Rettslig regulering av AI – ulike tilnærminger

På relativt kort tid har kunstig intelligens (AI, eller KI ifølge språkrådets anvisning) blitt et dagligdags uttrykk, selv om meningsinnholdet kan være flyktig og vanskelig å definere presist. Vi blir forklart at alt fra moderne biler, kjøleskap, mobiltelefoner, søkemotorer, digitale assistenter, kjøkkenapparater, gressklippere, luftfuktere og klokker kan gjøre hverdagen enklere ved bruk av AI. Samtidig er det åpenbart at ikke alt som markedsføres som AI egentlig utviser noen form for intelligens. Et dataprogram som bare følger fastlagte anvisninger, vil ikke kunne kategoriseres som ekte AI selv om de fastlagte anvisningene er mangfoldige og gir store valgmuligheter.

En enkel definisjon av AI kunne for eksempel være at en AI er en datamaskin eller mekanisk innretning som styres av et eller flere dataprogram og som er i stand til å emulere menneskelig intelligens, gjerne ved å kunne tilegne seg ny kunnskap, resonnere, trekke logiske slutninger ved sammenstilling av ulike faktiske størrelser og arbeide frem nye løsninger på problemstillinger ettersom disse presenteres. Når det er sagt – det kan tenkes mange andre måter å definere AI på. Et viktig spørsmål vil være hva definisjonen skal brukes til og hvem den er rettet mot. Hva slags AI det er snakk om har også betydning. Det er for eksempel vanlig å skille mellom svake og sterke AI-løsninger, der forskjellen går på at det bare er de sterke som når opp mot menneskelig intelligens – eller overstiger den. Det kan være verdt å forsøke selv å lage en definisjonav AI. Det er nemlig mens man selv jobber med definisjonen at man merker hvordan det stritter imot, og hvordan selve grunnbegrepet intelligens i seg selv er vanskelig å definere uten en kontekst.

«I propose to consider the question, can machines think?». Slik innledet Alan Turing artikkelen «Computing Machinery and Intelligence» som ble publisert allerede i 1950. I stedet for å forsøke seg på å definere hva som ligger i selve tankeprosessen, viste Turing til en lek kjent som «the imitation game». Leken går ut på at en person skal avsløre kjønnet til to personer av ulikt kjønn ved å stille spørsmål til de to personene. Turing så for seg at man erstattet en av de to personene med en datamaskin. Ved å stille spørsmål og føre en samtale med de to, skal den tredje personen nå gjette hvem som er datamaskinen. Poenget er altså ikke at datamaskinen nødvendigvis må svare riktig på spørsmålene, men snarere være i stand til å etterligne menneskelig respons. Dette er senere blitt kjent som «the Turing Test», hvor formålet altså er å kunne skille mellom menneske og datamaskin. Denne testen er ikke spesielt praktisk, og er heller ikke tilstrekkelig for å definere en AI ut fra dagens behov og forventninger.

Jeg nevnte at Turing var tidlig ute, men problemet med å definere intelligens har omtrent like lang historikk som menneskets evne til selv å anvende tankekraften. Spørsmålet har stått sentralt ikke bare i filosofien, men også i skildringer av kjente skikkelser som Pygmalion, Pinokkio og Frankenstein. I filmen Blade Runner anvendes den fiktive Voight-Kampfftesten, en slags blanding av Turing-testen og en løgndetektor. Testen er opprinnelig beskrevet i historien «Do Androids Dream of Electric Sheep»av Philip K. Dick. Når det skal skilles mellom «ekte mennesker» og androider («Replicants»), stilles det spørsmål hvor kroppens respons er av større betydning enn svarene. Teorien er at androidene, som savner en kontekst for sine ferdiginstallerte minner, ikke klarer å emulere en menneskelig og empatisk respons. Et konkret spørsmål ser slik ut:

Denne empatitesten og karakterene som er nevnt ovenfor, understreker for alle at det ikke er en klar eller skarp grense mellom den menneskelige intelligens og den kunstige. Det er ikke bare vanskelig å beskrive hva som utgjør den kunstige intelligens, det er også vanskelig å forklare hvordan den skiller seg fra det vi ser på som menneskelig.

Det er ikke bare vanskelig å beskrive hva som utgjør den kunstige intelligens, det er også vanskelig å forklare hvordan den skiller seg fra det vi ser på som menneskelig.

Kanskje er dette bakgrunnen for at EU-kommisjonen fant det nødvendig å nedsette et eget utvalg med benevnelsen Independent High Level Expert Group on Artificial Intelligence. Denne Gruppen har forsøkt å klargjøre innholdet i begrepet AI i et eget dokument: «A definition of AI: Main Capabilities and Disciplines^{(1)https://digital-strategy.ec.europa.eu/en/library/definition-artificial-intelligence-main-capabilities-and-scientific-disciplines https://ec.europa.eu/newsroom/dae/document.cfm?doc_id=56341}». Utvalget tar her utgangspunkt i EU-kommisjonens kommunikasjon fra 25. april 2018 vedrørende kunstig intelligens (COM(2018) 237), som lyder slik:

Dette er en temmelig vid definisjon av AI, og den forklarer kunstig intelligens ved å vise til at begrepet beskriver systemer med intelligent adferd. Vi er ikke langt fra en sirkeldefinisjon, der vi som ovenfor støter på selve problemet med å beskrive hva som karakteriserer intelligens som sådan. Utvalget har derfor gått videre i arbeidet med å definere AI, og lagt vekt på å beskrive AI både som en fagdisiplin og som en teknologi. Et viktig formål for utvalget har vært å få frem en definisjon som er lett å forstå, og som kan benyttes i analyse og diskusjon knyttet til ulike utfordringer ved anvendelsen og utbredelsen av ulike former for AI. På denne måten skal det legges til rette for utformingen av etiske retningslinjer så vel som et juridisk rammeverk for utvikling og bruk av AI.

Med introduksjonen ovenfor fremstår kanskje resultatet som skuffende, ettersom den nye definisjonen ikke kan sies å være hverken kort eller veldig presis. Det er kanskje derfor utvalget avslutningsvis i rapporten viser til at den som vil sette seg inn i definisjonen kan «refer to this document as a source of additional information to support this definition.». Den egentlige definisjonen er altså rapporten som helhet, et temmelig omfattende dokument som det tar en del tid å sette seg inn i.

EU er ikke bare interessert i å lage en definisjon, dette er samtidig innledningen til et omfattende arbeide med å lage et helhetlig rettslig rammeverk for AI. Det er sterkt ønske innen EU om å være tidlig ute med dette, og foreløpig ligger det an til at EU faktisk vil være først ute på verdensbasis. Samtidig har Kina allerede introdusert lovgivning på området, men dette er ikke et slik overordnet regelverk som EU ser for seg. Kina har begynt i diametralt motsatt ende, og har begynt med å regulere konkrete typer algoritmer med et regelsett som trådte i kraft 1. mars 2022: «Internet Information Service Algorithmic Recommendation Management Provisions». Dette er regler rettet mot algoritmebasert teknologi som benyttes for å generere, sette sammen, velge ut, innhente, gjøre tilgjengelig og på annen måte tilby kvalifisert informasjon til brukerne av digitale tjenester. Målsetningen er å ramme algoritmer som bestemmer hva slags innhold som skal tilbys overfor enkelte brukere eller grupper.

Det kinesiske lovverket definerer altså ulike typer algoritmevarianter som rammes, og oppstiller deretter en rekke krav som må oppfylles. Reglene gjelder for enhver som benytter algoritmebasert teknologi for å tilby informasjonstjenester på internett innenfor Kinas grenser. Den som benytter seg av algoritmer som omfattes av lovverket, må kunne påvise tilfredsstillende administrasjonssystemer og tekniske tiltak som styrer bruken og kontrollerer rammene for hvordan algoritmen benyttes. I dette ligger også krav til etiske regler, rutiner for registrering av brukere, tilgang til informasjon om systemet, datasikkerhet, innrapportering av hendelser og lignende. I tillegg er det et krav til transparens, herunder at aktuelle algoritmer skal beskrives og sendes inn til et sentralt statlig register. Tilbyderen må også sette opp jevnlige kontroller og sjekkposter for å overvåke systemet, og følge opp utviklingen fortløpende. Det er for eksempel lagt inn krav i regelverket som skal sikre mot at brukerne blir avhengige, eller at det legges til rette for overforbruk av varer og tjenester.

Kina har også innført flere rettigheter som skal sikre brukernes interesser. Virksomheter som benytter algoritmer som omfattes av regelverket må ikke bare informere om bruken av algoritmer, men gi klar og tydelig informasjon om hvordan algoritmen fungerer. I dette ligger det at man i grove trekk må forklare grunnprinsippene for algoritmen, formålet med bruken samt hvordan den fungerer. Brukerne skal til en viss grad kunne velge ikke å delta i bruken av algoritmen, og skal også kunne kreve egen brukerdata slettet. Det er også krav til at det ikke differensieres mellom brukere i ulike kategorier, for eksempel for å unngå at to jevngamle personer blir tilbudt ulike priser på samme vare ut ifra hva algoritmen kan lese ut av lagrede data på disse to.

Kina introduserte også i februar 2023 regler for teknologi knyttet til såkalte «deep fakes» («deep synthesis»). Dette er teknologi som eksempelvis kan brukes for å endre stemmen, bildet eller video av en person slik at man kan etterligne andre eller fremstille falsk informasjon. I det hele tatt åpner slike AI-verktøy for å endre eller bearbeide materiale på en måte som ikke tidligere har vært teknisk mulig. Dette reiser selvsagt en rekke problemstillinger knyttet til desinformasjon og ulike former for misbruk. Det finnes allerede en rekke eksempler på at bilder av kjente personer brukes for å legge dem inn som karakterer i filmer av ulikt kaliber. Dette fungerer da ikke bare som en enkel fotomontasje på et utvalgt bilde. En AI kjører fotografiet inn i filmen slik at man rett og slett erstatter en skuespiller med det aktuelle bildet – gjennom hele filmen. Det er ikke i Kina oppstilt et absolutt forbud mot denne teknologien, men det er innført et krav til innhenting av samtykke fra personer hvis persondata blir manipulert. Materiale som blir produsert med slik teknologi må også merkes klart og tydelig for å unngå misforståelser. Reguleringen rammer ikke bare den omtalte «deep fake»-teknologien, men berører også løsninger som endrer eksisterende verk, for eksempel ved at man skifter ut ansiktet til hovedpersonen i en filmsnutt.

Den kinesiske tilnærmingen innebærer altså ikke en full regulering av AI som sådan. I stedet har Kina valgt å ta for seg konkrete problemstillinger nært knyttet opp mot ulike typer AI-systemer. De to lovverkene som er beskrevet ovenfor understreker denne tilnærmingen. Vi kan dermed forvente at det kinesiske regelverket fremover vil bli bygget ut med nye tillegg etter hvert som utviklingen går fremover.

EU har altså satset i en annen retning, og bygger på en bredere regulering der praksis og supplerende retningslinjer over tid vil utfylle og klargjøre reglene. I stedet for flere separate lovverk, ønsker EU en enkelt lovtekst som regulerer AI. Målsetningen er at dette vil gi et mer fleksibelt og tilpasningsdyktig system over tid. EUs brede tilnærming omtales ofte litt forenklet som en horisontal regulering, som innebærer at man ønsker å fange opp et bredt spekter av ulike typetilfeller. I en slik tilnærming vil nettopp definisjoner og bruk av ulike kategorier gi en struktur for regelverket. Det vil da i prinsippet være mulig å legge til eller justere både definisjoner og kategorier etter hvert som man ser hva slags problemstillinger som oppstår rundt bruken av AI. Kinas regulering vil tilsvarende bli sett på som en vertikal regulering, der regelverket består av flere separate søyler som hver for seg regulerer ulike typer AI. Ved å ha separate regelsett kan du i teorien fjerne eller gjøre endringer på et regelsett uten at de øvrige påvirkes. Samtidig kan du stadig innføre nye søyler etter behov. En innvending mot den vertikale løsningen er at det kan være tilfeldig hva slags AI-utfordringer som dukker opp, og at lovgiver ofte blir liggende bak utviklingen i et forsøk på fange opp stadig nye løsninger og modeller som er aktuell i markedet. Etter hvert som søylene utvikles hver for seg, vil det også oppstå en fare for konflikt mellom reglene, eller at reglene som helhet blir for kompliserte.

Det skal understrekes at Kinas løsning ikke er strengt vertikalt i alle henseender. Selv om de to omtalte reguleringene fra Kina fremstår som to separate reguleringer, er det horisontale trekk ved måten dette er håndtert på. For eksempel har Kina introdusert regulatoriske verktøy som påvirker begge algoritmelovene fra Kina. Et eget offentlig algoritmeregister () ble opprettet samtidig med algoritmeloven fra mars 2022, og er videreført også for reguleringen i februar 2023. Registeret vil fungere som en database der kinesiske myndigheter til enhver tid vil ha full kontroll over aktuelle eksisterende algoritmer i Kina. På tilsvarende måte vil ikke EUs tilnærming være fullstendig horisontal, ved at det vil være et grensesnitt og samhandling med for eksempel GDPR og andre eksisterende regelsett.

