är central för AI i skola och samhälle.

Fullständig lagstiftning

• AI Act - Regulation (EU) 2024/1689 (digital-strategy)
• Tidslinje för AI Act (AI Act Service Desk)

Varför behövdes AI Act?

GDPR fanns redan, men GDPR svarar framför allt på frågan: hur får personuppgifter behandlas?

AI Act svarar på en annan fråga: hur får AI-system användas, beroende på hur stora risker de skapar?

Det betyder att AI Act inte ersätter GDPR. I stället kompletterar de varandra:

• GDPR handlar om data och rättigheter.
• AI Act handlar om AI-system, risknivåer och krav.

Grundidén: olika risknivåer

AI Act bygger på tanken att inte all AI är lika farlig. Ju större risk för skada, desto hårdare regler.

För att förenkla kan man tänka i fyra nivåer:

1. Oacceptabel risk - vissa användningar är förbjudna.
2. Högrisk - tillåtet, men bara med tydliga krav.
3. Begränsad risk - framför allt krav på transparens.
4. Liten eller minimal risk - få eller inga extra krav.

Ett enkelt tankesätt

Fråga inte bara “är det AI?” utan också: “Vad kan gå fel, vem kan drabbas och hur allvarligt blir det?”

Artikel 5 - Förbjudna AI-praktiker

Artikel 5 handlar om AI-användningar som EU bedömer som så problematiska att de inte ska vara tillåtna alls.

Det handlar bland annat om system som:

• manipulerar människor på ett skadligt sätt,
• utnyttjar särskilt sårbara grupper,
• används på sätt som skapar mycket stora risker för rättigheter och frihet.

Det viktiga för eleverna är inte att kunna varje juridisk detalj utantill, utan att förstå principen:

vissa AI-lösningar är inte bara “olämpliga” utan faktiskt förbjudna.

Artikel 6 + Annex III - Vad räknas som högrisk?

Alla AI-system är inte förbjudna, men vissa räknas som högrisk. Då får de användas bara om tydliga krav uppfylls.

Det handlar om situationer där AI kan påverka människor mycket, till exempel:

• utbildning,
• arbetsliv,
• krediter och ekonomiska beslut,
• vissa myndighets- och samhällsfunktioner.

I utbildning blir detta extra viktigt om AI-system påverkar tillgång till utbildning, bedömningar eller viktiga beslut om individer.

Det viktiga är användningen

Samma teknik kan vara ganska ofarlig i ett sammanhang men högrisk i ett annat. Det är därför användningen - inte bara tekniken i sig - som blir avgörande.

Artikel 9 - Riskhanteringssystem

Om ett AI-system är högrisk räcker det inte att “det verkar fungera”. Det måste finnas en tydlig plan för att upptäcka, bedöma och minska risker.

Det betyder i praktiken att den som utvecklar eller använder systemet måste fråga:

• Vilka fel kan uppstå?
• Vem kan drabbas?
• Hur upptäcker vi problem i tid?
• Vad gör vi om systemet ger fel resultat?

Den här artikeln är viktig eftersom den visar att AI-säkerhet inte är något man lägger till i efterhand. Det måste finnas med från början.

Artikel 10 - Data och datastyrning

AI-system blir inte bättre än datan de bygger på. Därför ställer AI Act krav på kvalitet och kontroll över den data som används i högrisk-system.

Det handlar till exempel om att:

• datan ska vara relevant,
• fel och snedvridningar ska minska,
• det ska finnas ordning på hur data samlas in och används.

Det här knyter tydligt an till det ni redan jobbat med i kursen: dålig data ger dåliga resultat.

Artikel 14 - Mänsklig översyn

En central tanke i AI Act är att människor ska kunna övervaka AI-system, särskilt när riskerna är stora.

Det betyder inte bara att en människa “finns i närheten”. Det betyder att en människa faktiskt ska kunna:

• förstå vad systemet gör,
• upptäcka när något verkar fel,
• stoppa, ändra eller ifrågasätta resultatet.

Det är alltså stor skillnad mellan:

• en människa som bara klickar “godkänn”, och
• en människa som verkligen kan granska systemet.

Artikel 50 - Transparenskrav

I vissa situationer ska användare få veta att de har att göra med AI.

Det kan till exempel handla om att:

• du interagerar med ett AI-system,
• innehåll är AI-genererat,
• bild, ljud eller video har manipulerats.

Poängen är enkel: det ska inte vara onödigt svårt att förstå när AI är inblandat.

Tidslinje att kunna (med datum)

• 1 augusti 2024: AI Act trädde i kraft.
• 2 februari 2025: de första reglerna började tillämpas, bland annat om förbjudna praktiker.
• 2 augusti 2025: regler för GPAI och delar av styrningen började tillämpas.
• 2 augusti 2026: AI Act blir i huvudsak tillämplig.
• 2 augusti 2027: vissa regler för högrisk-system i reglerade produkter får senare tillämpning.

Tumregel för kursen

Om ett AI-system både använder personuppgifter och påverkar människor mycket, är det vanligt att både GDPR och AI Act blir relevanta.

Artikelträning

Koppla scenario till artikel:

1. “Ett system försöker styra användare på ett skadligt sätt.”
2. “Ett AI-system föreslår viktiga beslut men ingen kan stoppa eller granska resultatet.”
3. “En tjänst visar AI-genererat innehåll utan att säga det.”
4. “Ett system används i ett känsligt område där fel kan få stora konsekvenser.”

Skriv för varje scenario:

• ett AI Act-stöd (artikelnummer),
• en mening om varför,
• och om du tror att också GDPR kan bli relevant.

Exit ticket (individuellt)

1. Vilken AI Act-artikel tycker du är viktigast och varför?
2. Ge ett exempel där AI Act-krav på transparens eller mänsklig översyn verkligen spelar roll.

Källor (officiella)

• AI Act - Regulation (EU) 2024/1689 (digital-strategy)
• AI Act implementation timeline (AI Act Service Desk)
• Article 113 - Entry into force and application (AI Act Service Desk)
• GDPR - Regulation (EU) 2016/679 (EUR-Lex)