EU KI-forordningen: hva betyr den for norske virksomheter som bruker AI i SaaS?

EU KI-forordningen (AI Act) er det første omfattende regelverket for kunstig intelligens i Europa. Som EØS-land blir forordningen relevant for norske virksomheter. Men hva betyr dette i praksis når du ikke utvikler KI selv, men kjøper programvare med KI-funksjonalitet?

Hvorfor dette gjelder deg

Det gjelder deg hvis virksomheten bruker KI-funksjonalitet (typisk i SaaS) til å påvirke beslutninger, vurderinger eller kommunikasjon med ansatte, kunder eller kandidater.

Du kan få plikter selv uten å utvikle KI selv (rollen som deployer)
Du må vite hva du bruker og hvilket risikonivå bruken faller i
Du må kunne dokumentere vurderinger og rutiner hvis noen spør (tilsyn/kunder)

Mange norske virksomheter tror at KI-forordningen bare gjelder de som utvikler KI-systemer. Det stemmer ikke. Forordningen skiller mellom flere roller, og den som tar i bruk et KI-system (deployer) har egne plikter.

Hvis virksomheten din bruker programvare med KI-funksjoner, for eksempel rekrutteringssystemer, kundeservicechatboter eller analyseverktøy, kan du ha plikter etter forordningen.

De viktigste konsekvensene for norske SMB

Du må vite hva du bruker

Første steg er å ha oversikt over hvilke KI-systemer virksomheten bruker. Mange er ikke klar over at programvare de allerede har inneholder KI-komponenter. En kartlegging av eksisterende systemer er derfor nødvendig.

Du må forstå risikonivået

Forordningen klassifiserer KI-systemer etter risiko. Noen bruksområder, som rekruttering og ansattovervåkning, er definert som høyrisiko og utløser strenge krav. Andre bruksområder har lavere krav. Du må vurdere hvilken kategori dine systemer faller i.

Du har egne plikter selv om leverandøren har ansvar

Leverandøren (provider) har hovedansvaret for at systemet teknisk oppfyller kravene. Men som bruker (deployer) har du egne plikter knyttet til:

Å bruke systemet i tråd med leverandørens instruksjoner
Å sikre at input til systemet er relevant for formålet
Å informere berørte personer om at KI brukes
Å sikre menneskelig tilsyn der dette kreves
Å overvåke systemet og rapportere alvorlige hendelser

Dokumentasjon blir viktig

Du må kunne dokumentere at du har vurdert og håndtert kravene. Dette betyr ikke nødvendigvis store papirmengder, men en strukturert tilnærming der du kan vise: