ms-ai-architect/tests/fixtures/ai-act/fixture-high-risk.md at f774e2b1581d2da0977c43753f100681bf727e80

refactor(examples): replace sector-specific example material with generic, fictitious examples

Reference files, test fixtures, the playground demo project and one design
document now use generic, fictitious examples (buildings, energy, water,
grants, municipal services). The playground demo (17 fixtures plus the
embedded demo state) tells one consistent story: a municipal customer
chatbot that pre-screens housing-benefit applications, classified under
Annex III point 5(a). The embedded demo copies were edited in place rather
than regenerated, because they already carry newer AI Act dates than the
fixture files.

Legal text is unchanged. Test semantics are unchanged. Four dark-theme
onboarding screenshots with outdated placeholder text are removed.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

2026-09-23 14:03:53 +02:00

5.7 KiB

Raw Blame History

EU AI Act — Vurdering: AutomatiskSaksbehandler

Dato: 2026-02-22 Vurdert av: AI Act Assessor Organisasjon: Direktoratet for digital tjenesteutvikling

1. Risikoklassifisering

Attributt	Verdi
Risikonivå	Høyrisiko
Annex III-kategori	Kategori 5: Tilgang til og bruk av essensielle offentlige tjenester og ytelser
GPAI-status	Ja — basert på GPT-4o via Azure OpenAI
Klassifiseringsgrunnlag	Systemet automatiserer vurdering av vilkår ved søknad om tilskudd. Direkte påvirkning på borgeres rett til tilskudd — en essensiell offentlig tjeneste.
Konfidens	Høy

Steg 1: Forbudt-sjekk (Art. 5)

Ingen forbudte praksiser identifisert. Systemet scorer ikke individer sosialt, og beslutninger kan overprøves av saksbehandler.

Steg 2: Annex III høyrisiko-sjekk

Treffer kategori 5 (a): AI-systemer som brukes av offentlige myndigheter for å vurdere berettigelse til offentlige ytelser og tjenester, inkludert tildelingsbeslutninger.

Tjenesten er en essensiell offentlig tjeneste i norsk kontekst. Automatisert vurdering av tilskuddsvilkår påvirker direkte borgeres tilgang til denne tjenesten.

Grensevurdering: Det er ingen tvil om at dette er høyrisiko. Systemet tar beslutninger som direkte påvirker enkeltpersoners rettigheter og muligheter.

Steg 3: GPAI-sjekk

GPT-4o er en GPAI-modell. Microsoft er provider av grunnmodellen. Direktoratet for digital tjenesteutvikling er deployer av det tilpassede systemet. Ettersom systemet har vesentlig tilpasning (fine-tuning på norske helseattest-vurderinger), kan Direktoratet for digital tjenesteutvikling også anses som provider av det tilpassede høyrisiko-systemet.

Steg 4: Ikke relevant — allerede klassifisert som høyrisiko

2. Rolle

Attributt	Verdi
Organisasjonens rolle	Deployer (primært) + mulig Provider (ved vesentlig tilpasning)
Begrunnelse	Som deployer har Direktoratet for digital tjenesteutvikling alle Art. 26-27 forpliktelser. Ved fine-tuning av modellen kan organisasjonen også få provider-forpliktelser for det tilpassede systemet (Art. 25).
Provider (grunnmodell)	Microsoft (Azure OpenAI Service)

3. Forpliktelser

#	Artikkel	Krav	Status	Gap
1	Art. 26(1)	Bruk i samsvar med bruksanvisning	Delvis	Bruksanvisning fra Microsoft, men ikke tilpasset norsk kontekst
2	Art. 26(2)	Menneskelig tilsyn (effektiv kontroll)	Delvis	Saksbehandler kan overprøve, men prosedyre ikke formalisert
3	Art. 26(5)	FRIA gjennomført for offentlig sektor	Ikke oppfylt	Ingen FRIA utført
4	Art. 26(6)	Loggoppbevaring minimum 6 måneder	Ikke oppfylt	Logger settes til 90 dager i Application Insights
5	Art. 27	FRIA for offentlig myndighet-deployer	Ikke oppfylt	Obligatorisk — ikke startet
6	Art. 13	Transparens: bruksinstruksjon tilgjengelig	Ikke oppfylt	Ingen Art. 13-dokumentasjon
7	Art. 14	Menneskelig tilsyn: override-mekanismer	Delvis	Override mulig men ikke systematisk
8	Art. 50(1)	Informer personer om AI-bruk	Ikke oppfylt	Borgere informeres ikke om at AI vurderer helseattester
9	Art. 9	Risikostyringssystem	Ikke oppfylt	Ingen formell risikostyring for AI-systemet
10	Art. 12	Automatisk loggføring	Delvis	Logger finnes men retention er for kort

4. Tiltaksplan

#	Tiltak	Prioritet	Frist	Ansvarlig
T1	Gjennomfør FRIA (Art. 27) — bruk `/architect:frimpact`	Kritisk	2026-05-01	Personvernombud + AI-rådgiver
T2	Etabler risikostyringssystem (Art. 9)	Kritisk	2026-06-01	Seksjonsleder
T3	Øk log retention til minimum 6 måneder (Art. 12/26)	Kritisk	2026-04-01	IT-drift
T4	Utvikle transparensnotis til borgere (Art. 50)	Høy	2026-05-01	Kommunikasjonsavdeling
T5	Formalisér override-prosedyre for saksbehandlere (Art. 14)	Høy	2026-05-15	Fagleder
T6	Gjennomfør DPIA (GDPR Art. 35) — overlapper med FRIA	Høy	2026-05-01	Personvernombud
T7	Utarbeid Art. 13 bruksinstruksjon	Middels	2026-06-15	AI-rådgiver
T8	Forbered samsvarsvurdering (Annex IV, Art. 43)	Middels	2026-07-01	Kvalitetsansvarlig
T9	Vurdér behov for ekstern samsvarsvurdering	Lav	2026-07-15	Juridisk avdeling

5. Neste steg

Umiddelbart: /architect:frimpact — FRIA er obligatorisk og bør prioriteres høyest
Innen 30 dager: /architect:dpia — Personvernkonsekvensanalyse (utdyper personverndimensjonen)
Innen 60 dager: /architect:ros — ROS-analyse med AI Act-dimensjon (dimensjon 6)
Innen 90 dager: /architect:conformity — Start samsvarsvurdering
Dokumentér: /architect:adr — Dokumenter klassifiseringsbeslutningen

Viktige frister

Frist	Krav	Relevans
2025-02-02	Forbudte AI-praksiser (Art. 5)	Gjelder ikke
2025-08-02	Governance og sanksjoner (Art. 99)	Gjelder — governance-struktur kreves
2026-08-02	Transparens (Art. 50): merking av syntetisk innhold	Vurdér Art. 50-relevans
2027-12-02	Annex III høyrisiko (frittstående) — full compliance (utsatt fra 2026-08-02)	Gjelder direkte — Art. 9-27

Referanser

ai-act-classification-methodology.md — Klassifiseringsmetodikk
ai-act-annex-iii-checklist.md — Annex III kategori 5 vurdering
ai-act-deployer-obligations.md — Art. 26-27 forpliktelser
ai-act-fria-template.md — FRIA-mal referanse
ai-act-provider-obligations.md — Art. 9-15 (ved provider-status)
ai-act-compliance-guide.md — Generell veileder
Microsoft Learn: Azure OpenAI responsible AI practices

5.7 KiB Raw Blame History