EUs flaggskip-regelverk AI Act i politisk medvind

Først publisert i Digi.no den 22. desember 2023.

Enighet om EUs AI Act og nytt produktansvarsdirektiv: - Gir forutsigbarhet for norske selskaper.

Oppsummert:

• EUs AI Act vil regulere KI etter risiko. De rettslige kravene som stilles til bruk og utvikling av KI vil være avhengig av kategorisering.
• EUs AI Act og det nye produktansvarsdirektivet vil gi mer forutsigbare rammer for bruk av kunstig intelligens.
• Tekgigantene må nå forholde seg til EUs krav til bl.a. åpenhet, opphavsrett og håndtering av systemrisiko.
• Produktansvarsdirektiv vil gjøre det enklere for forbrukere å bevise ansvar for en mangel eller skade der produktene er komplekse.

Etter lang tids tautrekking har EU oppnådd politisk enighet om AI Act - EUs flaggskip av et regelverk for en fremtid hvor kunstig intelligens (KI) er sentralt. Samtidig ble det også enighet om et nytt Produktansvarsdirektiv, som omfatter digitale tjenester og supplerer AI Act. Kritikere har ment at EU «regulerer seg ut av AI», men det er grunn for norske selskaper til å være fornøyde - forutsigbare rammer for kunstig intelligens er gode nyheter.

EUs AI Act er en del av EUs omfattende reguleringer for en digital fremtid i Europa, og en regulatorisk tsunami vil frem mot 2030 treffe næringslivet med regler for bl.a. digitale plattformer, tilgjengeliggjøring av data, IT-sikkerhet med mer. Utviklingen av AI Act har tatt sin tid, fra EU-kommisjonen foreslo sitt første utkast til AI Act i april 2021 til den politiske enigheten som nå er oppnådd. Det kan sies at AI Act markerer at tiden for teknologinøytral lovgivning er over.

Formålet med EUs AI Act er å regulere KI etter risiko:

i) Noen typer bruk av KI innebærer uakseptabel risiko og vil forbys, som for eksempel opprettelse av databaser for ansiktsgjenkjenning fra internett eller overvåkningskamera.

ii) Bruk av KI som innebærer høy-risiko vil møte strenge krav til dokumentasjon og til å overholde menneskers rettigheter, f.eks. gjelder dette KI-gjennomgang av CVer i jobbprosesser.

iii) Bruk av KI som har lav risiko får enklere krav i hovedsak knyttet til åpenhet, for eksempel at du tekster med en KI-chatbot.

iv) Bruk av KI som har minimal risiko. Dette er typisk KI som gjør rene effektiviseringsoppgaver, f.eks. rene tekstoppgaver.

Hvilke rettslige krav som stilles til bruk og utvikling av kunstig intelligens vil avhenge av kategoriseringen. I tillegg vil kravene avhenge av om du selv utvikler KI-teknologi (og dermed er en såkalt Provider), eller om du kun er en bruker av teknologien (en såkalt Deployer). Graden av risiko og hvilken rolle selskapet har, påvirker hvilke plikter knyttet til prosesser og rapportering en part får – og hvor tunge de potensielle sanksjonene for brudd kan bli.

EU-kommisjonen fremla sitt forslag til AI Act i desember 2022. Fra da til EU-parlamentets endringer i sommer, til den endelige teksten som nå foreligger, har det skjedd en hel del. Ett av de største stridstemaene har vært om de såkalte «general purpose» KI-systemene - de store språkmodellene til OpenAI, Google og andre - skulle omfattes av spesifikk regulering nå, eller om dette skulle avventes til senere.

Etter at ChatGPT nådde 100 millioner brukere på rekordtid søkte EU-parlamentet å hensynta den tekniske utviklingen i sitt redigerte utkast til AI Act i juni 2023. Dette var ikke ukontroversielt, og utover høsten har EU måttet gå flere runder med forhandlinger for å få et endelig regelverk på plass. Store nasjoner som Frankrike (som huser språkmodellen Mistral) har vært skeptisk til for strenge reguleringer. Andre land, som Spania, har vært pådriver for tydelige krav også til denne type KI. I Tyskland og Italia har det vært til dels stor uenighet mellom ulike departementer innad i landene. Til slutt ble det oppnådd politisk enighet om regelverket.

Nå vil gigantene fra Silicon Valley måtte forholde seg til EUs krav til bl.a. åpenhet, opphavsrett og håndtering av systemrisiko. Samtidig vil KI-systemer og programvare (men ikke open-source) bli ansett som et «produkt» under Produktsansvarsdirektivet. Dette vil bl.a. gjøre det lettere for forbrukere å bevise hvem som er ansvarlig for en mangel eller skade der produktene er komplekse, f.eks. i de store språkmodellene hvor svarene genereres av en lukket modell (såkalt «BlackBox»).

Likevel mener noen at EU ikke har gått langt nok, og burde ha satt strengere krav for utviklere og eiere av de store språkmodellene og mildere krav til brukerne av modellene - slik norske selskaper typisk vil være. Det gjenstår for øvrig å se om det blir enighet om KI-ansvarsdirektivet som EU kommisjonen foreslo i 2022, som vil supplere Produktsansvarsdirektivet og AI Act med ansvarsregler for KI og utvidet informasjonsplikt.

Et annet stridstema har knyttet seg til fundamentale rettigheter som et nøkkelgrep i AI Act. Risikovurderingene ved bruk av KI knytter seg ikke bare til risiko for fysisk skade, som f. eks autonome maskiner, men også risiko for inngrep i grunnleggende menneskerettigheter. At næringslivet må forholde seg til menneskerettigheter er kjent på områder som bærekraft, diskriminering og personvern, men ikke innen produktansvarsretten - som tankene til grunn for AI Act springer ut av. Nå vil AI Act i tillegg stille krav til vurdering av hvordan høyrisiko systemer kan påvirke grunnleggende menneskerettigheter. Katalogen av beskyttede rettigheter er stor og EU kommisjonen får fullmakter til å oppdatere hva som skal anses som høyrisiko KI, så siste ord om rekkevidden av AI Act er ikke sagt.

EUs KI regulering vil vekke oppmerksomhet globalt. For næringslivet i Norge innebærer AI Act at det nå blir mer forutsigbart hvilke krav som vil gjelde i Europa. Regelverket blir raskt aktuelt for det norske næringslivet ettersom det legger plikter også på parter utenfor EU, f.eks. dersom det brukes KI i tjenesteytelser rettet mot EU-borgere. Det er også forutsigbart at regelverket vil innlemmes i EØS, selv om det ved en forglemmelse fra EU er merket som ikke relevant for EØS. En oppfordring til vår nye digitaliserings- og forvaltningsminister, Karianne Tung, kan være at implementering i norsk rett med fordel kan skje tidlig. En rask implementering vil sammen med opprettelse av en fleksibel regulatorisk sandkasse for innovative norske selskaper kunne gi nødvendig forutsigbarhet til å fremme KI-akselerasjon i Norge.