AI-lover skaper globalt lappeteppe: Én modell kan møte ti ulike regler

AI-regulering globalt er fragmentert, og det finnes ingen enkelt «AI-lov» et selskap kan følge. En modell kan bli regulert ulikt avhengig av om den bygger på beregningskraft (compute threshold), bruksområde (use case) eller hensikt (intent), noe som tvinger bedrifter til å navigere i et komplekst landskap. EUs AI-forordning, som trådte i kraft 1. august 2024, er den mest omfattende og regulerer AI-systemer basert på risikokategori. Plikter for høykostnadssystemer er blant annet utsatt til desember 2027 og august 2028, for å gi aktørene mer tid til tilpasning. En lignende modell kan treffe norske selskaper som opererer i EU, uavhengig av hvor selskapet er basert. I USA finnes det ingen føderal AI-lov, men fem stater har innført egne, bindende regler. California og New York regulerer eksempelvis «frontier-modeller» etter beregningskraft – altså hvor mye datakraft som er brukt for å trene modellen – mens Colorado regulerer etter bruktilfelle. Kina, derimot, fokuserer mer snevert på generative AI-tjenester rettet mot offentligheten. Denne mangelen på enhetlighet betyr at en norsk bedrift som ønsker å lansere en AI-løsning internasjonalt, må forholde seg til et virvar av regler som sjelden er i tråd med hverandre. Det krever omfattende compliance-arbeid og gjør forutsigbarhet krevende, med lover som endres før de trer i kraft, slik Colorado opplevde, eller hvor tidsfrister justeres, som i EU. Flere land, som Storbritannia, Japan og Singapore, velger en mer frivillig eller veiledende tilnærming. Detaljer som 72-timers rapporteringsfrist for sikkerhetsbrudd i New York, sammenlignet med Californias 15 dager, understreker hvor varierende regelverket kan være selv mellom nabostater. For en norsk virksomhet betyr dette at et enkelt produkt må tilpasses mange ulike juridiske krav og tidsfrister, ofte med særskilte tolkninger av “høy risiko” eller “systemisk risiko” – en stor utfordring for globale ambisjoner.