Når personvernombudet plutselig skal tenke på maskinrettigheter

Forestill deg at du sitter i et kommunestyremøte hvor administrasjonssjefen entusiastisk forteller at «kunstig intelligens skal revolusjonere vår borgerservice», mens personvernombudet nervøst blar i notater om GDPR. Det er ikke bare datamaskiner som blir utfordret av denne samtalen — det er hele måten vi tenker på risikovurdering.

KI-forordningen trer i kraft i Norge gjennom KI-loven. Ikrafttredelsen er utsatt fra det opprinnelige målet sommeren 2026; regjeringen tar nå sikte på å legge fram lovproposisjonen våren 2027. I motsetning til private virksomheter som oppfordres til å gjennomføre FRIA-vurderinger, har kommuner og andre offentlige myndigheter en juridisk plikt til å gjennomføre denne typen risikovurdering før de tar i bruk høyrisiko KI-systemer.

Den velkjente DPIA møter ukjent fetter

FRIA — Fundamental Rights Impact Assessment — er en vurdering som skal hjelpe idriftsetter med å kartlegge hvilke mulige negative konsekvenser et KI-system med høy risiko kan ha for grunnleggende rettigheter. FRIA har flere likhetstrekk med DPIA, og forordningen legger opp til at vurderinger fra en DPIA kan gjenbrukes i en FRIA.

Her ligger det første interessante poenget: De fleste kommuner har i dag gode rutiner for DPIA. Men mens DPIA fokuserer på beskyttelse av personopplysninger, tar FRIA et bredere grep om grunnleggende rettigheter — inkludert ikke-diskriminering, retten til rettferdig behandling, og retten til menneskelig inngripen i automatiserte beslutninger.

FRIA skal hjelpe virksomheten å kartlegge hvilke mulige negative konsekvenser et KI-system kan ha, og på bakgrunn av dette iverksette de tiltakene som er nødvendige for å ivareta fundamentale rettigheter. En FRIA skal blant annet inneholde en beskrivelse av prosessene der KI-systemet skal brukes, tidsperioden og hyppigheten for bruk, personer eller grupper som kan bli påvirket, spesifikke risikoer for skade, beskrivelse av menneskelige tilsyn og andre tiltak for å redusere risiko, samt håndtering av klager.

Det som gjør KI-systemer til høyrisiko-kandidater

Et KI-system betraktes som høyrisikosystem dersom tiltenkt formål er listet i vedlegg III i KI-forordningen. Det kan for eksempel være tilfelle dersom bruk av KI-systemet vil påvirke noens rett til å motta ytelser eller helsetjenester. I dette tilfellet må offentlige tjenestetilbydere også utføre en FRIA-vurdering.

For eksempel er bruk av KI-systemer for siling av kandidater ved ansettelsesprosesser kategorisert som høyrisiko. Andre eksempler på høy-risiko-områder inkluderer vurdering av om personer har rett til viktige offentlige ytelser og tjenester, inkludert helsetjenester, og vurderinger av risikoen for at personer begår eller på nytt begår straffbare handlinger.

Mange kommuner bruker allerede KI-lignende systemer uten å være klar over det. Automatiserte scoringssystemer for sosialhjelp, KI-baserte chatboter for innbyggertjenester, eller prediktive modeller for helsetjenester kan alle falle inn under høyrisiko-kategorien.

Den overraskende sammenvevingen med GDPR

KI-forordningen og GDPR overlapper, men dekker ulike ting. Begge regelverk kan gjelde samtidig. Et KI-system som behandler personopplysninger og er klassifisert som høyrisiko, kan kreve både FRIA og DPIA.

Dette skaper en interessant metodisk utfordring: Mens DPIA er godt etablert med klare risikomatriser og tiltakskataloger, er FRIA et nytt konsept. European Center for Not-for-Profit Law og Institut for Menneskerettigheder har laget en praktisk veiledning for gjennomføring av FRIA, tilgjengelig siden desember 2025. Men praktiske erfaringer mangler fortsatt.

Det som er særlig interessant, er at FRIA tvinger oss til å tenke på rettigheter som vi kanskje ikke har vurdert systematisk før: Hva skjer med retten til likebehandling når en KI-modell er trent på historiske data som reflekterer samfunnets skjevheter? Hvordan sikrer vi retten til forklaring når selv teknologileverandøren ikke helt forstår hvordan algoritmen kom frem til sitt resultat?

Fra compliance til strategisk verktøy

Her ligger kanskje det mest overraskende perspektivet: FRIA er ikke bare en ny compliance-byrde, men potensielt et kraftfullt verktøy for bedre tjenester. Når kommuner tvinges til å tenke systematisk på hvordan KI-systemer påvirker grunnleggende rettigheter, kan de oppdage bias og urettferdigheter som de ikke var klar over.

Dette fører til betydelig dobbeltarbeid siden mange kommuner vurderer de samme løsningene og står overfor lignende utfordringer. En felles tilnærming til ROS og DPIA for KI-løsninger vil være ressursbesparende og bidra til høyere kvalitet på vurderingene.

Det samme gjelder for FRIA. I stedet for at 356 kommuner skal finne opp hjulet på nytt, kan de dele erfaringer og utvikle felles metoder for å vurdere grunnleggende rettigheter.

Måten vi tenker på risikovurdering er i endring. DPIA lærte oss å se på personopplysninger som noe som må beskyttes. FRIA lærer oss å se på KI-systemer som aktører som må kunne forsvare sine beslutninger — nesten som om de var offentlige tjenestemenn som kan kalles til regnskap.

Kanskje det er akkurat det de er.