KI-loven er på vei inn i norsk rett
EU har vedtatt AI Act – et omfattende regelverk for utvikling og bruk av kunstig intelligens. Norge skal innarbeide regelverket gjennom KI-loven. Lovforslaget har vært på høring, og det kom inn 145 høringssvar, noe som viser stor interesse og betydelig engasjement.
Siden AI Act er en EU-forordning, så er de materielle kravene allerede fastsatt i regelverket. KI-loven er en gjennomføringslov, og det er ikke lagt opp til forskrift slik vi har sett for eksempel for digitalsikkerhetsloven. Planen er at KI-loven skal tre i kraft i Norge samtidig med hoveddelen av AI Act i EU, det vil si i august 2026.
KI-loven inngår også i en bredere norsk satsing på ansvarlig KI. Regjeringen etablerer blant annet KI Norge som nasjonal arena, KI-sandkasse i Digdir, og Nkom blir koordinerende KI-tilsyn. Målet er ikke å bremse KI-utviklingen, men å legge til rette for trygg, ansvarlig og etisk bruk innenfor tydelige rammer.
Hva betyr dette for virksomheter som tar i bruk KI?
I dag må virksomheter forholde seg til GDPR når KI-løsninger, som Copilot, ChatGPT og eller Claude, behandler personopplysninger. Det innebærer blant annet krav til:
- gyldig rettslig behandlingsgrunnlag
- klart definert formål
- informasjonsplikt til de registrerte
- risikovurderinger av personopplysningssikkerheten
- vurderinger av personvernkonsekvenser
- internkontroll og dokumentasjon
Med KI-loven får virksomheter flere krav og plikter. Virksomheter som tar i bruk KI-løsninger er etter KI-loven såkalte idriftssettere (deployers). Dersom KI-løsningen behandler personopplysninger – noe som i praksis ofte vil være tilfelle – så må virksomheten etterleve både GDPR og KI-loven. Det betyr at virksomheten både er behandlingsansvarlig etter GDPR og idriftssetter etter KI-loven, med delvis overlappende, men også ulike plikter.
KI-loven stiller blant annet krav til at:
- KI-systemer skal klassifiseres etter risiko
- KI-systemer med høy risiko får særskilte krav til styring, testing, sporbarhet og dokumentasjon
- KI-systemene skal overvåkes og følges opp etter idriftsetting
- virksomheten må sikre menneskelig tilsyn der dette kreves
- konsekvenser for grunnleggende rettigheter skal vurderes – ikke bare personvern
- avvik og skadevirkninger skal håndteres systematisk
- roller og ansvar må være tydelig definert
Gjennomfør forbedringshandlinger for å sikre samsvar
For å kunne etterleve KI-loven må virksomheter kunne dokumentere etterlevelsen på en strukturert og etterprøvbar måte. Her kommer løsningen samsvarsbehandling i Microsoft Purview inn i bildet.
I samsvarsbehandling finnes en egen forskrift (premium template) som heter EU Artificial Intelligence Act. Denne forskriften bryter ned kravene i lovverket til 93 organisatoriske og tekniske forbedringshandlinger:
Forbedringshandlingene er altså utledet direkte fra lovverket, og relateres til en rekke kapitler og artikler:
Forskriften i samsvarsbehandling dokumenterer ikke samsvar automatisk, og den erstatter selvfølgelig ikke de juridiske vurderingene virksomhetene må gjøre. Den fungerer imidlertid som et strukturert rammeverk for å identifisere, prioritere og dokumentere tiltak knyttet til bruk av KI-løsninger. Forskriften er ikke knyttet til en enkelt KI-tjeneste, men egner seg særlig godt for virksomheter som tar i bruk KI-funksjonalitet i M365-miljøet. Det omfatter blant annet M365 Copilot, Copilot chat og bruk av annen generativ KI som benytter virksomhetsdata lagret i SharePoint, OneDrive og Exchange.
