Ny AI-lov på vei – hva betyr den for HR?

EUs nye AI-forordning blir snart norsk lov. For arbeidsgivere kan dette bety både nye krav, plikter og muligheter. Nå er tiden inne for å forberede seg.

Før sommeren ble et forslag til ny lov om kunstig intelligens sendt på høring. Forslaget innebærer at EUs AI-forordning (AI-Act) fra 2024 tas inn i norsk rett supplert med enkelte norske tilpasninger. Dersom prosessen går som planlagt, kan loven tre i kraft sommeren 2026.

–  For HR betyr dette at forberedelsene må starte allerede nå. EU-forordninger er mer omfattende og mer krevende å sette seg inn i enn vanlig norsk lovgivning, sier Ragni Myksvoll Singh, juridisk rådgiver i Simployer.

Hva er AI-forordningen?

AI-forordningen er det første helhetlige regelverket for kunstig intelligens. Formålet er å sikre at teknologien utvikles og brukes på en trygg, etisk og rettferdig måte. Kjernen i regelverket er en risikobasert tilnærming.

– Dette betyr at AI-systemer vurderes ut fra hvor stor risiko de utgjør for mennesker og samfunn. Regelverket skiller mellom forbudte, høye og begrensede eller minimale risikonivåer, og klassifiseringen avgjør hvilke krav som stilles til både leverandører og brukere, forklarer Myksvoll Singh.

Regelverket deler AI i tre nivåer:

1. Forbudt risiko gjelder AI-bruk som anses å true grunnleggende rettigheter. Dette kan være systemer som overvåker ansatte på en inngripende måte, manipulerer adferd eller diskriminerer søkere i rekrutteringsprosesser.
2. Høyrisikosystemer er de som kan påvirke folks helse, sikkerhet eller rettigheter på en betydelig måte. I HR-sammenheng vil dette særlig være aktuelt når AI brukes i prosesser som rekruttering, ansettelsesbeslutninger eller evaluering av medarbeidere.
3. Begrenset risiko dekker systemer som ikke direkte griper inn i ansattes rettigheter, men hvor det likevel kreves åpenhet. Arbeidsgiver må informere tydelig når slike systemer tas i bruk, slik at de som berøres forstår hvordan teknologien påvirker dem.

Hva betyr dette for HR?

I arbeidslivet handler AI om langt mer enn de kjente verktøyene ChatGPT og Microsoft Copilot.

Rekrutteringssystemer, prestasjonsmålinger, læringsplattformer og analyseverktøy kan inneholde AI-funksjoner som påvirker både søkere og ansatte, ofte uten at brukerne er klar over det.

– Når AI for eksempel brukes til å sile søknader, evaluere prestasjoner eller anbefale kandidater, regnes dette som høyrisikosystemer. For arbeidsgiver betyr det at det oppstår en rekke plikter, som for eksempel å sikre at data som legges inn i systemet er representativt og ikke fører til diskriminering, sier Myksvoll Singh.

– Derfor blir det ekstra viktig at HR har oversikt over hvilke systemer som er i bruk, og hvilke krav som følger med, understreker hun.

Simployers rådgiver legger til at også de som berøres av et AI-system, for eksempel søkere eller ansatte, får styrkede rettigheter. De skal blant annet få tydelig informasjon om når og hvordan AI brukes i prosessene.

Grensen mot personvern

Myksvoll Singh tror at en av utfordringene vil bli å finne balansen mellom AI-forordningen og personvernregelverket (personopplysningsloven og GDPR). Der personvernreglene regulerer hvordan data samles inn og brukes, stiller AI-forordningen krav til hvordan selve teknologien som behandler dataene er bygget og testet.

– For HR betyr det at det ikke lenger er nok å sikre seg en god databehandleravtale. Man må også vite hvordan systemene fungerer, hvilke data de er trent på og hvordan de påvirker ansatte og søkere, sier hun.

Hvordan kan HR forberede seg?

Mange virksomheter har allerede tatt i bruk AI-løsninger enten i rekrutteringssystemer, læringsplattformer eller interne analyseverktøy. Når regelverket trer i kraft, vil det bli avgjørende å kunne dokumentere hvilke systemer som benyttes og hvilken risiko de innebærer.

– Det første skrittet for HR er å skaffe seg oversikt over hvilke AI-systemer de bruker og ta stilling til hvilken risiko AI-bruken utgjør. HR bør også ha dialog med leverandører og stille krav om åpenhet, slik at man kan være trygg på at systemene oppfyller de nye lovkravene, sier Myksvoll Singh.

Hun understreker at det også er viktig å bygge kompetanse internt, både for ansatte, ledere og HR.

– Det er HR som må være proaktive her. Jo tidligere man får oversikt, jo bedre rustet er man til å møte kravene når loven trer i kraft, sier hun.