Det økende gapet mellom KI-politikk og håndheving i praksis

KI har ikke én felles regelbok

KI tas i bruk på tvers av bransjer og i stadig flere sammenhenger raskere enn retningslinjene og styringsrammeverkene som skal føre tilsyn med teknologien, rekker å utvikle seg. Historisk har KI-bruk i stor grad vært regulert gjennom eksisterende regler for forbrukervern, personvern og ulike bransjer, i tillegg til virksomhetenes egne interne retningslinjer. Myndighetene innfører nå krav som er spesifikke for KI, men disse er fortsatt fragmenterte og gir ofte begrenset veiledning om hvordan systemene faktisk skal fungere. Virksomhetene må derfor avveie eksterne krav mot egen risikotoleranse, produktmål og driftsmessige realiteter.

EU håndhever nå aktivt deler av AI Act, mens amerikansk føderal politikk uttrykkelig går inn for et mindre byrdefullt nasjonalt rammeverk. Executive Order 14365 har som mål å begrense motstridende krav på delstatsnivå, samtidig som delstatene innførte mer enn 1 000 KI-relaterte tiltak i 2025. Hver av disse myndighetene beskriver et forskjellig mål, og det er virksomhetene som utvikler og tar i bruk systemene, som må håndtere arbeidet med å forene kravene.

Men å fastsette regulatoriske krav er bare en del av utfordringen. Etter hvert som KI tas i bruk i flere sammenhenger og til flere formål, må virksomhetene omsette overordnede krav og interne retningslinjer til operative kontroller og beslutninger i enkeltstående KI-saker. Ingen regulatoriske rammeverk kan forutse alle bruksområder, sammenhenger eller avveininger. Organisasjoner må derfor følge en tydelig linje fra styrende krav og interne retningslinjer til systematferd, målbare resultater og revisjon eller gjennomgang. NIST AI Risk Management Framework bygger på et lignende syn ved å legge vekt på løpende måling og styring, framfor å behandle styring som en separat øvelse i etterlevelse. Kravene føres nedover, og dokumentasjonen går tilbake oppover: Tilsynsmyndigheter og ledere kan fastsette ønskede resultater, men organisasjonene må vise om systemene deres faktisk oppnår dem.

Dermed faller en stor del av det praktiske ansvaret for KI-styring på organisasjonene som tar systemene i bruk.

Det er i gjennomføringen styringen blir krevende

Regelverk og styringsrammeverk fastsetter som regel prinsipper, forpliktelser og ønskede resultater. Systemer i drift må imidlertid omsette dette til enkeltbeslutninger, og det er her styringen blir krevende. En retningslinje kan si at diskriminering skal forebygges, brukerne beskyttes, åpenhet sikres eller meningsfull menneskelig kontroll muliggjøres. Et system i drift må likevel besvare langt mer konkrete spørsmål: Ved hvilken terskel skal det gripe inn, basert på hvilke bevis og med hvilken grad av sikkerhet, når kreves menneskelig gjennomgang, hva skal loggføres, og hva skjer når systemet er usikkert?

Tilsynsmyndighetene forventer allerede svar på disse spørsmålene. FTC, DOJ, CFPB og EEOC uttalte i fellesskap at de vil håndheve eksisterende myndighet over automatiserte systemer. Det betyr at noen før eller siden vil be en virksomhet forklare hvordan systemet tar beslutninger.

Tenk på en plattform med en tydelig retningslinje mot trakassering. En melding med banning kan være uskyldig fleiping mellom venner, mens en tilsynelatende harmløs melding kan være del av en vedvarende kampanje rettet mot en annen bruker. Systemet må avgjøre hvilken kontekst det pålitelig kan bruke, hvor mye dokumentasjon som er nok til å gripe inn, og hva slags inngrep som er passende: Skal meldingen blokkeres, avsenderen advares, saken sendes videre til menneskelig gjennomgang eller ikke gjøres noe? Lavere terskler for å oppdage trakassering kan fange opp mer skadelig atferd, men også undertrykke legitim kommunikasjon. Krav om menneskelig gjennomgang kan gi bedre vurderinger, men forsinke inngrep. Ingen av disse beslutningene er spesifisert i en generell retningslinje som forbyr trakassering, men samlet sett avgjør de hvordan retningslinjen faktisk håndheves.

Ingen retningslinje avgjør disse avveiningene på forhånd. Derfor må noen i virksomheten ta beslutningene, dokumentere dem og vurdere dem på nytt. Denne personen utformer i praksis retningslinjene, uansett hva organisasjonskartet sier.

