AI-politikk i bedrifter: hvordan forberede organisasjonen din på EUs AI-lov

Kunstig intelligens (KI) utvikler seg i høyt tempo og har blitt en integrert del av den daglige forretningsdriften. Fra generative KI-verktøy og chatboter til systemer som brukes til rekruttering, kundeanalyse og beslutningstaking, er stadig flere organisasjoner avhengige av KI-systemer, ofte uten full klarhet i de juridiske og organisatoriske forpliktelsene som følger med dem.

Med EUs KI-lov endres dette fundamentalt. Organisasjoner forventes å ta informerte valg om bruk av KI og aktivt håndtere tilhørende risikoer. Denne artikkelen forklarer hvordan du kan utvikle en praktisk, gjennomførbar og juridisk robust KI-policy, slik at organisasjonen din er forberedt på EUs KI-lov og fortsetter å overholde eksisterende regler, som for eksempel personvernforordningen (GDPR).

Hva er en AI-policy, og hvorfor er den nødvendig?

En AI-policy er et sett med interne regler som definerer hvordan, hvorfor og under hvilke forhold AI kan brukes i organisasjonen. Den gir veiledning til ansatte og hjelper ledelsen med å opprettholde tilsyn og kontroll etter hvert som teknologien utvikler seg.

AI er ikke lenger begrenset til IT-avdelinger eller store teknologiselskaper. Mange AI-funksjoner er innebygd i eksisterende programvare, som CRM-systemer, HR-verktøy og markedsføringsplattformer. Ansatte eksperimenterer også ofte med offentlige AI-verktøy på eget initiativ. Uten klare rekkverk kan dette føre til brudd på personvernet, diskriminering, mangel på åpenhet eller feilaktig beslutningstaking.

EUs KI-lov og GDPR pålegger organisasjoner klare ansvarsområder. Disse inkluderer forpliktelser knyttet til risikostyring, databruk, menneskelig tilsyn og åpenhet. En godt utformet KI-policy bidrar til å omsette disse kravene til daglig praksis.

Det juridiske rammeverket: EUs kunstig intelligens-lov, GDPR og sysselsetting lov

EUs KI-lov følger en risikobasert tilnærming. KI-systemer klassifiseres i ulike kategorier, fra minimal risiko til uakseptabel risiko. For bruk av KI med høy risiko, som systemer for rekruttering og utvelgelse, kredittvurdering eller andre beslutninger med betydelig innvirkning på enkeltpersoner, gjelder strenge krav.

Disse kravene dekker blant annet risikostyring og dokumentasjon, dataenes kvalitet og opprinnelse, åpenhet om hvordan systemet fungerer og hva dets begrensninger er, og effektiv menneskelig tilsyn med mulighet til å gripe inn. Enkelte KI-praksiser er fullstendig forbudt, inkludert spesifikke former for manipulerende KI og sosial scoring.

I tillegg gjelder GDPR fortsatt fullt ut. Der AI-systemer behandler personopplysninger, er kjerneprinsipper som dataminimering, lovlighet, sikkerhet og begrensninger på automatisert beslutningstaking spesielt relevante. Arbeidsrett og forbrukervernregler kan også gjelde, for eksempel i HR-relatert AI eller kundevendte AI-applikasjoner. En AI-policy knytter disse juridiske kravene til den daglige forretningsdriften.

Formål og omfang av en sterk AI-politikk

En effektiv KI-policy er ikke et teoretisk dokument; det er et praktisk kompass for alle som jobber med KI. Den bør forklare hvorfor organisasjonen bruker KI, hva den har som mål å oppnå, hvilke risikoer som oppstår, og hvordan ansatte forventes å bruke KI-verktøy på en ansvarlig måte.

Det er avgjørende å definere omfanget. Retningslinjene bør spesifisere hvilke avdelinger de gjelder for, som HR, markedsføring, kundeservice, finans, drift og forskning og utvikling. De bør også avklare hvilke typer systemer som faller inn under retningslinjene, inkludert innkjøpt AI-programvare, interne modeller, generative AI-verktøy, chatboter, poengsumverktøy og anbefalingssystemer. Til slutt bør de ta for seg om og under hvilke betingelser individuell eksperimentering med offentlige AI-verktøy er tillatt.

Viktige komponenter i en AI-policy

En KI-policy bør starte med klare definisjoner, i tråd med det brede konseptet KI i henhold til EUs KI-lov, men skrevet på et språk de ansatte kan forstå. De ansatte bør kunne gjenkjenne når de bruker et KI-system som faller inn under policyen. Praktiske eksempler etter domene, som HR, kundeinteraksjon og interne prosesser, bidrar til å realisere dette.

