KI-loven er forsinket – men norske virksomheter bør ikke vente

Ansvarlig KI-bruk er mer enn teknologi

KI er i ferd med å bli et vanlig arbeidsverktøy. Mange virksomheter bruker allerede kunstig intelligens i saksbehandling, kundedialog, analyser, tekstproduksjon, HR-prosesser, utvikling, markedsføring og intern effektivisering mv.

Ansvarlig KI-bruk handler om mer enn teknologi valg. Det handler om struktur, risikostyring og juridisk etterlevelse. En vanlig utfordring er at virksomheter undervurderer sin egen eksponering, eller legger til grunn at leverandøren har kontroll. Risikoen og kravene bestemmes imidlertid ikke av hva leverandøren kaller systemet, men av hva virksomheten faktisk bruker det til, hvilke data som behandles, hvem som berøres og hvilke beslutninger KI-bruken inngår i.

Hva betyr forsinkelsen – og hvilke krav gjelder allerede?

Utsettelsen av den norske KI-loven bør ikke føre til at virksomheter avventer arbeidet med KI-etterlevelse. Selv før KI-loven trer i kraft, må virksomheter vurdere bruk av KI opp mot eksisterende juridiske krav til blant annet personvern, informasjonssikkerhet, kontraktsoppfølging og forsvarlig styring. KI-forordningen gjelder dessuten allerede for virksomheter som opererer i EU, uavhengig av hvor de har sitt hjemsted.

Selv om det foreløpig ikke finnes et spesifikt norsk regelverk som regulerer bruk av kunstig intelligens, bør KI vurderes juridisk allerede nå både ved anskaffelse, innføring og løpende vedlikehold. Dette gjelder særlig når KI-verktøy behandler personopplysninger, brukes i arbeidsforhold, brukes som beslutningsstøtte, påvirker kunder eller brukere, eller behandler konfidensiell informasjon.

For mange virksomheter vil særlig personvern og GDPR være sentralt. Bruk av KI kan reise spørsmål om behandlingsgrunnlag, informasjonsplikt, dataminimering, lagring, tilgangsstyring, risikovurderinger, databehandleravtaler og overføring av personopplysninger. Også krav til informasjonssikkerhet, taushetsplikt, arbeidsmiljøloven, NIS2/digitalsikkerhetsregelverk, markedsføring, opphavsrett og kontraktsrett kan være relevante.

Når KI-loven trer i kraft, blir kravene mer direkte og KI-spesifikke. Det er likevel klokt å starte arbeidet allerede nå. De kravene som kommer med KI-loven om kompetanse og opplæring, åpenhet/informasjon og dokumentasjon vil i mange tilfeller uansett være nødvendig for å oppfylle krav til personvern, informasjonssikkerhet, internkontroll, kontraktsoppfølging og forsvarlig virksomhetsstyring.

Tiden frem til ikrafttredelse kan bli et konkurransefortrinn

Virksomheter som bruker forsinkelsen aktivt, kan få et fortrinn. De vil lettere kunne dokumentere overfor kunder, ansatte, leverandører og myndigheter at KI brukes på en ansvarlig måte. Samtidig reduseres risikoen for feil bruk av data, uklare ansvarsforhold, mangelfulle leverandøravtaler og brudd på personvern, taushetsplikt eller interne sikkerhetskrav.

Dette handler dessuten ikke bare om å unngå brudd på regelverk. For mange virksomheter kan evnen til å dokumentere ansvarlig KI-bruk også bli viktig kommersielt. Kunder, samarbeidspartnere, eiere og offentlige oppdragsgivere vil i økende grad stille spørsmål ved hvordan KI brukes, hvilke data som behandles, og hvilke kontrollmekanismer virksomheten har etablert. Dette får også betydning for leverandører og forhandlere av KI-verktøy, som i økende grad må kunne dokumentere hvordan deres løsninger håndterer data, sikkerhet, ansvar, åpenhet og etterlevelse. Etter hvert som KI-verktøy blir standard i flere bransjer, vil også forventningene til hva som er en god og forsvarlig leveranse kunne endre seg.

Virksomheter som har oversikt, retningslinjer og dokumentasjon på plass, vil derfor stå sterkere både juridisk og kommersielt.

Hva bør virksomheter gjøre nå?

Virksomheter bør bruke forsinkelsen til å få kontroll med egen KI-bruk. Det viktigste er ikke å ha alle svar på plass med én gang, men å bygge en struktur som gjør det mulig å vurdere risiko, ansvar og regelverk fortløpende, fordi både systemer, bruk og regelverk sannsynligvis vil endre seg over tid.

Sentrale tiltak er særlig å:

• Kartlegge KI-bruken: Hvilke KI-verktøy brukes, av hvem, til hvilke formål og med hvilke data og risikonivå?
• Etablere et KI-register: Registrer løsninger/systemer med KI, bruksområder, risikonivå, ansvarlig rolle og vurderinger som er gjort.
• Etablere interne retningslinjer for KI-bruk: Avklar hva ansatte kan og ikke kan bruke KI til, særlig når bruken omfatter personopplysninger, konfidensiell informasjon eller beslutningsstøtte.
• Sikre opplæring og KI-kompetanse: Opplæring bør være rolle- og risikobasert, og sikre at kompetansen dekker løsningens/systemets formål, begrensninger, risiko, korrekt bruk, menneskelig kontroll, informasjonssikkerhet og interne rutiner.
• Vurdere åpenhet: Avklar når og hvordan kunder, ansatte, brukere eller andre berørte bør informeres om KI-bruk.
• Gjennomgå leverandøravtaler: Vurder ansvar, databruk, lagring, videre bruk av input og output, sikkerhet, rettigheter og exit-muligheter.
• Vurdere personvern/GDPR og informasjonssikkerhet: KI-bruk må ses i sammenheng med behandlingsgrunnlag, formålsbegrensninger, informasjonsplikt/personvernerklæring, dataminimering, risikovurderinger, tilgangsstyring og dokumentasjon.
• Fordele ansvar internt og etablere oppfølgingsrutiner: Det bør være tydelig hvem som godkjenner bruk av KI, inkludert ny KI-funksjonalitet i eksisterende verktøy, følger opp risiko, håndterer avvik og sørger for periodisk gjennomgang når systemet, bruksområdet, datagrunnlaget eller regelverket endrer seg.

Bruk forsinkelsen til å få kontroll på KI-bruken

Forsinkelsen gir et handlingsrom til å få oversikt, og få på plass praktiske tiltak og rutiner.

For mange virksomheter er ikke utfordringen å forstå at bruk av KI innebærer risiko, men å gjøre juridiske krav og anbefalinger om til praktiske tiltak og rutiner som fungerer. Dehn bistår virksomheter med å få oversikt over KI-bruken med risikonivå, etablere KI-register, vurdere personvern og informasjonssikkerhet, utarbeide interne retningslinjer for KI-bruk, gjennomgå leverandøravtaler og etablere rutiner for åpenhet, ansvarsregulering, intern kontroll, avviksoppfølging, periodisk gjennomgang og opplæring.

Har du spørsmål om juridiske krav ved bruk, anskaffelse eller levering av KI-løsninger? Ta kontakt med advokat Grete Funderud Stillum i Advokatfirmaet Dehn for en praktisk vurdering av hvordan din virksomhet bør gå frem.