Høringssvar – forslag til lov om kunstig intelligens
Direktoratet for høyere utdanning og kompetanse (HK-dir) takker for muligheten til å komme med merknader til Digitaliserings- og forvaltningsdepartementets forslag til ny lov om kunstig intelligens (KI-loven), jf. høringsbrev og -notat av 30. juni 2025.
Departementets forslag til KI-lov gjennomfører EUs forordning om kunstig intelligens, reg. EU/1648/2024, i norsk rett.
Departementets forslag til KI-lov gjennomfører EUs forordning om kunstig intelligens, reg. EU/1648/2024, i norsk rett.
Samordning av tilsyn og veiledning
HK-dir har ingen særskilte merknader til flere av spørsmålene i høringsbrevet som departementet ber om innspill på. Det gjelder lovens geografiske anvendelsesområde, adgangen til å ilegge offentlige myndigheter overtredelsesgebyr og foreldelsesfrist for slike gebyrer, bruk av tvangsmulkt som sanksjonsform og om straffebestemmelser bør inntas i loven.
Vi ønsker imidlertid å knytte enkelte kommentarer til departementets forslag til ansvarsfordelingen mellom koordinerende markedstilsynsmyndighet (Nkom) og øvrige tilsynsmyndigheter på sektornivå.
Vårt utgangspunkt her er at EUs forordning om kunstig intelligens er et omfattende og komplisert regelverk som det kan bli krevende å etterleve, også i forsknings- og høyere utdanningssektoren. Enkelte anvendelser av kunstig intelligens som er viktige for sektoren, er riktignok og i stor grad unntatt fra reglene i forordningen. Det gjelder bruken av visse former for kunstig intelligens i vitenskapelig forskning, og forskning på eller utvikling av KI-systemer. Disse unntakene gjør det enklere for virksomheter i vår sektor som enten driver forskning eller FoU-aktiviteter innen kunstig intelligens å etterleve regelverket.
Forordningen – og måten den gjennomføres på i norsk rett – vil likevel få stor betydning for hvordan forsknings- og høyere utdanningssektoren anvender KI-systemer i øvrige deler av kjernevirksomheten (undervisning, administrasjon og formidling). Kartlegginger som HK-dir har gjort i sektoren, antyder for eksempel at det kan bli krevende for mange universiteter og høyskoler som er leverandører eller idriftsettere av KI-systemer med høy og begrenset risiko, å forstå hva regelverket forventer av dem. Det kan også bli vanskelig for mange virksomheter i sektoren å omsette reglene i forordningen til konkret praksis slik at tilfredsstillende etterlevelse oppnås. Dette vil trolig bli ekstra vanskelig der hvor reglene i KI-loven og -forordningen gjelder sammen med regler i andre regelverk, for eksempel personopplysningsloven og personvernforordningen.
Vi er derfor særlig opptatt av at det etableres mekanismer som gjør at myndigheter som skal føre tilsyn med og gi veiledning om loven og forordningen, er godt samordnet, jf. spesielt kapittel 15.4 i høringsnotatet. Vi mener dette er avgjørende for å unngå at det oppstår usikkerhet omkring tolkning og praktisering av regelverket som følge av at ulike tilsynsmyndigheter har forskjellige forståelse av hva regelverket krever og hvordan det kan etterleves. Samtidig legger vi merke til at Direktoratet for økonomiforvaltning stiller spørsmål ved hvor realistisk det er at mange ulike tilsynsmyndigheter vil kunne bygge opp tilfredsstillende juridisk og teknisk KI-kompetanse, jf. kapittel 2.1 i høringsnotatet. Vi legger til grunn at god samordning på tvers av tilsynsmyndigheter kan bidra til å bøte på dette problemet.
Vi merker oss også at EU vil gi utfyllende regler for og veiledning til leverandører og idriftsettere av KI-systemer og -modeller. Det vil blant annet skje gjennom delegerte rettsakter, harmoniserte standarder, felles spesifikasjoner, atferdsregler og regler for god praksis. Også her ser vi det som viktig at koordinerende tilsynsmyndighet og sektortilsyn samordner sin informasjons- og veiledningsaktivitet, og gir omforente råd om hva dette i praksis kan innebære for leverandører og idriftsettere.
