Oppsummering

Forvaltningen bruker i økende grad kunstig intelligens (KI) som støtte ved utøvelse av offentlig myndighet. KI-systemer kan blant annet analysere store mengder informasjon, oppdage mønstre og beregne risiko. Dette har åpenbare fordeler: KI-systemer kan føre til større effektivitet, bedre og mer treffsikre beslutninger og frigjøre ressurser som kan brukes til andre oppgaver.

Samtidig reiser slik bruk av KI viktige rettssikkerhetsspørsmål. KI-systemer kan bygge på statistiske sammenhenger som ikke nødvendigvis er saklige og lovlige hensyn ved utøvelse av offentlig myndighet. Det kan også være vanskelig å forstå hvilke opplysninger og forhold som har påvirket systemets vurdering. Dermed er det en risiko for at KI-genererte vurderinger eller anbefalinger bygger på feilaktige forutsetninger eller utenforliggende hensyn, eller innebærer usaklig forskjellsbehandling eller diskriminering, uten at dette blir oppdaget.

Sivilombudet har på denne bakgrunn av eget tiltak undersøkt hvilke krav forvaltningsretten stiller til innsikt og kontroll ved bruk av KI til beslutningsstøtte. Det sentrale spørsmålet har vært hva forvaltningen må vite om grunnlaget for en anbefaling eller vurdering fra et KI-system for lovlig å kunne bygge på den.

Etter ombudets syn må forvaltningen ha tilstrekkelig innsikt i og reelle muligheter til å kontrollere at KI-systemene og resultatene deres bygger på saklige og lovlige hensyn. Hvis ikke er det fare for at feilaktige eller usaklige vurderinger videreføres i forvaltningens avgjørelser, uten at noen oppdager det. Dersom forvaltningen bruker en KI-generert vurdering uten å kunne kontrollere om vurderingen er egnet som beslutningsgrunnlag, er det grunn til å stille spørsmål ved om saksbehandlingen er forsvarlig. Det er ikke i seg selv tilstrekkelig at den endelige beslutningen treffes av et menneske.

Forvaltningen må også ha rutiner som sikrer at kontrollmulighetene benyttes. Dette er viktig blant annet på grunn av risikoen for såkalt automatiseringsbias, som er betegnelsen på tendensen mennesker kan ha til å stole ukritisk og overdrevent på automatiserte anbefalinger og vurderinger.

1. Innledning

Forvaltningen bruker i økende grad kunstig intelligens (KI) som støtte ved utøvelse av offentlig myndighet. KI-systemer kan blant annet analysere store mengder informasjon, oppdage mønstre og beregne risiko. Dette har åpenbare fordeler: KI-systemer kan føre til større effektivitet, bedre og mer treffsikre beslutninger og frigjøre ressurser som kan brukes til andre oppgaver.

Samtidig reiser slik bruk av KI viktige rettssikkerhetsspørsmål. KI-systemer kan bygge på statistiske sammenhenger som ikke nødvendigvis er saklige og lovlige hensyn ved utøvelse av offentlig myndighet. Det kan også være vanskelig å forstå hvilke opplysninger og forhold som har påvirket systemets vurdering. Dermed kan det være en risiko for at KI-genererte vurderinger eller anbefalinger bygger på feilaktige forutsetninger eller utenforliggende hensyn, eller innebærer usaklig forskjellsbehandling eller diskriminering, uten at dette blir oppdaget.

Dette er en problemstilling ikke bare der KI-systemer treffer automatiserte avgjørelser. Også der den endelige beslutningen treffes av et menneske, kan KI-systemets vurdering ha stor betydning for utfallet. At en saksbehandler formelt treffer beslutningen, sikrer ikke i seg selv at vedkommende har tilstrekkelig grunnlag for å vurdere beslutningsgrunnlaget KI-systemet har generert.

Sivilombudet har på denne bakgrunn av eget tiltak undersøkt hvilke krav forvaltningsretten stiller til innsikt og kontroll ved bruk av KI til beslutningsstøtte. Det sentrale spørsmålet for ombudet har vært hva forvaltningen må vite om grunnlaget for en anbefaling eller vurdering fra et KI-system for å lovlig kunne bygge på den. Kan forvaltningen eksempelvis bruke en KI-generert risikoscore som grunnlag for utvelgelse av personer eller virksomheter til kontroll, uten å vite hvilke forhold som har vært avgjørende for risikovurderingen? Undersøkelsen har særlig vært rettet mot risikoen for at KI-systemene vektlegger utenforliggende hensyn, diskriminerer eller foretar usaklig forskjellsbehandling.

Som ledd i undersøkelsen har vi innhentet opplysninger fra Nav, Arbeidstilsynet, Skatteetaten og Tolletaten om deres bruk av KI til beslutningsstøtte. Vi har blant annet spurt om hvordan etatene sikrer at KI-systemene ikke legger vekt på utenforliggende hensyn eller forskjellsbehandler på usaklig grunnlag, og hvilke muligheter de har til å forstå og etterprøve systemenes resultater.

Rapportens oppbygning

Ombudet redegjør i punkt 2 for sine konklusjoner. I punkt 3 beskrives utfordringene ved bruk av KI til beslutningsstøtte nærmere. I punkt 4 omtaler vi svarene fra forvaltningsorganene. De relevante forvaltningsrettslige regler gjennomgås i punkt 4, mens vi i punkt 5 vurderer etatenes svar i lys av disse kravene.

Vurderingene i rapportens hoveddel er avgrenset til forvaltningsrettslige krav. Relevante regler om transparens, forklaring og rett til informasjon etter GDPR og KI-forordningen er omtalt i vedlegget til rapporten.

2. Ombudets konklusjon

Forvaltningen har et selvstendig ansvar for at beslutningene den treffer, er i samsvar med gjeldende rett, også når KI benyttes som beslutningsstøtte. Forbudene mot vektlegging av utenforliggende hensyn, usaklig forskjellsbehandling og diskriminering gjelder uavhengig av hvordan beslutningsgrunnlaget er utarbeidet.

Etter ombudets syn må forvaltningen derfor både ha tilstrekkelig innsikt i og reelle muligheter til å kontrollere at KI-systemene og deres resultater, bygger på saklige og lovlige hensyn. Hvis ikke er det en fare for at feilaktige eller usaklige vurderinger videreføres i forvaltningens avgjørelser, uten at noen oppdager det. Dersom forvaltningen bruker en KI-generert vurdering uten å kunne kontrollere om vurderingen er egnet som beslutningsgrunnlag, er det grunn til å reise spørsmål om saksbehandlingen er forsvarlig. Det er ikke i seg selv tilstrekkelig at den endelige beslutningen treffes av et menneske.

Der det offentlige velger ut enkeltpersoner eller virksomheter til kontroll, er det grunn til å påpeke at selv om saksbehandleren deretter undersøker de faktiske forholdene i saken grundig, innebærer ikke det at utvelgelsen bygger på saklige og lovlige hensyn. En utvelgelse som vektlegger kjønn, alder eller etnisitet, vil kunne være både ulovlig og usaklig. Det illustrerer at tilstrekkelig innsikt og mulighet for kontroll av KI-systemene er viktig.

Hvilken innsikt og mulighet for kontroll som er nødvendig, av henger av hvordan KI-systemet brukes, og om det er andre muligheter for kontroll. Forvaltningen må også ha rutiner som sikrer at kontrollmulighetene faktisk benyttes, og slik at KI-genererte vurderinger ikke ukritisk legges til grunn. Svarene fra Arbeidstilsynet, Skatteetaten og Tolletaten viser at KI brukes på ulike måter og har ulik betydning for beslutningene som treffes. Etatene beskriver også ulike tilnærminger til innsikt og kontroll, blant annet gjennom kunnskap om systemenes funksjon og begrensninger, analyser av hvilke variabler som påvirker resultatene, og selvstendige faglige vurderinger av systemenes funn. Slike tiltak kan etter omstendighetene bidra til nødvendig innsikt og kontroll. Det avgjørende er hvilke muligheter forvaltningen faktisk har til å forstå og etterprøve resultatene, og hvordan disse mulighetene benyttes i praksis.

Opplysningene fra etatene har ikke gitt ombudet tilstrekkelig grunnlag for å vurdere om deres konkrete bruk av KI-systemene i alle tilfeller oppfyller de rettslige kravene. Dette har heller ikke vært det primære formålet med undersøkelsen. Formålet har først og fremst vært å klargjøre hvilke rettslige krav som gjelder til forvaltningens innsikt og kontroll, og å belyse hvordan disse kravene kan ivaretas i praksis.

Reglene om transparens og forklaring i personvernforordningen (GDPR), den nye forvaltningsloven og KI-forordningen kan bidra til å sikre nødvendig innsikt og kontroll. Disse reglene gjelder ulike områder og omfatter ikke all bruk av KI til beslutningsstøtte. Ombudet mener det kan være grunn til å vurdere om kravene til forvaltningens innsikt og kontroll bør komme tydeligere til uttrykk i lov eller forskrift.

Sivilombudet fremhever at målet om effektivisering gjennom digitalisering og teknologiske muligheter ikke rekker lenger enn at grunnleggende krav til forsvarlig saksbehandling og rettssikkerhet ivaretas. Et sentralt mål bør være at digitaliseringen også styrker tilliten til forvaltningen og aktivt motvirker risikoen for systematiske feilvurderinger.

3. Bakgrunn og problembeskrivelse

KI-systemer kan blant annet analysere store mengder informasjon, avdekke mønstre og beregne risiko. Det kan også gjøre beslutningene mer treffsikre. Treffsikre kontroller er viktig både for å få en effektiv ressursutnyttelse og for å motvirke regelbrudd. Tidsbesparende tiltak kan videre frigjøre tid til forvaltningens øvrige oppgaver og være til borgernes fordel. 

