AI Act á Íslandi: ESB-frestir eru ekki íslensk gildistaka

Staða reglugerðarinnar í EEA-Lex er enn „til athugunar“ vegna upptöku í EES-samninginn. Gildandi frestir innan ESB gera AI Act því ekki sjálfkrafa að íslenskum lögum. Fyrirtæki sem býður gervigreindarkerfi aðeins á Íslandi og notar það eingöngu hér þarf að greina þá stöðu frá starfsemi sem tengist ESB-markaði.

Íslenskt fyrirtæki getur samt þegar fallið undir ákvæði reglugerðarinnar vegna starfsemi innan ESB. Ákvæðið um gildissvið nær meðal annars til veitenda utan sambandsins sem setja gervigreindarkerfi eða almenn gervigreindarlíkön á markað þar og til veitenda eða notenda utan þess þegar úttak kerfis er notað innan ESB. Heimilisfang fyrirtækisins ræður því ekki eitt og sér niðurstöðunni.

Hvaða dagsetningar tilheyra ESB?

Framkvæmdaryfirlit framkvæmdastjórnar ESB segir að eftirlitsheimildir vegna hluta reglugerðarinnar hafi tekið gildi 2. ágúst 2026. Þar er meðal annars fjallað um bönn við tiltekinni notkun, skyldur veitenda almennra gervigreindarlíkana og gagnsæi gagnvart fólki sem á í samskiptum við gervigreind eða sér gervigreint efni. Sama yfirlit setur gildistöku reglna um áhættusöm kerfi í III. viðauka á 2. desember 2027 og reglna um slík kerfi sem eru hluti af reglusettum vörum á 2. ágúst 2028.

Þessar dagsetningar svara því hvenær viðkomandi ákvæði eiga við innan ESB. Þær segja ekki hvenær íslensk löggjöf tekur gildi. Frestur fyrir áhættusöm kerfi breytir heldur ekki stöðu þeirra ákvæða sem þegar eiga við starfsemi á ESB-markaði. Fyrirtæki þarf því að tengja hverja dagsetningu við tiltekna notkun, gerð kerfis og hlutverk sitt, í stað þess að miða alla starfsemina við einn gildistökudag.

Ákvörðunartré eftir markaði og notkun

Fyrsta spurningin er hvar kerfið eða líkanið er boðið. Næst skiptir máli hver notar það og hvar úttakið er nýtt. Svörin leiða að ólíkum niðurstöðum þótt sama fyrirtæki þrói tæknina og reki hana frá Íslandi.

Starfsemin er eingöngu á Íslandi. Fyrirtækið býður kerfið aðeins hér, notar það í íslenskum rekstri og úttakið fer ekki til notkunar innan ESB. ESB-frestirnir stofna þá ekki sjálfir til skyldna samkvæmt AI Act í íslenskum rétti. Niðurstaðan byggist þó á raunverulegri dreifingu og notkun: nýr viðskiptavinur í ESB eða ný leið fyrir úttak yfir landamæri breytir forsendunum.
Kerfi eða líkan er boðið á ESB-markaði. Íslenskur veitandi sem gerir eigið gervigreindarkerfi eða almennt gervigreindarlíkan aðgengilegt þar þarf að meta þau ákvæði sem eiga við hlutverk hans. Hvort lausnin er seld beint, boðin sem þjónusta eða felld inn í vöru getur skipt máli við nánara mat á hlutverki og skyldum. Staðsetning þróunarteymisins á Íslandi útilokar ekki að reglurnar nái til veitandans.
Úttakið er notað innan ESB. Kerfi getur fallið undir gildissvið reglugerðarinnar þótt það vinni gögn á Íslandi. Skilyrt dæmi er íslensk þjónusta sem skilar mati á atvinnuumsóknum til atvinnurekanda innan ESB. Þá þarf að skoða hvar niðurstaðan er notuð, hver býður kerfið og hvort ráðningarnotkunin fellur í flokk áhættusamra kerfa. Hýsingarlandið svarar ekki þeim spurningum.

