høyrisiko-KI
Hva er høyrisiko-KI etter KI-forordningen?
Et KI-system anses som høyrisiko når det brukes innenfor et av områdene som er oppført i vedlegg III til KI-forordningen – rekruttering, utdanning, samfunnsviktige tjenester, rettshåndhevelse og lignende – eller når det utgjør en sikkerhetskomponent i et produkt som allerede er regulert i henhold til vedlegg I. Verktøyet i seg selv utgjør aldri en høyrisiko i abstrakt forstand: den samme assistenten utgjør minimal risiko når den retter stavefeil, men høyrisiko når den vurderer jobbsøkere. Forpliktelsene ble utsatt til 2. desember 2027 for systemer som omfattes av vedlegg III.
Områdene i vedlegg III
I vedlegg III er det oppført bruksområder som gjør et frittstående KI-system til et høyrisikosystem. Arbeidslivet er det området som berører nesten alle organisasjoner, fordi det omfatter rekruttering, oppgavefordeling og beslutninger som påvirker arbeidsforholdet.
- Ansettelse: rekruttering, utvelgelse, forfremmelse, oppsigelse, oppgavefordeling, oppfølging.
- Utdanning: opptak, vurdering og overvåking av forbudt atferd under prøver.
- Viktige tjenester: kredittvurdering, prisfastsettelse av livs- og helseforsikring, akutttriage.
- Offentlige tjenester: rett til ytelser og bistand.
- Biometri, kritisk infrastruktur, politimyndigheter, migrasjon og rettsvesenet.
Hvorfor verktøyet ikke er vurderingsgrunnlaget
Å nevne leverandøren sier ingenting om risikoklassen. Det er formålet, de involverte dataene og den beslutningen resultatet påvirker, som avgjør dette. Dette er den aller vanligste feilen i KI-oversikter: en liste over verktøynavn som ikke kan danne grunnlag for noen konklusjon om samsvar.
Den praktiske konsekvensen er at den samme lisensen kan tilhøre to risikoklasser samtidig innenfor én organisasjon, avhengig av hvilket team som bruker den og til hva.
- En chatbot som retter et utkast til en e-post: minimal risiko.
- Den samme chatboten som rangerer jobbsøkere: høyrisiko.
- Den samme chatboten som tolker ansattes følelser: forbudt.
- Dokumenter bruksscenariet og den ansvarlige for det, ikke bare verktøyet.
Når en anvendelse i vedlegg III ikke er høyrisiko
Artikkel 6 nr. 3 åpner for at et system i et område som omfattes av vedlegg III kan unngå å bli klassifisert som høyrisiko, dersom det ikke utgjør en betydelig risiko for helse, sikkerhet eller grunnleggende rettigheter – for eksempel når det utfører en avgrenset prosessoppgave eller forbedrer resultatet av en tidligere gjennomført menneskelig aktivitet.
Unntaket fungerer ikke som en selvbekreftelse: en leverandør som støtter seg på det, må dokumentere vurderingen, og et system som profilerer fysiske personer utgjør alltid en høyrisiko.
- Smalere prosessuelle oppgaver kan falle utenfor.
- Å forbedre resultatet av utført menneskelig arbeid kan falle utenfor dette.
- Forberedende oppgaver i forbindelse med en vurdering kan falle utenfor.
- Profilering av fysiske personer innebærer alltid høyrisiko, uten unntak.
Hva forpliktelsene innebærer, og fra når
For leverandører av systemer med høyrisiko er forpliktelsene omfattende: et risikostyringssystem som dekker hele livssyklusen, datastyring, teknisk dokumentasjon, automatisk loggføring, innebygd menneskelig tilsyn, nøyaktighet og cybersikkerhet, samsvarsvurdering, CE-merking og registrering i EU-databasen.
Den digitale omnibuspakken, som ble vedtatt i juni 2026, utsatte disse kravene. Frittstående systemer i henhold til vedlegg III gjelder nå fra 2. desember 2027, mens systemer i henhold til vedlegg I som er integrert i regulerte produkter, gjelder fra 2. august 2028.
- Leverandører: risikostyring, datastyring, dokumentasjon, loggføring, tilsyn, samsvarsvurdering.
- De som gjennomfører implementeringen: Følg instruksjonene, sørg for kompetent menneskelig tilsyn, før logg og informer de berørte personene.
- Forpliktelsene i vedlegg III trer i kraft fra 2. desember 2027.
- Forpliktelsene knyttet til innebygde produkter i vedlegg I trer i kraft fra 2. august 2028.
Ofte stilte spørsmål
Er ChatGPT et høyrisiko-KI-system?
Ikke i seg selv. Høyrisiko avhenger av bruksmåten, ikke av verktøyet. En generell assistent som brukes til å utarbeide tekst, utgjør minimal risiko; den samme assistenten brukt til å vurdere jobbsøknader faller inn under ansettelsesområdet i vedlegg III og utgjør høyrisiko. Spørsmålet kan kun besvares ut fra det konkrete bruksområdet.
Er bruk av KI i rekrutteringsprosessen alltid forbundet med høyrisiko?
Rekruttering er et område som omfattes av vedlegg III, så utgangspunktet er ja. Artikkel 6 nr. 3 kan føre til at et system unntas fra denne kategorien dersom det kun utfører en begrenset prosessuell oppgave og ikke utgjør noen vesentlig risiko for grunnleggende rettigheter, men ethvert system som profilerer fysiske personer utgjør uten unntak en høyrisiko.
Når trer kravene for grupper med høyrisiko i kraft?
For frittstående systemer som omfattes av vedlegg III gjelder 2. desember 2027, etter at den digitale omnibuspakken utsatte den opprinnelige datoen. For KI-systemer som er integrert som en sikkerhetskomponent i produkter som er regulert i henhold til vedlegg I, gjelder 2. august 2028. Ingen av datoene er ennå norsk lov, ettersom forordningen ikke er innlemmet i EØS-avtalen.
Hva er forskjellen mellom «høyrisiko» og «forbudt»?
Forbudte bruksområder kan ikke benyttes i det hele tatt — blant annet sosial vurdering, manipulerende teknikker, følelsesgjenkjenning på arbeidsplassen og ikke-målrettet ansiktsdata-innsamling, som har vært forbudt siden februar 2025. Bruksområder med høyrisiko er tillatt, men er underlagt de strengeste kravene både før og under bruk.
Hvordan finner vi ut hvilke av bruksområdene våre som er høyrisiko?
Ta utgangspunkt i en oversikt over konkrete bruksscenarier i stedet for en liste over verktøy, der formålet, dataene og beslutningen som resultatet påvirker, er registrert for hvert enkelt scenario, samt en navngitt person som bekrefter dette. Sammenlign deretter hvert bruksscenario med områdene i vedlegg III.
Gratis veiledningsverktøy
Forstå hvordan KI-forordningen kan gjelde
Svar på spørsmål i klart språk, få forklaringer underveis og se det offisielle rettsgrunnlaget bak resultatet.
Start vurderingen