Kommunene må forberede seg til KI-loven nå

Kombinasjonen avgjør hvilke plikter som gjelder etter den varslede KI-loven. Mange kommuner kan få et større ansvar enn de legger til grunn, særlig dersom de tilpasser løsninger eller tar dem i bruk under eget navn.

Spørsmålene kommunene bør stille seg allerede nå, er derfor enkle: 

Har dere oversikt over hvilke KI-systemer dere bruker, hvilken rolle kommunen har, og hvilket risikonivå systemene faller inn under?

EUs regelverk for kunstig intelligens, AI Act, vil bli implementert i Norge gjennom KI-loven. Opprinnelig var det lagt opp til at regelverket skulle få virkning fra august 2026, men prosessen er forsinket og den vil nå trolig tre i kraft i løpet av 2027. Det betyr imidlertid ikke at kommunene kan vente.

Norske kommuner bruker allerede KI, og bruken vil øke. Presset på effektivisering, ressursbruk og tjenestekvalitet gjør KI til et nødvendig virkemiddel, ikke et valgfritt tillegg. Nettopp derfor bør tilpasningen til regelverket starte nå, ikke når loven formelt trer i kraft.

Dersom kommuner bygger opp KI-bruk uten å ta høyde for kravene som kommer, risikerer de kostbare og tidkrevende omlegginger i etterkant. I tillegg kommer risikoen for at systemer tas i bruk på måter som påvirker innbyggernes rettigheter negativt.

Hovedstrukturen i KI-loven er kjent. Kravene avhenger særlig av to forhold: hvilken rolle virksomheten har, og hvilken risiko det aktuelle KI-systemet representerer.

For kommuner vil de mest relevante rollene typisk være leverandør eller idriftssetter. Mange kan komme skjevt ut allerede her, fordi det er lett å tenke at man «bare» er bruker. Etter KI-loven kan man likevel bli ansett som leverandør dersom man gjør visse tilpasninger eller setter sitt navn på løsningen. Det gir et langt mer omfattende ansvar.

Når det gjelder risiko, skilles det mellom forbudte systemer, høyrisikosystemer og øvrige systemer med eller uten systemrisiko. For kommunal sektor er det særlig viktig at flere anvendelser kan falle inn under høy risiko, for eksempel systemer som påvirker tilgang til tjenester, vurdering i skolen eller beslutninger i offentlig forvaltning.

Kombinasjonen av rolle og risikonivå avgjør hvilke konkrete krav som gjelder. Uten en bevisst tilnærming til begge dimensjoner er det vanskelig å etterleve regelverket.

KI-loven står ikke alene. Den må ses i sammenheng med blant annet GDPR, forvaltningsloven, opplæringsloven og helselovgivningen. For kommunene betyr dette at KI ikke introduserer et isolert compliance-spor, men forsterker og kompliserer eksisterende krav.

Spørsmålet er derfor ikke bare om en løsning er effektiv eller teknisk velfungerende, men om den samlet sett oppfyller de rettslige rammene kommunen opererer innenfor.

Første steg er organisatorisk: ansvaret må plasseres. Hvem i kommunen har det operative ansvaret for etterlevelse av KI-loven? Uten tydelig forankring blir arbeidet fort fragmentert og tilfeldig.

Deretter må kommunen skaffe oversikt over hvilke KI-systemer som faktisk er i bruk. KI-systemer er mer enn Microsoft Copilot eller Claude. Mange «vanlige» systemer inneholder KI-funksjonalitet uten at brukeren nødvendigvis er klar over det.

Først når systemene er identifisert, kan kommunen klassifisere dem etter risiko og avklare hvilken rolle den har i hvert tilfelle. Da blir det tydelig hvilke krav som gjelder, og hva som må gjøres.

KI-loven stiller også krav til kompetanse. KI-kompetanse handler om ferdigheter, kunnskap og forståelse som gjør det mulig å ta informerte beslutninger om KI-systemer og forstå muligheter, risikoer og mulig skade.

Kommuner kan derfor ikke forholde seg passive. De må vurdere hvordan teknologien kan forbedre tjenestene, samtidig som bruken skjer forsvarlig og lovlig. Det krever juridisk, teknologisk og organisatorisk kompetanse.

Selv om KI-loven formelt er forsinket, kan ikke kommunene vente. De står allerede midt i en teknologisk utvikling som vil prege tjenestene i årene fremover. Spørsmålet er ikke lenger om kunstig intelligens skal tas i bruk, men hvordan.

KI-loven kan virke uoversiktlig, og kravene er til dels tekniske. Nettopp derfor bør kommunene starte med det konkrete og gjennomførbare: plassere ansvar, kartlegge bruken, klassifisere systemene og vurdere modenheten opp mot lovens krav. 

De som utsetter arbeidet, vil fort bruke mer tid og penger på å rydde opp i etterkant enn de som starter nå.