Forvaltningen blir stadig mer digitalisert, og utviklingen er forventet å fortsette: Ifølge regjeringens nasjonale digitaliseringsstrategi for 2024-2030 skal Norge være verdens mest digitaliserte land innen 2030. At forvaltningen digitaliseres innebærer blant annet at de fleste saksbehandlingssystemer i dag er elektroniske. Flere av disse systemene benytter kunstig intelligens (KI), som omfatter ulike former for informasjonsteknologi med egenskaper som minner om menneskelig intelligens. Systemene kan dermed utføre oppgaver som normalt utføres av mennesker.

En form for kunstig intelligens er maskinlæring. Systemer basert på maskinlæring analyserer datasett – treningsdata – for å finne statistiske sammenhenger. Disse sammenhengene kan for eksempel være hvilke variabler (som kjønn, inntekt, adresse, sysselsettingsgrad, forekomst av hjertesykdom eller alder) som opptrer samtidig. Sammenhengene som avdekkes, brukes til å utføre oppgaver, som å velge ut personer eller virksomheter til kontroll, identifisere en person fra et bilde eller stille en diagnose.

De utfordringene som tas opp i rapporten oppstår typisk ved bruk av maskinlæring. Mens beslutningsgrunnlaget i tradisjonelle regelbaserte systemer kan spores til konkrete regler og kriterier – «hvis X, så Y» – bygger maskinlæringssystemer på mønstre og statistiske sammenhenger som utledes fra treningsdata. For enkelhets skyld benyttes stort sett kunstig intelligens eller KI videre i rapporten, også ved omtale av utfordringer som er typiske for maskinlæring.

KI-systemer kan blant annet analysere store mengder informasjon, avdekke mønstre og beregne risiko. Det kan også gjøre beslutningene mer treffsikre. Treffsikre kontroller er viktig både for å få en effektiv ressursutnyttelse og for å motvirke regelbrudd. Tidsbesparende tiltak kan videre frigjøre tid til forvaltningens øvrige oppgaver og være til borgernes fordel. 

Flere norske forvaltningsorganer bruker eller planlegger å bruke beslutningsstøttesystemer basert på KI. Slike systemer fatter ikke endelige vedtak selv, men gjør en beregning eller vurdering som inngår i beslutningsgrunnlaget til en avgjørelse. Avgjørelsen fattes deretter manuelt. Det kan for eksempel gjelde hvilke mennesker eller selskaper som skal kontrolleres nærmere. Enkelte forvaltningsorganer bruker i tillegg KI-systemer til å fatte automatiserte avgjørelser om kontrollutplukk.

Forutsetningen er imidlertid at gjeldende rett ivaretas også når forvaltningen benytter KI som beslutningsstøtte. De siste årene har det kommet flere eksempler på beslutningsstøttesystemer basert på KI som nettopp har utfordret innbyggernes rettssikkerhet. Ombudet viser til følgende saker:

  • Fra Nederland: SyRI-saken, der myndighetene brukte et KI-system for å identifisere personer med forhøyet risiko for trygdesvindel og skatteunndragelse. Systemet sammenstilte opplysninger om enkeltpersoner fra ulike offentlige registre for å vurdere risikoen for regelbrudd.1 En nederlandsk domstol pekte på faren for at systemet vektla lav inntekt eller innvandrerbakgrunn.2 Fordi man hadde liten innsikt i hvordan systemet vurderte risiko, var det vanskelig å kontrollere om personene ble valgt ut på et saklig grunnlag. Domstolen fremhevet at det ikke var tilstrekkelig at saksbehandlerne kontrollerte personene som var plukket ut, når det fortsatt var uklart hvordan utplukket var skjedd. Manglende innsikt i hvordan systemet fungerte, gjorde det videre vanskelig å avdekke diskriminering i enkeltsaker.
  • Fra Nederland: Den såkalte barnepassaken (kjent som «kinderopvangtoeslagaffaire» eller «toeslagenaffaire»).3 Nederlandske skattemyndigheter brukte en algoritmebasert risikomodell til å velge ut hvilke søknader om støtte til barnepass som skulle kontrolleres nærmere. Modellen la blant annet vekt på om søkerne hadde nederlandsk statsborgerskap, noe den nederlandske personvernmyndigheten senere fastslo var diskriminerende. Saksbehandlerne fikk imidlertid ikke vite hvorfor modellen hadde valgt ut en søknad. De kunne dermed kontrollere opplysningene i søknaden, men ikke om det var saklig grunn til at akkurat denne søknaden var valgt ut.
  • Fra Sverige: En journalistisk gransking fra 2024 avdekket at Försäkringskassan – som har mange av de samme oppgavene som Nav i Norge – brukte et KI-system som uten saklig grunn oftere valgte ut kvinner, personer med utenlandsk bakgrunn og personer med lav inntekt til kontroll av støtte til foreldre som var hjemme fra arbeid med syke barn.4 Kontrollene kunne innebære at utbetalinger ble forsinket. Försäkringskassan har i etterkant selv fremhevet betydningen av transparens og forklarbarhet ved bruk av KI. I en rapport fra mai 2025 påpekte etaten at manglende transparens kan gjøre det vanskelig å oppdage diskriminering og andre systematiske feil.5
  • Fra Norge: Under testing av et planlagt system i Nav vektla systemet den sykemeldende legens alder når det skulle anslå lengden på pasientenes sykefravær.6 Anslaget skulle brukes som støtte når Nav vurderte behovet for oppfølging av sykmeldte. Systemet var som nevnt kun under utprøving, men eksempelet illustrerer forskjellen mellom en statistisk sammenheng og rettslig relevans.
  • Fra USA: Det amerikanske strafferettsapparatet brukte risikovurderingssystemet COMPAS til å anslå risikoen for ny kriminalitet. En analyse fra ProPublica viste at blant personer som ikke ble registrert for nye lovbrudd i løpet av de påfølgende to årene, ble svarte langt oftere enn hvite vurdert av systemet til å ha høy risiko for å begå nye straffbare handlinger.7
  • Fra USA: Amazon utviklet et rekrutteringssystem som viste seg å favorisere menn fremfor kvinner til stillinger, fordi KI-systemene først og fremst var trent på data om mannlige jobbsøkere.8 Eksempelet viser hvordan et KI-system kan videreføre skjevheter fra treningsdata, selv om slike forhold ikke uttrykkelig er lagt inn som kriterier i modellen.

Sakene illustrerer at det kan oppstå utfordringer med å avdekke feil og oppdage mulige krenkelser i enkeltsaker ved bruk av KI-systemer. Som SyRI-saken og barnepassaken viser, kan det være vanskelig å kontrollere en risikovurdering eller et forslag dersom saksbehandleren ikke vet hvilke opplysninger systemet har lagt vekt på. Selv om saksbehandleren undersøker saken videre, innebærer ikke det nødvendigvis at vedkommende kan kontrollere om det var saklig grunn til at akkurat denne personen ble valgt ut. Mulighetene for kontroll av KI-systemet og forebygging av feil avhenger med andre ord av hvilken innsikt forvaltningen har i egne KI-systemer og systemenes beregninger.

4. Informasjonsinnhenting: Enkelte forvaltningsorganers bruk av KI

Som ledd i undersøkelsen innhentet vi informasjon fra enkelte forvaltningsorganer om bruk av KI til støtte i beslutninger. Vi stilte Arbeidstilsynet, Skatteetaten, Tolletaten og Arbeids- og velferdsetaten (Nav) spørsmål om status for deres bruk (eller planlagte bruk) av beslutningsstøttesystemer basert på maskinlæring. Vi spurte forvaltningsorganene hvordan de sikrer at KI-systemene ikke forskjellsbehandler på usaklig grunnlag, eller vektlegger utenforliggende hensyn. Videre spurte vi om KI-systemene gir en forklaring på hva som har vært avgjørende for forslagene de gir.

Til Skatteetaten stilte vi i tillegg særskilte spørsmål om status for bruk av KI til automatiserte avgjørelser, inkludert avgjørelser om kontrollutplukk. I den sammenheng ba vi om Skatteetatens vurdering av om avgjørelsene om automatisert kontrollutplukk kan være omfattet av personvernforordningen (GDPR) artikkel 22. I forlengelsen av det stilte vi spørsmål om hvordan Skatteetaten eventuelt sikrer at systemene oppfyller kravene til informasjon i GDPR artikkel 15. Videre spurte vi Skatte- og Tolletaten om de kan anses som «retshåndhævende myndigheder» etter KI-forordningen artikkel 3 nr. 45. Etatenes svar på disse spørsmålene omtales i vedlegget.

Nav

Nav svarte at de per i dag ikke bruker KI til digital beslutningsstøtte. Seksjonen for arbeidsmarkedstiltak har vurdert å benytte seg av KI-tjenester ved gjennomføringen av slike tiltak, noe som også tilbys av Navs leverandører. Det kan for eksempel brukes til utforming av CV, hjelp til å utforme jobbsøknad og jobbmatching. Nav har foreløpig besluttet ikke å ta i bruk slike løsninger på brukeropplysninger, men har opplyst at mulige fremtidige bruksområder vurderes. 

Arbeidstilsynet

Arbeidstilsynet svarte at de bruker et digitalt beslutningsstøttesystem med maskinlæring, kalt Prediksjonsindeksen. Prediksjonsindeksen beregner risikoscore for virksomheter, basert på historiske data fra tidligere tilsyn. Inspektørene bruker scoren som et av flere informasjonsgrunnlag ved prioritering av tilsynsobjekter. For å begrense risiko for usaklig forskjellsbehandling brukes Prediksjonsindeksen kun til beslutningsstøtte – det er alltid ansatte som foretar de endelige vurderingene. I disse vurderingene brukes inspektørenes faglige skjønn, og det vektlegges også annen informasjon om virksomheten.

Prediksjonsindeksen er forklarbar på et overordnet nivå for ansatte som arbeider med systemet. De har kunnskap om hvilke typer variabler som inngår i modellen, modellens formål og begrensninger, og hvordan resultatene er ment å brukes. Systemet gir imidlertid ikke en fullstendig, maskinell forklaring på hver enkelt beregning. Fordi systemet aldri brukes som beslutningstaker, og dets resultater alltid underlegges menneskelig vurdering, anser Arbeidstilsynet Prediksjonsindeksen for å være tilstrekkelig etterprøvbar.

Tolletaten

Tolletaten benytter blant annet digitale verktøy med «statistiske maskinlæringsmetoder for å analysere, klassifisere og kategorisere informasjon». Det kan for eksempel være for å analysere informasjon fra deklarasjonsdata om import av en viss type vare til Norge. Verktøyene kategoriserer informasjon og identifiserer mønstre som det menneskelige øyet ikke enkelt kan se. Analytikeren – altså et menneske – vurderer så selv funnene, og om de gir mening i et faglig perspektiv. Deretter utarbeider analytikeren en rapport, som kan danne grunnlag for utvikling av «regler» i Tolletatens deklarasjonssystem (TVINN). Disse reglene kan varsle kontrollørene om varesendinger som kan være aktuelle for kontroll.

Maskinlæringsmodellenes resultater brukes bare som analysegrunnlag for analytikere, og formidles ikke til tjenestepersonene som foretar kontrollutplukket. Modellene gir ifølge etatens heller ikke risikoscorer eller kontrollanbefalinger. Eventuelle kontrollregler utformes og anvendes separat fra modellene.

Det kan også være mer generelle rapporter, som sendes til tolltjenestepersoner som et bakgrunnsnotat. Uansett er det tolltjenestepersonene som selv vurderer om informasjonen gir grunnlag for å gjennomføre kontroll. Supplerende manuelle undersøkelser som foretas i den forbindelse kan være søk i Tolletatens systemer, dokumentkontroll, eller – der risikoen vurderes som høy – fysisk kontroll.

Dataanalytikerne kan «teoretisk sett gjennom arbeidet analysere om det fremstår som at det foreligger usaklig forskjellsbehandling, diskriminering eller vektlegging av utenforliggende hensyn». Ifølge Tolletaten blir imidlertid ikke dette en reell problemstilling, da det kun er tale om analyse av data om varer og vareflyt, samt strukturering av data av aktører i vareførselen.

Tolletaten svarte videre at alle datavariablene er transparente når det gjelder hvilken informasjon de formidler. TVINN viser kontrolløren hvilken informasjon om objektet som er relevant for vurderingen av om det er risiko for ulovlig grensekryssende vareførsel.

Skatteetaten

Skatteetaten bruker maskinlæringsmodeller på flere områder, og har også modeller under utvikling og testing. På skatte- og avgiftsområdet bruker de for eksempel Fradragsmodellen, som predikerer om en skattepliktig krever uriktige fradrag i skattemeldingen. Et annet eksempel er Sekundærboligmodellen, som predikerer sannsynligheten for at en sekundærbolig blir brukt til utleie. Modellene lager forslag til kontrollutplukk. Selv om forslaget er automatisert, er beslutningen om kontrollen skal gjennomføres manuell, og basert på risiko, prioritering og ressurser/kapasitet.

Når det gjelder spørsmålet om hvordan Skatteetaten motvirker usaklig forskjellsbehandling og vektlegging av irrelevante hensyn, viste de til prinsippene i sin KI-policy. Der fremgår det blant annet at ved trening, testing og validering av KI-modeller må det gjennomføres tiltak som skal sikre at modellen ikke gir urettferdige eller diskriminerende utfall som følge av skjevheter i algoritmen eller dataene. Bruk av variablene gjennomgås for å sikre at de brukes til formålet de er innhentet for, og at det ikke brukes urettferdige og diskriminerende variabler. Før for eksempel Fradragsmodellen ble utviklet, ble det gjennomført 15 000 tilfeldige manuelle kontroller slik at modellen kunne «trenes på et tilfeldig og rettferdig (ikke-bias) datasett». Tidligere kontrollutslag og kontroller blir ikke brukt som variabler i modellen og får ikke betydning for risikoscoren. Skatteetaten har videre mulighet til å analysere modellenes vektlegging av variabler som også er diskrimineringsgrunnlag etter diskrimineringslovgivningen. For Fradragsmodellen har de i tillegg analysert variabler som kan korrelere med variablene Skatteetaten benytter seg av og har «gjennomført en analyse av rettferdighet/diskriminering».

Når det gjelder systemenes forklarbarhet, har Skatteetaten videre som et prinsipp i sin KI-policy at de skal sikre åpenhet både mellom utvikler av KI-modellen og bruker, og mellom bruker og en fysisk eller juridisk person som mottar en anbefaling eller beslutning generelt ved hjelp av KI. For å kunne ta i bruk KI på en ansvarlig måte må det ifølge policyen «være mulig å forstå hvordan KI-modellen er bygget opp og hvordan den genererer resultater, beslutninger og anbefalinger».

Skatteetaten benytter seg av såkalte Shapley Values (Shapley-verdier), som kan vise hvilke variabler som er viktige for KI-modellens prediksjoner. På denne måten kan de oppdage om det er visse variabler som betyr mye for modellen, og om det er variabler som sunn fornuft tilsier at ikke burde ha så stor betydning. Modellene er imidlertid relativt selvforklarende. Vi forstår det slik at Skatteetaten mener det derfor stort sett ikke er behov for å bruke Shapley-verdier i enkeltsaker.

5. Rettslige utgangspunkter

5.1 Forbud mot vektlegging av utenforliggende hensyn, usaklig forskjellsbehandling og diskriminering

Ved utvikling og bruk av offentlige KI-systemer er det viktig å være oppmerksom på forbudene mot vektlegging av utenforliggende hensyn og usaklig forskjellsbehandling. Forbudene er formulert slik i ny forvaltningslov § 40:

«Selv om en avgjørelse eller vurdering er overlatt til forvaltningens frie skjønn, kan forvaltningsorganet ikke vektlegge utenforliggende hensyn, utøve usaklig forskjellsbehandling eller treffe grovt urimelige avgjørelser.»

Bestemmelsen er en lovfesting av det som allerede følger av den ulovfestede myndighetsmisbrukslæren. Formålet med lovfestingen var å synliggjøre skrankene for forvaltningsskjønnet, ikke å endre gjeldende rett, jf. Prop. 79 L (2024-2025) punkt 13.2.4.1. De ulovfestede prinsippene gjelder også ved utøvelse av offentlig myndighet på områder der forvaltningslovens regler ikke kommer direkte til anvendelse. Dette gjelder blant annet Skatteetatens utvelgelse av skattepliktige til kontroll, jf. skatteforvaltningsloven § 10-1 første ledd.

Forbudet mot å vektlegge utenforliggende hensyn innebærer at forvaltningen bare kan legge vekt på hensyn som er saklige og relevante ut fra formålet med hjemmelsgrunnlaget, se Prop. 79 L (2024-2025) punkt 13.2.1.4, med videre henvisninger til rettspraksis. Hvilke hensyn dette er, avgjøres ut fra hjemmelsgrunnlaget og øvrige rettskilder. Enkelte hensyn kan også være relevante på tvers av saksområder, jf. Rt. 1993 s. 528.

Når for eksempel Tolletaten gjennomfører kontroll med vareførselen, skjer det med hjemmel i vareførselsloven § 8-1. Etter bestemmelsens første ledd første punktum kan tollmyndighetene stanse transportmidler, varesendinger og personer, og treffe de tiltak som er nødvendig for å gjennomføre kontroll med varer som føres inn i eller ut av tollområdet. Tollmyndighetene kan gjennomføre tilfeldige og målrettede kontroller, jf. andre punktum. Målrettede kontroller er typisk basert på innhentede opplysninger om et konkret kontrollobjekt, eller på modusanalyser, profiler eller indikatorer, jf. Prop. 237 L (2020-2021) kapittel 8, under merknadene til § 8-1 på s. 74. Ved målrettede kontroller må utvelgelsen bygge på hensyn som er saklige og relevante for kontrollens formål. Det kan for eksempel være relevant å legge vekt på opplysninger om varene, forsendelsen eller transporten som tyder på forhøyet risiko for ulovlig inn- eller utførsel, jf. formålet i vareførselsloven § 1-1 bokstav b. Det vil imidlertid normalt være et utenforliggende hensyn at mottakeren av en vareforsendelse har en bestemt inntekt.

I forvaltningsretten er det videre et grunnleggende prinsipp at like tilfeller skal behandles likt (likebehandlingsprinsippet). Forvaltningen må ha en saklig grunn til å behandle like tilfeller forskjellig. Prinsippet er ikke til hinder for at ulike tilfeller behandles ulikt, eller at det gjøres saklige prioriteringer. Utvelgelse til kontroll innebærer nettopp at noen kontrolleres, mens andre ikke gjør det – altså en forskjellsbehandling. Dette er ikke problematisk i seg selv. Det rettslige forbudet gjelder usaklig forskjellsbehandling: Forvaltningen må kunne peke på legitime og relevante grunner til at like tilfeller har blitt behandlet ulikt, jf. Prop. 79 L (2024-2025) punkt 13.2.1.5.

Også dette beror på en tolkning av det aktuelle hjemmelsgrunnlaget. Ombudet viser igjen til skatteforvaltningsloven § 10-1, som gir skattemyndighetene adgang til å kreve opplysninger for å kontrollere bokføring og skatteplikt. Dersom en skattepliktig velges ut til kontroll utelukkende fordi vedkommende har en bestemt etnisk bakgrunn, mens en tilsvarende skattepliktig av en annen etnisitet ikke kontrolleres, vil dette være en usaklig forskjellsbehandling.

Ombudet bemerker for øvrig at det i ny forvaltningslov § 12 første ledd bokstav b er presisert at forvaltningen skal sikre at automatiserte avgjørelser ikke innebærer usaklig forskjellsbehandling.

Nært forbundet med forbudet mot usaklig forskjellsbehandling er diskrimineringsforbudet. Likestillings- og diskrimineringsloven § 6 forbyr diskriminering på grunn av kjønn, graviditet, permisjon ved fødsel eller adopsjon, omsorgsoppgaver, etnisitet, religion, livssyn, funksjonsnedsettelse, seksuell orientering, kjønnsidentitet, kjønnsuttrykk og alder, eller kombinasjoner av disse. Dersom en forskjellsbehandling er knyttet til et av disse grunnlagene, kan den også reise spørsmål etter diskrimineringsforbudet. Om forskjellsbehandlingen er ulovlig, må vurderes etter vilkårene i likestillings- og diskrimineringsloven.

Som nevnt er det en risiko for at beregninger fra et KI-system kan vektlegge utenforliggende hensyn, foreta usaklig forskjellsbehandling eller diskriminering. Når det gjelder diskrimineringsforbudet, kan diskriminering finne sted selv om KI-systemet ikke direkte bruker et diskrimineringsgrunnlag som variabel. Systemet kan bygge på bestemte data som i praksis fungerer slik at de forteller noe annet samtidig (stedfortredere eller proxy-variabler). For eksempel kan deltidsarbeid indirekte si noe om kjønn, mens en adresse i noen tilfeller kan si noe om etnisitet. Dersom en forskjellsbehandling er knyttet til disse dataene, kan det reise spørsmål etter diskrimineringsforbudet.

5.2 Forvaltningsrettslige krav til forvaltningens innsikt i og kontroll med egne KI-systemer

5.2.1 Generelt om krav til forsvarlig saksbehandling og god forvaltningsskikk

Sivilombudets oppgave er å føre kontroll med forvaltningen for å hindre at det øves urett mot den enkelte, jf. sivilombudsloven § 1. Ombudet kan påpeke kritikkverdige forhold, blant annet innta standpunkt om at forvaltningen har handlet uforsvarlig eller opptrådt i strid med god forvaltningsskikk, selv om det ikke kan konstateres brudd på en bestemt lovbestemmelse, jf. sivilombudsloven § 12 første ledd bokstav a og § 16.  Krav til god forvaltningsskikk kan også ha betydning for hvordan forvaltningen organiserer sitt arbeid og etablerer rutiner, se Sivilombudets artikkel «God forvaltningsskikk» i årsmeldingen for 2020.

Det er bred enighet om at forsvarlighet er en viktig verdi og et mål for forvaltningens prosesser jf. Prop. 79 L (2024-2025) pkt. 4.5.4.3. Hensynet til forsvarlighet er også et reelt hensyn ved tolkingen av regler og ved vurderingen av om det er grunnlag for å oppstille ulovfestede krav, jf. samme sted. Ifølge Erik Boe knytter forsvarlig saksbehandling seg til «saksbehandlingsnormer med rettsikkerhetspregede formål», se Boe, Forsvarlig forvaltning (Universitetsforlaget 2018), s. 139 flg. Hvorvidt det finnes en alminnelig, ulovfestet rettsregel om at saksbehandlingen må være forsvarlig, er imidlertid omstridt. Høyesterett har omtalt «det ulovfestede kravet om forsvarlig saksbehandling», men uten å drøfte rekkevidden av et slikt krav, jf. Rt. 2009 s. 1356 avsnitt 31.

Spørsmålet om det gjelder et generelt, ulovfestet krav til forsvarlig saksbehandling, må imidlertid skilles fra spørsmålet om hvilke konkrete krav som kan stilles til forvaltningens saksbehandling. Da Justis- og beredskapsdepartementet valgte å ikke lovfeste et krav til forsvarlig saksbehandling i ny forvaltningslov, viste departementet nettopp til at man ofte kan komme frem til gode løsninger gjennom tolkning av eksisterende bestemmelser eller ved at det er grunnlag for å oppstille ulovfestede regler av mer avgrenset rekkevidde, jf. Prop. 79 L (2024-2025) pkt. 4.5.4.3.

5.2.2 Hvilke krav stiller forvaltningsretten til innsikt i og kontroll med forvaltningens beslutningsstøttesystemer?

Forvaltningens bruk av KI kan som nevnt skape særlige utfordringer knyttet til kontroll og etterprøvbarhet. Dette reiser spørsmål om hvilke krav forvaltningsretten stiller til forvaltningens innsikt i KI-systemene og muligheten til å kontrollere resultatene de gir. Ombudet understreker at det her er snakk om hvilken informasjon og hvilke kontrollmuligheter forvaltningen selv må ha, ikke hvilken forklaring innbyggerne har krav på.

Etter ombudets syn må forvaltningen ha tilstrekkelig innsikt i og kontroll med KI-systemer som benyttes til beslutningsstøtte, til å kunne vurdere om resultatene kan legges til grunn uten å komme i konflikt med forbudene mot utenforliggende hensyn, usaklig forskjellsbehandling og diskriminering eller andre relevante rettsregler. Manglende innsikt og kontroll kan føre til at feil eller ulovlige hensyn påvirker avgjørelser uten at forvaltningen oppdager det. Dersom forvaltningen legger vekt på et KI-generert resultat uten å ha kunnet kontrollere om resultatet er egnet som beslutningsgrunnlag, kan det også reise spørsmål om saksbehandlingen er forsvarlig.

Innbyggernes rettigheter gjelder uavhengig av om forvaltningen benytter KI. Forvaltningsorganet må sørge for at saksbehandlingen og avgjørelser er i samsvar med regelverket. Manglende innsikt i eller kontroll kan føre til feil eller at ulovlige hensyn får betydning for avgjørelsen. Dette innebærer en risiko for innbyggernes rettssikkerhet og kan undergrave tilliten til forvaltningen. Forvaltningen må derfor sørge for at saksbehandlerne har den informasjonen og de kontrollmulighetene som er nødvendige for å vurdere om KI-genererte resultater kan legges til grunn. Normene for god forvaltningsskikk kan videre gi grunnlag for ytterligere forventninger til forvaltningens kontroll.

Det er ikke avgjørende for ombudets vurdering om kravene til innsikt og kontroll følger av en selvstendig ulovfestet regel, eller utledes av de rettslige kravene som gjelder for forvaltningens avgjørelser.

Hvilken innsikt og hvilke kontrollmuligheter som er nødvendige, vil bero på hvilke muligheter forvaltningen ellers har til å kontrollere grunnlaget for dem. Forvaltningen må uansett ha tilstrekkelige muligheter til å kontrollere at bruken av KI-systemet er i samsvar med regelverket. I noen tilfeller innebærer det at det er nødvendig med nærmere innsikt i hvilke opplysninger som har påvirket det konkrete resultatet, for å kunne kontrollere om det bygger på saklige og lovlige hensyn. I andre tilfeller kan det allerede ut fra resultatet, sett i sammenheng med kunnskap om systemets generelle virkemåte, være tilstrekkelig klart hvilke opplysninger og forhold resultatet bygger på. Dersom dette gir grunnlag for en reell kontroll, er det ikke behov for en nærmere forklaring.

Det er ikke tilstrekkelig at forvaltningen har mulighet til å kontrollere KI-systemene i tråd med det som står i avsnittene over. Forvaltningen må også ha egnede rutiner som sikrer at kontrollmulighetene benyttes, slik at KI-resultater ikke ukritisk legges til grunn. Dette er viktig blant annet på grunn av risikoen for såkalt automatiseringsbias, som er betegnelsen på tendensen mennesker kan ha til å stole ukritisk og overdrevent på automatiserte anbefalinger og vurderinger.

6. De undersøkte forvaltningsorganenes bruk av KI til beslutningsstøtte

Ombudet har ikke tilstrekkelig grunnlag for å vurdere om Tolletaten, Skatteetaten og Arbeidstilsynet i alle tilfeller har den innsikten som er nødvendig for å kontrollere og etterprøve resultatene fra sine KI-systemer. En slik vurdering krever nærmere opplysninger om de enkelte systemene, hvilken informasjon som er tilgjengelig for dem som bruker resultatene, og hvordan resultatene kontrolleres og brukes i praksis. Ombudet vil likevel knytte enkelte merknader til etatenes svar, som illustrerer ulike tilnærminger til kontroll og etterprøvbarhet ved bruk av KI.

Arbeidstilsynet

Arbeidstilsynet bruker beslutningsstøttesystemet Prediksjonsindeksen for å beregne risikoscore for virksomheter. Det er etter ombudets syn positivt at Arbeidstilsynet legger til rette for at inspektørene har kunnskap om modellens funksjon og begrensninger, inkludert hvilke typer variabler som inngår i modellen. Denne innsikten kan bidra til at inspektørene forstår hvilke forutsetninger og usikkerheter som knytter seg til en risikoscore. Slik informasjon kan igjen bidra til å sikre en forsvarlig bruk av systemet.

At Prediksjonsindeksen bare brukes som beslutningsstøtte ved kontrollutplukk, sammen med andre faktorer, er imidlertid ikke i seg selv avgjørende. Det sentrale er om inspektørene har tilstrekkelig grunnlag for å vurdere resultatene kritisk, og en reell mulighet til å se bort fra dem. Dersom Arbeidstilsynet velger ut virksomheter til tilsyn basert på en risikoscore, kan det være nødvendig med mer konkret informasjon om grunnlaget for den enkelte prediksjonen. Dette gjelder særlig dersom de øvrige opplysningene som inngår i vurderingen, ikke gir grunnlag for å kontrollere eller underbygge modellens risikovurdering. 

Skatteetaten 

Skatteetaten har opplyst at etatens KI-policy forutsetter at det skal være mulig å forstå hvordan modellene er bygget opp og genererer resultater. Etaten benytter også såkalte Shapley-verdier, som kan vise hvilke variabler som har hatt betydning for modellenes prediksjoner. Slik ombudet forstår dette, kan denne typen forklaringsmetoder bidra til å gjøre modellene og deres resultater mer forståelige og etterprøvbare. De kan blant annet gi grunnlag for å undersøke om enkelte variabler får en uventet eller utilsiktet betydning, og om det er grunn til å undersøke relevansen av forhold som påvirker resultatene.

En forklaring på hvilke variabler som har påvirket en prediksjon, gir imidlertid ikke i seg selv svar på om prediksjonen er pålitelig. Dette må også vurderes i lys av kunnskap om modellens funksjon og begrensninger. Skatteetaten har beskrevet tiltak for å kontrollere KI-modellene under utvikling og testing. Slike undersøkelser kan bidra til å gi innsikt i modellenes egenskaper og pålitelighet.

