Ny AI-lov på vei

EUs AI-lovgivning på vei inn i Norge – hva betyr det for arbeidsgivere?

Rett før sommeren ble et forslag til norsk lov om kunstig intelligens  sendt ut på høring. Lovforslaget tar EUs AI-forordning (AI Act) fra 2024 inn i norsk rett, men med enkelte nasjonale justeringer. Dersom prosessen går etter planen, vil loven kunne gjelde fra sommeren 2026.

– For virksomheten er det avgjørende å begynne forberedelsene allerede nå. EU-regler er som oftest mer omfattende og komplekse enn ren norsk lovgivning, forklarer Ragni Myksvoll Singh, juridisk rådgiver i Simployer.

Hva går AI-forordningen ut på?

Dette er det første omfattende regelverket som setter rammer for utvikling og bruk av kunstig intelligens. Målet er å sikre at teknologien brukes på en ansvarlig, etisk og rettferdig måte. Regelverket bygger på en risikobasert tilnærming, der AI-systemer vurderes etter hvor stor påvirkning systemene har på mennesker og samfunn, og kravene varierer tilsvarende.

Forordningen deler AI-systemer inn i tre hovedkategorier:

• Forbudt risiko: AI-løsninger som truer grunnleggende rettigheter, f.eks. overvåking av ansatte på en inngripende måte eller diskriminering i rekruttering.
• Høyrisiko: Systemer som kan ha stor innvirkning på folks sikkerhet, helse eller rettigheter. I HR-sammenheng kan dette gjelde bruk av AI ved rekruttering, oppgavefordeling og endring av arbeidsvilkår.
• Begrenset risiko: Teknologi som ikke direkte griper inn i ansattes rettigheter, men der det stilles krav til åpenhet. Arbeidsgivere må informere tydelig når slike systemer tas i bruk.

Bemanningsplanlegging med AI kan innebære høyrisiko

Kunstig intelligens i arbeidslivet handler om langt mer enn ChatGPT eller Copilot. Timeregistreringsløsninger, fraværsregistrerings- og bemanningsplanleggingssystemer kan inneholde AI-funksjoner som kan påvirke ansatte uten at de er klar over det.

– Hvis AI for eksempel automatisk setter opp nattevakter eller helgevakter basert på fraværshistorikk vil dette klassifiseres som høyrisiko. Grunnen til det er blant annet at enkelte ansatte systematisk kan få mer belastende vakter, det påvirker rettferdighet i fordelingen og fordelingen kan oppleves som vilkårlig eller diskriminerende. Da pålegges arbeidsgiver særlig å sikre datakvalitet, unngå diskriminering og sørge for menneskelig kontroll over beslutningen, sier Singh.

Hun understreker at virksomheten må ha full oversikt over hvilke AI-løsninger som er i bruk, og hvilke krav som gjelder for dem. Samtidig får også søkere og ansatte flere rettigheter, blant annet krav på tydelig informasjon om når og hvordan AI benyttes.

Samspill med personvern

En viktig utfordring blir grensegangen mellom AI-lovgivningen og eksisterende personvernregler (som GDPR og personopplysningsloven). Mens personvernreglene regulerer datainnsamling og bruk, setter AI-forordningen krav til hvordan teknologien er bygget, trent og testet.

– Det holder ikke lenger å kun ha en solid databehandleravtale. Virksomheten må vite hvordan systemene faktisk fungerer og hvilke konsekvenser de har for ansatte og kandidater, forklarer Singh.

Hva bør man gjøre nå?

Mange virksomheter har allerede AI i systemene sine. Når regelverket trer i kraft må man kunne dokumentere hvilke løsninger som brukes og hvilken risiko de innebærer.

– Første steg er å kartlegge hvilke AI-systemer som er eller skal tas i bruk, og vurdere hvilken risikokategori de faller i. Videre bør virksomheten stille krav om åpenhet fra leverandører og bygge kompetanse internt, sier Singh.

Hun påpeker at virksomheten må være i forkant: Jo tidligere man får oversikt og starter arbeidet, desto bedre rustet er man til å møte kravene når loven trer i kraft.