Enighet i EU om ny lov om kunstig intelligens – hva nå?

Status på AI Act

Den nye forordningen – eller loven om man vil – skal bare gjennom en formell godkjenning i EUs ministerråd før den kan tre i kraft, dette vil trolig skje i løpet av mai 2024. Etter ikrafttreden vil det være en overgangsperiode på 6- 36 måneder der ulike AI systemer vil bli omfattet trinnvis. EUs AI Act vil bli implementert raskt og likt i EUs medlemsland siden dette er en forordning.

Loven er EØS-relevant, og det betyr at AI Act også vil bli gjennomført i norsk rett slik EØS-avtalen krever. I sommer kommer Norges nye AI strategi, og AI Act er en av flere lover fra EU som gjelder kunstig intelligens som får betydning også for norske aktører i årene fremover.

EU ønsker å være forbilde

EU er først ute med en omfattende generell regulering av kunstig intelligens (KI).

Et mål med AI-loven er at den skal ha samme effekt internasjonalt som personvernforordningen (GDPR) fikk etter GDPR ble vedtatt i 2016 og trådte i kraft i 2018, nemlig at ny lov fra EU skal ha betydelig innvirkning globalt og at andre land utenfor EU skal innføre tilsvarende regler.

I tillegg inneholder AI-loven som GDPR strenge sanksjonsbestemmelser som gjør at tilbydere av AI må ta denne loven på alvor. Manglende overholdelse av EUs AI-lov kan gi bøter på opptil 7% av global omsetning, samt sivile erstatningskrav og eventuell skade på omdømme.

Lovgiver i EU har brukt mye tid på definisjoner. KI-systemer defineres slik i artikkel 3 (1):

‘AI system’ means a machine-based system designed to operate with varying levels of autonomy, that may exhibit adaptiveness after deployment and that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments;

AI Act skal sikre at KI-systemer er trygge, transparente og respekterer rettighetene til borgere i EU/EØS.

KI-løsninger deles inn i fire risikogrupper

AI-loven er basert på en risikotilnærming som innebærer at jo høyere risiko et KI-system har, desto strengere vil systemet bli regulert. Risikonivåene er inndelt i fire grupper.

1. Uakseptabel risiko: F.eks. system for sosial scoring og masseovervåkning - Disse systemene forbys.

2. Høy risiko: F.eks. system for rekruttering og ansettelse. Disse underlegges strenge krav.

3. Begrenset risiko: F.eks. Chatboter og systemer som kan fremstå som mennesker. Krav til transparens og åpenhet.

4. Minimal risiko: F.eks. videospill. Ikke underlagt reglene i forordningen.

Loven vil omfatte alle stater, bedrifter, organisasjoner og virksomheter i EU/EØS som må forholde seg til disse klassifiseringene.

Hvem vil kunne håndheve brudd på AI-loven

En utfordring med loven er at den er ganske overordnet utformet, noe som gjør det utfordrende for virksomheter å tilpasse seg regelverket.

AI-loven vil hovedsakelig håndheves på nasjonalt nivå i medlemslandene, med unntak av generelle AI-modeller som vil håndheves av Det europeiske AI-kontoret som ble formelt etablert i januar 2024. 

I tillegg vil EU etablere et AI-styre som skal sikre konsekvent anvendelse av AI-loven i hele EU. Slikt AI-styre skal være ansvarlig for bl.a. å utstede anbefalinger, utvikle etiske retningslinjer og tekniske standarder som skal klargjøre hvordan loven skal praktiseres innen ulike felt.

Til tross for dette bør virksomheter forberede seg på at de må forholde seg til et svært et komplekst regulatorisk landskap i årene som kommer. 

EU jobber med flere KI-lover – bl.a. innen produktansvar og erstatningsansvar

I tillegg til AI-loven vil det komme en rekke nye reguleringer som vil supplere AI-loven.

1. Europaparlamentet vedtok 12. mars 2024 det fornyede produktansvarsdirektivet, som gjør målrettede endringer i EUs regler og prosedyre for at forbrukere skal få kompensasjon for skade forårsaket av defekte produkter, inkludert for å sikre at direktivet fungerer effektivt for å regulere nye teknologier som AI.
   
   

• EUs produktansvarsdirektiv fastsetter at produsenter av defekte produkter er det første erstatningspunktet for forbrukerne. Revisjonene av produktansvarsdirektivet klargjør at en «leverandør» av et AI-system som definert i AI-loven, anses som en «produsent» etter produktansvarsdirektivet, noe som betyr at en AI-systemleverandør i AI-lovens forstand primært vil være ansvarlig for skade forårsaket av AI-systemer.
  
  
• Det kanskje mest betydningsfulle er at EU-direktivet også forenkler bevisbyrden for forbrukerne i forhold til (kompleks eller «blackbox») AI, det vil si der forbrukeren har vanskeligheter med å bevise at produktet er defekt på grunn av produktets «tekniske eller vitenskapelige kompleksitet».
  
  

2. EUs nye maskinforordning skal sørge for sikker integrering av KI-systemer i maskiner og supplerer også AI-loven.
   
   
3. Et tredje lovforslag fra EU er ansvarsdirektivet. Ansvarsdirektivet inneholder forslag til regler om erstatningsansvar utenfor kontraktsforhold for skader forårsaket av kunstig intelligens.

En ting er sikkert – vi går spennende tider i møte både med ny teknologi og ny lovregulering innen KI.