«Å utnytte moglegheitene KI-verktøy gir er i tråd med oppdraget til Nav»

Av Catrine Stadheim

Stadheim jobbar til dagleg som avdelingsdirektør i Juridisk avdeling i Arbeids- og velferdsdirektoratet

Eg leste med interesse artikkelen KI sliter med å lære arbeidsrett i Juristen nr. 01/2026. I artikkelen blir fagdirektør Kaja Breivik Furuseth i Datatilsynet intervjua om at det er vanskeleg å nytte rettsavgjerder til å trene opp KI-modellar på grunn av personvernutfordringar.

Mot slutten av intervjuet kjem Furuseth inn på noko rundt Navs regelverk som eg finn interessant: «Noen steder finnes det særlover som gjør det mulig å utvikle KI. Lov om Statens pensjonskasse, for eksempel. Nav, på sin side, har lov til å bruke KI, men ikke til å utvikle den selv».

Her kjem nokre kommentarar og refleksjonar med utgangspunkt i dette.

Bodskapet til Furuseth kan tolkast dit at verksemder berre kan utvikle KI-system der det føreligg ein særskilt lovheimel som opnar for behandling av personopplysningar til dette føremålet. Sjølv om Nav ikkje har særskilte lovheimlar for å behandle personopplysningar i samband med utvikling av KI-system eller statistikk og analyse, utlukkar ikkje dette at etaten likevel kan behandle personopplysningar til slike føremål.

Nav deltok i 2021 i Datatilsynet si sandkasse med sin prediksjonsmodell for sjukefråvær, sjå NAV: Prediksjonsmodell for sykefravær | Datatilsynet. Ein av konklusjonane i rapporten var at Nav har heimel for å bruke KI-modellen i sakshandsaminga, men at «Det er usikkert om det rettslige grunnlaget åpner for å bruke personopplysninger til å utvikle selve algoritmen».

Datatilsynet viste til at behandlinga av personopplysningar i utviklingsfasen var inngripande og at det tala for at det må krevjast ein klar og tydeleg heimel. Dei påpeikte også at det ikkje kom tilstrekkeleg fram i lovene Nav bygde på at opplysningane til tidlegare brukarar skal kunne brukast til utvikling av KI.

Datatilsynet presiserte at dette var ei rettleiande fråsegn basert på det konkrete prosjektet. Det er opp til Nav å vurdere om det føreligg tilstrekkeleg behandlingsgrunnlag.

Nav har difor vurdert nærmare om Nav har heimel for bruk av personopplysningar til utvikling av KI. All den tid Nav ikkje har ein uttrykkeleg heimel for utvikling av KI, vil dette vere eit tolkingsspørsmål.

Både teknologi-, retts- og samfunnsutviklinga på KI-området har gått raskt sidan sandkasseprosjektet. Utviklinga peiker i retning av å utnytte handlingsrommet for utvikling av KI betre, og at vi kan være mindre tilbakehaldne med å ta i bruk teknologien enn tidlegare.

Eit uttrykk for dette finn vi i Regjeringa si digitaliseringsstrategi 2024 – 2030, Fremtidens digitale Norge - regjeringen.no. Eg meiner at Nav kan legge til grunn at det å utnytte moglegheitene KI-verktøy gir for å levere gode tenester, er i tråd med oppdraget til Nav etter Nav-lova. 

Med dette som utgangspunkt, vil det være lovene som regulerer Nav sine tenester og ytingar som definerer kva oppgåver Nav kan behandle personopplysningar til. I tillegg vil krav til nødvendigheit og proporsjonalitet sei noko om dei ytre rammene for kva personopplysningar som kan behandla og på kva måte.

Nav må gjere konkrete tolkingar av regelverket sitt for kvart enkelt prosjekt. Nav har gjennomført ein kategorisering av ulike typar KI-initiativ. Vurdering er at noverande lovgiving gir tilstrekkeleg heimel for behandling av personopplysningar til utvikling av KI for enkelte kategoriar av initiativ.

Eg skulle gjerne sett at Nav hadde hatt ein klarare heimel for utvikling av KI. Det ville ha gitt betre legitimitet og tillit og vere meir føreseieleg for Nav sine brukarar. Dette er viktige omsyn!

Men eg er usikker på om ein lovheimel vil løyse eller tilføre noko nytt når det gjeld dei utfordringane vi ønskjer å løyse.

Ein problemstilling som vert trekt fram er at utvikling av KI ofte krev ei meir omfattande behandling av personopplysningar enn bruk av KI i driftsfasen. Det omfattar også ofte personopplysningar om brukar som allereie har fått ferdigbehandla si sak i Nav.

Eg ser både utfordringa og personvernrisikoen ved utvikling av KI, men det betyr ikkje automatisk at den er større enn etter produksjonssetting. Risikoen er blant anna mindre i eit kontrollert utviklingsmiljø. Nav må være i stand til å handtere desse risikoane på ein tryggande måte. I den samanheng må vi stille spørsmålet om ein heimel som uttrykkeleg gir Nav heimel til arbeidet med KI, vil gjere Nav betre i stand til å handtere risiko, skape meir openheit og vere meir føreseieleg for brukaren.

Mi vurdering så langt er at mange av dei rettslege garantiane eg meiner er nødvendige for å ivareta dei registrerte sine rettar og fridomar, allereie går fram av dagens reglar. Nav har i sitt arbeid så langt ikkje greidd å identifisere vesentlege nye eller andre tiltak for å betre brukaranes personvern som ein lovheimel kan bidra med.

Riksrevisjonen undersøkte i 2023-2024 korleis statlege styresmakter utnyttar moglegheitene som KI gir, sjå Staten henger etter på kunstig intelligens. Riksrevisjonen trekk fram at uvisse om kva som er eit tilfredsstillande juridisk grunnlag til å behandle personopplysningar i både utvikling og bruk av KI ser ut til å hindre at statlege verksemder i større grad utviklar og tar i bruk KI. Også Nav kjenner på denne uvissa. Samtidig arbeidar Nav aktivt for å utnytte handlingsrommet for ny teknologi på ein måte som både betrar tenestene og ivareta personvernet. 

Takk, Furulund, for at du ga med høve til å dele dette! Når vi ser kor viktig temaet er, kanskje for fleire sektorar, håpar eg Juristen skriv meir om dette framover.