1. Hva er en standard, og hva gjør den harmonisert?

De første standardiseringsorganisasjonene i Europa ble dannet i forbindelse med industrialiseringen på 1800-tallet. Standardisering var nødvendig for produksjon i industriell skala, noe som førte til dannelsen av nasjonale standardiseringsorganisasjoner og senere internasjonale standardiseringsorganisasjoner på 1900-tallet.^{(17)Standardisering, Wikipedia, besøkt 13.06.2024. URL: https://en.wikipedia.org/wiki/Standardization.}

Harmoniserte standarder omhandler typisk svært tekniske emner, som for eksempel grenseverdier for ulike typer kjemiske stoffer som kan brukes i et bestemt produkt. For eksempel avgjørelsen James Elliot v Irish Asphalt (C-613/14), som er nærmere omtalt nedenfor, gjaldt spesifikasjon av hvor mye svovel som skal inngå i asfalt. Spesifikasjonene endres kontinuerlig, basert på den nyeste kunnskapen i bransjen og nye vitenskapelige funn, noe som gjør det utfordrende å gi detaljerte spesifikasjoner gjennom ordinære lovgivningsprosesser.

I dag er det tre europeiske standardiseringsorganisasjoner som har ansvaret for å utarbeide harmoniserte standarder. Disse er European Committee for Standardization (CEN), the European Committee for Electrotechnical Standardization (CENELEC), og European Telecommunications Standards Institute (ETSI). De tre organisasjonene er anerkjent som «europeiske standardiseringsorganisasjoner» etter forordning 1025/2012 (standardiseringsforordningen).

Samordningen mellom standardiseringsorganisasjonene ble først regulert på EU-nivå i 1983.^{(18) Pelkmans, J. (1987). The New Approach to Technical Harmonization and Standardization.Journal ofcommon Market Studies Volume XXV, No. 3 March 1987 002 1-9886.} Rådsdirektivet fra 1983 fastsatte en prosedyre for utveksling av informasjon om standardiserings­prosjekter, noe som sørget for at de ulike nasjonale standardiserings­organisasjonene ble bedre koordinert.^{(19)Rådsdirektiv av 28. mars 1983 om fastsettelse av en informasjonsprosedyre med hensyn til tekniske standarder og forskrifter (83/189/EØF), artikkel 2.} Direktivet sørget også for at det ikke ble utarbeidet nasjonale standarder der det allerede fantes en europeisk standard.^{(20)Ibid. artikkel 7.} På denne tiden fantes det ingen harmoniserte standarder, kun europeiske standarder. De europeiske standardene ble utarbeidet av de europeiske standardiseringsorganisasjonene, men uten at de ble harmonisert og innlemmet i formell EU-lovgivning.

Ideen om harmoniserte standarder ble formelt introdusert to år senere, i 1985, med rådsresolusjonen «on a new approach to technical harmonisation and standards.»^{(21)Rådets resolusjon av 7. mai 1985 om en ny tilnærming til teknisk harmonisering og standarder (85/C/136/01).} Den nye tilnærmingen innebærer et system der EU-­kommisjonen gir de europeiske standardiseringsorganisasjonene mandat til å utarbeide egnede standarder, som deretter vedtas av EU-kommisjonen, forutsatt at standarden oppfyller kravene i mandatet. Vedtatte standarder publiseres som harmoniserte standarder i Den europeiske unions tidende.

Det følger av rådsresolusjonen fra 1985 at standardene vil «maintain their status as voluntary standards.»^{(22)Ibid, vedlegg II.} Den nye metoden med harmonisering av standarder hadde altså ikke til hensikt å gjøre standardene obligatoriske, noe som fortsatt er et grunnleggende prinsipp i europeisk standardisering, nedfelt i fortalepunkt to i standardiseringsforordningen.^{(23)Pelkman (se n. 20) gir en utførlig redegjørelse for den nye tilnærmingen som ble vedtatt i 1985.}

Standardiseringsforordningen fastsetter den gjeldende prosedyren for harmonisering av standarder. EU-kommisjonen kan, i henhold til artikkel 10, anmode en eller flere europeiske standardiseringsorganisasjoner om å utarbeide standarder som skal harmoniseres med en eller flere produktreguleringer. Harmoniserte standarder kan for eksempel brukes i forbindelse med regulering av leketøy, medisinsk utstyr, og nå også snart KI-systemer. Kommisjonen vil offentliggjøre standarder som oppfyller kravene i mandatet i Den europeiske unions tidende.^{(24)Standardiseringsforordningen, art. 10(6).} Europaparlamentet eller medlemslandene kan protestere mot harmoniserte standarder, med den begrunnelse at standardene ikke oppfyller kravene i mandatet. Standardene kan da enten trekkes tilbake eller opprettholdes med begrensninger.^{(25)Ibid, art. 11(1).}

2. Kan harmoniserte standarder være både frivillige og obligatoriske på samme tid?

EU-domstolen har i nyere tid behandlet to saker om harmoniserte standarders rettslige og frivillige karakter. I den første saken, James Elliot v Irish Asphalt (C-613/14), kom EU-domstolen til at harmoniserte standarder utgjør en del av EU-retten, når harmoniserte standarder er brukt på en måte som skaper bindende rettsvirkninger.^{(26)James Elliot, avsnitt 40-42.} Saken gjaldt en kontraktsmessig tvist om den avtalte kvaliteten på asfalt. Asfalten oppfylte ikke de tekniske spesifikasjonene i standarden EN 1342:2002, særlig med hensyn til svovelinnholdet. Irlands høyesterett anmodet EU-domstolen om en prejudisiell avgjørelse for å avklare om EU-domstolen har kompetanse til å tolke den harmoniserte standarden i henhold til TFEU artikkel 267.

EU-domstolen kom til at den aktuelle harmoniserte standarden er en del av EU-retten fordi overholdelse av den skaper en presumsjon for overholdelse av byggevaredirektivet (direktiv 89/106).^(27)Ibid. Det er dermed en direkte forbindelse mellom den harmoniserte standarden og de ufravikelige lovkravene i byggevaredirektivet. For å utfordre presumsjonen må standarden tolkes av EU-domstolen, og følgelig utgjør standarden en del av EU-retten.

I den andre saken, Public.Resource.Org and Right to Know v. European Commission, gjentar domstolen at harmoniserte standarder som har rettsvirkninger, er en del av EU-retten.^{(28)Public.Resource.Org., avsnitt 70.} Saken gjaldt fri tilgang til fire harmoniserte standarder for leketøy. De fire aktuelle standardene har rettsvirkninger, ettersom overholdelse av de fire standardene forutsetter overholdelse av leketøysdirektivet (direktiv 2009/48).^{(29)Ibid., avsnitt 70-80.}

I sin begrunnelse i Public.Resource.Org-saken påpekte domstolen at det ikke finnes noen realistiske alternativer til bruk av harmoniserte standarder. Domstolen mente at «it may prove difficult, or even impossible, for economic operators to have recourse to a procedure other than that of compliance with such standards, such as an individual expert report, in the light of the administrative difficulties and additional costs arising therefrom .»^{(30)Ibid., avsnitt 75.} På dette grunnlaget konkluderte domstolen med at selv om de fire standardene i saken formelt sett var frivillige, var standardene i realiteten «manifestly mandatory» for å overholde regelverket om leketøysikkerhet.^{(31)Ibid., avsnitt 79.}

Domstolen påpekte at enhver person som ønsker å utfordre presumsjonen om at lovkravene er oppfylt må ha tilgang til de aktuelle harmoniserte standardene. Domstolen la til grunn at en «harmonised standard may specify the rights conferred on individuals as well as their obligations and those specifications may be necessary for them to verify whether a given product or service actually complies with the requirements of such legislation»^{(32)Ibid., avsnitt 82.} Det er ikke bare virksomheter som er underlagt lovkrav som kan ha en interesse, men også privatpersoner kan ha en legitim interesse i å utfordre presumsjonen om at lovkravene er oppfylt. For eksempel kan en familie som har blitt eksponert for farlige leker ønske å konsultere standardene, for å vurdere om produsenten faktisk har overholdt de relevante lovkravene.^{(33)Et annet eksempel er standardenes rolle i den franske brystimplantatsaken, forklart i van Gestel, R., & van Lochem, P. J. P. M. (2020). Private standarder som erstatning for offentlig lovgivning? DOI: https://doi.org/10.4337/9781788118415.00009.}

EU-domstolen bekrefter gjennom de to sakene at harmoniserte standarder er gjenstand for obligatorisk håndhevelse, ettersom domstolene kan anvende dem for å avgjøre om EU-retten er overholdt.

Til tross for disse avklaringene er det fortsatt flere uavklarte spørsmål, knyttet til statusen harmoniserte standarder har som rettskilde sammenlignet med konvensjonelle EU-rettskilder. EU-domstolen har kun løst spørsmålet om tilgang til standardene basert på et spesifikt rettslig grunnlag, som de europeiske standardiseringsorganisasjonene ikke er underlagt. Det rettslige grunnlaget for innsyn, som brukes i Public.Resource.Org, er forordning 1049/2001, som omhandler offentlighet i dokumenter fra Europaparlamentet, Rådet og Kommisjonen. Enhver kan be om innsyn i harmoniserte standarder fra EU-institusjonene, men ikke fra de europeiske standardiseringsorganisasjonene.

Opphavsretten til de harmoniserte standardene er ikke opphevet. De europeiske standardiseringsorganisasjonene kan fortsatt påberope seg opphavsrett og begrense tilgangen i henhold til sine egne vilkår og betingelser. Harmoniserte standarder, inkludert de fire standardene som behandles i Public.Resource.Org, tilbys fortsatt for salg til en pris på 250 til 380 euro per stykk, noe som utgjør mer enn 1000 euro for å få tilgang til alle standardene.

EU-domstolen gir gjennom sin avgjørelse i Public.Resource.Org en mulighet til å omgå betalingsmuren til de europeiske standardiseringsorganisasjonene, ved å få gratis tilgang til standardene direkte fra EU-institusjonene. Veien til tilgang kan likevel være lang og byrdefull. Public.Resource.Org presiserer kun at det var en «overriding public interest» i å gi tilgang til de fire harmoniserte standardene om leker. Dette reiser spørsmålet om hvorvidt en slik «overriding public interest» gjelder generelt for alle harmoniserte standarder, noe som foreløpig ikke er avklart.

Et spesielt og begrensende faktum i Public.Resource.Org er at det i forordning 1907/2006, spesifikt fremgår at bruken av nikkel i leketøy er regulert av en av standardene, og at det følger av dette at «the standards adopted by CEN are to be used as test methods for demonstrating the conformity of the products»^{(34)Public.Resource.Org, avsnitt 79.} For å verifisere samsvar er det derfor ikke noe annet valg enn å gå til den relevante standarden, noe som gjør det åpenbart at standarden er obligatorisk. Det er ikke alle harmoniserte standarder som det henvises til i EU-regelverket på denne måten. Men bortsett fra standarden om terskelverdier for nikkel, la EU-domstolen til grunn at alle harmoniserte standarder som brukes for å skape en presumsjon om etterevelse, i realiteten er en del av EU-retten, noe som i utgangspunktet skulle kunne gi en «overriding public interest» til fri tilgang til den aktuelle standarden.

Likevel, EU-domstolen har, gjennom Public.Resource.Org, opprettholdt en todelt tilnærming der harmoniserte standarder delvis er tilgjengelige på grunn av tvingende allmenne hensyn, og delvis begrenset på bakgrunn av opphavsrettslig beskyttelse. Dette sprikende resultatet er et tydelig symptom på implikasjonene ved å innlemme privatproduserte og opphavsbeskyttede kilder i EUs formelle lovgivning.