Markaður og notkun geta einnig breyst á líftíma sömu lausnar. Kerfi sem fyrst er þróað fyrir innri verkefni á Íslandi getur síðar verið boðið viðskiptavini í ESB; þjónusta fyrir íslenskan viðskiptavin getur fengið nýtt notkunarsvið þar. Þá er það breytt starfsemi sem kallar á nýtt mat, óháð því hvort hugbúnaðurinn sjálfur hefur tekið miklum breytingum.

Hver er veitandi og hver notar kerfið?

Fyrirtæki sem þróar kerfi og býður það undir eigin nafni stendur ekki í sömu stöðu og fyrirtæki sem kaupir tilbúna lausn til eigin nota. Það þarf líka að greina á milli veitanda almenns gervigreindarlíkans og veitanda afmarkaðs kerfis sem byggir á líkani annars aðila. Sama tækni getur því komið við sögu í fleiri en einu hlutverki, með mismunandi kröfum fyrir hvern aðila.

Íslenskt fyrirtæki sem nýtir líkan annars veitanda í eigin þjónustu verður ekki sjálfkrafa veitandi grunnlíkansins. Það þarf hins vegar að meta kerfið sem það sjálft býður, hvernig það er ætlað til notkunar og hvaða upplýsingar fara til þeirra sem nota það. Ef viðskiptavinur innan ESB beitir kerfinu í eigin starfsemi þarf jafnframt að aðgreina skyldur veitandans frá skyldum þess sem tekur kerfið í notkun.

Samningur getur lýst verkaskiptingu aðila, en heiti í samningi eitt og sér segir ekki til um gildissvið reglugerðarinnar. Raunverulegar aðstæður skipta máli: hver setur lausnina á markað, hver ákveður tilgang hennar og hvar hún er tekin í notkun. Sú greining er sérstaklega mikilvæg þegar íslenskt fyrirtæki afhendir viðskiptavini bæði eigið kerfi og aðgang að undirliggjandi líkani frá öðrum veitanda.

Hvaða kröfur ráðast af gerð kerfisins?

Gagnsæiskröfur varða meðal annars tiltekin kerfi sem eiga í beinum samskiptum við fólk og tiltekið efni sem gervigreind býr til eða breytir. Fyrirtæki sem býður slíka þjónustu á ESB-markaði þarf að kanna hvort upplýsa eigi fólk um samskipti við gervigreind eða auðkenna efnið. Það mat ræðst af því hvað kerfið gerir og hvernig úttak þess birtist, ekki aðeins af því hvaða líkan liggur að baki.

Þegar kerfi er ætlað að meta atvinnuumsóknir, aðstoða við ákvarðanir um nám eða sinna öðrum viðkvæmum verkefnum þarf að skoða áhættuflokkunina sérstaklega. Tilgangur og fyrirhuguð notkun ráða þar meira en almenn lýsing á tækninni. Frestir fyrir áhættusöm kerfi innan ESB gefa fyrirtækjum tíma vegna þeirra sérstöku krafna, en breyta ekki banni við tiltekinni notkun eða gagnsæisskyldum sem þegar eiga við.

Hvað þarf að gerast áður en reglurnar gilda sem íslensk lög?

Upptaka reglugerðarinnar í EES-samninginn og innleiðing hennar í íslenskan rétt eru sérstök skref. Meðan EES-upptakan er enn til athugunar liggur ekki fyrir íslenskur gildistökudagur sem hægt er að draga af dagatali ESB. Fyrirtæki með starfsemi á báðum mörkuðum þarf því að halda aðskildum forsendum fyrir íslenska notkun og starfsemi sem fellur undir gildandi ESB-ákvæði.

Hagnýtt mat á hverri lausn þarf að sýna hver býður hana, hver notar hana, hvar hún er aðgengileg, hvar úttakið er nýtt og til hvaða verkefnis hún er ætluð. Þær upplýsingar skera úr um hvort ESB-tengingin sé þegar til staðar og hvaða reglur skipta máli. Þegar formlegri EES-upptöku og íslenskri innleiðingu lýkur bætist síðan við sérstök innlend gildistaka; hún verður ekki afturvirkt sú dagsetning sem gilti áður innan ESB.

Lestu einnig: