KI-forordningen for selskaper som kjøper KI: dette bør du spørre leverandørene om
Mye av samtalen om EUs KI-forordning handler om selskapene som bygger KI. Men de fleste virksomheter kommer aldri til å bygge en modell. De kjøper en: et rekrutteringsverktøy som siler CV-er, en kundeserviceagent, en assistent i programvare de allerede bruker. Forordningen har et navn på deg i den rollen. Du er idriftsetter (deployer), og idriftsettere har også ansvar.
Den gode nyheten er at det meste forordningen ber kjøpere om, er fornuftig leverandørstyring med KI i tankene. Denne artikkelen tar for seg hva som gjelder for deg, og hvilke spørsmål du bør stille leverandørene før du godkjenner et KI-verktøy.
Hvor Norge står
KI-forordningen er ikke en del av EØS-avtalen ennå. Regjeringen tar sikte på å legge frem en norsk KI-lov for Stortinget våren 2027, med Nkom som koordinerende myndighet. (Nkom om tilsyn) Selger du til kunder i EU, gjelder den allerede i praksis for deg, fordi kundene stiller kravene videre. Vi går gjennom det i artikkelen om de nye norske kravene.
Tilbyder eller idriftsetter: hvem er du?
Etter KI-forordningen (forordning (EU) 2024/1689) er tilbyderen den som utvikler et KI-system og bringer det på markedet, vanligvis leverandøren din. Idriftsetteren er virksomheten som bruker det under eget ansvar, vanligvis deg. Tilbyderne har de tyngste forpliktelsene, men idriftsettere er ikke fri for ansvar. I noen tilfeller, for eksempel når du endrer et system vesentlig eller setter ditt eget navn på det, kan du selv få tilbyderens forpliktelser.
Dette gjelder for deg som kjøper
KI-kompetanse. I EU har virksomheter som bruker KI-systemer, siden februar 2025 måttet sørge for at de ansatte har tilstrekkelig KI-kompetanse for bruken (artikkel 4). Bruker teamene dine KI-verktøy, bør du kunne vise at de vet hvordan de bruker dem på en ansvarlig måte.
Forbudt bruk. Noen former for KI-bruk er forbudt i EU, for eksempel følelsesgjenkjenning på arbeidsplassen, med snevre unntak. Sørg for at det du kjøper, ikke faller inn under disse.
Høyrisikosystemer. Bruker du KI på områder forordningen regner som høyrisiko, som rekruttering, personalstyring, kredittvurdering eller tilgang til viktige tjenester, må idriftsettere bruke systemet etter tilbyderens instruksjoner, gi menneskelig kontroll til kompetente personer, overvåke det, ta vare på logger og i noen tilfeller informere dem det gjelder (artikkel 26). I EU ble disse kravene utsatt til desember 2027 og august 2028. (EU-kommisjonen)
Åpenhet. Når KI samhandler med mennesker eller lager innhold, kommer det krav om åpenhet, for eksempel å gjøre det klart at folk har med et KI-system å gjøre i bestemte situasjoner.
Spørsmål du bør stille KI-leverandørene
Du kan bare oppfylle pliktene dine hvis leverandøren gir deg det du trenger. Før du godkjenner et KI-verktøy, bør du få skriftlige svar på dette:
Hva gjør KI-en, og hva gjør den ikke? Be om dokumentasjon av tiltenkt bruk, kjente begrensninger og nøyaktighet, og bruksanvisning. For høyrisikosystemer er tilbyderne pålagt å levere dette.
Er den høyrisiko etter forordningen? Spør hvordan leverandøren klassifiserer systemet, og hvorfor. Svaret forteller deg hvilke plikter som faller på deg.
Hvordan beholder vi menneskelig kontroll? Hva kan en person gjennomgå, overstyre eller slå av? Hvem hos dere skal gjøre det, og har de opplæringen?
Hva logges, og kan vi få loggene? Idriftsettere av høyrisikosystemer må ta vare på loggene systemet lager. Sørg for at du faktisk får tilgang til dem.
Brukes dataene våre til å trene modellene deres? Dette er like mye et spørsmål om GDPR og konfidensialitet som om KI-forordningen. Få svaret i kontrakten, ikke bare i en salgssamtale.
For agenter: hva har den tilgang til, og hva kan den gjøre selv? List opp systemene, dataene og handlingene en agent kan utføre uten et menneske. Agenters tilganger har en tendens til å vokse i det stille med hver produktoppdatering, så planlegg å sjekke dem på nytt.
Gjør det til en del av leverandørregistreringen
Den enkleste måten å holde kontroll på er å stille disse spørsmålene hver gang et team vil ha et nytt verktøy, ikke som en engangsrevisjon. Legg et "bruker det KI?"-spørsmål inn i registreringen av leverandører, send KI-verktøy til de riktige personene, og ta vare på svarene. Den gratis sjekklisten vår for leverandørvurdering (på engelsk) har KI-forordningen sammen med NIS2, GDPR og DORA.
Granur bygger dette inn i selve vurderingen: KI-leverandører får screening mot rammeverk som EUs KI-forordning, agenter får et tilgangsregister som viser hva hver av dem har tilgang til og kan gjøre, og oversikten over skygge-KI får frem verktøy team har tatt i bruk uten å spørre. Ingenting godkjennes uten at det blir dokumentert.