Konvensjonelle rettskilder, som ordinære lover og rettspraksis, er fritt tilgjengelige på nettet, uten at det er nødvendig å be om tilgang. Etter EU-domstolens avgjørelser er harmoniserte standarder formelt sett tilgjengelige, men ikke like enkelt som andre rettskilder. Dette reiser spørsmålet om det er lovlig, i henhold til de grunnleggende rettighetene som er nedfelt i TFEU og Charteret,^{(35)Traktaten om Den europeiske unions virkemåte (TFEU), artikkel 15(3) og Pakten om grunnleggende rettigheter («Pakten»), artikkel 20, 42 og 47 (på engelsk «Charter of Fundamental Rights»).} å begrense tilgangen til harmoniserte standarder, slik EU-kommisjonens praksis er i dag.

Det reiser også spørsmålet om begrensede rettskilder, som harmoniserte standarder, er egnet til å regulere svært komplekse områder som reiser flere grunnleggende samfunnsspørsmål, slik som reguleringen av KI-systemer.

3. Bruk av harmoniserte standarder for å regulere KI-systemer

Ti standarder er under utvikling for å gi detaljerte regler for design, utvikling og bruk av KI-systemer. Standardene handler ikke bare om produktsikkerhet, men også om overholdelse av grunnleggende rettigheter. KI-systemer er i høyeste grad tekniske, men bruken av KI-systemer reiser samtidig en rekke samfunnsmessige spørsmål om personvern, diskriminering, sikkerhet med mer. I EU-kommisjonens anmodning om standardisering i tilknytning til KI-forordningen, som ble utstedt av 22. mai 2023, fremkommer det at «standards are important instruments to support the implementation of Union policies and legislation and to ensure a high level of protection of safety and fundamental rights for all persons in the Union.»^{(36)EU-kommusjonenens gjennomføringsbeslutning (Commission Implementing Decision), 22. mai 2023, C(2023)3215 final, fortalepunkt nr. 3}

Hensynet til grunnleggende rettigheter var ikke til stede da den nye tilnærmingen til harmonisering av standarder ble innført i 1985. Den gang var det utelukkende produktsikkerhet som sto i fokus. Så langt finnes det ingen harmoniserte standarder der hensynet til grunnleggende rettigheter spiller en dominerende rolle. De ti standardene som skal innføres for KI-systemer, vil derimot alle ha grunnleggende rettigheter som et vesentlig og overordnet hensyn. Standardene forventes å foreligge innen 30. april 2025.^{(37)Ibid. artikkel 1.}

KI-forordningen trådte i kraft 1. august 2024. KI-forordningen definerer tre produkter som skal være underlagt harmoniserte standarder: høyrisiko-KI-systemer, generative KI-modeller og generative KI-modeller med systemisk risiko. Mandatet som ble gitt til de europeiske standardiseringsorganisasjonene 22. mai 2023, gjelder bare høyrisikosystemer for kunstig intelligens, fordi de to sistnevnte kategoriene ble inkludert i KI-forordningen på et senere tidspunkt.^{(38)EU-kommusjonenens gjennomføringsbeslutning (Commission Implementing Decision), 22. mai 2023, C(2023)3215 final.}

Det er ti krav til høyrisiko-­KI-systemer, og det forventes mer detaljerte spesifikasjoner i standardene. De ti kravene er risikostyring, data og datastyring, åpenhet, menneskelig tilsyn, nøyaktighet, robusthet, cybersikkerhet, kvalitetsstyringssystem og samsvarsvurdering. Hensynet til grunnleggende rettigheter er nedfelt i alle kravene. For eksempel, fra kravet om risikohåndtering følger det at risiko skal identifiseres, inkludert risikoer som KI-systemet «can pose to health, safety or fundamental rights when the high-risk AI system is used in accordance with its intended purpose.»^{(39) KI-forordningen, artikkel 9(2)a).}