Vi ønsker imidlertid å knytte enkelte kommentarer til departementets forslag til ansvarsfordelingen mellom koordinerende markedstilsynsmyndighet (Nkom) og øvrige tilsynsmyndigheter på sektornivå.
Vårt utgangspunkt her er at EUs forordning om kunstig intelligens er et omfattende og komplisert regelverk som det kan bli krevende å etterleve, også i forsknings- og høyere utdanningssektoren. Enkelte anvendelser av kunstig intelligens som er viktige for sektoren, er riktignok og i stor grad unntatt fra reglene i forordningen. Det gjelder bruken av visse former for kunstig intelligens i vitenskapelig forskning, og forskning på eller utvikling av KI-systemer. Disse unntakene gjør det enklere for virksomheter i vår sektor som enten driver forskning eller FoU-aktiviteter innen kunstig intelligens å etterleve regelverket.
Forordningen – og måten den gjennomføres på i norsk rett – vil likevel få stor betydning for hvordan forsknings- og høyere utdanningssektoren anvender KI-systemer i øvrige deler av kjernevirksomheten (undervisning, administrasjon og formidling). Kartlegginger som HK-dir har gjort i sektoren, antyder for eksempel at det kan bli krevende for mange universiteter og høyskoler som er leverandører eller idriftsettere av KI-systemer med høy og begrenset risiko, å forstå hva regelverket forventer av dem. Det kan også bli vanskelig for mange virksomheter i sektoren å omsette reglene i forordningen til konkret praksis slik at tilfredsstillende etterlevelse oppnås. Dette vil trolig bli ekstra vanskelig der hvor reglene i KI-loven og -forordningen gjelder sammen med regler i andre regelverk, for eksempel personopplysningsloven og personvernforordningen.
Vi er derfor særlig opptatt av at det etableres mekanismer som gjør at myndigheter som skal føre tilsyn med og gi veiledning om loven og forordningen, er godt samordnet, jf. spesielt kapittel 15.4 i høringsnotatet. Vi mener dette er avgjørende for å unngå at det oppstår usikkerhet omkring tolkning og praktisering av regelverket som følge av at ulike tilsynsmyndigheter har forskjellige forståelse av hva regelverket krever og hvordan det kan etterleves. Samtidig legger vi merke til at Direktoratet for økonomiforvaltning stiller spørsmål ved hvor realistisk det er at mange ulike tilsynsmyndigheter vil kunne bygge opp tilfredsstillende juridisk og teknisk KI-kompetanse, jf. kapittel 2.1 i høringsnotatet. Vi legger til grunn at god samordning på tvers av tilsynsmyndigheter kan bidra til å bøte på dette problemet.
Vi merker oss også at EU vil gi utfyllende regler for og veiledning til leverandører og idriftsettere av KI-systemer og -modeller. Det vil blant annet skje gjennom delegerte rettsakter, harmoniserte standarder, felles spesifikasjoner, atferdsregler og regler for god praksis. Også her ser vi det som viktig at koordinerende tilsynsmyndighet og sektortilsyn samordner sin informasjons- og veiledningsaktivitet, og gir omforente råd om hva dette i praksis kan innebære for leverandører og idriftsettere.
Regulatorisk sandkasse
Videre ser vi det som viktig at det ikke bare er koordinerende tilsynsmyndighet og sektortilsyn som har en felles forståelse av og gir omforent veiledning om regelverket. Det er i tillegg viktig at samordningen omfatter andre myndigheter som har nasjonale veiledningsroller innen KI (Digitaliseringsdirektoratet) eller som fører tilsyn med utvikling og bruk av KI-systemer og -modeller etter andre regelverk enn KI-forordningen, for eksempel Datatilsynet.
