EU AI Act og autistiske KI-redskaber

Bruxelles præciserer i disse uger, hvilke KI-systemer der betragtes som højrisiko. For sundheds- og uddannelses-KI er spørgsmålet afgørende. Autistic Mirror befinder sig bevidst ikke i denne kategori. Hvad det betyder i praksis.

Hvad det handler om, i to sætninger

EU AI Act er den første forordning der klassificerer KI-systemer efter risiko. Hvor der er tale om diagnoser, skolepladser, rehabiliteringsadgang eller personalebeslutninger, gælder de strengeste krav. Det er netop her det afgøres, hvilke KI-redskaber autistiske mennesker kan bruge sikkert, og hvilke der ikke er juridisk eller etisk holdbare.

Hvad EU AI Act regulerer

AI-forordningen (forordning EU 2024/1689)^[1] er trådt i kraft siden august 2024 og indføres gradvist. Forbud mod bestemte praksisser og AI-kompetencepligten (artikel 4) gælder fra 2. februar 2025. Forpligtelserne for alformåls-AI-modeller gælder fra 2. august 2025. Den afgørende frist for de fleste udbydere er 2. august 2026: Fra denne dato gælder de fulde krav for højrisiko-AI-systemer i henhold til bilag III.^[1]

Forordningen skelner mellem fire risikoniveauer: forbudte praksisser, højrisikosystemer, systemer med begrænset risiko og systemer med minimal risiko. Niveauet afgør omfanget af forpligtelser.

Grænsen for sundheds- og uddannelses-KI

Bilag III nævner de områder, hvor KI-systemer automatisk betragtes som højrisiko.^[1] Tre af dem berører særligt diskussionen i HR-kredse: Uddannelse og erhvervsuddannelse, beskæftigelse og personaleledelse, adgang til vigtige tjenester herunder sundheds- og sociale ydelser. Den der forbereder eller træffer beslutninger på disse områder, falder ind under højrisiko-korridoren.

Bilag I kobler desuden til medicinsk udstyr. Så snart en KI bruges som sikkerhedskomponent i medicinsk udstyr eller som in vitro-diagnostik, betragtes den som højrisiko uanset anvendelsestilfældet.^[3][5]

Artikel 6, stk. 3 giver en snæver undtagelse: Hvis et system kun varetager en forberedende eller rent teknisk opgave og ikke skaber væsentlig risiko for grundlæggende rettigheder, kan det falde uden for højrisiko-kategorien på trods af bilag III-området. Men så snart der finder profilering sted, altså automatiseret vurdering af personlige aspekter, gælder undtagelsen ikke længere.

Hvorfor Autistic Mirror ikke er højrisiko-KI

Autistic Mirror er udtrykkeligt ikke et medicinsk produkt. Denne position fremgår af privatlivspolitikken afsnit 2.4 og af vilkårene og betingelserne. Der er ingen diagnose, ingen terapi, ingen triage, ingen anbefaling af medicinske foranstaltninger. Opgaven er snævert defineret: forklare neurologiske mekanismer i autistisk oplevelse og støtte selvrefleksion.

Fire punkter begrunder placeringen uden for højrisiko-korridoren:

1. Ikke medicinsk udstyr i henhold til MDR/IVDR.^[3][5] Dermed gælder bilag I ikke.
2. Ingen beslutningsforberedende funktion inden for uddannelse, beskæftigelse eller adgang til vigtige tjenester. Appen vurderer ikke personer, sorterer ikke ansøgninger og tildeler ikke skole- eller rehabiliteringspladser. Dermed gælder de tre kritiske søjler fra bilag III ikke.
3. Ingen profilering i henhold til artikel 4, nr. 4 GDPR. Onboarding-oplysninger, rolle, ledsagediagnoser, aldersgruppe, konfigurerer udelukkende systempromptsættet. Der finder ingen automatiseret vurdering af personlige aspekter sted, ingen forudsigelse om adfærd, præstation eller helbred. Dermed forbliver undtagelsen i artikel 6, stk. 3 anvendelig.
4. Ingen automatiseret beslutning i henhold til artikel 22 GDPR.^[2][7] Der opstår ingen retsvirkninger eller lignende væsentlige indvirkninger af brugen. Svarene er forklarende, ikke besluttende.