Et vanlig argument for tekniske standarder som supplement til lovgivning er behovet for den nyeste tekniske ekspertisen. Når det gjelder KI-systemer, er det imidlertid også et behov for samfunnsmessig bevissthet, ikke bare teknologiske ferdigheter, men også kunnskap om hvordan teknologien påvirker og påvirker samfunnet. Overholdelse av grunnleggende rettigheter krever nøye avveininger mellom til tider motstridende rettigheter og interesser.

Som påpekt av Martin Ebers,^{(40) Martin Ebers, Standardizing AI - The Case of the European Commission’s Proposal for an Artificial Intelligence Act, i: Larry A. DiMatteo/Michel Cannarsa/Cristina Poncibò (red.), The Cambridge Handbook of Artificial Intelligence: Global Perspectives on Law and Ethics, under utgivelse, 22 sider, Cambridge University Press 2022.} er ikke harmoniserte standarder gjennomgått av offentlige organer. I «Blue Guide» om produktregulering utarbeidet av EU-kommisjonen i 2016 følger det at: «Union harmonisation legislation for products do not foresee a procedure under which public authorities would systematically verify or approve either at Union or national level the contents of harmonised standards».^{(41) Europakommisjonen, «The ‘Blue Guide’ on the implementation of EU products rules 2016,» EUT 2016 C 272/1, 41, 45.}

Det er uklart hvorfor offentlige myndigheter ikke kunne vært mer involvert. Sterkere involvering fra offentlige organer kan bidra til å skape større bevissthet rundt hvor grensen mellom formell lovgivning og standarder bør trekkes. Harmoniserte standarder bør i utgangspunktet angi konkrete og tekniske spesifikasjoner som knytter seg til krav angitt i formell lov. Bredere involvering vil også bidra til at avveingen av grunnleggende rettigheter blir bedre forankret. Disse avveiningene bør ikke ligge til standardiseringsorganisasjonene alene.

4. Harmoniserte standarder kan være nyttig, så lenge alle har tilgang til dem

Uten harmoniserte standarder ville det fortsatt eksistert standarder. Det finnes mange standarder som virksomheter velger å følge frivillig, uten at det er lovpålagt.

Integrasjon mellom det private initiativer og formell lovgivning har flere fordeler. Harmonisering sikrer enhetlige europeiske standarder som er direkte knyttet til lovkrav. Ved å følge loven, inkludert de harmoniserte standardene, får virksomheter smidig tilgang til hele det indre markedet. I tillegg gir harmoniseringssystemet obligatorisk håndheving gjennom EU-domstolen og nasjonale domstoler. Dette kan være en bedre løsning enn å basere seg på frivillige, private standarder som lever sitt eget liv utenfor EUs offisielle rettssystem.

Personvernforordningen er et fremtredende eksempel på dette. Ingen harmoniserte standarder er knyttet til sikkerhetskravene i artikkel 32 i personvernforordningen, men det er vanlig å bruke ikke-harmoniserte standarder for å overholde kravene, slik som ISO27001:2017. Denne standarden etterspørres ofte i offentlige anbud.

Fortsatt bruk av harmoniserte standarder krever imidlertid visse forbedringer av den nåværende praksisen. For det første bør det gjøres helt klart at grunnleggende rettsstatsprinsipper trumfer opphavsretten. Tilgang til loven er en grunnleggende og absolutt rettighet som må respekteres, uavhengig av kommersielle interesser. For det andre bør det åpnes for deltakelse i private lovgivningsprosedyrer, med obligatorisk deltakelse fra offentlige organer. Selv om private organisasjoner er involvert, bør det aldri være tvil om at det er de offentlige EU-institusjonene og medlemslandene som er ansvarlige for å sikre at grunnleggende rettigheter blir respektert.