Vi legger til grunn at den regulatoriske sandkassen som administreres av Digitaliseringsdirektoratet og drives i samarbeid med Nkom og Datatilsynet, ivaretar behovet for slik samordning. Dette vil være særlig viktig for leverandører og idriftsettere av KI-systemer som både må etterleve kravene i KI-forordningen og kravene til behandling av personopplysninger i personopplysningsloven og personvernforordningen.
Vi legger til grunn at den regulatoriske sandkassen som administreres av Digitaliseringsdirektoratet og drives i samarbeid med Nkom og Datatilsynet, ivaretar behovet for slik samordning. Dette vil være særlig viktig for leverandører og idriftsettere av KI-systemer som både må etterleve kravene i KI-forordningen og kravene til behandling av personopplysninger i personopplysningsloven og personvernforordningen.
Terminologi
Departementet ber om innspill til terminologi (legaldefinisjoner) som brukes i den uoffisielle norske oversettelsen av KI-forordningen.
Vi mener at forordningens ambisjon om å harmonisere reglene for visse typer KI-anvendelse på tvers av land i EØS-området, tilsier at det ikke velges begreper og uttrykk som avviker for mye fra den terminologien som brukes i andre lands offisielle oversettelser. Vi stiller likevel spørsmål ved egnetheten til enkelte av begrepene og uttrykkene som benyttes i artikkel 3 i den uoffisielle norske oversettelsen.
Eksempelvis fremstår «idriftsetter», som viser til fysiske eller juridiske personer som bruker KI-systemer de har myndighet over, som et noe fremmed begrep. Det samme gjelder «bringe i omsetning», det vil si å gjøre et KI-system eller -modell tilgjengelig for første gang på det europeiske markedet.
Vi mener også at «system for overvåking etter omsetning» er et vanskelig og litt misvisende uttrykk. Det kan for eksempel leses slik at plikten til å kontrollere hvordan et KI-system fungerer etter at det er gjort tilgjengelig på markedet, er avhengig av størrelsen på omsetningen til leverandøren av systemet.
Til slutt mener vi at KI-modeller og -systemer for «allmenne formål» – «general-purpose AI (GPAI)» i den engelske oversettelsen – kan gi feil assosiasjoner. Det kan for eksempel forstås som modeller og systemer som retter seg mot allmennheten eller som ivaretar oppgaver av allmenn interesse. Uttrykket henviser imidlertid til KI-løsninger med stor regnekraft og/eller et bredt anvendelsesområde, og som derfor kan håndtere mange ulike typer oppgaver.
Vi mener at forordningens ambisjon om å harmonisere reglene for visse typer KI-anvendelse på tvers av land i EØS-området, tilsier at det ikke velges begreper og uttrykk som avviker for mye fra den terminologien som brukes i andre lands offisielle oversettelser. Vi stiller likevel spørsmål ved egnetheten til enkelte av begrepene og uttrykkene som benyttes i artikkel 3 i den uoffisielle norske oversettelsen.
Eksempelvis fremstår «idriftsetter», som viser til fysiske eller juridiske personer som bruker KI-systemer de har myndighet over, som et noe fremmed begrep. Det samme gjelder «bringe i omsetning», det vil si å gjøre et KI-system eller -modell tilgjengelig for første gang på det europeiske markedet.
Vi mener også at «system for overvåking etter omsetning» er et vanskelig og litt misvisende uttrykk. Det kan for eksempel leses slik at plikten til å kontrollere hvordan et KI-system fungerer etter at det er gjort tilgjengelig på markedet, er avhengig av størrelsen på omsetningen til leverandøren av systemet.
Til slutt mener vi at KI-modeller og -systemer for «allmenne formål» – «general-purpose AI (GPAI)» i den engelske oversettelsen – kan gi feil assosiasjoner. Det kan for eksempel forstås som modeller og systemer som retter seg mot allmennheten eller som ivaretar oppgaver av allmenn interesse. Uttrykket henviser imidlertid til KI-løsninger med stor regnekraft og/eller et bredt anvendelsesområde, og som derfor kan håndtere mange ulike typer oppgaver.