Appen leverer ikke rådgivning i klinisk forstand. Når brugere eksplicit spørger om diagnose- eller behandlingsveje, aktiveres et outputfilter, der afviser anmodningen og henviser til fagpersoner. Det er ikke selvbegrænsning, men den rene grænse mellem forklaring og anbefaling.

Ingen emotionsgenkendelse, ingen biometrisk kategorisering

Artikel 5, stk. 1, litra f i EU AI Act forbyder systemer til emotionsgenkendelse på arbejdspladsen og i uddannelsesinstitutioner.^[1][4] Autistic Mirror foretager ingen emotionsgenkendelse. Der er ingen lydbehandling, ingen kameraanalyse, ingen stemme- eller ansigtsgenkendelse, ingen biometrisk kategorisering. Input er fri tekst. Appen udelukker dermed også en praksis, der ville være særligt risikabel for autistiske mennesker, fordi deres følelsesmæssige udtryk systematisk fejlfortolkes.

Transparenspligter i henhold til artikel 50

Også uden for højrisiko-korridoren gælder transparenspligterne fra artikel 50 fra 2. august 2026. Brugere skal kunne genkende at de interagerer med et KI-system. Autistic Mirror opfylder dette konsekvent: produktnavn, onboarding, privatlivspolitik og hvert svar er markeret som KI-genereret. Der er ingen imitation af menneskelig rådgivning, intet skinnet af et terapeutisk forhold.

Udbydere, operatører og GPAI-klassificering

Autistic Mirror er udbyder (provider) i henhold til EU AI Act. Organisationer der udleverer appen til deres medarbejdere som led i en B2B-licens, er operatører (deployers) og bærer forpligtelserne fra artikel 26, i det omfang de finder anvendelse. Da Autistic Mirror ikke er højrisiko, begrænser disse forpligtelser sig i det væsentlige til interne brugsregler og information til medarbejderne. Den underliggende sprogmodel er en alformåls-AI-model (GPAI) fra en tredjepartsudbyder. GPAI-forpligtelserne fra kapitel V påhviler modeludbyderen, ikke Autistic Mirror.

Hvorfor det tæller for autistiske mennesker

Når en generisk KI i rådgivnings-, skole- eller arbejdssammenhæng fremsætter en adfærdsanbefaling, for eksempel "øv øjenkontakt" eller "reducer stimming", griber den dybt ind i autistisk oplevelse. Uden fagperson imellem. Uden mekanismeforklaring. Sådanne anbefalinger følger ofte en logik der ønsker at undertrykke autistiske reaktioner fremfor at forstå dem.

EU AI Act adresserer netop denne risiko. Den tvinger udbydere til at erklære sig: Stiller jeg diagnoser eller anbefalinger med virkning på uddannelse, beskæftigelse eller helbred, eller holder jeg mig til forklaring. Skillelinjen beskytter ikke kun udbydere mod revisioner. Den beskytter autistiske mennesker mod redskaber, der ønsker at korrigere deres neurologi fremfor at forklare den.

Hvad højrisiko-forpligtelser konkret ville koste

Den der befinder sig i højrisiko-korridoren, skal opbygge et fuldt overensstemmelsesregime: dokumenteret risikostyring, data governance med dokumentation for træningsdata, teknisk dokumentation, logningsforpligtelser, menneskelig tilsyn, nøjagtigheds- og robusthedsmålinger, overensstemmelsesvurdering. Ved bilag I-tilfælde kommer et bemyndiget organ til.

En meget citeret undersøgelse fra Centre for European Policy Studies anslår de indledende overensstemmelsesomkostninger for et enkelt højrisiko-KI-system til ca. 29.277 euro, suppleret med årlige omkostninger på ca. 71.400 euro for et certificeret kvalitetsstyringssystem. Begge tal ekskl. interne personaleomkostninger og efterfølgende revisioner.^[6] For et lille team er det kun bæredygtigt, hvis anvendelsestilfældet faktisk er højrisiko. Svaret er ikke at omgå forpligtelserne, men at afgrænse anvendelsestilfældet klart.

