AI i maskinrisikovurdering: hjælp eller skinproces?

AI i maskinrisikovurdering er kommet hurtigt ind i et felt, hvor Excel-ark, tjeklister og genbrugte dokumenter alt for længe har fået lov at ligne seriøst sikkerhedsarbejde. Skriv maskinens navn, tilføj lidt generel tekst, og få en tabel tilbage med fare, mulige skader, beskyttelsesforanstaltning, risikoniveau og restrisiko. Det ser professionelt ud. Men en pæn tabel er ikke det samme som en maskinrisikovurdering efter ISO 12100. Værdien ligger ikke i antallet af rækker eller i teknisk klingende formuleringer. Værdien ligger i, om du kan genskabe tankegangen bag hver designbeslutning. Det er beslutningssporet. Uden det har du dokumentation, der ligner analyse. Ikke analyse.

Det er også derfor, at AI ikke opfinder problemet. Den forstærker et gammelt problem: forvekslingen af dokument med proces. Før kopierede man gamle linjer fra sidste projekt. Nu kan AI skrive nye linjer på få sekunder og få dem til at lyde, som om en erfaren ingeniør har siddet med maskinen foran sig. Det er netop dér, risikoen stiger.

AI i maskinrisikovurdering er ikke en genvej

I mange år så maskinrisikovurderinger ens ud: Excel, fareliste, lidt standardsprog om skader, en håndfuld beskyttelsesforanstaltninger og til sidst en restrisiko, der på mystisk vis faldt pænt i sidste kolonne. Dokumentet var der. Felterne var udfyldt. Farverne passede. Men koblingen til virkeligheden manglede ofte.

Var der nogen, som faktisk så på, hvad operatøren gør under omstilling? Var der nogen, som forstod, hvordan en blokering fjernes i praksis? Var rengøring, justering, manuel drift, vedligehold og rimeligt forudsigelig forkert brug reelt analyseret? Eller blev rækken bare lukket, fordi dokumentet skulle blive færdigt?

Excel var aldrig synderen. Excel er bare et værktøj. Problemet var, at det er alt for let at bruge et værktøj som kulisse for en proces, der aldrig blev gennemført ordentligt. Med AI kan samme fejl laves hurtigere, flottere og mere overbevisende. Det er farligt, fordi svag dokumentation ikke længere afslører sig selv så tydeligt.

En AI-genereret tabel kan være logisk, sprogligt skarp og fuld af brancherigtige ord. Den kan nævne mekaniske farer, elektriske farer, varme flader, støj, trykluft, ergonomi og adgang til servicezoner. Alt kan se rigtigt ud. Men indtrykket af analyse er stadig ikke analyse. ISO 12100 beskriver ikke kunsten at skrive overbevisende tekst. Den beskriver en metode til at opnå sikkerhed ved konstruktion og brug af maskiner gennem risikovurdering og risikoreduktion.

ISO 12100 starter ikke med en fareliste

En af de mest sejlivede misforståelser er, at maskinrisikovurdering begynder med spørgsmålet: Hvilke farer har maskinen? Det lyder rimeligt. Maskinen har bevægelige dele, så der er mekanisk fare. Den har forsyning, så der er elektrisk fare. Den har trykluft, så der er lagret energi. Den har varme dele, så der er risiko for forbrænding. Tabellen vokser. Men det er stadig kun et katalog over mulige farer.

ISO 12100 er mere krævende. Standarden tvinger dig til at se maskinen i relation til mennesker gennem hele maskinens livsfase: transport, montage, idriftsættelse, normal drift, omstilling, rengøring, fejlfinding, vedligehold, reparation og udfasning. Risiko opstår ikke, fordi der findes en fare i abstrakt forstand. Risiko opstår, når en person under en bestemt opgave og under bestemte forhold kan havne i en farlig situation, og en farlig hændelse kan føre til skade.

Det er en afgørende forskel. Det rigtige spørgsmål er ikke bare, om der findes en roterende aksel. Det rigtige spørgsmål er, hvem der har grund til at komme tæt på den, hvornår det sker, i hvilken driftstilstand, med hvilke energier til stede, og om den valgte beskyttelsesforanstaltning faktisk løser problemet.

