KI-ansvarlig: plikt eller frivillig?

Trenger vi en KI-ansvarlig?

Nei, EU AI Act inneholder ingen plikt til å utpeke en KI-ansvarlig. I motsetning til GDPR med personvernombudet (art. 37 GDPR) har KI-forordningen ingen slik rolle. EU-kommisjonen slår i sine spørsmål og svar om KI-kompetanse fast at det for art. 4 ikke er foreskrevet noen bestemt organisasjonsstruktur, verken en KI-ansvarlig eller et KI-utvalg.

Plikten er noe annet: Leverandører og ibruktakere treffer tiltak for å støtte utviklingen av KI-kompetansen hos personalet sitt og andre personer på deres vegne (art. 4 nr. 1). Hvem som planlegger og følger opp tiltakene, avgjør bedriften selv.

Når er en fast ansvarlig likevel fornuftig?

En utpekt person lønner seg så snart flere KI-verktøy er i bruk eller team selv prøver ut nye tjenester. Da trengs det noen som holder oversikten og svarer på spørsmål, for eksempel i disse tilfellene:

• Bedriften din bruker flere KI-tjenester, for eksempel ChatGPT, Microsoft Copilot og KI-funksjoner i CRM-systemet.
• Du bruker KI på et område etter vedlegg III, for eksempel ved utvelgelse av søkere. Fra 2. desember 2027 skal det menneskelige tilsynet der ligge hos personer med nødvendig kompetanse, opplæring og myndighet (art. 26 nr. 2).
• Kunder eller revisorer, for eksempel ved ISO 27001-revisjoner, spør etter en ansvarlig for KI.

Hvilke oppgaver passer til rollen?

Typisk er fire oppgaver, som også kan fordeles på flere personer:

• Føre en oversikt over KI-systemene som brukes, og leverandørene deres.
• Utarbeide og holde KI-retningslinjer oppdatert, for eksempel med vår mal for KI-retningslinjer.
• Planlegge tiltak for KI-kompetanse og dokumentere hvem som har deltatt i hvilket tiltak, og når.
• Vurdere nye KI-prosjekter: Omfattes de av reglene for høy risiko eller av åpenhetspliktene etter art. 50?

Et enkelt tiltak for alle ansatte er en dokumentert EU AI Act-opplæring med personlig sertifikat og en revisjonsrapport for bedriften.

Kan personvernombudet overta rollen?

Ja, det er mulig, men det er ingen plikt. Kommisjonen besvarer spørsmålene om en KI-ansvarlig, om dobbeltrolle med personvernombudet og om et KI-utvalg samlet: For art. 4 er ingen bestemt struktur foreskrevet. Overtar personvernombudet rollen, må det ikke oppstå noen interessekonflikt med oppgavene etter GDPR (art. 38 nr. 6 GDPR). Den som selv avgjør bruken av KI, bør ikke samtidig kontrollere personvernet knyttet til den.

Vanlige spørsmål om KI-ansvarlig

Blir det bot hvis vi ikke har en KI-ansvarlig?

Nei. EU AI Act krever ingen KI-ansvarlig, så det finnes heller ingen bot for det. Sanksjoner for brudd på art. 4 fastsetter medlemsstatene (art. 99 nr. 1); art. 4 krever tiltak for KI-kompetanse, ikke en bestemt rolle. Les mer på siden Bøter.

Trenger en KI-ansvarlig en bestemt utdanning?

Nei, noen foreskrevet utdanning eller eksamen finnes ikke. Fornuftig er kunnskap om KI-systemene som brukes, EU AI Act og personvern. Heller ikke for de ansatte krever Kommisjonen noe sertifikat; en intern registrering av opplæring og andre tiltak er nok.

Gjelder dette også små bedrifter?

Ja. Art. 4 gjelder uavhengig av bedriftsstørrelse for alle leverandører og ibruktakere. I små bedrifter tar ofte ledelsen selv ansvaret for koordineringen, en egen stilling er ikke nødvendig. Hva art. 4 krever i detalj, forklarer siden Art. 4: KI-kompetanse.

Lær opp teamet nå Mal for KI-retningslinjer

Merk: dette innlegget er til generell informasjon og erstatter ikke juridisk rådgivning.