Merk at for å kunne ta forskriften i bruk, så kreves minst en A5/E5 Compliance Suite-lisens, eventuelt en A5/E5 lisens.
La oss se nærmere på hvordan dette ser ut i praksis.
Eksempel 1 – artikkel 12: registrering og logging
Artikkel 12 i KI-loven definerer krav til registrering og logging for KI-systemer med høy risiko. Formålet er å sikre sporbarhet, etterprøvbarhet og mulighet for etterfølgende kontroll dersom noe går galt:
Følgende forbedringshandlinger er relatert til artikkel 12.1:
Disse tre forbedringshandlingene bidrar til å dekke kravene i artikkel 12 ved å sørge for logging og sporbarhet rundt hvordan KI brukes, og hva som skjer i de underliggende systemene. Når logger automatisk samles inn fra brannmurer, proxyer og andre relevante kilder, får virksomheten ett samlet bilde av hendelser og aktivitet. Det gjør det langt enklere å forstå hva som har skjedd.
I tillegg gir cloud activity logger og audit logger gode revisjonsspor for endringer i skyressurser, samt handlinger utført av brukere og administratorer. Her kan man se hvem som har gjort hva, når det skjedde, og på hvilket nivå. Samlet sett gir dette et etterprøvbart grunnlag for kontroll og oppfølging, og bidrar direkte til å oppfylle kravene i artikkel 12.
Eksempel 2 – artikkel 14 (menneskelig tilsyn)
Artikkel 14 stiller krav til menneskelig tilsyn med KI-systemer med høy risiko. Formålet er å sørge for at KI ikke skal operere uten mulighet for inngripen fra mennesker.
Følgende forbedringshandlinger er relatert til artikkel 14.4:
Her har vi fem forbedringshandlinger som samlet bidrar til å sikre at KI-løsninger ikke brukes uten styring og menneskelig kontroll. Ved å klassifisere datagrunnlaget med etiketter, og deretter begrense KI-løsningens tilgang til data gjennom DLP-policyer, reduseres risikoen for at KI får tilgang til eller deler informasjon den ikke skal.
I tillegg gir rapportene i Purview god innsikt i den faktiske bruken av KI, blant annet ved å synliggjøre om sensitive data deles i dialoger eller brukes på uønskede måter. Samlet sett er dette konkrete og praktiske tiltak som gjør det mulig å overvåke, forstå og ved behov gripe inn i KI-bruken, i tråd med kravene til menneskelig tilsyn i artikkel 14.
Merk at disse forbedringshandlingene gir 9 poeng hver. Hvis du lurer på hvorfor forbedringshandlingene gir ulike poeng, så har jeg har skrevet en artikkel om hva disse poengene betyr.
Dokumenter samsvar med vurdering (assessment)
Når forskriften er tatt i bruk og forbedringshandlinger er implementert, så kan vi kjøre en vurdering (assessment) for å se det faktiske samsvaret. Det gjør vi også i samsvarsbehandling.
Her ser vi at vi er 61 % i samsvar med lovverket:
Men – merk at denne scoren er delt inn i to deler; en del består av de forbedringshandlingene vi som virksomheten selv er ansvarlig for å implementere, og en del er de handlingene Microsoft allerede har implementert. I dette tilfellet har Microsoft fullført alle sine forbedringshandlinger, mens det gjenstår forholdsvis mange som virksomheten må implementere.
Velger vi «Your improvement actions» så ser vi hva som gjenstår:
Ouch, kun 2 % er gjennomført. Da er det bare å brette opp armene og implementere det som gjenstår!
Som vi har sett, så gir Purview gir et praktisk og strukturert utgangspunkt for å omsette lovkrav til konkrete tekniske og organisatoriske tiltak. Brukt riktig gir det virksomheter et etterprøvbart grunnlag for å dokumentere samsvar, følge opp risiko og sikre en ansvarlig bruk av kunstig intelligens over tid.
