– Ingen kan være KI-ansvarlig alene
Kunstig intelligens flytter inn i stadig flere av forvaltningens systemer. Samtidig finnes det ingen profesjon som alene kan forstå teknologien, jussen, fagområdet og risikoen. Det er ikke et argument for mindre ansvar. Det er et argument for å organisere ansvaret annerledes.
Innlegg av Bjørn Henrik Hellandsjø, jurist/forfatter
Da personvernforordningen kom, fikk personvernet også en tydelig organisatorisk plass. Offentlige myndigheter skal ha personvernombud, og GDPR artikkel 37–39 gir ombudet definerte oppgaver og en særskilt stilling.
Jeg har selv arbeidet profesjonelt som personvernombud. Rollen kan være krevende. Et godt ombud må forstå regelverket, virksomheten det fører kontroll med, informasjonssystemene og arbeidsprosessene der personopplysninger behandles.
Men kontrollområdet er i det minste identifiserbart: behandling av personopplysninger. Ombudet har heller ikke ansvaret for virksomhetens etterlevelse. Det ligger hos behandlingsansvarlig. Ombudet skal rådgi og kontrollere innenfor et avgrenset fagområde.
Kunstig intelligens passer dårligere inn i en slik modell.
KI kan ligge i HR-systemet, økonomistyringen, rekrutteringen, saksbehandlingen, anskaffelsene, dokumentproduksjonen eller ledelsesstøtten. Den kan være et system virksomheten bevisst har anskaffet som KI. Men den kan også komme som ny funksjonalitet i et system virksomheten har brukt i flere år.
Hvem skal da være KI-ansvarlig?
Regelverket gir ingen KI-sjef
KI-forordningen gir heller ingen enkel organisatorisk oppskrift.
Artikkel 4 krever at tilbydere og virksomheter som bruker KI-systemer, gjør sitt beste for å sikre tilstrekkelig KI-kompetanse hos dem som arbeider med systemene. For høyrisikosystemer bygger regelverket dessuten på reell menneskelig kontroll. Etter artikkel 26 skal denne kontrollen legges til personer som har nødvendig kompetanse, opplæring, myndighet og støtte.
EU-kommisjonens egen AI Act Service Desk presiserer samtidig at forordningen ikke krever noen bestemt intern styringsmodell eller en egen «AI Officer».
Det er antagelig klokt.
For hvem skulle denne personen være?
Juristen kan regelverket, men kan vanskelig forventes å forstå modellarkitektur, datagrunnlag og teknisk robusthet. IT-miljøet kan forstå systemene, men ikke nødvendigvis hvilke forvaltningsrettslige, diskrimineringsrettslige eller faglige konsekvenser en bestemt bruk får. Personvernombudet skal involveres når personopplysninger behandles, men har et annet kontrollområde. Fagpersonen kan på sin side vite mer enn noen andre om hva systemets svar faktisk betyr i den konkrete arbeidsprosessen, uten å forstå hvorfor modellen kom frem til det.
Problemet er derfor ikke bare at vi mangler mennesker som «kan KI».
Den nødvendige kunnskapen ligger hos forskjellige mennesker.
Første utfordring er å vite hva man har
Dette blir vanskeligere fordi KI ikke lenger bare kommer gjennom særskilte KI-prosjekter.
DFØ HR bruker SAP SuccessFactors. I april 2026 ble generativ KI aktivert for blant annet tekstforbedring, stillingsbeskrivelser og enkelte andre innholdsoppgaver. DFØ avgrenser uttrykkelig denne funksjonaliteten mot rangering av kandidater og beslutningsstøtte i personalsaker.
Samtidig utvikler SAP Joule seg fra en assistent mot et system av kontekstbevisste agenter og assistenter som kan arbeide med virksomhetsprosesser og koordinere handlinger på tvers av systemer.
Det betyr ikke at DFØ bruker all denne funksjonaliteten. Det illustrerer noe annet: Kapabiliteten i et allerede anskaffet system kan endre seg vesentlig gjennom leverandørens videreutvikling.
Gårsdagens HR-system kan gradvis bli morgendagens KI-plattform.
Dermed holder det ikke å føre en liste over «KI-prosjektene». Virksomheten må også ha oversikt over hvilke eksisterende systemer som får KI-funksjoner, hvilke data funksjonene kan bruke, hvilken rolle de får i arbeidsprosessen og når tidligere risikovurderinger må tas opp igjen.
Man kan ikke styre det man ikke vet at man har.
Ansvar, kompetanse og myndighet er tre forskjellige ting
Her treffer artikkel 26 et praktisk problem som er større enn ordlyden kanskje tilsier.