Etter ombudets syn er det ikke alltid påkrevd å benytte Shapley-verdier eller tilsvarende metoder for å forklare enhver prediksjon. Behovet for en konkret forklaring vil avhenge av hvilke andre muligheter for kontroll som foreligger. Skatteetaten har opplyst at modellene er relativt selvforklarende, og at det derfor etter etatens syn stort sett ikke er behov for å benytte Shapley-verdier i enkeltsaker. Hvilken betydning dette har for muligheten til å kontrollere konkrete prediksjoner, beror imidlertid på hvilken informasjon som er tilgjengelig for de ansatte, og hvordan denne brukes i praksis.

Samtidig bemerker ombudet at dersom en KI-generert vurdering får vesentlig betydning for hvem som velges ut til kontroll, skjerpes behovet for å kunne etterprøve at utvelgelsen bygger på saklige og lovlige hensyn. Om dette krever innsikt i grunnlaget for den enkelte prediksjonen, vil avhenge også av hvilke andre kontrollmuligheter finnes. At det senere gjennomføres undersøkelser av den utvalgte personen eller virksomheten, innebærer ikke i seg selv at grunnlaget for kontrollutplukket er tilstrekkelig etterprøvbart. Et KI-system kan for eksempel avdekke en statistisk sammenheng som er reell, men som ikke er saklig eller relevant for kontrollformålet. Skatteetaten har som nevnt et ansvar for at forbudene mot utenforliggende hensyn, usaklig forskjellsbehandling og diskriminering etterleves, også ved bruk av beslutningsstøttesystemer.

Tolletaten

Tolletaten har presisert at etatens maskinlæringsmodeller brukes til å identifisere mønstre, sammenhenger og avvik i opplysninger om varer og forsendelser. Modellene gir ikke risikoscorer eller anbefalinger om kontroll. Analytikere vurderer om funnene er relevante i et faglig perspektiv, blant annet ved å sammenholde dem med andre kilder. Eventuelle kontrollregler utformes deretter manuelt og kan legges inn i deklarasjonssystemet TVINN, hvor det fremgår hvilke kriterier som utløser et kontrollvarsel. I motsetning til maskinlæringsmodellene bygger kontrollreglene, slik ombudet forstår det, på forhåndsdefinerte kriterier som uttrykkelig angir når en forsendelse skal utløse et kontrollvarsel. Kontrollreglene anvendes uten at maskinlæringsmodellene inngår i denne delen av prosessen.

Etter ombudets syn illustrerer denne arbeidsprosessen hvordan behovet for kontroll etter omstendighetene kan ivaretas uten at alle de tekniske beregningene bak modellens resultater nødvendigvis må kunne forklares. Tolletaten har opplyst at modellene kan identifisere mønstre, sammenhenger og avvik i opplysninger om varer og forsendelser. Disse funnene vurderes det så om er faglig relevante og stemmer med øvrige kilder. Slike undersøkelser kan gi grunnlag for en selvstendig vurdering av modellens funn, uten at analytikeren nødvendigvis må forstå alle de tekniske beregningene bak dem.  Forutsetningen er at de etterfølgende undersøkelsene faktisk gir et selvstendig grunnlag for å vurdere om funnene er relevante og saklige.

At kontrollreglene i TVINN er utformet av mennesker og kan forklares, bidrar videre til etterprøvbarheten av konkrete kontrollvarsler. Det er imidlertid også nødvendig å ha et forsvarlig grunnlag for å benytte de mønstrene som eventuelt ligger til grunn for kontrollreglene. Et KI-system kan for eksempel avdekke en statistisk sammenheng som er reell, men som ikke er saklig eller relevant for kontrollformålet. Dersom denne sammenhengen senere brukes som kriterium i en manuelt utformet kontrollregel, er ikke problemet løst ved at regelen i seg selv er forståelig. En må også kunne vurdere hvorfor kriteriet er relevant og lovlig. Ombudet har ikke tilstrekkelige opplysninger om hvordan analytikernes undersøkelser gjennomføres i praksis, til å vurdere om Tolletatens kontrolltiltak i alle tilfeller er tilstrekkelige.

Vedlegg

1. Særlige regler om rett til informasjon og forklaring ved automatiserte avgjørelser i GDPR og ny forvaltningslov

1.1 Hva er en automatisert avgjørelse etter personvernforordningen (GDPR) artikkel 22?

(1) Personvernforordningen (Europaparlaments- og rådsforordning (EU) 2016/679 (GDPR)), er i personopplysningsloven § 1 gjort til norsk lov.

(2) GDPR gir den registrerte rett til informasjon om forekomsten av og relevant informasjon om den underliggende logikken i automatiserte avgjørelser som omfattes av GDPR artikkel 22, jf. artikkel 15 nr. 1 bokstav h. Når forvaltningen bruker KI til avgjørelser om en fysisk person, vil den registrerte normalt være den personen avgjørelsen retter seg mot.

(3) Artikkel 22 gjelder «avgjørelse[r] som utelukkende er basert på automatisert behandling, herunder profilering, som har rettsvirkning for eller på tilsvarende måte i betydelig grad påvirker vedkommende». Slike avgjørelser kan være endelige vedtak eller inngå i et større saksbehandlingsforløp som beslutningsstøtte.

(4) Artikkel 22 oppstiller tre kumulative vilkår for at det skal dreie seg om en automatisert avgjørelse i bestemmelsens forstand.

(5) Det må for det første dreie seg om en «avgjørelse». Begrepet skal forstås vidt, og omfatter ikke bare den endelige formelle beslutningen overfor den registrerte, men kan også omfatte automatiserte vurderinger eller scoringer, jf. blant annet sak C-634/21 SCHUFA Holding avsnitt 44-46 og Kuner m.fl., The EU General Data Protection Regulation (GDPR) – A Commentary, 2020, på s. 532.

(6) For det andre er det et krav at avgjørelsen «utelukkende er basert på automatisert behandling». Selv om ordlyden kan gi inntrykk av at enhver menneskelig involvering gjør at bestemmelsen ikke kommer til anvendelse, er det klart at vilkåret ikke skal forstås så strengt. Ombudet viser til Artikkel 29-gruppens (en rådgivende gruppe nedsatt i medhold av det tidligere personverndirektivet 95/46/EF) retningslinje for automatiske avgjørelser og profilering (WP251). Der står det følgende om vilkåret på s. 22:

«For at kunne betragtes som menneskelig indgriben skal den dataansvarlige sikre, at et tilsyn med afgørelsen er meningsfuldt og ikke blot en tom gestus. Det bør foretages af en person, der har den fornødne kompetence og mulighed for at ændre afgørelsen. Der bør som led i analysen tages hensyn til alle relevante oplysninger.»

(7) Vilkåret er med andre ord oppfylt dersom den menneskelige involveringen bærer preg av å være en ren formalitet. Sagt på en annen måte: Det kreves en reell menneskelig involvering for at forbudet ikke får anvendelse, jf. Prop. 79 L (2024-2025) punkt 8.1.2.

(8) For det tredje er det et krav om at avgjørelsen har «rettsvirkning for eller på tilsvarende måte i betydelig grad påvirker vedkommende». Ordet «rettsvirkning» sikter til avgjørelser som berører en persons juridiske rettigheter eller plikter. Alternativet «på tilsvarende måte i betydelig grad påvirker vedkommende» innebærer at bestemmelsen også omfatter avgjørelser som har så vesentlige faktiske konsekvenser for den registrerte at de kan sammenlignes med en rettsvirkning. Dette kan for eksempel være avgjørelser som påvirker personens økonomiske situasjon eller som medfører at vedkommende stilles vesentlig svakere i en ansettelsesprosess, jf. WP251 s. 23.

(9) Profilering kan være en avgjørelse etter GDPR artikkel 22. Profilering er i GDPR artikkel 4 nr. 4 definert som «enhver form for automatisert behandling av personopplysninger som innebærer å bruke personopplysninger for å vurdere visse personlige aspekter knyttet til en fysisk person, særlig for å analysere eller forutsi aspekter som gjelder nevnte fysiske persons arbeidsprestasjoner, økonomiske situasjon, helse, personlige preferanser, interesser, pålitelighet, atferd, plassering eller bevegelser». Et praktisk bruksområde for KI i offentlig forvaltning er nettopp profilering. For eksempel kan KI-systemet lage risikoprofiler av innbyggerne, som så benyttes som beslutningsgrunnlag for kontrollutplukk. Profilering kan også tenkes brukt ved tildeling av tjenester, for eksempel profilering av arbeidssøkere som Nav så kobler til utlyste stillinger. Vilkåret om menneskelig involvering vil ofte være et springende punkt i vurderingen av om en profilering omfattes av artikkel 22. Dersom profileringen resulterer i et automatisk kontrollutplukk, eller dersom saksbehandlerens involvering er helt overfladisk, vil den KI-genererte risikoprofilen i praksis bestemme hvem som skal kontrolleres. I så fall vil vilkåret i artikkel 22 om at avgjørelsen utelukkende skal være basert på automatiser behandling kunne være oppfylt. Motsatt vil dette vilkåret normalt ikke være oppfylt dersom saksbehandleren foretar en reell og selvstendig vurdering basert på flere faktorer, hvorav risikoscoren bare er ett moment.

(10) Det et også spørsmål om profileringen har «rettsvirkning for eller på tilsvarende måte i betydelig grad påvirker vedkommende». Ved bruk av KI til profilering kan personens økonomiske situasjon for eksempel påvirkes ved at profileringen resulterer i et kontrollutplukk, som igjen medfører at ytelser holdes tilbake mens kontrollen gjennomføres, eller ved at kontrollen i seg selv medfører vesentlige praktiske eller økonomiske konsekvenser for den som blir kontrollert. Om et kontrollutplukk omfattes av artikkel 22, beror for øvrig på en konkret vurdering av utplukkets rettslige og faktiske virkninger. At kontrollen senere kan føre til en avgjørelse med vesentlige konsekvenser, er ikke tilstrekkelig.

