Forordningen dekker bare deler av systemet
AI Act gir et viktig rammeverk for bestemte aktører og former for risiko. Men forordningen er ikke et kart over hele AI-systemet. Den avgjør ikke alene hvem som får tilgang til knapp datakraft, eller hvilke leverandører en norsk virksomhet blir avhengig av. Den gir heller ikke alene svar på hvordan et datasenter prioriteres i kraftsystemet, eller hvor kontrollen over en kritisk tjeneste ligger.
AI-regelverket må leses sammen med teknologien, aktørene, avtalene og beslutningene som former løsningen. Ellers blir den juridiske vurderingen for snever.
Ser man bare på modellen, forsvinner infrastrukturen, virksomhetens bruk og virkningene i samfunnet.
Avhengighetene oppstår før sluttproduktet
En bruker møter gjerne AI som et tekstfelt i en nettleser. Grensesnittet hviler på en fysisk og kommersiell kjede. Kraften må produseres og overføres til et datasenter med kjøling og fiber. Der må prosessorer, minne og nettverksutstyr være tilgjengelige. Modellen må trenes eller kjøpes som tjeneste før en virksomhet kan koble den til egne data, systemer og arbeidsprosesser.
Knappheten kan ligge på forskjellige steder. Ett prosjekt kan stanse ved nettilknytningen. Et annet kan begrenses av tilgangen til avanserte chips eller av leverandørens kapasitet. Virksomhetens egne data kan også være avgjørende. Flaskehalsen flytter seg når teknologien, markedet eller bruken endres.
Kontrollen følger ikke eierskapet alene. Eieren av datasenteret kontrollerer ikke nødvendigvis prosessorene, og modellutvikleren bestemmer ikke alltid hvordan kunden bruker resultatet. En virksomhet kan ha avtalefrihet på papiret, men liten praktisk mulighet til å flytte når dataflyter og interne prosesser er bygget rundt én plattform.
Den juridiske analysen må ta hensyn til hvordan kontrollen faktisk er fordelt. Den som eier en ressurs, har ikke nødvendigvis styringen eller ansvaret. Kontraktene kan plassere rettigheter og risiko et annet sted enn systemdiagrammet først antyder.
Reglene møter ulike deler av systemet
Hvis juristen bare ser på AI som ett reguleringsobjekt, kan andre regler fremstå som tillegg. I praksis virker de i ulike deler av den samme kjeden.
Den fysiske infrastrukturen reiser spørsmål om kraft, nett, areal og beredskap. Eksportkontroll og konkurranseregler kan påvirke tilgangen til prosessorer og skytjenester. Personvern og opphavsrett følger dataene gjennom trening, tilpasning og bruk. Kontrakten mellom leverandøren og kunden fordeler tilgang, endringsrisiko, ansvar og kontroll. Når løsningen tas inn i en organisasjon og påvirker mennesker, kommer også arbeidsrett, diskrimineringsvern og virksomhetsstyring inn.
Reglene må knyttes til den faktiske beslutningen. Hvem valgte løsningen, og hvem kan endre den? Hvilke data bruker den? Virksomheten må også vite hvem som bærer konsekvensen hvis resultatet er feil, tjenesten stopper eller leverandøren endrer vilkårene.
Virksomheten trenger ikke begynne med en full katalog over alle tenkelige regler. Den kan følge ressursene og beslutningene gjennom den konkrete løsningen. Slik blir det tydelig hvor rettigheter, plikter og kommersiell risiko oppstår, og hvem de berører.
Virksomhetsledelsen må se hele kjeden
Når styret eller ledelsen velger en AI-løsning, innebærer beslutningen også valg av leverandørkjede, kostnadsmodell og dataflyt. Den avgjør hvor mye kontroll virksomheten beholder. En løsning som fungerer godt i en pilot, kan få en annen risikoprofil når den integreres tett, brukes kontinuerlig eller påvirker en kritisk beslutning.
Ledelsen trenger et systemkart før den formulerer flere prinsipper. Kartet bør vise hvilke ressurser løsningen er avhengig av, og hvem som kontrollerer dem. Det må også vise hvordan virksomheten kan gripe inn dersom en leverandør, modell eller tjeneste må byttes ut.
Hvis juristen først kobles inn etter teknologivalget, er handlingsrommet snevert. Aktørene, avtalene og virksomhetens valgmuligheter bør avklares mens arkitekturen og anskaffelsen fortsatt kan påvirkes.
Begynn med ressursene og beslutningene
AI Act inngår i et større rettslig bilde. Energiregulering og sikkerhetsregler gjelder andre deler av systemet. Personvern, opphavsrett og konkurranseregler griper inn på sine områder, mens kontrakter fordeler rettigheter og risiko mellom aktørene. De relevante reglene må kobles til stedene hvor ressurser kontrolleres og beslutninger tas.
Kjeden fra kraft til samfunn gir et praktisk startpunkt. Analysen begynner før modellen og følger løsningen gjennom virksomheten til de faktiske virkningene. Noen avhengigheter kan håndteres som vanlige leverandørforhold. Andre krever oppmerksomhet fra ledelsen eller får politisk betydning.