Hva ansvarlig KI faktisk krever

Hvis det i praksis er de som gjennomfører et system, som utformer retningslinjene, kan ikke ansvarlig KI behandles som en ren intensjonserklæring. Den må gjenspeiles i hvordan systemet oppfører seg fra dag til dag. Det innebærer å styre hvordan KI brukes, måles og korrigeres over tid – ikke bare å godkjenne en retningslinje eller bestå en innledende evaluering. Tre ideer er særlig viktige i praksis, og hver av dem følger av avveiningene ovenfor:

• Styringen bør stå i forhold til konsekvensene. Et KI-system som foreslår tekst, innvilger et lån, varsler om en sikkerhetstrussel eller bidrar til en medisinsk beslutning, innebærer svært ulike risikoer. Organisasjoner må vurdere hvor det er behov for sterkere kontroller, gjennomgang og tilsyn ut fra de mulige konsekvensene.
• Nøyaktighet alene er ikke nok. Ulike feil har ulike kostnader. En falsk positiv i moderering kan undertrykke legitim ytring, mens en feil innen utlån, helsevesen eller sikkerhet kan få langt mer alvorlige konsekvenser. Styringen må ta hensyn til beslutningens faktiske følger i verden, ikke bare modellens ytelse.
• Løpende evaluering og tilbakemeldinger er avgjørende. Overstyringer, klager, hendelser, grensetilfeller og senere utfall bør alle inngå i den løpende evalueringen.

Et praktisk rammeverk for intern styring av KI

For å omsette disse prinsippene i praksis må styring bygges inn i hvordan KI-systemer utformes, tas i bruk og forvaltes. Fire praksiser er særlig viktige:

• Behandle styringskrav som produkt- og systemkrav helt fra starten av. Etterlevelseskontroller som innføres etter at systemet er tatt i bruk, har en tendens til å bli kostbare og lite robuste. Det er mye enklere å bygge inn personvern, åpenhet, etterprøvbarhet og kontrollmekanismer i et system enn å legge dem til i ettertid.
• Bygg en etterprøvbar kjede fra policy til beslutning. Organisasjoner bør kunne knytte det styrende kravet eller den interne policyen til kontrollen som er iverksatt, og til beslutningen som følger av den. De trenger også dokumentasjonen som kreves for å vurdere den.
• Plasser eierskap og ansvar tydelig. Definer hvem som eier policyen, hvem som fastsetter hvilken risiko som er akseptabel, og hvem som følger med på resultatene. Noen bør også ha myndighet til å gripe inn når systemet opptrer utenfor disse rammene.
• Bygg en felles og tilpasningsdyktig styringsinfrastruktur. Datakontroller, revisjonsspor, konfigurerbare policyer, arbeidsflyter for gjennomgang og måling bør kunne støtte flere regulatoriske krav og bruksområder. Kontroller og terskelverdier bør kunne tilpasses jurisdiksjon, bruksområde og risiko, slik at organisasjoner kan håndtere endrede krav uten å bygge om systemene sine.

Styringen må fungere i praksis

Regelverk kan fastsette forpliktelser og prinsipper, men selskapene må fortsatt omsette dem til systemer som tar reelle beslutninger i stor skala. Dermed blir intern styring et driftsansvar, ikke bare en øvelse i etterlevelse. Alle selskaper som tar i bruk KI i stor skala, utformer allerede policy gjennom terskelverdiene sine, reglene for gjennomgang og eskaleringsrutinene sine. Det eneste åpne spørsmålet er om de gjør det bevisst.

Tilsynsmyndighetene vil fortsette å definere hvilke resultater de ønsker, og de vil ikke alltid være enige. Derfor må selskapet avgjøre hvordan disse forventningene skal omsettes til kontroller, og deretter dokumentere at kontrollene fungerer. Selskaper som nå etablerer tydelig ansvarsplassering, målbare kontroller, etterprøvbarhet og tilpasningsdyktig infrastruktur, vil stå bedre rustet etter hvert som regelverket utvikler seg.

Jeg har sett dette problemet fra flere ståsteder: i cybersikkerhetsmiljøer, under utviklingen av risikomodeller og nå i driften av KI-systemer i stor skala. I alle disse sammenhengene er lærdommen den samme: Et rammeverk fungerer bare hvis det kan omsettes til tydelige beslutninger, måles i praksis og forbedres når virkeligheten avdekker manglene.