(11) Skatteetatens skrev i svaret hit at resultatene fra maskinlæringsmodellene ikke er automatiserte avgjørelser som har rettsvirkning for eller som på tilsvarende måte i betydelig grad påvirker den registrerte, ettersom det er en betydelig grad av menneskelig inngripen i resultatene fra modellene. Det ble vist til at resultatene kun brukes som en av flere faktorer i vurderingen av hvordan en sak skal behandles videre. Etter Skatteetatens syn dreier det seg derfor ikke om avgjørelser omfattet av GDPR artikkel 22.

(12) Ut fra Skatteetatens beskrivelse er ombudet enig i det. Dersom KI-resultatet er kun én av flere faktorer som inngår i saksbehandlerens vurdering av hvordan saken skal behandles videre, vil den menneskelige involveringen være mer enn en ren formalitet. Artikkel 22 får i så fall ikke anvendelse.

1.2 Rett til forklaring av automatiserte avgjørelser etter GDPR artikkel 15 

(13) Det følger av GDPR artikkel 15 nr. 1 bokstav h at den registrerte har rett til informasjon om «forekomsten av automatiserte avgjørelser, herunder profilering», og «relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte». Etter artikkel 22 nr. 3 skal den behandlingsansvarlige gjennomføre egnede tiltak for å verne den registrertes rettigheter og friheter og berettigede interesser, i det minste retten til menneskelig inngripen fra den behandlingsansvarlige, til å uttrykke sine synspunkter og til å bestride avgjørelsen.

(14) I EU-domstolens dom i sak C-203/22 Dun & Bradstreet Austria understreket domstolen at hovedformålet med forklaringsplikten er å sette den registrerte i stand til å utøve rettighetene etter GDPR artikkel 22 nr. 3, herunder retten til å uttrykke sine synspunkter om og bestride avgjørelsen, jf. avsnitt 55. Mer konkret må forklaringen «beskrive den procedure og de principper, der konkret er anvendt, på en sådan måde, at den registrerede kan forstå, hvilke af vedkommendes personoplysninger der blev anvendt på hvilken måde, da den pågældende automatiske afgørelse blev truffet», jf. avsnitt 61. Ved profileringer kan det være tilstrekkelig å informere om i hvilken grad en endring i personopplysningene ville ført til et annet resultat, jf. avsnitt 62. Forklaringen må videre gis «i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form», jf. avsnitt 66 og GDPR artikkel 12 nr. 1. Det innebærer blant annet at det ikke er tilstrekkelig å kun vise til en komplisert matematisk modell, som algoritmen som sådan, jf. avsnitt 59. En slik fremstilling setter ikke den registrerte i stand til å forstå begrunnelsen for avgjørelsen eller til effektivt å utøve rettighetene etter artikkel 22 nr. 3. Etter ombudets syn vil det typisk være relevant å opplyse om hvordan de aktuelle personopplysningene påvirket resultatet.

1.3 Rett til forklaring av automatiserte avgjørelser etter ny forvaltningslov § 12

(15) Det følger av ny forvaltningslov § 12 første ledd bokstav a-c at forvaltningsorganer som treffer automatiserte avgjørelser omfattet av GDPR artikkel 22, skal gjennomføre tiltak for å sikre at personopplysningene behandles på en sikker måte, og at feil ved opplysningene forebygges og rettes opp, at avgjørelsene ikke innebærer usaklig forskjellsbehandling, og at det brukes egnede matematiske og statistiske fremgangsmåter, særlig dersom avgjørelsene gjelder profilering. Etter bestemmelsens andre ledd har den registrerte rett til en forklaring og en manuell kontroll av avgjørelsen som er truffet.

(16) Når det gjelder forklaringsplikten etter ny forvaltningslov § 12, er dens formål og omfang omtalt slik i Prop. 79 L (2024-2025), under merknadene til bestemmelsen på side 404:

«Formålet med retten til forklaring er å sette personen i stand til å forstå og vurdere den automatiserte avgjørelsen, slik at vedkommende kan ivareta sine interesser og rettigheter. Forklaringen må være tilstrekkelig til at personen kan sette seg inn i hvordan og på hvilket grunnlag avgjørelsen er truffet, slik at vedkommende eventuelt kan vurdere å kreve manuell kontroll av avgjørelsen eller klage over vedtaket dersom avgjørelsen inngår i et enkeltvedtak. Hvilke nærmere krav som må stilles til forklaringens innhold, må vurderes konkret i lys av dette formålet. Forklaringen bør inneholde informasjon om de faktiske opplysningene som er lagt til grunn for avgjørelsen, hvordan de forskjellige opplysningene eventuelt har blitt vektlagt og hva som har vært utslagsgivende for utfallet. Dette vil i stor grad overlappe med informasjonen som i saker om enkeltvedtak skal inngå i begrunnelsen for vedtaket etter lovforslaget § 57, men plikten til å gi forklaring etter andre ledd kan gjøre det nødvendig å gi en mer detaljert beskrivelse av enkelte forhold. Plikten til å gi forklaring vil for eksempel innebære at det må fremgå tydelig hvilke deler av et enkeltvedtak som er fattet automatisert. Forklaringens innhold må oppfylle kravene som følger av GDPR artikkel 15 nr. 1 bokstav h og praksis om denne bestemmelsen. Forklaringen må tilpasses avgjørelsens betydning. Ved avgjørelser som treffes automatisert, antar departementet at det vil kunne være praktisk at forklaringen genereres automatisert.»

2. KI-forordningens krav til transparens og forklarbarhet

2.1 Overordnet om KI-forordningen og dens krav til systemer med høy risiko  

(17) EUs forordning om kunstig intelligens (AI Act, Regulation (EU) 2024/1689, på norsk KI-forordningen) ble vedtatt i juni 2024 og trådte i kraft 1. august samme år. Forordningen er foreløpig ikke innlemmet i EØS-avtalen eller gjennomført i norsk rett. Digitaliserings- og forvaltningsdepartementet sendte i juni 2025 forslag til en ny KI-lov på høring, med forslag om å gjennomføre forordningen ved inkorporasjon. Etter at EU vedtok endringer i KI-forordningen i 2026, sendte departementet 30. oktober 2026 endringene på nasjonal høring. Regjeringen har uttalt at den tar sikte på å fremme forslag til KI-loven for Stortinget våren 2027. Det er foreløpig ikke avklart når forordningen vil bli gjennomført i norsk rett.

(18) KI-forordningen regulerer utvikling, omsetning, idriftsetting og bruk av KI-systemer. Den stiller blant annet krav til såkalte idriftsettere, som er aktører som bruker KI-systemer under sin myndighet, jf. artikkel 3 nr. 4. Det omfatter også statlige og kommunale forvaltningsorganer som bruker KI-systemer.

(19) KI-forordningen bygger på en risikobasert tilnærming, hvor ulike typer KI-systemer underlegges ulike krav avhengig av risikoen de kan medføre for helse, sikkerhet og grunnleggende rettigheter. KI-systemer deles inn i fire risikonivåer: uakseptabel risiko, høyrisiko, begrenset risiko og minimal eller ingen risiko. Forbudet mot visse former for sosial rangering av personer er et eksempel på KI-bruk som anses å innebære uakseptabel risiko, jf. artikkel 5 nr. 1 bokstav c. Høyrisiko omfatter blant annet KI-systemer som brukes til å vurdere jobbsøkere eller retten til visse offentlige ytelser, jf. artikkel 6 nr. 2 og vedlegg III nr. 4 bokstav a og nr. 5 bokstav a. Enklere KI-baserte søppelpostfiltre vil normalt regnes for å innebære minimal risiko. Hvilket risikonivå et system tilhører, er avgjørende for hvilke rettslige krav som gjelder for utvikling og bruk av systemet. KI-systemer med uakseptabel risiko er for eksempel helt forbudt, jf. artikkel 5 nr. 1.

(20) Også reglene om forklaring, transparens og åpenhet varierer med risikonivå. De mest sentrale kravene gjelder høyrisiko KI-systemer. Om et KI-system skal klassifiseres som høyrisiko er regulert i KI-forordningen artikkel 6. For offentlige organer er særlig vedlegg III til forordningen relevant, jf. artikkel 6 nr. 2 som bestemmer at KI-systemer som nevnt i vedlegget skal anses som høyrisikosystemer. I vedlegg III fremheves en rekke bruksområder hvor KI-systemer anses som høyrisiko. Enkelte av disse bruksområdene er typiske for offentlig myndighetsutøvelse og tjenesteyting. For eksempel nevner vedlegg III nr. 5 og 6 henholdsvis bruksområdene «[a]dgang til og benyttelse af […] væsentlige offentlige tjenester og ydelser» og «[r]etshåndhævelse». Bruksområdene migrasjon, asyl og grenseforvaltning, rettspleie og adgang til utdanning og yrkesopplæring er også omfattet, se vedlegg III nr. 3, 7 og 8.

(21) KI-forordningen artikkel 6 nr. 3 gjør på nærmere vilkår unntak for enkelte systemer som omfattes av vedlegg III, men som ikke innebærer en betydelig risiko for helse, sikkerhet eller grunnleggende rettigheter. Unntaket gjelder likevel ikke dersom systemet foretar profilering av fysiske personer.

2.2 Krav om åpenhet og formidling av informasjon til idriftsettere av høyrisiko KI-systemer etter artikkel 13

(22) KI-forordningen artikkel 13 stiller krav om åpenhet og formidling av opplysninger til idriftsettere av høyrisiko KI-systemer. Etter artikkel 13 nr. 1 skal høyrisiko KI-systemer utformes slik at deres «drift» er «tilstrækkelig gennemsigtig til, at idriftsætterne kan fortolke et systems output og anvende det korrekt». Det følger videre av artikkel 13 nr. 2 at idriftsetteren skal få en bruksanvisning. Bruksanvisningen skal blant annet gi informasjon om systemets «tilsigtede formål», nivået av nøyaktighet, robusthet og cybersikkerhet, samt kjente og forutsigbare omstendigheter som kan påvirke disse egenskapene. Der det er relevant, skal bruksanvisningen også inneholde informasjon som skal gjøre det mulig for idriftsetteren å «fortolke højrisiko-AI-systemets output og anvende det korrekt», jf. artikkel 13 nr. 3 bokstav b nr. i, ii og vii. Bruksanvisningen skal videre opplyse om kjente eller forutsigbare omstendigheter som med rimelighet kan forutses, og som kan medføre risiko for helse, sikkerhet eller grunnleggende rettigheter, jf. nr. 3 bokstav b nr. iii.  