Derfor er en stærk vurdering ikke et stift skema, hvor alt tvinges ind i én lineær kæde. Nogle scenarier starter med en opgave: rengøring, omstilling eller justering. Andre starter med en farlig hændelse: uventet start, tab af stabilitet, svigt i styringssystemet, frigivelse af restenergi eller materialebrud. Begge retninger skal kunne håndteres. Hvis processen kun kan tænke i pæne rækker, overser den netop de situationer, der ikke passer ind i regnearket.

Det er også her, AI kan gå galt. Sprogmodeller elsker lineære mønstre. De ordner gerne verden i kolonner, pile og ren logik. Men mennesker, maskiner, fejl og omgivelser opfører sig ikke altid lineært. En maskinrisikovurdering skal kunne rumme det rod. Ellers bliver den for glat til at være troværdig.

AI i maskinrisikovurdering virker kun med kontekst

Hvis du skriver til en model, at den skal lave en risikovurdering for en pakkemaskine, får du sandsynligvis noget, der ligner en god start. Ikke en god vurdering. En god start. Der vil stå noget om indtrækning, klempunkter, elektrisk stød, varme dele, støj, trykluft og afskærmning. Det er statistisk sandsynlige svar for en typisk maskintype. Men en konkret maskine er ikke en typisk maskintype.

Den konkrete maskine har konkrete begrænsninger, konkrete adgangsveje, konkrete driftstilstande, konkrete blokeringer, konkret vedligehold og konkrete genveje, som er opstået, fordi produktionen altid finder den hurtigste vej gennem et dårligt design. AI ved ikke, at afskærmningen er så tung, at den efter to uger bliver efterladt åben. Den ved ikke, at operatøren står på den forkerte side af panelet for at kunne se processen. Den ved ikke, at det, der i instruktionen kaldes service, i virkeligheden udføres femten gange pr. skift af operatøren.

Uden disse fakta gætter AI. Og gætteri i maskinsikkerhed er kun elegant indtil første ulykke.

God brug af AI begynder derfor ikke med kommandoen lav en tabel. Den begynder med data om maskinens begrænsninger, livsfaser, opgaver, adgangsbehov, energiformer, bevægelsessekvenser og realistiske afvigelser i brugen. Først dér kan AI hjælpe med at finde huller, stille kontrolspørgsmål og strukturere dokumentationen.

AI kan for eksempel være nyttig til at spørge, om rengøring er dækket. Om operatøren har adgang til farezonen under blokeringer. Om en aktivitet sker sjældent eller flere gange dagligt. Om risikoen er reduceret gennem iboende sikker konstruktion, gennem tekniske beskyttelsesforanstaltninger eller blot gennem information til brugeren. Det er værdifuldt. Men AI må ikke selv opfinde svarene, hvis maskindata mangler.

Prompten er ikke en metode efter ISO 12100

En anden fristelse er troen på, at et bedre prompt løser problemet. Skriv, at modellen skal følge ISO 12100. Bed den tage hele livsforløbet med. Kræv mekaniske, elektriske, termiske, ergonomiske og styringsrelaterede farer. Tilføj krav om restrisiko og hierarki for risikoreducerende foranstaltninger. Resultatet bliver ofte pænere. Men pænere er ikke det samme som bedre.

Et prompt kan ikke tilføre fakta, der ikke findes i input. Modellen kan udfylde hullerne med sandsynlige antagelser, men det er netop hullerne, der ofte afgør, om vurderingen holder. Det kan være efterløb efter stop. Det kan være manuelle udtræk af materiale ved fejl. Det kan være adgang til en platform, der aldrig blev tænkt som arbejdssted. Det kan være fugt, støv, lave temperaturer eller en nabomaskine, der ændrer den reelle adgang til fareområdet. Det kan være forskellen mellem det, instruktionen siger, og det hallen faktisk gør.

Så nej: problemet er ikke, at AI ikke kender ordlyden i ISO 12100. Problemet er, at en maskinrisikovurdering ikke er en sprogøvelse. Det er et stykke ingeniørarbejde, hvor farer bindes til virkelige opgaver, virkelige farlige situationer, virkelige farlige hændelser og virkelige designvalg.