Retningslinjene bør deretter skille mellom tillatt bruk av KI, begrenset bruk underlagt vilkår og forbudt bruk. Forbudt bruk omfatter KI-praksis klassifisert som uakseptabel risiko i henhold til EUs KI-lov. For brukstilfeller med begrenset risiko kan retningslinjene pålegge vilkår som åpenhetsforpliktelser eller forhåndsgodkjenning. Tillatt bruk kan knyttes til sikkerhetstiltak som en risikovurdering, en DPIA og ytterligere tekniske og organisatoriske tiltak.

Styring er et annet kjerneelement. Retningslinjene bør tydelig definere hvem som har det endelige ansvaret for samsvar med regelverket for kunstig intelligens, hvem som er autorisert til å velge eller implementere nye kunstig intelligens-applikasjoner, og hvem som fører tilsyn med samsvar og håndtering av hendelser. Leverandørvalg og leverandørstyring er også viktige. Organisasjoner bør vurdere om leverandører kan oppfylle kravene i EUs kunstig intelligens-lov og sørge for at disse forpliktelsene gjenspeiles kontraktsmessig.

Data, personvern, sikkerhet og åpenhet

Fordi KI er avhengig av data, bør retningslinjene definere hvilke data som kan eller ikke kan behandles gjennom KI-systemer. De bør ta for seg dataminimering, anonymisering eller pseudonymisering der det er aktuelt, oppbevaringsperioder og separering av opplæringsdata fra produksjonsdata. For høyrisikosystemer er det ofte behov for en kombinert vurdering som tar hensyn til både EUs KI-lov og GDPR.

AI-systemer og dataene de er avhengige av må sikres på en skikkelig måte. Retningslinjene bør beskrive hvordan tilgangsrettigheter er organisert, hvordan bruk loggføres og overvåkes, og hvordan hendelser og datainnbrudd håndteres.

EUs KI-lov krever åpenhet når enkeltpersoner samhandler med KI-systemer eller når innhold genereres av KI. Retningslinjene kan derfor kreve at ansatte, kunder og andre interessenter informeres når KI brukes, inkludert viktige egenskaper og begrensninger.

Menneskelig tilsyn, skjevhet og beslutningskvalitet

For AI-systemer med betydelig innvirkning på enkeltpersoner er menneskelig tilsyn avgjørende. Retningslinjene bør spesifisere når menneskelig tilsyn eller menneskelig beslutningstaking er obligatorisk og hvordan dette tilsynet implementeres i praksis. Det er også tilrådelig å teste AI-systemer med jevne mellomrom for skjevhet, feilrater og utilsiktede konsekvenser, spesielt på områder som HR og kundeonboarding.

Opplæring og AI-kompetanse

EUs KI-lov krever at organisasjoner fremmer KI-kompetanse. En KI-policy bør derfor inkludere et opplæringsrammeverk med et grunnnivå for alle ansatte og mer avansert opplæring for spesifikke roller som HR, IT, datateam og ledelse. Regelmessige oppdateringer er nødvendige for å holde tritt med den teknologiske og juridiske utviklingen.

Fra første inventar til en moden AI-policy

En gjennomførbar AI-policy utvikles vanligvis i faser. Først identifiserer organisasjonen hvilke AI-applikasjoner som er i bruk, inkludert AI-funksjoner som er innebygd i eksisterende programvare og verktøy som er tatt i bruk av ansatte. Deretter klassifiseres disse applikasjonene etter risiko. En juridisk og organisatorisk risikovurdering følger, hvoretter AI-policyen utarbeides og samsvarer med eksisterende rammeverk for personvern, informasjonssikkerhet og HR. Policyen implementeres deretter i prosesser, kontrakter og systemer. Til slutt sikrer opplæring, kommunikasjon, overvåking og periodiske oppdateringer at policyen forblir effektiv over tid.

Konklusjon

EUs KI-lov gjør det klart at ad hoc- eller ustrukturert eksperimentering med KI ikke lenger er bærekraftig. Organisasjoner som investerer tidlig i en godt utformet KI-policy reduserer juridisk risiko og bygger tillit hos ansatte, kunder og regulatorer.

Vil du vite om organisasjonen din er klar for EUs KI-lov, eller trenger du hjelp til å utarbeide eller implementere en KI-policy? Kontakt Law & MoreVi hjelper deg gjerne.

FAQ

Er en KI-policy obligatorisk i henhold til EUs KI-lov?
EUs KI-lov krever ikke eksplisitt at organisasjoner skal ha et dokument med tittelen «KI-policy». I praksis er imidlertid en KI-policy avgjørende for å demonstrere samsvar med forpliktelsene som pålegges av KI-loven og GDPR, som risikostyring, menneskelig tilsyn, åpenhet og KI-kompetanse.