(23) Opplistingen i artikkel 13 nr. 3 peker på typiske overordnede forhold ved systemet, som systemets ytelse, begrensninger og kjente og forutsigbare forhold som kan føre til feil. Samtidig kan ikke informasjonsplikten oppfylles gjennom rent generell systemdokumentasjon uten tilknytning til de resultatene systemet produserer. Idriftsetteren må settes i stand til å tolke systemets output og anvende det korrekt, jf. artikkel 13 nr. 1. Når det gjelder forvaltningens beslutningsstøttesystemer, kan «output» – resultatet som systemet produserer i en konkret sak – typisk være en risikoscore, en anbefaling, et forslag til et vedtak, en klassifisering eller en prediksjon. Selv om artikkel 13 ikke krever detaljert informasjon om beregningene i den enkelte saken, må informasjonen som gis være tilstrekkelig til at brukeren kan forstå hva resultatet uttrykker og anvende det korrekt.

(24) Kravene i artikkel 13 må videre forstås i lys av artikkel 14 om menneskelig kontroll. Etter artikkel 14 nr. 1 skal høyrisiko KI-systemer utformes og utvikles slik at fysiske personer «effektivt kan overvåge dem» i perioden systemet er i bruk. Formålet med kontrollen er blant annet å forebygge eller minimere risikoen for helse, sikkerhet og grunnleggende rettigheter som kan oppstå når systemet brukes, jf. artikkel 14 nr. 2. Videre følger det av artikkel 14 nr. 4 bokstav c at den som utøver kontrollen skal være i stand til å «fortolke højrisiko-AI-systemets output korrekt», og av bokstav d og e at vedkommende i en «særlig situation» skal kunne beslutte å unnlate å bruke resultatet, overstyre det eller gripe inn i systemets funksjon dersom dette er nødvendig. Dersom saksbehandleren i forvaltningen ikke er i stand til å forstå systemets output, vil det være vanskelig å oppfylle forordningens forutsetning om effektiv menneskelig kontroll etter artikkel 14.

2.3 Krav etter artikkel 86 om forklaring til berørte personer ved bruk av høyrisiko KI-systemer

(25) Mens artikkel 13 gjelder åpenhet og informasjon overfor idriftsetteren av høyrisiko KI-systemer, gir artikkel 86 berørte personer en rett til forklaring. Artikkel 86 nr. 1 lyder som følger:

«Enhver berørt person, der er omfattet af en afgørelse truffet af idriftsætteren på grundlag af output fra et højrisiko-AI-system opført i bilag III, med undtagelse af systemerne opført i nævnte bilags punkt 2, og som har retsvirkninger eller på tilsvarende måde i væsentlig grad påvirker den pågældende person på en måde, som de anser for at have negativ indvirkning på vedkommendes sundhed, sikkerhed eller grundlæggende rettigheder, har ret til at få en klar og meningsfuld forklaring fra idriftsætteren om AI-systemets rolle i beslutningsprocessen og hovedelementerne i den trufne afgørelse.»

(26) Denne retten til forklaring vil kunne være aktuell for personer som berøres av forvaltningsavgjørelser. Retten forutsetter at idriftsetteren har fattet en avgjørelse «på grundlag av» resultatene fra et høyrisiko KI-system omfattet av vedlegg III, med unntak av systemene under vedleggets nr. 2. Hvor stor betydning dette resultatet må ha hatt for avgjørelsen, går ikke klart fram av ordlyden. Forvaltningen vil med andre ord ikke ha en forklaringsplikt etter artikkel 86 kun fordi et høyrisiko KI-system har vært benyttet i saksbehandlingen. Ombudet viser til forordningens fortalepunkt 171, hvor det står at berørte personer bør få en forklaring hvis avgjørelsen «hovedsagelig» er basert på output fra KI-systemet.

(27) Avgjørelsen må videre ha rettsvirkninger eller på tilsvarende måte påvirke den berørte personen vesentlig, på en måte vedkommende anser for å ha negativ innvirkning på helse, sikkerhet eller grunnleggende rettigheter.

(28) Bestemmelsen gir den berørte personen rett til en «klar og meningsfuld forklaring» av KI-systemets rolle i beslutningsprosessen og av «hovedelementerne i den trufne afgørelse». Etter ordlyden må forklaringen gjøre det mulig for den berørte å forstå hvilken funksjon KI-systemet har hatt i beslutningsprosessen, hvordan systemets output har inngått i beslutningsgrunnlaget, og hvilke sentrale elementer som ledet frem til den beslutningen som ble truffet. Dersom et KI-system eksempelvis har generert en risikoscore som forvaltningen har lagt hovedvekten på ved utvelgelse av personer til kontroll, må forklaringen – dersom vilkårene i artikkel 86 ellers er oppfylt – omfatte både hvilken betydning risikoscoren har hatt i vurderingen og hvordan den har blitt benyttet sammen med øvrige sentrale opplysninger. Det samme gjelder når systemet gir et forslag til et vedtak.

(29) Retten til forklaring etter artikkel 86 er ikke begrenset til helautomatiske avgjørelser, men kan også gjelde der KI-systemet kun er brukt som beslutningsstøtte, for eksempel ved å gi en risikoscore eller et konkret forslag som deretter vektlegges som en av flere faktorer ved et forvaltningsorgans utvelgelse av personer til kontroll. På dette punktet kan bestemmelsen dermed rekke videre enn reglene om forklaring ved automatiserte avgjørelser etter ny forvaltningslov § 12 og retten til informasjon etter GDPR artikkel 15 nr. 1 bokstav h, jf. artikkel 22. Artikkel 86 har imidlertid andre begrensninger i sitt anvendelsesområde, som omtalt ovenfor.

2.4 Skatteetatens og Tolletatens vurderinger av høyrisikoklassifiseringen

2.4.1 Om Skatteetaten og Tolletaten kan anses som rettshåndhevende myndigheter

(30) Det følger av KI-forordningen vedlegg III nr. 6 at KI-systemer «tilsigtes anvendt af eller på vegne af retshåndhævende myndigheder» er høyrisiko KI.

(31) Både Skatteetaten og Tolletaten har stilt spørsmål ved om de kan anses som «retshåndhævende myndigheder» i henhold til KI-forordningen artikkel 3 nr. 45. Skatteetaten har blant annet vist til at Digitaliserings- og forvaltningsdepartementet i høringsnotatet juni 2025 til KI-loven omtaler rettshåndhevende myndigheter som i hovedsak politiet, påtalemyndigheten, kriminalomsorgen og konfliktrådet. Etaten har videre vist til at vedlegg III nr. 6 bokstav d og e viser til begrepet «profilering» i direktiv (EU) 2016/680 (LED-direktivet), som i Norge er gjennomført gjennom politiregisterloven. Skatteetaten omfattes ikke av denne loven. Tolletaten har også vist til at politiregisterloven ikke gjelder for etaten, og at definisjonen av «retshåndhævende myndigheder» i KI-forordningen artikkel 3 nr. 45 er likelydende med definisjonen av «kompetent myndighed» i LED-direktivet artikkel 3 nr. 7. Dette er også fremhevet i Europakommisjonens utkast til retningslinjer for høyrisiko KI-systemer avsnitt 340.

(32) Etter KI-forordningen artikkel 3 nr. 45 omfatter begrepet «retshåndhævende myndighed» blant annet offentlige myndigheter som har kompetanse til å «forebygge, efterforske, afsløre eller retsforfølge strafbare handlinge», eller til å fullbyrde strafferettslige reaksjoner. Ordlyden begrenser ikke begrepet til bestemte typer forvaltningsorganer, men knytter definisjonen til hvilke oppgaver og hvilken kompetanse myndigheten er tillagt.

(33) En slik forståelse synes å ha støtte i Kommisjonens utkast til retningslinjer om klassifisering av høyrisiko KI-systemer. I avsnitt 341 fremgår det uttrykkelig at begrepet skal forstås funksjonelt («should be interpreted using a functional approach»). Kommisjonen viser til at vurderingen ikke beror på organets formelle betegnelse, men på om oppgavene det er tillagt ved lov, gjelder rettshåndhevelse. I avsnitt 343 nevner Kommisjonen tollmyndigheter som eksempel på organer som etter omstendighetene kan være rettshåndhevende myndigheter, særlig når de forebygger, etterforsker eller avdekker tollrelatert kriminalitet. Kommisjonen skiller samtidig mellom tilfeller hvor tollmyndighetene utfører slike oppgaver, og tilfeller hvor de opptrer som forvaltningsmyndigheter.

(34) Videre fremgår det av KI-forordningens fortalepunkt 59 at KI-systemer som «specifikt er tilsigtet anvendt til skatte- og toldmyndigheders administrative procedurer», ikke bør klassifiseres som høyrisikosystemer brukt av rettshåndhevende myndigheter. Fortalepunktet synes dermed å forutsette at det kan være nødvendig å skille mellom skatte- og tollmyndighetenes administrative oppgaver og oppgaver som gjelder rettshåndhevelse. Slike myndigheter er med andre ord ikke som sådan utelukket fra definisjonen i artikkel 3 nr. 45.

