Hvilken rolle har virksomheden?

Udbyder er den, der udvikler et AI-system eller får det udviklet og bringer det i omsætning eller ibrugtager det under eget navn eller varemærke. Udbyderen bærer de tungeste pligter — især hvis systemet er højrisiko: teknisk dokumentation, datakvalitet, risikostyring, overensstemmelsesvurdering og opfølgning efter markedsføring.

Idriftsætter er den, der anvender et AI-system under egen myndighed som led i sin erhvervsvirksomhed. Det er den rolle, langt de fleste danske virksomheder har. Ved højrisikosystemer har idriftsætteren blandt andet pligt til at bruge systemet efter brugsanvisningen, sikre menneskeligt tilsyn af personer med de nødvendige kompetencer, overvåge driften og opbevare logs, jf. artikel 26.

Importør er den, der bringer et AI-system fra et land uden for EU på EU-markedet. Distributør er et andet led i kæden, der gør systemet tilgængeligt. Begge har kontrolpligter, men rollerne er sjældent relevante for en almindelig dansk virksomhed, der bruger indkøbt software.

I kan sagtens være idriftsætter på ti systemer og udbyder på ét. Derfor står rollen i registerets rollekolonne pr. række — ikke i en overskrift på virksomheden.

I bruger værktøjet som det er, eller sætter almindelige indstillinger og prompts op. Det ændrer normalt ikke rollen: I er idriftsætter.

I kalder en model via API fra jeres eget produkt eller system. Her begynder billedet at ændre sig, især hvis resultatet fremstår som jeres eget produkt over for andre. Vurderingen afhænger af, hvad I stiller til rådighed for hvem.

I bygger en egentlig løsning eller sælger adgang til den under eget navn. Her skal udbyderrollen vurderes konkret — og hvis anvendelsen samtidig ligger i et højrisikoområde, er konsekvensen betydelig.

Rollen skal vurderes igen, når: I sætter jeres eget navn eller varemærke på systemet, I ændrer det tilsigtede formål, eller I foretager en væsentlig ændring i systemet. Sker en af de tre, så stop og få vurderingen dokumenteret.

Skriv: hvad systemet gør, hvad I gør ved det, hvem der ser resultatet, hvilket navn der står på, hvornår vurderingen er lavet og af hvem. En dokumenteret vurdering med forbehold er langt stærkere end en udokumenteret konklusion.

1) Er produktet et AI-system i forordningens forstand? 2) Hvilken rolle har I selv — udbyder af systemet eller af en model? 3) Anser I os som idriftsætter ved normal brug? 4) Hvilke af jeres dokumenter understøtter vores forpligtelser? Svaret skal på skrift og i registeret.

Skriv ikke 'vi er ikke omfattet'. Skriv: 'Systemet er vurderet den DD.MM.ÅÅÅÅ. Vi anvender det under egen myndighed og vurderer os som idriftsætter. Rollen kan ændre sig, hvis vi tilpasser formålet eller udstiller løsningen under eget navn. Forholdet er ikke forelagt juridisk rådgiver.'

Få en juridisk vurdering, når: I overvejer at sælge eller udstille en AI-løsning under eget navn, anvendelsen rører et højrisikoområde, eller leverandøren ikke vil svare skriftligt på rollespørgsmålet. Tre klare triggere — resten kan I selv.