EU AI Act stiller konkrete krav til agentiske systemer fra august

Fra august i år starter håndhævelsen af EU AI Act, og for organisationer, der arbejder med agentiske AI-systemer, er det tid til at gøre klar. Ifølge AI News kan der blive tale om betydelige sanktioner ved governance-fejl, især i højrisikoområder med personoplysninger eller finansielle operationer.

Artiklen lister en række praktiske krav, som beslutningstagere bør have styr på. Det gælder agentidentitet, omfattende logs, policy checks, menneskelig oversight, hurtig revocation af rettigheder og leverandørdokumentation. Derudover anbefales det at have et register over alle agenter, deres kapabiliteter og tildelte rettigheder.

To specifikke artikler i lovgivningen fremhæves. Artikel 9 beskrives som et krav om løbende, evidensbaseret risikostyring gennem hele deploymentforløbet. Artikel 13 handler om, at systemets output skal kunne forstås af dem, der bruger eller deployer det. Begge dele stiller krav til dokumentation og gennemsigtighed, der rækker ud over det, mange organisationer har i dag.

En vigtig pointe er menneskelig kontrol. Operatører skal kunne afvise foreslåede handlinger med nok kontekst til at gribe ind. Det er især relevant for multi-agent-processer, som artiklen beskriver som særligt svære at spore. Myndigheder kan kræve logs og teknisk dokumentation ved eller efter en hændelse.

For danske virksomheder og offentlige teams er det værd at starte med tre ting: et overblik over, hvilke agentiske systemer der allerede er i brug, en vurdering af, om logning og sporbarhed er tilstrækkelig, og en plan for, hvem der har mandat til at trække stikket, når det er nødvendigt.