KI-forordningen kort fortalt

Hensikten med KI-forordningen er å etablere et felles juridisk rammeverk for utvikling, omsetning og bruk av kunstig intelligens i EU/EØS. Tanken er at forordningen skal ivareta følgende formål: ^[7]

1. Legge til rette for et velfungerende marked i EU for KI-systemer og KI-baserte varer og tjenester. Dette skal oppnås ved at landene har et felles regelverk for utvikling, omsetning og bruk av kunstig intelligens.
2. Stimulere til innovasjon på KI-området. Det skal blant annet oppnås ved at hvert land etablerer regulatoriske sandkasser for utvikling av KI-systemer (se kapittel 5). Som nevnt ovenfor, finnes det egne regler i forordningen for forskning på og utvikling av kunstig intelligens. Også disse reglene skal bidra til innovasjon på KI-området.
3. Fremme utvikling, omsetning og bruk av menneskesentrert og pålitelig KI. Med dette menes at kunstig intelligens skal respektere enkeltpersoners rett til selvbestemmelse og kontroll, ivareta personvernet og gi vern mot urettmessig diskriminering. I tillegg skal kunstig intelligens produsere pålitelige og nøyaktige resultater, og være i stand til å motstå digitale angrep.
4. Beskytte individer, samfunn og miljøet mot skadelige virkninger av kunstig intelligens. Det innebærer blant annet at KI-løsninger ikke skal påføre enkeltpersoner fysiske eller psykiske skader, og at løsningene skal respektere grunnleggende rettigheter, inkludert retten til personvern og ikke-diskriminering. Demokratiske prosesser og rettsstaten skal beskyttes mot skadevirkninger, for eksempel KI-baserte påvirknings- eller desinformasjonskampanjer. Det skal også tas hensyn til naturmiljø og bærekraft, blant annet som følge av det økende behovet for energi som utvikling og bruk av kunstig intelligens innebærer.

International AI Safety Report 2025 gir en oversikt over skadevirkninger som kan oppstå ved bruk av kunstig intelligens (International AI Safety Report 2025 | International AI Safety Report). Dette er skader som KI-forordningen har som mål å beskytte individer og samfunnet mot. Noen av dem er nevnt ovenfor og inkluderer blant annet

• Falskt innhold. KI-systemer kan generere falskt innhold, for eksempel dypforfalskninger, som skader enkeltpersoners omdømme eller relasjoner til andre personer. Slikt KI-generert innhold kan også brukes til utpressing, mobbing og svindel, for eksempel gjennom «stemmekloning».
• Pålitelighet. Brukere kan bli skadelidende dersom de handler på grunnlag av informasjon generert av KI-systemer som inneholder feilaktige påstander om faktiske forhold («hallusinering»).
• Skjevhet («bias»). Innhold generert av KI-systemer, for eksempel beslutninger eller anbefalinger, kan føre til uønsket diskriminering av visse samfunnsgrupper. Dette kan for eksempel skje dersom treningsdata ikke speiler den etniske, sosioøkonomiske, kjønnsmessige, religiøse eller politiske sammensetningen av samfunnet.
• Digitale angrep. KI-systemer kan brukes til å gjøre digitale angrep kraftigere og vanskeligere å oppdage, for eksempel ved å fremstille og distribuere avansert skadevare (løsepengevirus, spionvare, osv.). Dette kan blant annet føre til tyveri av konfidensiell informasjon eller til at datasystemer skades eller ødelegges.
• Personvern. Brukere kan få tilgang til andre personers sensitive personopplysninger fordi slike opplysninger inngår i KI-systemets treningsdata. Samtidig kan sårbarheter i programvaren fører til lekkasje av personopplysninger. Overvåking, rangering og scoring av enkeltpersoner ved hjelp av KI kan også innebære utfordringer for personvernet.
• Meningsdanning og beslutningsprosesser. Kunstig intelligens kan brukes til å gjennomføre desinformasjonskampanjer i stor skala. Dette kan bidra til å forsterke motsetninger mellom grupper i samfunnet eller påvirke utfallet av politiske beslutningsprosesser og valg.
• Opphavsrett. Det kan oppstå usikkerhet og uenighet om hvem som har rettighetene til KI-generert innhold. Rettighetsbeskyttet materiale (tekst, lyd, bilder, osv.) kan inngå i dataene som KI-systemene trenes på uten at opphavspersonene har samtykket til dette og uten at de er kompensert for bruken av materialet.

