Hva KI-loven betyr for vanlige bedrifter

KI-loven er EUs regelverk satt i norsk form, og den er ikke i kraft ennå

KI-loven er den norske gjennomføringen av EUs KI-forordning, ofte kalt AI Act. Forordningen trådte i kraft i EU sommeren 2024, og Norge tar den inn gjennom EØS-avtalen som en egen norsk lov tilpasset norsk rett og forvaltning.

Utkastet til norsk lov har vært på høring, og målet var lenge ikrafttredelse sensommeren 2026, omtrent samtidig som hoveddelen av forordningen i EU. Den planen er forlatt. Digitaliseringsministeren har varslet at endringene fra EUs forenklingspakke sendes på høring høsten 2026, og at regjeringen tar sikte på å legge frem proposisjonen om ny KI-lov våren 2027. Når forordningen innlemmes i EØS-avtalen, er fortsatt ikke datofestet.

For en bedrift betyr det at dere har tid, men at innholdet allerede er kjent i hovedtrekk. Det som kommer, er i all hovedsak EUs regler, og de endrer seg lite av å bli oversatt til norsk lovtekst.

Nkom koordinerer tilsynet, men Datatilsynet forsvinner ikke

Regjeringen har bestemt at Nkom skal koordinere arbeidet med KI-forordningen i Norge. Nkom skal overvåke, veilede og informere både virksomheter, forbrukere og andre myndigheter, og har fått rollen fordi de fra før har fagmiljøer på data- og internetteknologi, produkt- og utstyrsregulering og cybersikkerhet. Nkom blir samtidig koordinerende tilsyn for digitaltjenesteloven.

Koordinerende er ikke det samme som enerådende. I høringsutkastet er Nkom foreslått som koordinerende markedstilsynsmyndighet, mens sektormyndighetene fortsetter på sine felt. Datatilsynet omtaler selv Nkom som det nasjonale koordinerende KI-tilsynet, og minner samtidig om at kunstig intelligens reguleres av både personvernforordningen og KI-forordningen.

I praksis er arbeidsdelingen enklere enn den ser ut. Handler spørsmålet om personopplysninger, er det fortsatt Datatilsynet og personvernreglene som gjelder, og KI-loven kommer i tillegg. Handler det om selve KI-systemet, er Nkom adressen. Digitaliseringsdirektoratet har den tredje rollen, gjennom satsingen KI Norge og den regulatoriske sandkassen.

Bruker dere chatbot eller språkmodell, handler det først og fremst om åpenhet

Loven treffer to grupper: de som utvikler og leverer KI-systemer, og de som tar dem i bruk i egne tjenester og produkter. Virksomheter utenfor EU og EØS omfattes også når systemene deres brukes her. Kravene følger risikonivået på løsningen, ikke bransjen i seg selv.

Chatbot og bildegenerator havner i kategorien begrenset risiko. Der er hovedkravet åpenhet. Brukeren har rett til å vite at hen samhandler med KI, med mindre det er helt åpenbart at motparten er en maskin, og KI-generert innhold skal merkes tydelig.

Nkom peker på at mange virksomheter er usikre på hvilke løsninger som omfattes og hva som forventes av dokumentasjon og kontroll. Rådet Nkom selv gir, er å kartlegge hvilke KI-løsninger virksomheten har og vurdere hvilken risikokategori de havner i.

• Skriv ned hvilke KI-verktøy som faktisk er i bruk, hvem som bruker dem og til hva.
• Merk chatboten og annet publikumsrettet innhold som er laget med KI.
• Vit hvilke data som går inn i hvert verktøy, og hvor de behandles.
• Ha en eier per løsning, altså en person som kan svare på hvorfor den er tatt i bruk.

Høyrisiko er der KI påvirker folks jobb, penger eller rettigheter

Regelverket deler KI-systemer i fire kategorier. Uakseptabel risiko er forbudt, og eksemplene som nevnes er sosial poengsetting, manipulasjon av sårbare grupper og biometrisk overvåking i sanntid på offentlig sted. Høy risiko er tillatt, men strengt regulert. Begrenset risiko krever åpenhet. Minimal risiko, som spamfiltre og anbefalingsalgoritmer, har ingen spesifikke krav.

