ESB rannsakar stjórnmissi gervigreindar — spurningar fara til fyrirtækja

Í frásögn framkvæmdastjórnar ESB frá 12. október 2026 kemur fram að vísindanefnd hennar rannsaki nýleg atvik sem hún lýsir sem stjórnmissi gervigreindarlíkana. Henna Virkkunen, varaforseti framkvæmdastjórnarinnar, og Seán Ó hÉigeartaigh, formaður nefndarinnar, boðuðu sérstakan fund 9. október. Gervigreindarskrifstofa ESB, AI Office, hefur óskað eftir og fengið skýrslur um alvarleg atvik og beðið um upplýsingar um öryggisvenjur. Framkvæmdastjórnin hyggst senda þróunaraðilum líkananna frekari spurningar sem skrifstofan og nefndin unnu saman.

Fyrirtækin sem þróuðu viðkomandi líkön eru því til skoðunar, en framkvæmdastjórnin hefur ekki nafngreint þau eða lýst einstökum atvikum opinberlega. Fyrirspurnirnar eru skref í upplýsingasöfnun: enn liggur ekki fyrir birt niðurstaða um orsök atvikanna, brot gegn AI Act eða viðurlög. Það skiptir máli fyrir önnur fyrirtæki að fyrirhugaðar spurningar beinast að þróunaraðilum líkananna sem tengjast atvikunum; fundurinn setur ekki sjálfur nýja reglu um alla notkun gervigreindar.

Hvað gerðist fyrir fundinn og eftir hann?

Rannsókn vísindanefndarinnar var hafin áður en fundurinn fór fram. Hún hafði þegar unnið með AI Office að spurningum fyrir fyrirtækin sem þróuðu líkönin. Á sérstaka fundinum gerðu formaður og varaformaður nefndarinnar grein fyrir því sem vitað var um atvikin og hvaða upplýsingar vantaði til að meta þau frekar. Fundurinn tengdi þannig tæknilega skoðun sérfræðinganna við áframhaldandi upplýsingabeiðnir eftirlitsins.

AI Office hafði á sama tíma tekið við skýrslum um alvarleg atvik og sent beiðnir um upplýsingar um öryggisvenjur. Næsta boðaða skref er að framkvæmdastjórnin sendi fyrirtækjunum nýjar beiðnir sem sameina spurningar skrifstofunnar og nefndarinnar. Opinbera frásögnin tilgreinir hvorki hvenær þær verða sendar né svarfrest, og efni móttekinna skýrslna hefur ekki verið birt.

„Stjórnmissir“ er orðalag framkvæmdastjórnarinnar um atvikin sem nefndin skoðar. Án lýsingar á hegðun líkananna, aðstæðum eða afleiðingum er ekki hægt að segja hvort atvik varð við prófun eða í notkun. Sú takmörkun skýrir hvers vegna svör þróunaraðilanna skipta máli fyrir næsta mat.

Hvaða upplýsingar eru fyrirtækin beðin um?

Það sem þegar hefur verið óskað eftir er afmarkað: skýrslur um alvarleg atvik og upplýsingar um öryggisvenjur þeirra sem þróuðu viðkomandi líkön. Fyrirhugaðar sameiginlegar spurningar eiga að rannsaka atvikin nánar, en framkvæmdastjórnin hefur ekki birt spurningalistann eða tæmandi skrá yfir gögn sem hvert fyrirtæki á að afhenda. Því væri ótímabært að lýsa tilteknum tæknigögnum, prófunarniðurstöðum eða innri samskiptum sem staðfestri kröfu í þessu máli.

Atvikaskýrsla og upplýsingabeiðni gegna ólíku hlutverki. Skýrsla færir eftirlitinu upplýsingar um atvik; eftirfylgnibeiðni getur varpað ljósi á hvernig fyrirtækið metur áhættu, fylgist með líkaninu og bregst við frávikum. Þessi röð gerir yfirvaldinu kleift að bera lýsingu á atvikinu saman við öryggisvenjur þróunaraðilans áður en það ákveður hvort frekara mat þurfi.

Beiðni um skýringar er ekki í sjálfu sér niðurstaða um að öryggisráðstafanir hafi brugðist eða lagaskylda verið brotin. Fyrirtæki sem fær formlega beiðni þarf að svara henni samkvæmt efni og fresti beiðninnar. Fyrirtæki sem hefur ekki fengið slíka beiðni getur hins vegar ekki ráðið nýja afhendingarskyldu af fréttinni um fundinn eina saman.

Hvert er hlutverk vísindanefndarinnar?

