Klar for KI-forordningen: en praktisk sjekkliste

Oversikt og ansvar

anbefalt god praksis

• Vi har en samlet oversikt over hvilke KI-verktøy vi faktisk bruker (ikke bare de "offisielle", spør på tvers av avdelinger)
• Én person eller ett team har ansvar for å følge med på KI-bruk og -regelverk hos oss
• Vi vet hvilken rolle vi har for hvert system: bruker eller tilbyder (se roller og plikter)

Risikovurdering

• Vi har vurdert hvert KI-system opp mot risikonivåene (se risikoklasser)
• Vi har identifisert om noen av systemene våre nærmer seg høyrisikoområder (rekruttering/ansettelse, vurdering av kredittverdighet, offentlige ytelser, utdanning, kritisk infrastruktur)
• Vi dokumenterer risikovurderinger der det er nødvendig, og har en enkel intern oversikt over øvrig KI-bruk

  anbefalt praksis, ikke et generelt lovkrav for all lavrisikobruk

Kompetanse

• Vi har gjort tiltak som støtter KI-kompetansen hos ansatte og andre som bruker KI-systemene på våre vegne, tilpasset deres erfaring, opplæring, brukskontekst og risiko (i EU er dette et krav allerede i dag, se tidslinje; anbefalt uansett status for norsk gjennomføring)
• Vi har en enkel, skriftlig intern rutine for hva som er godkjent KI-bruk hos oss (se Trygg KI-bruk for team)

  anbefalt praksis

• Nyansatte får denne opplæringen som del av onboardingen

Åpenhet

konkrete krav for bestemte situasjoner, ikke en generell merkeplikt

• Vi har kontrollert at kunder/besøkende som interagerer direkte med en KI blir informert om dette, slik artikkel 50 krever av tilbyderen av systemet. Tilbyr vi selv chatbot-systemet under eget navn, oppfyller vi denne plikten selv
• Vi har vurdert om KI-bruken vår omfattes av andre konkrete åpenhetskrav, for eksempel deepfakes eller KI-generert innhold om saker av offentlig interesse
• Vi har rutine for kvalitetssjekk av KI-generert innhold før publisering (se Før du publiserer KI-innhold)

  anbefalt praksis

Leverandøroppfølging

anbefalt god praksis

• Vi vet hvilke av KI-funksjonene i programvaren vår som kommer fra egne leverandører, og har bedt om deres dokumentasjon på risikoklassifisering
• Vi har sjekket at leverandøravtaler sier noe om ansvarsfordeling ved KI-relaterte feil eller brudd
• Vi følger med på om leverandørene våre varsler endringer i KI-funksjonalitet som kan endre vår egen risikovurdering

Menneskelig kontroll

• For KI-systemer der menneskelig kontroll er nødvendig eller påkrevd, har vi definert hvem som skal overvåke, overprøve eller stoppe systemet
• For eventuell høyrisiko-KI følger vi leverandørens instruksjoner for menneskelig tilsyn, og har personer med nødvendig kompetanse og myndighet til å gripe inn

Beredskap

anbefalt god praksis

• Vi vet hvem vi varsler internt hvis et KI-system oppfører seg uventet eller skaper et alvorlig avvik
• Vi har satt av tid til å følge med på endringer i regelverket (tidslinje, norsk KI-lov) minst hvert kvartal