EUs regulering av kunstig intelligens er ikke lenger på tegnebrettet. Denne uken startet aktiv håndhevelse av EU AI Act — et regelverk som vil prege alle selskaper som utvikler eller tilbyr AI-systemer til brukere i EU. For norske tech-selskaper, som gjennom EØS-avtalen er dypt integrert i det europeiske markedet, er dette ikke en fremmed lovgivning man kan se bort fra.
Ifølge Silicon Canals melder de fleste AI-startups at de ikke er klare til å etterkomme kravene.
Hva er EU AI Act?
EU AI Act er et risikobasert regelverk som kategoriserer AI-systemer etter hvilken potensiell skade de kan forårsake. Systemer klassifisert som «høyrisiko» — for eksempel innen helsediagnostikk, rekruttering, kredittgivning og kritisk infrastruktur — er underlagt de strengeste kravene. Lavrisikosystemer som tekstgjenkjenning, anbefalingsalgoritmer og markedsføringsverktøy er i stor grad unntatt.
Kostnadene kan være knusende for mindre aktører
Forskningsgjennomganger av regelverket viser at kostnadsbildet er svært variabelt, men potensielt alvorlig for små selskaper med høyrisikoklassifiserte produkter. For en SMB med opptil 50 ansatte og en omsetning på rundt 10 millioner euro kan samlet etterlevelseskostnad for ett enkelt høyrisikoprodukt nå opp mot 400 000 euro — noe som ifølge analyser fra Centre for Data Innovation kan bety en fortjenestereduksjon på 40 prosent.
For bedrifter med 50 til 100 ansatte anslås etableringskostnadene til mellom 200 000 og 280 000 euro, med løpende årlige kostnader på 80 000 til 100 000 euro.
Kostnadene brytes ned i flere komponenter. Samsvarsvurdering via tredjepart (et såkalt «notified body») kan alene koste mellom 50 000 og 150 000 euro. Teknisk dokumentasjon koster anslagsvis 30 000 til 60 000 euro å etablere, pluss 15 000 til 25 000 euro i årlige oppdateringer. Oppsett av et kvalitetsstyringssystem (QMS) kan koste mellom 193 000 og 330 000 euro, med en årlig driftskostnad på rundt 71 000 euro.
Norske selskaper er ikke immune
Selv om EU AI Act er EU-lovgivning, gjelder den i praksis for enhver aktør som tilbyr AI-tjenester til europeiske brukere — uavhengig av om selskapet sitter i Oslo, Bergen eller utenfor Europa. Norske selskaper som opererer i EU-markedet eller har europeiske kunder, er direkte underlagt regelverket gjennom EØS-avtalen.
Dette betyr at en norsk helseteknologistartup som tilbyr diagnostisk AI til tyske sykehus, eller et norsk HR-tech-selskap med kunder i Sverige og Danmark, allerede nå må forholde seg til lovens krav.
EU har innebygd støtteordninger — men eksperter er skeptiske
EU-lovgiverne er ikke blinde for den potensielle belastningen. Regelverket inneholder flere støttetiltak rettet mot SMB-er og oppstartsbedrifter: gratis og prioritert tilgang til regulatoriske sandkasser, reduserte gebyrer for samsvarsvurdering, og forenklede formatkrav til teknisk dokumentasjon. Mikrovirksomheter med under ti ansatte kan i tillegg benytte seg av forenklede prosesser for kvalitetsstyring, noe som ifølge research kan spare mellom 80 000 og 150 000 euro.
Likevel advarer eksperter om at disse tiltakene ikke er tilstrekkelige. Analyser sitert av blant andre Silicon Canals peker på at EU AI Act samlet sett kan koste den europeiske økonomien 31 milliarder euro over fem år, og redusere AI-investeringer med nær 20 prosent. Grunnproblemet, ifølge kritikerne, er at mindre aktører mangler den juridiske, tekniske og administrative kapasiteten som store teknologikonserner kan absorbere kostnadene med.
Hva bør norske selskaper gjøre nå?
Det første steget for ethvert norsk AI-selskap med aktivitet i EU bør være å kartlegge risikokategorien til egne produkter. Selskaper som faller utenfor høyrisikoklassifiseringen, har langt enklere forpliktelser. De som faller innenfor, bør søke juridisk rådgivning og vurdere om tilgang til en regulatorisk sandkasse kan gi nyttig handlingsrom i en overgangsfase.
Håndhevelsen er i gang. Vente-og-se er ikke lenger en strategi.