KI-forordningen: Dette må små og mellomstore bedrifter vite

EUs forordning om kunstig intelligens – ofte kalt AI Act – er verdens første helhetlige regelverk for KI. Den er EØS-relevant, og regjeringen har varslet at den skal gjelde i Norge gjennom en egen norsk KI-lov, med Nkom som koordinerende tilsynsmyndighet. For en norsk småbedrift er det viktigste å forstå hvordan regelverket er bygget opp, slik at du vet om – og hvor mye – det angår deg.

Fire risikonivåer

Forordningen regulerer ikke teknologien som sådan, men hva den brukes til. Jo større risiko for mennesker, desto strengere krav.

• Uakseptabel risiko: Enkelte bruksområder er forbudt, for eksempel manipulerende systemer og sosial poengsetting av innbyggere.
• Høy risiko: KI som brukes i blant annet rekruttering, kredittvurdering, utdanning og kritisk infrastruktur får strenge krav til dokumentasjon, kontroll og menneskelig tilsyn.
• Begrenset risiko: Chatboter og KI-generert innhold får krav om åpenhet – brukeren skal vite at de snakker med en maskin.
• Minimal risiko: Det aller meste, som rettestaving, søppelpostfiltre og tekstforslag, har ingen nye krav.

Hva gjelder for en vanlig småbedrift?

De fleste SMB-er er det regelverket kaller «idriftsettere»: Dere bruker KI-verktøy som andre har laget. Da er pliktene langt lettere enn for dem som utvikler systemene. Tre ting er likevel verdt å ta tak i allerede nå.

• Kartlegg hvilke KI-verktøy som faktisk brukes i bedriften – også de ansatte har tatt i bruk på eget initiativ.
• Sørg for KI-kompetanse: Forordningen krever at de som bruker KI i jobben har tilstrekkelig forståelse av verktøyene og begrensningene deres.
• Vær åpen overfor kundene: Har du en chatbot på nettsiden, eller publiserer du KI-genererte bilder og tekster, bør det merkes tydelig.

Når bør du være ekstra varsom?

Bruker du KI til å sile jobbsøkere, vurdere kunders betalingsevne eller ta beslutninger som har stor betydning for enkeltpersoner, kan du havne i høyrisikokategorien. Da bør du snakke med leverandøren om hvilken dokumentasjon de kan gi, og sørge for at et menneske alltid har siste ord.

For de fleste småbedrifter handler KI-forordningen mindre om byråkrati og mer om god praksis: vite hva du bruker, lære opp folk og være ærlig med kundene.

Tidspunktene for når de ulike delene trer i kraft i Norge kan avvike noe fra EU. Følg med på oppdateringer fra Nkom og Digitaliseringsdirektoratet – og bruk tiden til å rydde i egen KI-bruk før kravene blir skarpe.