For å ivareta formålene skissert ovenfor og redusere mulige skadevirkninger, definerer KI-forordning hvilke typer kunstig intelligens som omfattes av regelverket. Dette er kunstig intelligens som, ifølge forordningen, har bestemte kjennetegn.^[8] For kunstig intelligens som mangler disse kjennetegnene, gjelder ikke forordningens regler.

Det innebærer at forordningen primært gjelder for det som omtales som KI-systemer. Et KI-system har, ifølge forordningen, følgende sentrale kjennetegn:

• Det er et «maskinbasert system».
• Systemet har en viss grad av autonomi.
• Systemet er tilpasningsdyktig etter at det er satt i drift.
• Systemet kan produsere utdata, for eksempel tekst, bilder, prediksjoner, anbefalinger eller beslutninger, på grunnlag av inndata.
• Systemets utdata kan påvirke eller ha betydning for det som skjer i fysiske eller virtuelle miljøer.^[9]

KI-systemer er altså datasystemer som i noen grad utfører oppgaver på egen hånd, det vil si uten menneskelig inngripen (autonomi). KI-systemer har også en viss evne til å endre seg selv etter at de er tatt i bruk. Det kan blant annet skje ved at språkmodeller gir mer presise svar på instrukser («prompts») etter hvert som de blir bedre til å forstå relasjoner mellom ord (tilpasningsdyktighet).

Videre kan KI-systemer omgjøre data de mottar (inndata), for eksempel i form av treningsdata og instrukser, til nye typer data (utdata). Utdata som KI-systemer produserer kan inkludere prediksjoner, anbefalinger eller beslutninger.

Systemenes utdata må i tillegg ha en viss påvirkningskraft, det vil si de har betydning for hva som skjer i systemenes omgivelser. Utdata kan for eksempel ha virkninger for samfunnet som sådan eller for grupper av mennesker eller enkeltpersoner (fysiske miljøer). Utdata kan dessuten ha innvirkning på funksjonsmåten til andre datasystemer (virtuelle miljøer).

I tillegg til KI-systemer, er KI-modeller for allmenne formål^[10] omfattet av reglene i forordningen. Dette er KI-løsninger som har svært stor regnekraft, de er trent på store mengder data og de kan brukes til en rekke forskjellige formål. KI-modeller for allmenne formål kan også brukes til å utvikle nye KI-løsninger (nedstrøms systemer eller applikasjoner).^[11]

Kunstig intelligens som trolig kan karakteriseres som KI-modeller for allmenne formål, inkluderer for eksempel ChatGPT, Llama, Le Chat og Claude.

For universiteter, høyskoler og forskningsinstitusjoner er det viktig å være oppmerksom på at KI-systemer særskilt utviklet for bruk i vitenskapelig forskning, i sin helhet er unntatt fra reglene i forordningen.^[12] Eksempler på slike KI-systemer kan være Elicit, GraphCast, IBM Watson for Science, Consensus, Semantic Scholar, BioNeMo og Scite.ai.

Et annet område som er unntatt fra reglene i forordningen, er forskning på og utvikling av KI-systemer. Dersom et universitet eller en høyskole, for eksempel i samarbeid med næringslivsaktører, deltar i utvikling av et KI-system, vil reglene verken gjelde for selve utviklingsarbeidet eller for den forskningen som utviklingsarbeidet bygger på. Men så fort et ferdigutviklet KI-system foreligger, og det tas i bruk eller tilbys i markedet, vil reglene i forordningen gjelde. Det er altså bare selve forsknings- og utviklingsfasen som er unntatt fra regelverket.

I løpet av utviklingsarbeidet kan det være aktuelt å teste en tidlig versjon av KI-systemet under så realistiske betingelser som mulig. Det kan innebære at systemet testes på virkelige brukere, det vil si personer utenfor utviklingsmiljøet. Ved denne typen testing og utprøving vil reglene i forordningen også gjelde. I forordningen omtales dette som «testing under virkelige forhold».^[13]

Rent privat og personlig bruk av KI-systemer omfattes heller ikke av reglene i KI-forordningen.^[14]

Privat bruk kan for eksempel være studenter som anvender kunstig intelligens på sine egne dataenheter til studieformål.