Havner en løsning i høyrisiko, kommer kravene som gjør dette til reelt arbeid: risikovurdering, krav til datakvalitet, dokumentasjon og sporbarhet, menneskelig kontroll og informasjon til dem som berøres. Høringsutkastet stiller også krav om en konsekvensanalyse for grunnleggende rettigheter, som Datatilsynet sammenligner med personvernkonsekvensanalysen mange kjenner som DPIA.

Den enkleste testen er å se på hva systemet avgjør, ikke hva det heter. Områdene som trekkes fram er kritisk infrastruktur, arbeidsliv og rekruttering, utdanning og rettssystemet, i tillegg til felt som helse, finans, transport og offentlig forvaltning der en avgjørelse kan få store konsekvenser for den det gjelder. Påvirker KI viktige livsutfall som jobb, lån eller utdanning, har den enkelte krav på å få forklart hvordan KI ble brukt og hva som lå bak avgjørelsen.

Et verktøy som skriver utkast til e-post er derfor noe helt annet enn et verktøy som rangerer jobbsøkere. Den forskjellen avgjør hvor mye dokumentasjon dere trenger, og de fleste bedrifter som bruker språkmodeller til tekst, analyse og kundedialog ligger ikke i høyrisiko.

Sandkassen hos KI Norge er for dem som bygger noe nytt, ikke for vanlig bruk

Den regulatoriske sandkassen er et innovasjonsverktøy, ikke en tilsynsordning. Den skal la norske virksomheter utvikle, teste og trene KI-systemer innenfor kontrollerte rammer i en tidsavgrenset periode før lansering, med særlig vekt på oppstartsselskaper og små og mellomstore bedrifter. Formålet er bedre konkurranseevne og lettere markedstilgang for norske KI-systemer.

Målgruppen er først og fremst leverandører og kommende leverandører, altså de som utvikler en KI-løsning som ennå ikke er på markedet. Større virksomheter og offentlig sektor kan også delta hvis prosjektet oppfyller vilkårene. Ved opptak legges det en plan med de regulatoriske spørsmålene, testene, tidsrammene og ansvarsfordelingen, og opptaket vurderes blant annet ut fra innovasjonsgrad, juridisk kompleksitet og samfunnsmessig verdi.

Sandkassen er ingen regelfri sone, og konklusjonene fra et prosjekt er verken vedtak eller godkjenninger. Den etableres og driftes i samarbeid mellom Digitaliseringsdirektoratet, Datatilsynet og Nkom, og er organisatorisk plassert hos Digdir som del av KI Norge. Den åpner først når KI-loven trer i kraft i Norge, så tidspunktet henger sammen med lovprosessen.

Bruker dere KI uten å utvikle det selv, er sandkassen altså neppe aktuell. Da er det de vanlige åpenhetskravene som gjelder.

Det som er verdt å gjøre nå, burde vært gjort uansett

Vi setter AI i drift hos kunder, og uansett hva regelverket ender med å kreve, må tre spørsmål ha svar før noe går i produksjon: hvilke modeller brukes hvor, hvilke data går inn i dem, og hvem har sagt ja til hva. Det er den samme oversikten KI-loven vil be om.

Har dere den oversikten, er merking av chatbot og KI-generert innhold en liten jobb oppå noe som allerede står. Har dere den ikke, er det der arbeidet ligger, og det er verdt å gjøre uavhengig av når loven trer i kraft.

• En liste over KI-løsninger i bruk, med formål og ansvarlig person.
• Klarhet i hvor data behandles og hva leverandøren kan gjøre med dem, som er poenget med databehandleravtale og datasuverenitet.
• Merking der brukere møter KI, både i chat og i publisert innhold.
• En vurdering av om noen av bruksområdene berører beslutninger om mennesker.

Tre tekniske spor som gjør oversikten enklere å få på plass

Skal en KI-agent gjøre noe på egen hånd i systemene deres, er det tilgangsstyring og logging som avgjør om dere kan svare på hva som skjedde. Det går artikkelen om sikkerhet og kontroll i AI-agenter gjennom.

Skal modellen bruke bedriftens egne dokumenter og data, er spørsmålet hvor dataene faktisk havner og hvem som har tilgang underveis. Det forklarer artikkelen om å koble AI til egne data.

Og skal dere prioritere hva som bør automatiseres først, er det lettere å holde seg unna høyrisiko når valget er bevisst fra start. Artikkelen om å finne riktige bruksområder for AI tar den delen.

Begynn med listen over verktøy. Alt annet i dette regelverket blir enklere når den finnes.