Hambro: EUs heltemodige forsøk på å regulere kunstig intelligens

Nye dilemma

KI vil etterhvert kunne bli benyttet på de fleste samfunns-områder, og vil innebære effektivisering og forbedring av eksisterende produksjon, i både offentlig og privat sektor. Det er sannsynlig at mange arbeidsplasser vil bli berørt. Hvor raskt dette vil skje og hva det vil bety, er usikkert.

Forordningen om KI vil trolig bli en del av EØS-avtalen og en del av norsk rett.

Bruken av KI vil også føre til nye utfordringer på mange områder. Teknologien vil kunne øke de sosiale og økonomiske forskjellene, i hvert fall på kort sikt. Det vil oppstå nye spørsmål om hvilken samfunnsutvikling som er ønskelig, og nye etiske spørsmål vil oppstå som ingen overskuer ennå. Anvendelse av eksisterende lovgivning der KI er benyttet, er et lite utforsket område.

Et eksempel på dette kan være anvendelse av forvaltningsloven der det offentlige har benyttet KI i sin saksbehandling. Et annet eksempel er forholdet mellom KI, åndsverkloven og patentloven. Kan for eksempel det som finnes på nettet brukes fritt i KI-sammenheng, uten samtykke fra opphavsmannen? Kan en syntetisk laget sang der en kjent kunstners stemme blir brukt, være tillatt uten samtykke? Får den som har brukt en chatbot opphavsretten til den frembragte teksten? Kan KI brukes til å påvirke velgere på en måte som skader demokratiet? Mange av de nye spørsmålene vil bli løst etterhvert som de dukker opp. Noen problemstillinger vil utfordre politikken. På hvilke områder og på hvilken måte skal det offentlige påvirke bruken av KI? Hvordan skal nye sosiale utfordringer møtes?

EUs lovforslag

EU legger til grunn at bruken av KI vil ha stor økonomisk betydning for Europa. Det gjelder derfor å ha en politikk som fremmer bruken av KI i det europeiske indre markedet. Samtidig er medlemslandene klar over at KI kan ha negative virkninger og at lovgivning bør motvirke dette. En viss kontroll med KI er forøvrig ikke bare ønskelig for å beskytte samfunnet og enkelt-mennesker, men også en forutsetning for at teknologien blir akseptert og tatt i bruk. Det viktigste grepet på dette feltet er en Artificial Intelligence Act (AI-Act).

Forbudet omfatter videre KI som brukes for å kartlegge fysiske personers egnethet med tanke på ulike former for kontroll, slik Kina gjør i dag. 

Kommisjonen la i 2021 fram et lovforslag til en AI-Act, som vil bli vedtatt som en forordning. Det er et omfattende stykke lovgivning det er tale om, og reglene er til dels kompliserte. Forslaget inneholder, i tillegg til fortalen, i alt 85 artikler som utgjør en tett tekst på 77 sider. I tillegg kommer ni vedlegg til forordningen. Forslaget er ikke bare omfattende, men bruker i mange bestemmelser skjønnspregete uttrykk som det kan være vanskelig å vite hva egentlig innebærer. Slik må det kanskje bli på et felt som er i rivende utvikling og når det er tale om den første internasjonale reguleringen av KI. EU utviser her heltemot ved å være i forkant. Det er også bemerkelsesverdig at de fleste EU-medlemmene ønsker en regulering av KI.

Forslaget til EU-forordning har vært gjenstand for omfattende debatt i EU-parlamentet, som i juni i år la fram sine forslag til endringer av Kommisjonens utkast. Det var opprinnelig meningen at forordningen skulle vedtas i år, men det er vanskelig å forstå at Parlamentet og Kommisjonen vil rekke dette. Parlamentet har i alt 722 endringsforslag. Vedtagelse i 2024 synes derfor mest sannsynlig. Hovedtrekkene i loven vil være i samsvar med Kommisjonens opprinnelige forslag, og fremstillingen her bygger på det. Forordningen om KI vil trolig bli en del av EØS-avtalen og en del av norsk rett.

Forbud mot underbevisst påvirkning 

Visse former for KI vil etter forordningen bli forbudt eller strengt regulert. Etter artikkel 5 gjelder dette programmer som påvirker underbevisstheten utover det personer selv er klar over og som kan volde fysisk eller psykisk skade. Det gjelder programmer som utnytter utsatte gruppers svakheter, for eksempel barn. Forbudet omfatter videre KI som brukes for å kartlegge fysiske personers egnethet med tanke på ulike former for kontroll, slik Kina gjør i dag. Endelig gjelder forbudet programmer myndigheter bruker for fjernbiometriske identifikasjon.

