Spansk veileder tvinger AI-utviklere til å velge mellom risiko

Spanias datatilsyn, AEPD, har utstedt EUs første formelle veileder for AI-agenter og personvernforordningen (GDPR). Den 71 sider lange veilederen flytter det regulatoriske fokuset fra kun AI-generert innhold til selve arkitekturen, altså hvordan agentene er bygget opp internt. Veilederen introduserer «Rule of 2», et rammeverk som tvinger utviklere til å velge mellom tre risikofaktorer: ukontrollert input, tilgang til sensitive data og autonome handlinger. Ingen AI-agent kan kombinere alle tre uten omfattende sikring, noe som betyr at utviklere må designe systemer med maksimalt to av disse faktorene til stede. Dette skal sikre at risikostyring er innebygd i AI-systemenes design, for eksempel ved å skille minnestrukturer eller begrense datalagring. En viktig presisering er at AI-agenter ansees som tekniske verktøy, ikke juridiske aktører. Ansvaret for brudd på personvern hviler dermed fortsatt på menneskene eller selskapene som tar systemene i bruk. For norske virksomheter med agenter i produksjon betyr dette at man må gjennomgå egne AI-arkitekturer og prosesser for å sikre samsvar med AEPDs prinsipper, som kan bli en de facto standard i Europa.