Hvad vi frivilligt opfylder alligevel

Også uden for højrisiko-korridoren gælder GDPR, ePrivacy og nationale krav. Autistic Mirror opfylder fem compliancefamilier parallelt: ISO/IEC 27001 bilag A for informationssikkerhed, OWASP Top 10 for applikationssikkerhed, GDPR artikel 5, 9, 22, 25, 32, 35, EN ISO 9241 delene 110 til 210 for softwareergonomi og WCAG 2.1 niveau A og AA for tilgængelighed. Hertil en 5-lags sikkerhedsarkitektur med Anti-ABA-filter, krisegenkendelse, outputsikkerhedsfilter, injektionsdetektion og Buffer-then-Send, så hvert svar kontrolleres inden det vises.

Databeskyttelseskonsekvensvurderingen i henhold til artikel 35 GDPR er dokumenteret, fortegnelsen over behandlingsaktiviteter i henhold til artikel 30 ligeledes, og de teknisk-organisatoriske foranstaltninger i henhold til artikel 32 er udarbejdet. Der finder ingen sporing sted, ingen datasalg og ingen modeltræning med brugerindhold.

Hvordan det adskiller sig fra generisk KI

En generisk chatbot uden specialisering kan til enhver tid glide over i diagnostisk sprog, give terapiAnbefalinger eller foreslå ABA-nære strategier. Dermed befinder den sig i et juridisk uklart rum, så snart den bruges til sundheds- eller uddannelsesspørgsmål, og i et etisk kritisk rum, så snart den møder autistiske mennesker.

Autistic Mirror har et fast mekanisme-først-prompt og et outputfilter, der blokerer diagnoseAnbefalinger og ABA-indhold. Dermed holder redskabet sig inden for det tilladte område, uden at fratage brugerne den faglige dybde. Forklaring fremfor anbefaling. Mekanisme fremfor diagnose.

Generisk KI

Åbent emnerum. Ingen diagnosespærring. Ingen ABA-filter. Ingen krisegenkendelse. Svar optimeret til plausibilitet, ikke neurologisk præcision.

Autistic Mirror

Snævert anvendelsestilfælde: forklare mekanismer. Outputfilter mod diagnose- og behandlingsAnbefalinger. Anti-ABA-filter. Redundant krisegenkendelse i frontend og backend. Buffer-then-Send, så hvert svar kontrolleres inden visning.

Et lyspunkt

Regulering opleves ofte som en forhindring. I tilfældet med EU AI Act er det et tilbud om klarhed: Den tvinger udbydere til at beslutte, om de vil påtage sig diagnostisk ansvar eller ej. Redskaber der forklarer mekanismer fremfor at stille diagnoser, kan vokse seriøst uden at glide ind i højrisiko-korridoren. Det er både den juridisk rene og den etisk holdbare vej. For autistiske mennesker betyder det: redskabet forbliver brugbart, uden at nogen stilles mellem dem og deres egen neurologi.

Autistic Mirror forklarer autistisk neurologi individuelt, relateret til din situation. Hvad enten det er for dig selv, som forælder eller som fagperson.

Kilder

1. Europa-Parlamentet og Rådet: Forordning (EU) 2024/1689 om fastsættelse af harmoniserede regler for kunstig intelligens (AI-forordningen), 13. juni 2024. eur-lex.europa.eu/eli/reg/2024/1689/oj
2. Europa-Parlamentet og Rådet: Forordning (EU) 2016/679 (GDPR), 27. april 2016. eur-lex.europa.eu/eli/reg/2016/679/oj
3. Europa-Parlamentet og Rådet: Forordning (EU) 2017/745 om medicinsk udstyr (MDR), 5. april 2017. eur-lex.europa.eu/eli/reg/2017/745/oj
4. Europa-Kommissionen: Retningslinjer for forbudte praksisser i henhold til AI-forordningen (C(2025) 884 final), februar 2025. digital-strategy.ec.europa.eu
5. Medical Device Coordination Group: MDCG 2019-11 Rev.1, Qualification and Classification of Software in Regulation (EU) 2017/745 and Regulation (EU) 2017/746, 2024. health.ec.europa.eu
6. Renda, A. et al., Centre for European Policy Studies: Clarifying the costs for the EU's AI Act, 2021. ceps.eu
7. Den Europæiske Databeskyttelseskomite (EDPB): Retningslinjer og udtalelser om artikel 22 GDPR. edpb.europa.eu
8. Europa-Kommissionen, AI Office: Anvendelse og frister for AI-forordningen. digital-strategy.ec.europa.eu/en/policies/ai-office