Det hjelper lite at virksomheten har en dyktig KI-koordinator, jurist eller teknolog dersom vedkommende ikke har organisatorisk tyngde til å gripe inn. Men det motsatte er også mulig: Den som har formell myndighet og budsjettansvar, kan mangle kompetansen til å forstå hva som faktisk godkjennes.
Et «human in the loop» løser ikke nødvendigvis dette.
Regelverket for høyrisikosystemer legger opp til at menneskelig kontroll skal være effektiv, og at personer som fører kontroll blant annet skal kunne forstå begrensningene, være oppmerksomme på overdreven tillit til systemets forslag og kunne overse eller overstyre resultatet.
Det er noe mer enn å beholde knappen.
Menneskelig kontroll har liten verdi dersom mennesket ikke lenger har kompetansen eller myndigheten som kontrollen forutsetter.
Juristen må inn tidligere
Her får juristene en viktig rolle, men den bør ikke reduseres til kontroll på slutten av prosjektet.
Når arbeidsprosessen allerede er utformet, systemet valgt, dataflyten etablert og modellen integrert, kan det være sent å komme inn med spørsmålet: «Er dette lovlig?»
De interessante juridiske spørsmålene oppstår tidligere.
Hva skal KI-systemet faktisk brukes til? Hvilke vurderinger skal det påvirke? Hvilke data trenger det? Hvem kan bli berørt? Hva skal dokumenteres? Hvilken mulighet har et menneske til å overstyre? Hvem bærer ansvaret dersom systemets anbefaling blir fulgt?
Juristen bør være med når handlingsrommet utformes, ikke bare når løsningen skal godkjennes.
Men heller ikke juristen kan eie KI alene. Det særlige bidraget er snarere å forstå hvor teknologi og arbeidsprosess krysser rettslige grenser, og å se hvilke spørsmål som må løftes til andre fagmiljøer.
En del av fremtidens juridiske kompetanse kan derfor bli å vite når man ikke selv vet nok.
Den trygge KI-en må også være god nok
God styring har dessuten en side som lett forsvinner i diskusjonen om juss og sikkerhet: kapabilitet.
En offentlig virksomhet kan velge en sikker, kontrollert og sterkt avgrenset KI-løsning. Men de ansatte sammenligner ikke den løsningen med ingenting. De sammenligner den med kommersielle tjenester de allerede kjenner.
Digdir advarer mot ansatte som tar i bruk forbrukerrettede generative KI-verktøy på eget initiativ. Slik bruk skjer utenfor virksomhetens rutiner og omtales som skygge-IT.
Dermed oppstår et paradoks:
Den KI-en virksomheten kan kontrollere, må også være nyttig nok til at medarbeiderne faktisk vil bruke den.
Hvis den sikre løsningen ikke løser oppgaven, kan den reelle KI-bruken flytte seg til verktøy virksomheten ikke lenger ser.
Governance handler derfor også om produktkvalitet. Den største risikoen ved offentlig KI er ikke alltid at systemet er for kapabelt. Den kan også være at det ikke er kapabelt nok.
Styringen må følge risikoen
Det betyr heller ikke at alle offentlige virksomheter trenger et stort KI-råd.
KI-forordningen er risikobasert, og organiseringen bør være det samme. En språkassistent som forbedrer interne tekster krever ikke samme styringsapparat som KI som påvirker rekruttering, prioritering av saker eller enkeltmenneskers rettigheter.
En liten kommune kan neppe bygge samme KI-miljø som et stort direktorat. Det avgjørende er ikke organisasjonskartet, men at noen faktisk har ansvar for oversikten, at riktig fagkompetanse blir koblet inn når risikoen øker, og at beslutningslinjen er kjent.
En mulig hovedregel er enkel:
Linjen må eie beslutningen og risikoen. Kompetansen må organiseres på tvers. Kontrollen må stå til risikoen.
En KI-koordinator eller governance-funksjon kan holde oversikt, gjøre første risikovurdering og sørge for at jurister, fagpersoner, sikkerhetsmiljøer og personvernombud kobles inn når det er nødvendig. Men funksjonen må også ha ressurser og en reell eskaleringsvei.
En KI-koordinator uten tid, tilgang til ledelsen eller mulighet til å kreve en ny vurdering er ikke governance.
Det er en stillingstittel.
KI-forordningen er ennå ikke gjennomført i norsk rett. Regjeringen tar sikte på å fremme KI-loven for Stortinget våren 2027. Vi har derfor fortsatt tid til å diskutere ikke bare hvilke nye plikter virksomhetene får, men hvordan ansvaret faktisk skal bæres.
KI trenger neppe sitt eget personvernombud.
Den trenger noe vanskeligere: en organisasjon der det er tydelig hvem som eier beslutningen, hvem som skal utfordre den – og hvem som må lytte når noen sier at vi ennå ikke vet nok.