EU har i sitt lovforslag lagt til grunn at det ikke er nødvendig å regulere alle KI-systemer som er tillatt. Etter lovforslaget blir KI-systemer derfor delt inn i to grupper: Høyrisiko-systemer, der feil kan få betydelige konsekvenser, og andre systemer. KI-systemer som ikke medfører høy risiko, blir ikke regulert. Hva som menes med høyrisiko-systemer er forklart i vedlegg III til forordningen. Listen er omfattende og dekker for eksempel opptakssystemet til utdanning, sikkerhet knyttet til infrastruktur og systemer for oppsigelse av ansatte. Hva som vil gjelde for KI-systemer som ikke er omtalt direkte i vedlegg III er i øyeblikket noe uklart, fordi Parlamentet har endret på Kommisjonens definisjon. I hvilken grad chatboter skal regnes som høyrisiko-systemer er i øyeblikket også noe usikkert.

Erstatningsplikt  

Artikkel 15 fastsetter at KI-systemer skal designes slik at de er tilstrekkelig nøyaktige, robuste og sikre, ut fra hva det skal brukes til. Hva dette innebærer er ikke klart, og vil måtte bli klarlagt gjennom forvaltningspraksis og domstolsavgjørelser. Ved uaktsomhet vil den ansvarlige kunne bli erstatningspliktig etter nasjonal lovgivning. Kommisjonen har foreslått et direktiv som skal gjøre det enklere for den som er rammet å nå fram med sitt erstatningskrav. Kjernen i direktivet er at den ansvarlige skal være pliktig til å legge fram dokumentasjon om programvaren og dataene som er brukt med videre, regler om bevisbyrde, og presumsjonsregler om ansvar og årsakssammenheng.

Kjernen i reglene om høyrisiko-systemer vil være ulike tiltak den ansvarlige må treffe for å redusere faren for skadevirkninger. Den ansvarlige må etablere et system for kontinuerlig risiko-analyse av programvaren (art.9). Det stilles videre krav til kvaliteten på dataen som er brukt til maskinlæringen (art. 10), og det stilles krav til teknisk dokumentasjon (art. 11). Det skal føres en log over hendelser slik at det kan etterspores hva som har skjedd og hva som har vært gjort. Systemets virkemåte skal kunne overvåkes av mennesker (art. 14).

Regjeringens digitaliseringsstrategi 

Regjeringen har satt i gang arbeidet med å lage en ny nasjonal digitaliseringsstrategi, som skal foreligge i 2024. Det finnes alt en strategi for KI fra 2020.

Når det gjelder EU-lovgivningen vedrørende KI, vil innholdet i regelverket være bestemt av EU, uten noen påvirkningsmulighet for Norge.

Den nye nasjonale strategien det arbeides med, vil blant annet ta for seg de utfordringene KI-teknologien vil by på slik situasjonen ser ut nå. Når det gjelder EU-lovgivningen vedrørende KI, vil innholdet i regelverket være bestemt av EU, uten noen påvirkningsmulighet for Norge. Det som kan fortjene nærmere vurdering, er hvordan lovgivningen skal gjennomføres hos oss i praksis. Dette arbeidet er alt satt i gang.

Når den nye lovgivningen kommer på plass, vil det være behov for et kompetent organ med tilstrekkelig kapasitet for å overvåke at lovgivningen blir fulgt, som både er pragmatisk og kan være fast i klypa.

Datatilsynet peker seg ut til denne oppgaven. I tillegg vil det være behov for en veiledningskapasitet for å hjelpe bedrifter til å følge regelverket. Den nye lovgivningen vil være krevende å følge, særlig for små- og mellomstore bedrifter (SMB). Et tiltak for å lette etterlevelsen av reglene, er «regulatoriske sandkasser». De innebærer at den som skal lage eller bruke et KI-system, kan få bistand fra myndighetene med henhold til anvendelsen av regelverket.

Datatilsynet har alt etablert en «regulatoriske sandkasse» som også omfatter KI. Også andre tiltak for å hjelpe SMBer med å utvikle KI bør vurderes. Lovgivningen på området blir omfattende og komplisert. Kanskje KI kan brukes for å lage regulatoriske veiledninger som virkelig er til hjelp for dem som lager og bruker KI-systemer?