Den største værdi i et godt AI-værktøj ligger derfor ikke i automatiske svar, men i de spørgsmål, det tvinger frem:

• Hvem bruger maskinen, og hvem vedligeholder den?
• Hvilke opgaver udføres dagligt, og hvilke kun ved fejl?
• Hvor kræver arbejdet adgang bag en afskærmning?
• Hvor presser takt og produktion folk til at omgå beskyttelsesforanstaltninger?
• Hvilke risici er reelt reduceret, og hvilke er kun beskrevet?

Det er hårde spørgsmål. Men uden dem bliver vurderingen blød på den forkerte måde.

Beslutningsspor er vigtigere end en flot tabel

En seriøs maskinrisikovurdering skal kunne genskabes. Ikke bare læses. Genskabes. Det betyder, at du senere skal kunne forklare, hvorfor en fare blev vurderet som relevant, hvorfor eksponeringen blev bedømt som den blev, hvorfor en skade blev vurderet med en bestemt alvor, hvorfor en bestemt beskyttelsesforanstaltning blev valgt, og hvorfor restrisikoen blev accepteret.

Hvis dokumentet kun viser resultatet, men ikke tænkningen, er det svært at forsvare. Det gælder ved audit, ved ombygning, ved tvist med kunde og især efter en hændelse. Sætningen AI foreslog det er ikke et argument. Det var det samme problem dengang svaret hed sådan stod det i Excel.

Beslutningssporet er det, der skiller teknisk arbejde fra dokumentationspynt. Hvis risikoen reduceres med en afskærmning, skal det kunne forklares, hvilken adgang den skal forhindre, under hvilken opgave, og hvorfor den ikke skubber problemet videre til omgåelse. Hvis der vælges en sikkerhedsfunktion, skal scenariet være tydeligt: Hvilken farlig hændelse skal afbrydes, og hvorfor er denne løsning egnet? Hvis der efterlades restrisiko, skal det være klart, hvorfor yderligere risikoreducerende foranstaltninger ikke er rimelige eller mulige.

Her kan AI faktisk være nyttig. Ikke som forfatter af ansvar, men som assistent til at gøre beslutningssporet mere konsistent. Den kan opdage manglende begrundelser, pege på uklare spring mellem fare og beskyttelsesforanstaltning og fremhæve steder, hvor restrisikoen falder uden synlig årsag. Men hvis processen er svag, laver AI bare tågen flottere.

Eksempel: gaffelføler på en slitter

Tag et jordnært eksempel. På en slitter registrerer en gaffelføler materialebanens position. Når banebredden ændres, skal operatøren flytte føleren. Problemet er, at justeringen ligger i farezonen. For at flytte føleren skal operatøren ind i et område med bevægelige ruller, aksler, indtrækningspunkter, spændt materiale eller dele af skæresystemet.

Hvad gør AI med et generelt input? Den giver ofte et standardsæt: anvend LOTO, oplær operatøren, markér fareområdet, brug afskærmning, sørg for instruktion og nødstop. Det lyder fornuftigt. Det kan også være dokumentationsmæssig flugt fra den rigtige diskussion.

Det rigtige spørgsmål er ikke først, hvordan man beskriver risikoen ved adgang til farezonen. Det rigtige spørgsmål er, hvorfor operatøren overhovedet skal ind i farezonen for at udføre en normal omstilling.

Hvis ændring af banebredde er en almindelig, tilbagevendende produktionsopgave, er det ikke nok at gemme problemet i LOTO og oplæring. Så skal du starte med hierarkiet i ISO 12100: Kan faren fjernes eller risikoen reduceres gennem iboende sikker konstruktion? Kan gaffelføleren flyttes fra ydersiden? Kan der laves skala, mekanisk positionering eller receptstyret indstilling? Kan holderen ændres, så justering sker uden adgang bag afskærmning? Kan detektionen løses på en anden måde, så manuel justering i farezonen forsvinder?

Først hvis behovet for adgang ikke kan elimineres konstruktivt, giver det mening at arbejde videre med tekniske beskyttelsesforanstaltninger og derefter information til brugeren. Måske kræver opgaven en særlig driftstilstand med begrænset hastighed. Måske kræver den holdetryk, sikker stopfunktion eller en afskærmning, der gør testen mulig uden at invitere til omgåelse. Måske er LOTO relevant ved vedligehold, men helt urealistisk ved en opgave, der udføres flere gange pr. skift.

