– KI-loven krever at ledelsen forstår mulighetene i kunstig intelligens

Norske virksomheter bør ikke vente på at KI-loven formelt trer i kraft før de begynner å rydde i ansvar, kompetanse og bruk av kunstig intelligens. Det sier Arnt Olav Aardal, partner i BDO Advokater, som nylig deltok i et webinar om temaet.

Han sier at mange virksomheter forståelig nok forbinder KI-loven med regler, risiko og mulige sanksjoner. Men han mener det er en for snever forståelse.

– Skal også fremme innovasjon og KI-bruk

– Det som er interessant i kravet om KI-kompetanse, er også det at du skal ha bevissthet om mulighetsrommet ved bruk av KI. Det vil si at loven faktisk pålegger deg å gjøre en mulighetsanalyse for KI, sier Aardal.

Loven handler blant annet om å klassifisere AI-systemer etter risiko, forstå hvilken rolle virksomheten har, sørge for kompetanse og etablere kontroll med bruken. Men den handler også om innovasjon.

– Folk glemmer veldig ofte når de snakker om KI-loven at formålet også er å fremme innovasjon og bruk av KI, sier Aardal.

Ledelsen trenger ikke kunne alt, men noen må ha roret

Aardal mener likevel ikke at toppledere må bli AI-eksperter. Poenget er snarere at ledelsen må forstå nok til å stille de riktige spørsmålene og plassere ansvaret. 

– CFO, CEO eller et styre ikke kan følge med på alle teknologiske og regulatoriske endringer alene. Men de må vite at problemstillingen finnes, og sørge for at noen følger den opp. Og de er nødt til å plassere ansvaret, sier han. 

Det gjelder ikke minst leverandørmarkedet. Ifølge Aardal endrer AI-leverandører både funksjonalitet, vilkår, prising og risikobilde raskt. Dermed holder det ikke nødvendigvis å gjøre én vurdering ved innkjøp og deretter anse jobben som ferdig.

– Du er nødt til å ha noen som faktisk sitter og følger med, sier han.

Må begynne før loven kommer

KI-loven blir den norske gjennomføringen av EUs AI Act. Ifølge Aardal er det fortsatt usikkert nøyaktig når den norske loven trer i kraft, men han anslår at august neste år er sannsynlig. Samtidig advarer han mot å vente.

Årsaken er at virksomhetenes faktiske bruk av AI utvikler seg raskere enn regelverket. Mange selskaper vil etter alt å dømme ha kommet langt videre i AI-arbeidet når loven trer i kraft enn de er i dag. 

– Dermed bør kartleggingen starte nå: Hvilke systemer har virksomheten som inneholder AI-funksjonalitet? Hvilken risikoklasse faller de i? Og hvilken rolle har virksomheten; er de bruker, leverandør eller utvikler? Det starter og slutter med kartlegging, sier Aardal.

Han sier at ansvaret må plasseres tydelig, og at AI-arbeidet ofte stopper fordi ansatte er usikre på hva som er lov, mens ingen har mandat til å ta beslutningen. Juridisk og regulatorisk arbeid kan likevel ikke gjøres på siden av virksomhetens øvrige AI-satsing.

– Dette er ikke noe du skal gjøre i siloer. Det juridiske, det regulatoriske og compliance må gjøres samtidig, sier han.