Hvilke organisasjoner er underlagt EUs KI-lov?
EUs KI-lov gjelder for så godt som alle organisasjoner som utvikler, markedsfører eller bruker KI-systemer i EU. Dette inkluderer ikke bare teknologiselskaper, men også arbeidsgivere, tjenesteleverandører og organisasjoner som bruker KI i HR, markedsføring, kundeinteraksjon, finans eller beslutningsprosesser.

Gjelder EUs KI-lovgivning hvis vi bare bruker standard programvare fra hylla?
Ja. Selv der AI-funksjonalitet er innebygd i tredjepartsprogramvare, er organisasjonen som bruker systemet fortsatt ansvarlig for bruken av det. Å stole på en leverandør fjerner ikke brukerens forpliktelser i henhold til EUs AI-lov og GDPR.

Hva er forskjellen mellom AI-systemer med lav, begrenset og høy risiko?
EUs KI-lov klassifiserer KI-systemer basert på risikonivået de utgjør for grunnleggende rettigheter og interesser til enkeltpersoner. Høyrisiko-KI omfatter systemer som brukes til rekruttering og utvelgelse, ansattvurdering, kredittvurderinger eller tilgang til viktige tjenester. Disse systemene er underlagt betydelig strengere krav.

Må alle AI-applikasjoner vurderes på forhånd?
I praksis, ja. Organisasjoner bør inventarisere og vurdere AI-applikasjoner før utrulling og klassifisere dem etter risiko. For høyrisiko-AI kreves en grundig vurdering, ofte kombinert med en konsekvensutredning for personvern i henhold til GDPR.

Hvordan forholder en AI-policy seg til GDPR?
EUs KI-lov og GDPR utfyller hverandre. Mens KI-loven fokuserer på styring, risikostyring og funksjonen til KI-systemer, regulerer GDPR behandlingen av personopplysninger. En effektiv KI-policy integrerer begge rammeverkene og sikrer konsekvent samsvar.

Er det alltid nødvendig med en konsekvensutredning for personvern når man bruker kunstig intelligens?
Ikke alltid, men ofte. Hvis et KI-system behandler personopplysninger og sannsynligvis vil medføre høy risiko for enkeltpersoner, er en DPIA obligatorisk i henhold til GDPR. Når det gjelder høyrisiko-KI i henhold til EUs KI-lov, er en DPIA ofte uunngåelig i praksis.

Kan AI-systemer ta autonome beslutninger om ansatte eller kunder?
Kun under strenge betingelser. GDPR begrenser helautomatisert beslutningstaking, og EUs KI-lov krever meningsfull menneskelig tilsyn for KI-systemer med høy risiko. I mange tilfeller må et menneske kunne gripe inn, gjennomgå eller overstyre KI-drevne beslutninger.

Kan en AI-policy begrense ansattes bruk av offentlige AI-verktøy?
Ja. Et av hovedformålene med en AI-policy er å definere om og under hvilke betingelser ansatte kan bruke offentlige AI-verktøy. Dette inkluderer vanligvis regler for å legge inn konfidensiell informasjon, personopplysninger eller sensitiv forretningsinformasjon.

Hvem er ansvarlig for å overholde AI-policyen?
AI-policyen bør tydelig fordele ansvaret for samsvar med AI. Det endelige ansvaret ligger vanligvis hos toppledelsen eller styret, med viktige roller for juridisk, samsvars-, IT- og HR-avdelingen. Uten tydelig styring er effektivt tilsyn usannsynlig.

Hva er risikoene hvis en organisasjon ikke har en KI-policy?
Fravær av en KI-policy øker risikoen for manglende overholdelse av EUs KI-lov og GDPR. Dette kan føre til betydelige bøter, håndhevingstiltak, omdømmeskade og potensielt sivilrettslig ansvar. Det gjør det også vanskeligere å demonstrere ansvarlig KI-styring overfor regulatorer.

Hvor ofte bør en AI-policy gjennomgås?
En AI-policy bør ikke behandles som et statisk dokument. Regelmessige gjennomganger er nødvendige, spesielt når nye AI-systemer introduseres, lovgivning eller regulatoriske retningslinjer endres, eller det oppstår hendelser. Årlig gjennomgang anses ofte som et minimum.

Er det et krav om AI-kompetanse for alle ansatte?
EUs KI-lov krever at organisasjoner tar grep for å fremme KI-kompetanse. Dette betyr ikke at alle ansatte må bli tekniske eksperter, men de bør forstå hva KI er, hvordan den brukes i organisasjonen og hvilke risikoer som er involvert.

Når er det lurt å søke juridisk rådgivning?
Juridisk rådgivning er spesielt tilrådelig ved utrulling av høyrisiko-KI-systemer, når det er usikkerhet om lovligheten av spesifikke applikasjoner, eller når det oppstår spørsmål angående håndheving, revisjoner eller ansvar. Tidlig juridisk gjennomgang kan forhindre kostbare korrigerende tiltak senere.