Nye AI-krav strammer inn for teknologibedrifter allerede nå

Norske teknologibedrifter som opererer i EU må forberede seg på strengere reguleringer for AI, personvern og cybersikkerhet. Allerede nå trer nye rapporteringskrav i kraft, som for eksempel plikten til å melde fra om aktivt utnyttede sårbarheter i produkter som selges i EU – ikke først i 2027 som mange antok med den bredere Cyber Resilience Act (CRA). Dette betyr at sikkerhetsteam må ha strukturerte rutiner for rapportering og dokumentasjon av respons på hendelser, langt utover kun å identifisere og fikse sårbarheter. Manglende evne til å forklare hvordan systemer tar beslutninger, blir raskt et compliance-problem, ikke bare et operasjonelt bryderi. I USA har et titalls personvernlover allerede trådt i kraft, med California som den viktigste, med nye rettigheter knyttet til automatiserte beslutninger som kommer fra 1. januar 2027. Mange bedrifter mangler oversikt over hvor og hvordan automatiserte beslutningssystemer – som maskinlæringsmodeller og AI-verktøy – brukes i organisasjonen. Dette kan skape stor risiko når kunder, tilsynsmyndigheter eller revisorer krever innsyn i prosessen. En praktisk første steg er å kartlegge alle automatiserte prosesser, hvilke data de bruker, og om det er menneskelig overprøving. Funnene fra en slik kartlegging kan avdekke hull og gi et solid grunnlag for AI-styring, risikohåndtering og dokumentasjon. Organisasjoner som etablerer en robust AI-styring nå, vil være bedre posisjonert til å tilpasse seg ettersom reguleringene utvikler seg videre, og ikke minst for å bygge tillit hos kunder og samarbeidspartnere.