Det er præcis grænsen mellem en AI, der genererer dokumentation, og en AI, der understøtter proces. Generatoren skriver, hvad der plejer at stå. Assistenten stiller det irriterende, men nødvendige spørgsmål: Burde denne opgave overhovedet kræve adgang til farezonen?

AI som støtte i vurderingen er én ting. AI i en sikkerhedsfunktion er noget helt andet

Her er det vigtigt at skille to diskussioner ad. Den ene handler om AI som støtte til ingeniørens arbejde med maskinrisikovurdering. Den anden handler om AI eller maskinlæring inde i selve maskinen, især hvis systemet skal levere en sikkerhedsfunktion. Det er ikke samme liga.

Maskinforordningen (EU) 2023/1230 kræver, at producenten gennemfører en risikovurdering for at fastlægge de relevante væsentlige sundheds- og sikkerhedskrav og de nødvendige risikoreducerende foranstaltninger. Det ansvar kan ikke skubbes over på en sprogmodel. Producent, konstruktør, integrator og den organisation, der bringer maskinen i omsætning eller tager den i brug, sidder stadig med ansvaret.

Forordningen går samtidig længere på et afgørende punkt: sikkerhedskomponenter med helt eller delvist selvændrende adfærd baseret på maskinlæring, og maskiner med sådanne indbyggede systemer for så vidt angår disse systemer, er behandlet som en særlig kategori. Det er ikke, fordi lovgiver er imod ny teknologi. Det er, fordi afhængighed af data, manglende gennemsigtighed, autonomi og opkobling kan øge både sandsynlighed for skade og skadeomfang. Her er vi ikke i skrivehjælp. Her er vi i vurdering af overensstemmelse med skærpet disciplin og med inddragelse af et bemyndiget organ.

AI Act trækker i samme retning. Et AI-system kan være et AI-system med høj risiko, blandt andet når det er beregnet til at fungere som sikkerhedskomponent i et produkt omfattet af harmoniseret EU-lovgivning nævnt i bilag I, eller selv er et sådant produkt, og produktet kræver tredjepartsvurdering af overensstemmelse. Så er det ikke nok, at modellen normalt virker godt. Der kræves risikostyring gennem hele livscyklussen, menneskeligt tilsyn, dokumentation, passende nøjagtighed, robusthed og cybersikkerhed.

Det er også den rigtige ingeniørlogik. I sikkerhed handler spørgsmålet ikke kun om de 95 eller 99 procent, hvor systemet rammer rigtigt. Det handler om den ene situation, hvor input afviger fra testdata, hvor lysforhold ændrer sig, hvor sensoren er beskidt, hvor materialet opfører sig anderledes, eller hvor en operatør gør noget, dokumentationen ikke havde fantasi til at forestille sig. Hvad sker der så? Hvordan opdages det? Hvordan bringes systemet til en sikker tilstand? Det er de spørgsmål, der afgør, om en løsning er moden eller bare moderne.

Så lad os skære det helt rent: AI, der hjælper med at strukturere en maskinrisikovurdering, kan være nyttig. AI, der indgår i en sikkerhedsfunktion, udløser en helt anden teknisk og regulatorisk tyngde. Bliver de to ting blandet sammen, ender man enten med en falsk tryghed i dokumentationen eller med en sikkerhedsfunktion, der sælges på præsentation i stedet for på bevis.

Konklusion: brug AI som assistent, ikke som alibi

AI i maskinrisikovurdering kan være et stærkt værktøj. Den kan spare tid, rydde op i data, pege på mangler og gøre dokumentationen skarpere. Men den kan ikke erstatte forståelsen af maskinen, opgaverne, adgangene, de farlige situationer, de farlige hændelser og de designvalg, der faktisk reducerer risikoen.

Når AI bruges rigtigt, styrker den processen. Når den bruges forkert, producerer den bare en mere overbevisende illusion. Og i maskinsikkerhed er illusioner ikke uskyldige. De holder kun lige indtil virkeligheden møder konstruktionen.