Enkelt sagt handler det om dette:
Jo større konsekvenser et KI-system kan få for mennesker, jo strengere krav stilles det.
For norske bedrifter betyr ikke dette at kunstig intelligens blir forbudt. Det betyr at virksomheter må bruke KI mer bevisst, ryddig og ansvarlig.
1. Vanlig bruk av KI blir fortsatt lov
De fleste bedrifter bruker KI til ganske ufarlige oppgaver, for eksempel:
- skrive tekster
- lage bilder
- oppsummere dokumenter
- hjelpe med kundeservice
- lage idéer
- analysere enkle data
- automatisere rutinearbeid
Dette vil normalt være lov, men bedriften bør ha klare regler for bruk. Ansatte må vite hva de kan legge inn i KI-verktøy, hva som må kontrolleres manuelt, og når kunder eller brukere bør få vite at KI er brukt.
2. Høy risiko gir strengere krav
Dersom KI brukes til beslutninger som kan påvirke mennesker direkte, blir kravene mye strengere.
Eksempler kan være KI brukt til:
- rekruttering og vurdering av jobbsøkere
- vurdering av ansatte
- opptak til utdanning
- kredittvurdering
- tilgang til viktige tjenester
- sikkerhet, infrastruktur eller helse
- biometrisk identifisering
Da må bedriften kunne dokumentere hvordan systemet fungerer, hvilke data som brukes, hvordan feil oppdages, hvordan mennesker kan overstyre systemet, og hvordan man unngår diskriminering og urimelige avgjørelser.
3. Noen typer KI blir forbudt
AI Act forbyr enkelte former for KI som anses som uakseptabel risiko. Dette gjelder særlig systemer som kan manipulere mennesker, utnytte sårbare grupper eller bruke sosial rangering på en måte som truer grunnleggende rettigheter.
For vanlige norske små og mellomstore bedrifter er dette sjelden hovedproblemet. Den viktigste risikoen er heller ukontrollert bruk av KI uten rutiner, vurderinger og ansvar.
4. Bedrifter må få oversikt
Det viktigste første steget er ikke å skrive lange juridiske dokumenter. Det viktigste er å få oversikt:
Hvilke KI-verktøy bruker vi?
Hva bruker vi dem til?
Hvilke data legger vi inn?
Kan resultatet påvirke kunder, ansatte eller andre personer?
Er det alltid et menneske som kontrollerer viktige beslutninger?
Uten denne oversikten blir det vanskelig å vise at KI brukes forsvarlig.
5. AI Act henger sammen med personvern
For norske bedrifter vil AI Act ikke erstatte GDPR/personopplysningsloven. Den kommer i tillegg.
Det betyr at hvis KI-systemet behandler personopplysninger, må bedriften fortsatt ha kontroll på behandlingsgrunnlag, dataminimering, informasjon til brukere, sikkerhet og eventuelle personvernkonsekvenser.
Har bedriften allerede gode rutiner for personvern, har den et godt utgangspunkt.
6. Leverandører må kunne dokumentere mer
Mange norske bedrifter utvikler ikke KI selv, men kjøper eller bruker KI-verktøy fra andre. Da bør man begynne å stille bedre spørsmål til leverandørene:
- Hva brukes dataene våre til?
- Blir informasjonen brukt til trening av modeller?
- Hvor lagres dataene?
- Kan vi få dokumentasjon på sikkerhet og etterlevelse?
- Hvordan håndteres feil, skjevheter og klager?
- Kan mennesker overstyre KI-systemet?
Dette blir viktig både for innkjøp, avtaler og risikostyring.
7. Den praktiske betydningen
For norske bedrifter betyr AI Act i praksis:
KI kan brukes, men ikke ukritisk.
Bedrifter bør ha:
- en enkel KI-policy
- oversikt over KI-verktøy
- regler for bruk av personopplysninger og konfidensiell informasjon
- opplæring av ansatte
- menneskelig kontroll ved viktige beslutninger
- dokumentasjon når KI brukes i mer risikofylte prosesser
Den største feilen vil være å enten forby KI helt eller la alle bruke det fritt uten kontroll. Den smarte veien er kontrollert bruk: nok frihet til å hente ut gevinst, men nok struktur til å redusere risiko.