Som allerede antydet, gjelder KI-forordningen for personer eller virksomheter i EU/EØS-området, for eksempel norske universiteter og høyskoler, som utvikler KI-systemer eller som får andre til å utvikle slike systemer for seg. I forordningen betegnes dette som leverandører.^[15]

Forordningen gjelder også for leverandører som er etablert utenfor EU/EØS-området, men hvor deres KI-systemer tilbys for salg eller bruk i land innenfor EU/EØS. Det samme gjelder dersom utdata fra KI-systemene anvendes av personer eller virksomheter i EU/EØS.^[16]

Universiteter eller høyskoler som tar i bruk et KI-system for hjelpe seg med å løse sine oppgaver og samfunnsoppdrag, omtales i den norske oversettelsen av KI-forordningen som idriftsettere. Idriftsetterne er omfattet av flere av reglene i forordningen.^[17]

Alle leverandører og idriftsettere av KI-systemer skal sørge for at egne ansatte og andre personer som utvikler, drifter, bruker eller påvirkes av KI-systemer, har nødvendig og tilstrekkelig KI-kompetanse.^[18] Hensikten med kravene til KI-kompetanse er å sikre at formålene med regelverket ivaretas på en tilfredsstillende måte av alle relevante aktører.

Med KI-kompetanse menes blant annet teknisk kunnskap om forsvarlig utvikling, testing, evaluering og forvaltning/drift av KI-systemer. Samtidig omfatter det brukerkunnskap, for eksempel korrekt forståelse av hvordan utdata skal tolkes og kjennskap til begrensninger eller risikoer som ulike KI-systemer kan innebære. Også personer som påvirkes av KI-systemer, for eksempel at de berøres av beslutninger fattet av KI-systemer, skal ha nødvendig kunnskap om dette.^[19]

Det betyr at leverandører og idriftsettere av KI-systemer i høyere utdanning og forskning må derfor gjennomføre opplærings- og informasjonstiltak som er nødvendige for å oppfylle forordningens krav til KI-kompetanse. Virksomheter i høyere utdanning og forskning kan derfor ha nytte av EU-kommisjonen samling med eksempler på ulike typer kompetansehevende tiltak. Eksemplene er hentet fra offentlige og private virksomheter.^[20]

Nedenfor vil vi komme tilbake til hvilke øvrige krav KI-forordningen stiller til leverandører og idriftsettere av KI-systemer.

Selv om et universitet eller en høyskole er leverandør eller idriftsetter av et KI-system, og det ikke er særskilt utviklet for vitenskapelig forskning, er det fortsatt ikke sikkert at forordningen gjelder for systemet. Det skyldes at regelverket har en risikobasert tilnærming til hvordan KI skal reguleres.

Risikobasert regulering innebærer derfor at forordningen ikke omfatter alle typer KI-systemer eller alle som utvikler, omsetter eller bruker kunstig intelligens. Forordningen retter seg isteden mot KI-systemer innenfor nærmere definerte bruksområder.

Hvilke bruksområder dette er, avhenger hvor stor risikoen for skadelige virkninger vurderes å være. Forordningen gjelder derfor bare innenfor bruksområder hvor risikoen for helse, sikkerhet og grunnleggende rettigheter, inkludert personvern og ikke-diskriminering, vurderes å være såpass høy at regulering er nødvendig.

Innenfor alle andre bruksområder for KI enn de som er eksplisitt regulert i forordningen, stiller regelverket ingen krav til KI-systemer og til de som utvikler, omsetter eller bruker dem. Det betyr at dette er bruksområder hvor risikoen for skadelige virkninger vurderes å være så liten at særskilt rettslig regulering ikke er nødvendig.

Den risikotilnærmingen innebærer derfor at forordningen identifiserer ulike bruksområder for kunstig intelligens og deler områdene inn i tre risikokategorier:

• Uakseptabel høy risiko. Innenfor enkelte bruksområder for kunstig intelligens vurderes risikoen for skadelige virkninger å være uakseptabel høy. Dette er bruksområder hvor utvikling, omsetning og bruk av KI-systemer er forbudt.
• Høy risiko. Innenfor andre bruksområder for kunstig intelligens vurderes risikoen for skadelige virkninger å være høy. Dette er bruksområder hvor utvikling. omsetning og bruk av KI-systemer er tillatt, men hvor det stilles relativt omfattende krav både til selve systemene og til leverandører og idriftsettere av dem.
• Begrenset risiko. Innenfor en tredje kategori bruksområder vurderes risikoen for skadelige virkninger av kunstig intelligens å være begrenset. Her er utvikling, omsetning og bruk av KI-systemer tillatt, og det stilles mindre omfattende krav til leverandører og idriftsettere enn når det gjelder bruksområder med høy risiko.

Det er de bruksområdene som verken har uakseptabel, høy eller begrenset risiko som faller helt utenfor virkeområdet til forordningen, og som derfor ikke reguleres av regelverket.