(35) Ombudet bemerker videre at begreper i EU-retten som ikke uttrykkelig viser til medlemsstatenes rett for fastleggelsen av deres innhold og rekkevidde, som utgangspunkt skal tolkes autonomt og ensartet i hele EU. Ved tolkningen skal det blant annet tas hensyn til bestemmelsens ordlyd, sammenheng og formål, se eksempelvis EU-domstolens dom i sak C-294/16 PPU avsnitt 35–37. Hvilke oppgaver og hvilken kompetanse et forvaltningsorgan er tillagt, beror på nasjonal rett. Om disse oppgavene og denne kompetansen innebærer at organet omfattes av begrepet «retshåndhævende myndigheder», må derimot vurderes etter den EU-rettslige definisjonen i artikkel 3 nr. 45.

(36) Ombudet har forståelse for at forholdet til LED-direktivet kan skape uklarhet om rekkevidden av definisjonen. Definisjonen i KI-forordningen artikkel 3 nr. 45 svarer til definisjonen av «kompetent myndighed» i LED-direktivet artikkel 3 nr. 7, noe også Kommisjonen fremhever i utkastet til retningslinjer avsnitt 340. LED-direktivet er i Norge gjennomført gjennom politiregisterloven, som ikke omfatter Skatteetaten eller Tolletaten. Etter ombudets syn kan det imidlertid ikke uten videre sluttes fra politiregisterlovens virkeområde at disse etatene er utelukket fra definisjonen i KI-forordningen. Ombudet viser særlig til ordlyden i artikkel 3 nr. 45, Kommisjonens uttalelser om at begrepet skal forstås funksjonelt, og eksempelet om tollmyndigheter i retningslinjenes avsnitt 343.

2.4.2 Om etatenes KI-systemer kan omfattes av vedlegg III nr. 6

(37) Selv om et forvaltningsorgan kan anses som en rettshåndhevende myndighet etter KI-forordningen artikkel 3 nr. 45, innebærer ikke dette at alle KI-systemer som benyttes av organet, omfattes av vedlegg III nr. 6. Det må i tillegg vurderes om systemets tilsiktede bruk faller inn under et av bruksområdene som er nevnt i bestemmelsen. Etter ombudets syn er særlig bokstav d aktuell for den KI-bruken som er undersøkt i denne saken.

(38) Vedlegg III nr. 6 bokstav d omfatter blant annet KI-systemer som er ment brukt av rettshåndhevende myndigheter til å «vurdere risikoen for, at en fysisk person begår eller på ny begår lovovertrædelser», når vurderingen ikke utelukkende er basert på profilering av fysiske personer. Bestemmelsen omfatter også systemer som brukes til å vurdere fysiske personers eller gruppers personlighetstrekk, personlige egenskaper eller tidligere kriminelle atferd.

(39) Som nevnt fremgår det av KI-forordningens fortalepunkt 59 at KI-systemer som er «specifikt […] tilsigtet anvendt til skatte- og toldmyndigheders administrative procedurer», ikke bør klassifiseres som høyrisikosystemer brukt av rettshåndhevende myndigheter. Kommisjonens utkast til retningslinjer utdyper dette skillet i avsnitt 348 og 349. Som eksempel på systemer som faller utenfor vedlegg III nr. 6, nevner Kommisjonen et system som tollmyndighetene bruker til å vurdere sannsynligheten for at varer som krysser grensen, ikke oppfyller gjeldende regelverk. Formålet med slike systemer er normalt å avdekke potensielt manglende etterlevelse av blant annet regler om mattrygghet, produktsikkerhet og miljøvern, ikke straffbare handlinger. Kommisjonen presiserer samtidig at systemer som også brukes til å avdekke straffbare handlinger, kan klassifiseres som høyrisiko dersom de omfattes av et av bruksområdene i vedlegg III nr. 6.

(40) Samtidig nevner Kommisjonen i avsnitt 372 KI-systemer som analyserer opplysninger om varestrømmer og transportvirksomhet, blant annet seilingsruter, hyppighet og mønstre i forsendelser, avvik i deklarert last og transportmåter. Analysene kan brukes til å avdekke mulig misbruk av kommersielle transportsystemer til frakt av ulovlige varer. Kommisjonen legger likevel til grunn at slike systemer faller utenfor vedlegg III nr. 6, fordi de ikke er ment å forutsi sannsynligheten for at en fysisk person begår en straffbar handling eller å profilere fysiske personer. Systemene analyserer i stedet objektive opplysninger om varetransport for å identifisere avvik som kan gi grunnlag for nærmere undersøkelser.

(41) Både uttalelsene fra Kommisjonen og svarene fra Skatteetaten og Tolletaten illustrerer etter ombudets syn at grensedragningen kan være vanskelig. KI-systemer som brukes til å identifisere risiko for regelbrudd, kan også bidra til å avdekke straffbare handlinger, uten at det nødvendigvis er mulig å trekke et klart skille mellom formålene. Kommisjonens utkast til retningslinjer gir enkelte holdepunkter for vurderingen, men ikke entydige svar på hvordan grensen skal trekkes.

(42) Ombudet mener det er behov for nærmere rettslige avklaringer, både av hvilke myndigheter som omfattes av begrepet «retshåndhævende myndigheder», og av hvilke former for KI-bruk som faller inn under vedlegg III nr. 6. Ombudet finner derfor ikke grunn til å ta endelig stilling til klassifiseringen av etatenes konkrete KI-systemer. Det er imidlertid viktig at etatene følger opp disse spørsmålene og foretar nødvendige vurderinger av de enkelte systemenes tilsiktede bruk i lys av de avklaringene som etter hvert foreligger.

2.4.3 Om unntaket i artikkel 6 nr. 3

(43) Tolletaten har subsidiært vist til unntaket i KI-forordningen artikkel 6 nr. 3. Etter denne bestemmelsen skal KI-systemer som omfattes av vedlegg III likevel ikke klassifiseres som høyrisiko dersom de ikke utgjør en «væsentlig risiko for skade på sundheden, sikkerheden eller fysiske personers grundlæggende rettigheder», herunder ved «ikke i væsentlig grad at påvirke resultatet af beslutningstagning». Det kreves i tillegg at ett av vilkårene i bestemmelsens andre ledd er oppfylt. Tolletaten har særlig vist til bokstav d, som gjelder KI-systemer som er ment å «udføre en forberedende opgave inden en vurdering, der er relevant for de anvendelsestilfælde, der er anført i bilag III». Tolletatens systemer utfører ifølge etaten forberedende oppgaver som legger til rette for en senere menneskelig vurdering, uten at systemene selv foreslår eller treffer avgjørelser.

(44) Ombudet finner ikke grunn til å vurdere om Tolletatens systemer omfattes av unntaket. På generelt grunnlag bemerker ombudet likevel at unntaket synes å ha et snevert anvendelsesområde. Ombudet viser til KI-forordningens fortalepunkt 53, som omtaler vilkåret i artikkel 6 nr. 3 slik:

«[…] Den fjerde betingelse bør være, at AI-systemet er tilsigtet kun at udføre en forberedende opgave inden en vurdering, der er relevant med henblik på de AI-systemer, der er opført i et bilag til denne forordning, hvilket gør den mulige virkning af systemets output meget lav med hensyn til at udgøre en risiko for den efterfølgende vurdering. Denne betingelse omfatter bl.a. intelligente løsninger til filhåndtering, som indeholder forskellige funktioner såsom indeksering, søgning, tekst- og talebehandling eller sammenkobling af data til andre datakilder, eller AI-systemer, der anvendes til oversættelse af oprindelige dokumenter. […]»

(45) Eksemplene taler for at unntaket primært er ment å omfatte systemer som tilrettelegger informasjon for en etterfølgende vurdering, fremfor systemer som selv foretar vurderinger av for eksempel risiko. Det er altså ikke i seg selv tilstrekkelig at et KI-system benyttes på et forberedende stadium, eller at en eventuell beslutning treffes av et menneske. Det må også vurderes hvilken betydning systemets resultater har for den etterfølgende vurderingen, jf. også Kommisjonens utkast til retningslinjer avsnitt 107 og 108.

(46) Ombudet bemerker at unntaket etter artikkel 6 nr. 3 ikke gjelder dersom KI-systemet utfører profilering av fysiske personer, jf. bestemmelsens siste ledd. Både Skatteetaten og Tolletaten har opplyst at deres modeller ikke benyttes til slik profilering.

(47) Skatteetaten bemerket at det fortsatt gjenstår mange uavklarte spørsmål på EU-nivå og nasjonalt nivå. I tillegg får KI-forordningens krav til høyrisiko KI anvendelse først fra desember 2027, og usikkerhet knyttet til når reglene innlemmes i norsk rett. De ønsker derfor å gjennomføre en grundig og langsiktig prosess, uten forhastede konklusjoner.

Fotnoter

  1. Se artikkelen En vidunderlig ny velferdsstat? Rettsstaten
    møter den digitale velferdsforvaltningen av Jon Christian Fløysvik Nordrum og Ingunn Ikdahl, tilgjengelig her:
    https://doi.org/10.18261/tfv.25.3.1. ↩︎
  2. Se https://uitspraken.rechtspraak.nl/details?id=ECLI:NL:RBDHA:2020:1878. ↩︎
  3. Se https://www.amnesty.org/en/documents/eur35/4686/2021/en/. ↩︎
  4. Se https://www.lighthousereports.com/investigation/swedens-suspicion-machine/. ↩︎
  5. Sehttps://www.forsakringskassan.se/download/18.4bd04d1c19705cd0c1fc/1748431479920/forsakringskassans-arbete-med-artificiell-intelligens-svar-regeringsuppdrag-dnr-2025-000547.pdf, punkt 4.5. ↩︎
  6. Se artikkelen En vidunderlig ny velferdsstat? Rettsstaten
    møter den digitale velferdsforvaltningen av Jon Christian Fløysvik Nordrum og Ingunn Ikdahl, tilgjengelig her:
    https://doi.org/10.18261/tfv.25.3.1. ↩︎
  7. Se https://www.propublica.org/article/machine-bias-risk-assessments-in-criminal-sentencing. ↩︎
  8. Se https://www.digi.no/artikler/amazon-skroter-ai-verktoy-som-diskriminerte-tech-kvinner/448536. ↩︎