Hva er AI-regulering?

AI-regulering er samlebegrepet for lover, forskrifter og retningslinjer som styrer utviklingen, distribusjonen og bruken av kunstig intelligens. Etter hvert som AI har blitt en del av hverdagen – fra ansettelsesprosesser og kredittscoring til medisinsk diagnostikk og selvkjørende biler – har behovet for regulering blitt akutt.

Kort forklart AI-regulering handler om å lage spilleregler for kunstig intelligens – hvem er ansvarlig når AI tar feil, hvilke bruksområder bør begrenses, og hvordan sikrer vi at AI brukes til samfunnets beste?

Hvorfor trenger vi AI-regulering?

AI-systemer tar stadig flere beslutninger som påvirker folks liv. En AI kan avgjøre om du får lån, om CV-en din plukkes ut i en ansettelsesprosess, eller om du flagges som mistenkelig i en sikkerhetssjekk. Uten regulering finnes det ingen garanti for at disse beslutningene er rettferdige, transparente eller etterprøvbare.

Kjernebekymringene som driver reguleringsbehov er diskriminering der AI-systemer kan videreføre og forsterke historiske skjevheter, transparens der det kan være umulig å forstå hvorfor en AI tok en bestemt beslutning, ansvar der det er uklart hvem som er juridisk ansvarlig når AI forårsaker skade, personvern der AI-systemer krever enorme mengder data som kan inkludere personopplysninger, og sikkerhet der feil i kritiske AI-systemer kan ha alvorlige konsekvenser.

EU AI Act

EU AI Act er verdens første omfattende AI-lovgivning, endelig vedtatt i 2024. Den vil gjelde i Norge gjennom EØS-avtalen og representerer den mest ambisiøse tilnærmingen til AI-regulering globalt.

Risikobasert tilnærming

AI Act klassifiserer AI-systemer i fire risikonivåer. Uakseptabel risiko er AI-systemer som er forbudt, inkludert sosial scoring av borgere etter kinesisk modell, biometrisk masseovervåking i sanntid i offentlige rom, AI som manipulerer adferd for å omgå fri vilje, og utnyttelse av sårbare grupper.

Høy risiko er AI-systemer som er tillatt men med strenge krav, inkludert AI i ansettelsesprosesser og HR, kredittscoring og forsikringsvurdering, AI i rettsvesenet og politiarbeid, AI i medisinsk utstyr og diagnostikk, og AI i kritisk infrastruktur og transport.

Begrenset risiko er AI-systemer med transparenskrav, inkludert chatboter der brukere må informeres om at de snakker med AI, deepfakes som må merkes som kunstig generert, og emosjonell gjenkjenning med krav om informasjon.

Minimal risiko er AI-systemer uten spesielle krav, inkludert spam-filtre, AI i spill og underholdning, og AI-assistert søk.

Krav til høyrisiko-AI

For høyrisiko AI-systemer stiller AI Act krav om risikostyringssystem med løpende identifisering og håndtering av risikoer, datakvalitet der treningsdata må være representative og fri for skjevheter, teknisk dokumentasjon med detaljert dokumentasjon av systemets funksjon og begrensninger, menneskelig oversikt der mennesker må kunne overstyre AI-beslutninger, og transparens der brukere må informeres om at de interagerer med AI og hvordan systemet fungerer.

Generativ AI og grunnmodeller

AI Act har egne regler for grunnmodeller (foundation models) som GPT-4 og Claude. Leverandører av slike modeller må dokumentere treningsprosessen og datakilder, implementere tiltak for å oppdage og forhindre misbruk, merke AI-generert innhold som kunstig, og respektere opphavsrett i treningsdata.

Norsk AI-regulering

Norge implementerer EU AI Act via EØS-avtalen og har i tillegg eksisterende lovgivning som regulerer AI-bruk.

Gjeldende norsk lovgivning

GDPR (via personopplysningsloven) regulerer AI som behandler persondata. Likestillings- og diskrimineringsloven forbyr diskriminerende AI-systemer. Markedsføringsloven regulerer AI i reklame og forbrukerrelasjoner. Helselovgivningen stiller krav til AI i medisinsk bruk. Arbeidsmiljøloven regulerer AI-overvåking av ansatte.

Datatilsynet

Datatilsynet er den primære tilsynsmyndigheten for AI som behandler persondata i Norge. De har publisert veiledninger om AI og personvern, gjennomført tilsyn av AI-bruk i norske bedrifter, og deltatt i europeisk samarbeid om AI-regulering.

Norsk tilnærming

Norge har tradisjonelt vektlagt en balanserl tilnærming som fremmer innovasjon samtidig som den beskytter borgernes rettigheter. Den norske AI-strategien understreker ansvarlig AI-utvikling med fokus på tillit og åpenhet.

Global AI-regulering

USA

USA har ingen føderal AI-lov tilsvarende AI Act. I stedet har de en sektorbasert tilnærming med executive orders fra presidenten, statlige lover som Californias AI-lover, og bransjeselvregulerng. Det er politisk debatt om behovet for mer omfattende føderal regulering.

Kina

Kina har vedtatt flere AI-spesifikke lover, inkludert regulering av anbefalingsalgoritmer, deepfakes og generativ AI. Den kinesiske tilnærmingen fokuserer på å kontrollere innhold og sikre samfunnsstabilitet, med statlig godkjenning av generative AI-tjenester.

Storbritannia

Storbritannia har valgt en sektorbasert, «pro-innovation»-tilnærming der eksisterende reguleringsmyndigheter tilpasser sine regler til AI-bruk innen sine sektorer, uten en overordnet AI-lov.

Utfordringer med AI-regulering

AI-regulering er vanskelig av flere grunner. Teknologien utvikler seg raskere enn lovgivning der lover som tar år å vedta kan være utdaterte før de trer i kraft. Grenseoverskridende natur betyr at AI-tjenester opererer globalt, men lover er nasjonale eller regionale. Definisjonsproblemer gjør det vanskelig å definere «kunstig intelligens» presist nok for lovgivning. Innovasjonshemming er en risiko der for streng regulering kan drive AI-utvikling ut av regulerte regioner. Håndhevelse er kompleks fordi det er teknisk krevende å verifisere at AI-systemer oppfyller kravene.

Hva betyr dette for norske bedrifter?

Norske bedrifter som bruker eller utvikler AI bør kartlegge sin AI-bruk for å vurdere hvilke systemer som faller inn under AI Acts risikonivåer. De bør implementere risikovurdering for høyrisiko-bruk. De bør dokumentere AI-systemer med teknisk dokumentasjon, treningsdata og evalueringsresultater. De bør sikre transparens ved å informere brukere når de interagerer med AI. De bør bygge kompetanse ved å forstå regulatoriske krav og bygge intern AI-governance. Og de bør følge med på utviklingen ettersom AI Act implementeres gradvis med ulike tidsfrister for ulike krav.