Artikel 9 i EU AI Act (Forordning EU 2024/1689) er selve kernen i lovens krav til udbydere af høj-risiko AI-systemer. Bestemmelsen etablerer ikke blot et krav om at lave en risikovurdering — den pålægger udbyderen at opbygge og vedligeholde et kontinuerligt risikoledelsessystem, der dækker hele AI-systemets livscyklus fra design til udfasning. Denne guide gennemgår Art. 9 stk. for stk. og viser, hvad et compliant risikoledelsessystem konkret indeholder.
1. Art. 9 som rygraden i EU AI Act-compliance
EU AI Act opstiller otte kernekrav til høj-risiko AI-systemer (Art. 8-15). Risikoledelsessystemet i Art. 9 er det fundament, de øvrige krav hviler på: datakvalitet (Art. 10), teknisk dokumentation (Art. 11), logning (Art. 12), gennemsigtighed (Art. 13), menneskeligt tilsyn (Art. 14) og nøjagtighed/robusthed (Art. 15) er alle afhængige af, at udbyderen systematisk har identificeret og håndteret risiciene ved systemet.
Uden et velfungerende risikoledelsessystem er det ikke muligt at:
For virksomheder, der udvikler eller markedsfører høj-risiko AI i Danmark og EU, er Art. 9 derfor ikke ét punkt på en compliance-tjekliste — det er et levende styringssystem, der løbende skal driftes og opdateres.
2. Art. 9 stk. 1-2: Kontinuerligt risikoledelsessystem — ikke et engangs-dokument
Art. 9 fastslår, at udbyderen skal etablere, implementere, dokumentere og vedligeholde et risikoledelsessystem, og at det skal løbe gennem hele høj-risiko-systemets livscyklus. Systemet skal altså køre fra det øjeblik udviklingsprocessen starter, og det skal forblive aktivt, så længe AI-systemet er i drift.
Det centrale er det iterative element. Art. 9 stk. 2 specificerer, at risikoledelsessystemet skal bestå af en løbende, planlagt proces. Det er ikke tilstrækkeligt at gennemføre én risikovurdering inden markedsføringen og derefter arkivere rapporten. Systemet skal:
Praktisk betyder dette, at risikoledelsessystemet skal have definerede review-cyklusser — eksempelvis kvartalsvis eller ved enhver væsentlig ændring i systemet — og at ansvaret for at drive processen skal være formelt tildelt en navngiven funktion i organisationen.
3. Risikoidentifikation: Kendte og rimeligt forudsigelige risici (Art. 9 stk. 2 litra a)
Det første operationelle trin i risikoledelsessystemet er at kortlægge, hvilke risici AI-systemet kan give anledning til. Art. 9 stk. 2 litra a kræver, at udbyderen identificerer og analyserer:
Sondringen er afgørende i praksis. Et system, der aldrig har fejlet i test, er ikke dermed risikofrit: hvis en fejlanvendelse er rimeligt forudsigelig, skal den være identificeret og håndteret, uanset at den endnu ikke er indtruffet. Det gælder både tilsigtet brug og den rimeligt forudsigelige fejlanvendelse (Art. 9 stk. 2 litra b).
Dokumentationskravet: identifikationen skal kunne fremvises. I praksis betyder det et risikoregister, hvor hver risiko har en kilde (test, hændelse, litteratur, myndighedsvejledning eller intern vurdering), en beskrivelse af den berørte personkreds og en sporbar kobling til den foranstaltning, der håndterer den.
4. Risikoreducerende foranstaltninger og acceptable restrisici
Når risiciene er identificeret, kræver Art. 9, at udbyderen vedtager foranstaltninger, der bringer restrisikoen ned på et niveau, der kan vurderes acceptabelt. Bestemmelsen stiller to krav, som ofte overses.
For det første skal foranstaltningerne tage behørigt hensyn til den tekniske viden, erfaring, uddannelse og træning, der kan forventes af den idriftsætter, systemet retter sig mod, samt det miljø, systemet er tiltænkt at virke i. En kontrol, der forudsætter en ekspertbruger, er ikke en gyldig afbødning, hvis systemet i praksis betjenes af en sagsbehandler uden teknisk baggrund.
For det andet skal risikoledelsen rette opmærksomhed mod beskyttelsen af sundhed, sikkerhed og grundlæggende rettigheder for alle, der kan blive påvirket af systemets output — også tredjeparter, der ikke selv er brugere, såsom jobansøgere, kunder og borgere. Det er den dimension, der adskiller Art. 9 fra klassisk produktsikkerhed.
Restrisikoen skal derefter vurderes og dokumenteres som acceptabel. Vurderingen er udbyderens, men den skal være begrundet, og begrundelsen indgår i den tekniske dokumentation.
5. Testning som led i risikoledelsen
Art. 9 binder testningen sammen med risikoledelsen: testscenarierne skal udledes af de identificerede risici, ikke omvendt. Det er her, risikoregistret får operationel værdi — hver væsentlig risiko bør kunne følges til en test, der efterprøver, om den vedtagne foranstaltning virker.
Testningen skal gennemføres, inden systemet bringes i omsætning eller tages i brug, og resultaterne indgår både i den tekniske dokumentation (Art. 11) og i grundlaget for overensstemmelsesvurderingen (Art. 43) og EU-overensstemmelseserklæringen (Art. 47).
Sådan kommer du i gang
Et Art. 9-risikoledelsessystem behøver ikke starte som et stort dokument. Det starter med tre ting: et risikoregister med kilde og berørt personkreds, en fast review-cyklus med et navngivet ansvar, og en sporbar kobling fra hver risiko til den foranstaltning og den test, der håndterer den. Er de tre på plads, er resten af Art. 8-15 langt lettere at dokumentere.