Kjernen i EUs regler for AI bygger på en inndeling i fire ulike kategorier basert på en vurdering av risiko. Hver kategori inneholder regelsett tilpasset den risikoen EU ser for seg er aktuelt for typen AI i kategorien. AI-løsninger som medfører uakseptabel risiko er ikke tillatt. Dette vil for eksempel være AI-løsninger eller tilsvarende algoritmer som driver med aktiv sosial profilering og fordeling av poeng basert på ulike kriterier. Tilsvarende vil profilering av biometriske trekk, for eksempel til bruk ved overvåkning eller for å identifisere enkeltpersoner eller grupper ut fra ansiktstrekk, ikke være tillatt.

Høyrisiko vil være knyttet opp mot personers helse, sikkerhet eller grunnleggende rettigheter. Dette vil typisk være sentral infrastruktur eller rutiner som gjelder bruk av personopplysninger til bruk ved ansettelser. Kategorien begrenset risiko indikerer liten trusselgrad eller risiko, og gjelder for eksempel for enklere AI-løsninger som skal samhandle med fysiske personer. Dette vil for eksempel være en digital kundebehandler på en nettbutikk – ofte kalt chatbot. I slike tilfeller vil det være en plikt til å informere om at samhandling skjer med en AI, med mindre dette fremgår av konteksten.

Den største gruppen av AI-løsninger forventes å ligge i sjiktet for minimal risiko. Dette vil være flere av de AI-variantene som ble nevnt helt innledningsvis. Et eksempel vil være en algoritme i vekkerklokken som kan studere søvnmønster over tid og sammenkoble dette med årstid og andre faktorer for å optimalisere oppvåkningstid- og metode.

En slik inndeling i kategorier kan virke praktisk og ryddig. En stor fordel er at man ikke gjør regelverket mer komplisert enn nødvendig for den enkelte risikogruppen. Tilpasningen innebærer at man treffer bedre i reguleringen av det enkelte AI-systemet, og dette gir forutberegnelighet for utviklere, tilbydere og brukere. Det finnes imidlertid en hel rekke utfordringer med denne fremgangsmåten. Kanskje mest slående er hvor lite finmasket inndelingen er. Gruppen for høyrisiko vil fange opp AI-løsninger på vidt forskjellige områder. Spennet er i praksis like vidt som hele samfunnet vårt. I praksis vil det nok by på problemer med å trekke opp grensene mellom kategoriene, ikke minst ved at det ikke foreligger noe entydig eller harmonisert system for å gjøre risikovurderinger av AI. Gjennom livssyklusen til en AI vil det også kunne skje en utvikling som endrer risikobildet. All oppmerksomheten rundt risikovurdering innebærer samtidig at mye av analysen er rettet inn mot den tidlige utviklingsfasen. Erfaring så langt viser imidlertid at slike tjenester utvikles i sterk grad gjennom faktisk bruk, og at oppmerksomheten også bør rettes mot faktisk bruk, muligheten for at en AI tas i bruk på nye områder og eventuell etterfølgende optimalisering ved bruk av flere AI-løsninger som samhandler.

Et konkret eksempel på utfordringen som møter EU og kategorisystemet følger av retningen AI-utviklingen har tatt. I stedet for tydelige kategorier og inndeling i en stram struktur, ser vi at det nå dukker opp flere generiske AI-løsninger som går på tvers av alle disipliner og bransjer. ChatGPT, som har vært mye omtalt i media i det siste, er en AI-løsning som tilbyr et enkelt tekstbasert grensesnitt. Brukeren stiller et spørsmål, gjerne med detaljerte presiseringer og forklaringer, og ChatGPT leverer raskt et svar, gjerne i form av lengre analyser og utlegning. Vil man ha et kort skuespill i tre akter, så er det nettopp dette som blir levert. Økonomisk rådgivning, tolkning av dikt, skrive en stil på3000 ord om birøkt under keiser Augustus, her er det ingen klare grenser. Slike AI-løsninger kan også motta utkast til dokumenter, forbedre tekst eller skrive ferdig der det mangler noe. Andre løsninger kan frembringe bilder ut fra brukerens beskrivelse av motiv, stemning, bakgrunn og ikke minst om det skal fremstå som et fotografi, mangategneserie, kubistisk maleri eller lignende.

