← Innsikt

Sikkerhet og regelverk

AI og regelverk i Norge: hva må bedrifter ha på plass?

Hvordan personvernregler, EUs AI-forordning og krav til informasjonssikkerhet påvirker bedrifter som tar i bruk AI i Norge, og hva dere bør gjøre nå.

AIEngineers3 min lesetidRen tekst

Kort svar: AI-løsninger i Norge må følge de samme reglene som andre IT-systemer, særlig personvernforordningen (GDPR). I tillegg kommer EUs AI-forordning (AI Act) gjennom EØS-avtalen. Hvor strenge kravene blir, avhenger av hva løsningen brukes til, ikke av hvilken teknologi den bygger på.

Tre regelsett som betyr mest

1. Personvern (GDPR og personopplysningsloven). Behandler løsningen opplysninger om personer, trenger dere et behandlingsgrunnlag, en databehandleravtale med leverandøren og kontroll på hvor dataene lagres og sendes. Ved høy risiko for personvernet kreves en vurdering av personvernkonsekvenser (DPIA). Datatilsynet fører tilsyn.

2. EUs AI-forordning. Forordningen deler AI-systemer inn etter risiko:

  • Forbudt bruk, for eksempel sosial poengsetting og visse former for manipulasjon.
  • Høy risiko, for eksempel AI som brukes i ansettelser, kredittvurdering, utdanning eller kritisk infrastruktur. Her stilles krav til risikostyring, datakvalitet, dokumentasjon, logging og menneskelig kontroll.
  • Krav om åpenhet, for eksempel at folk skal vite at de snakker med en chatbot, og at generert innhold kan merkes.
  • Lav risiko, som de fleste interne effektiviseringsverktøy.

Forordningen trer i kraft trinnvis i EU. Norge innfører den gjennom EØS og en egen norsk lov, og regjeringen har pekt ut Nkom som koordinerende tilsynsmyndighet. Datoene for de enkelte kravene kan justeres, så sjekk gjeldende status før dere planlegger.

3. Informasjonssikkerhet. Virksomheter i utsatte sektorer, som energi, helse og finans, har egne krav. Generelt forventes det at dere kan dokumentere tilgangsstyring, logging, leverandørkontroll og beredskap, også for AI-løsninger.

Hva betyr dette i praksis?

De fleste bedrifter som bruker AI til å sortere saker, lage utkast eller lage prognoser, havner ikke i høyrisikokategorien. Det betyr ikke at de kan la være å gjøre noe. Disse spørsmålene bør dere kunne svare på:

  1. Hvilke data sendes inn, og inneholder de personopplysninger eller forretningshemmeligheter?
  2. Hvor behandles dataene, og bruker leverandøren dem til å trene egne modeller?
  3. Hvem kan se hva, og logges bruken?
  4. Hvilke beslutninger tar løsningen, og hvor går grensen for når et menneske skal se saken?
  5. Hvordan måles kvaliteten, og hva skjer når modellen endres?

Fem tiltak dere kan gjøre nå

  1. Lag en oversikt over AI-bruken. Både egne løsninger og verktøy de ansatte bruker på egen hånd.
  2. Klassifiser hver løsning etter risiko. Bruk AI-forordningens kategorier som utgangspunkt.
  3. Avklar data og avtaler. Databehandleravtale, lagringssted og om data brukes til trening.
  4. Bygg inn menneskelig kontroll der feil kan få konsekvenser for kunder, ansatte eller drift.
  5. Dokumenter testing. Et fast testsett viser hvor godt løsningen treffer, og er god dokumentasjon overfor tilsyn og kunder.

Kilder og videre lesning

Artikkelen er generell informasjon, ikke juridisk rådgivning.

AIEngineers bygger AI-løsninger med logging, testsett og menneskelig kontroll fra første dag. Ta kontakt for en gjennomgang av en løsning dere bruker i dag.