Vísindanefndin leggur til tæknilega sérþekkingu, meðal annars um kerfisáhættu, flokkun almennra gervigreindarlíkana, matsaðferðir og markaðseftirlit yfir landamæri. Í þessu máli hefur hún skoðað nýleg atvik og samið spurningar með AI Office. Hún getur þannig haft áhrif á hvaða skýringa er leitað, en ráðgjöf nefndarinnar er ekki sjálf ákvörðun um brot eða sekt.

Formaður og varaformaður nefndarinnar lögðu eftir fundinn til að betur yrði haldið utan um áhættu af innri líkönum meðan þau eru þróuð og notuð í prófunum. Þau vildu einnig efla getu ESB til að greina og rannsaka sambærileg atvik, auka alþjóðlegt upplýsingasamstarf og skoða betur þjálfunaraðferðir sem geta gert hegðun líkana erfiðari í vöktun. Þetta eru tillögur til framkvæmdastjórnarinnar og AI Office, ekki nýjar bindandi kröfur til fyrirtækja.

Nefndin ræddi jafnframt möguleikann á að gervigreind geti tekið þátt í eigin endurbótum og hvaða áhætta gæti fylgt því. Það er tæknilegt viðfangsefni fundarins; opinberar upplýsingar tengja ekki slíkt ferli við tiltekið atvik sem nú er til rannsóknar. Umræðan um vöktun snýst meðal annars um hvort hægt sé að greina hættulega hegðun nógu snemma til að bregðast við henni.

Hvaða vald hefur AI Office samkvæmt AI Act?

Í umfjöllun 2EU um málið er greint frá því að vísindanefndin telji 60 óháða sérfræðinga og að AI Act heimili framkvæmdastjórninni að óska eftir gögnum og frekari upplýsingum frá veitendum almennra gervigreindarlíkana þegar meta þarf hvort þeir uppfylli reglurnar. Formleg upplýsingabeiðni á að tilgreina lagagrundvöll, tilgang, umbeðnar upplýsingar og svarfrest. Vísindanefndin veitir tæknilega ráðgjöf við slíkt mat; framkvæmdastjórnin fer með eftirlitsheimildirnar.

Fyrir veitendur almennra gervigreindarlíkana sem fela í sér kerfisáhættu ná skyldur laganna meðal annars til áhættumats og mótvægisaðgerða, netöryggis og skráningar og tilkynningar alvarlegra atvika. Hvort tiltekin skylda á við ræðst af stöðu veitandans og líkaninu, ekki af því einu að sérfræðinganefnd hittist. Upplýsingar úr atvikaskýrslum og svörum fyrirtækja geta síðar orðið grundvöllur frekara tæknilegs mats eða eftirlitsaðgerða.

Ákvörðun um brot krefst þó mats á því hvað gerðist og hvaða lagaskyldur giltu um viðkomandi fyrirtæki. Fyrirliggjandi tilkynning lýsir mótteknum skýrslum, fyrri fyrirspurnum og næstu upplýsingabeiðnum; hún birtir ekki niðurstöðu gegn nafngreindum þróunaraðila. Tillögur nefndarinnar um aukna vöktun verða heldur ekki hluti af AI Act við það eitt að þær eru lagðar fram.

Hvaða þýðingu hefur rannsóknin fyrir Ísland?

Stöðuyfirlit EFTA um AI Act segir að reglugerðin sé enn til skoðunar vegna upptöku í EES-samninginn fyrir Ísland, Liechtenstein og Noreg. Sérstaki fundurinn og spurningar til þróunaraðila breyta ekki þeirri stöðu. Munurinn á gildandi reglum innan ESB og upptöku þeirra hér á landi skiptir máli þegar íslensk fyrirtæki meta stöðu AI Act innan EES.

Rannsóknin getur engu að síður varðað þróunaraðila sem bjóða líkön á markaði ESB og falla undir eftirlit AI Office þar. Fyrir íslenskan lesanda er næsta áþreifanlega breytingin í málinu því ekki ný almenn skylda á Íslandi, heldur efni beiðnanna sem þróunaraðilarnir fá og það mat sem kann að fylgja svörum þeirra. Þá ætti að skýrast hvort upplýsingasöfnunin leiði til frekara eftirlits með tilteknum líkönum eða fyrirtækjum.

Lestu einnig:

• AI Act er ekki komið inn í EES — svona undirbúa fyrirtæki sig
• Settu AI-reglur áður en trúnaðargögn fara í spjallgluggann
• IBM Bob fer á eigin innviði — viðkvæmur kóði þarf ekki að fara í skýið