Denne utviklingen har blitt plukket opp også av EU-parlamentet. I februar 2023 tok to av hovedpersonene bak EUs AI-regulering opp et forslag om at AI-løsninger som genererer sammensatt og komplisert tekst uten menneskelig oppsyn skulle legges til på listen for høyrisiko. Tanken var at ChatGPT har et stort potensial for å kunne misbrukes, blant annet til desinformasjon. Forslaget viser klart hvordan EU-forslaget vil bli omdiskutert i prosessen frem mot en gjennomføring av regelverket, og videre når nye tjenester og løsninger på området fremtvinger endringer og oppdatering av regelverket.

Uansett er det ingen tvil om at både reguleringen i Kina og EU blir fulgt med spente øyne fra hele verden. Dette er nybrottsarbeid, og det er klart at alle som nå regulerer dette området må forvente å gjøre endringer og justeringer underveis.

Som et lite eksperiment tenkte jeg å se om det var mulig å komme både EU og Kina i forkjøpet. Tanken var å undersøke hva en AI selvsynes bør være med i en AI-lov. Jeg har derfor henvendt meg til ChatGPT, og ba den regulere seg selv og resten av AI-familien i et utkast til en norsk lov.

Først spurte jeg ChatGPT hvorfor det i det hele tatt er viktig å ha en lov om AI. Svaret var delt opp i seks punkter, og det er vanskelig å være uenig i det ChatGPT trekker frem:

Svar fra ChatGPT

Deretter ba jeg ChatGPT lage en lov om AI. I spørsmålet la jeg inn et krav om at en av bestemmelsene skal inneholde et sitat fra Shakespeare. Grunnen til dette var at jeg samtidig ville teste den kontekstuelle forståelsen til ChatGPT – ville den sette inn noe helt tilfeldig, eller finne frem til noe som passet for anledningen. Jeg synes den klarte seg ganske bra, men leseren får vurdere selv.

Spørsmål til ChatGPT

Halvor Manshaus: Hei ChatGPT. Kan du gi et eksempel på en lov om AI som tar utgangspunkt i alle eksisterende lovforslag du kjenner til, samt hva du selv mener er viktig og nødvendig. En av bestemmelsene skal inneholde et kjent sitat fra Shakespeare, og en annen bestemmelse skal si noe om hvordan AI skal forholde seg til hverandre.

Svar fra ChatGPT

For å understreke hvor tilgjengelig AI-tjenester allerede har blitt, oppsøkte jeg en annen AI for å se om det ville være mulig å tilføre lovforslaget fra ChatGPT et kunstnerisk element. Her ble det brukt et grensesnitt via Discord til å sende en forespørsel til Midjourney. Dette er en AI som skaper bilder basert på beskrivelser som brukeren gir gjennom et tekstbasert grensesnitt. Tekststrenger begynner med /imagine… Så beskriver brukeren egenskaper som hva slags stilretning, lys, bakgrunn, kvalitet og lignende som inngår i bildet. Brukeren kan også laste opp bilder som grunnlag for arbeidet.

I dette tilfellet ba jeg Midjourney om å lage et bilde av en androide-AI som sitter ved at gammelt trebord og skriver på utkastet til AI-loven som er gjengitt ovenfor, med et par ytterligere detaljer. Som leseren vil se er det flott høyoppløselig bilde som det ville ta en dyktig tegner lang tid å gjenskape. Dette var ett av flere forslag fra Midjourney, men dette ble plukket ut fordi det var noe med utrykket til lovkonsipisten – strengt og fokusert. I tillegg er det en annen viktig egenskap ved bildet. Det er ikke perfekt. På skuldrene henger det et ark ned på hver side. Høyre hånd griper om en penn, men det er ytterligere en pennespiss i håndflaten som ikke skulle ha vært der. Venstre hånd består av for mange fingre.

I arbeidet med en AI som Midjourney vil man kunne be om å motta flere forslag. Man flikker litt frem og tilbake, velger seg frem mellom ulike varianter, helt til man når et resultat brukeren er tilfreds med. Slike feil som vi ser i bildet vil altså etter hvert bli luket bort av Midjourney, men det er kanskje i slike små glipp at Turing mente å kunne skille mellom menneske og maskin.