1. Våre prinsipper
- Vi bruker AI når det løser et konkret problem bedre enn enklere alternativer.
- Vi samler inn og deler minst mulig data.
- Vi sørger for menneskelig kontroll når resultatet kan få betydning for personer eller virksomheten.
- Vi forklarer når en bruker samhandler med AI når dette ikke allerede er åpenbart.
- Vi tester løsninger for feil, uønskede resultater og misbruk før produksjonssetting.
- Vi dokumenterer viktige valg om modell, leverandør, datagrunnlag, formål og risiko.
2. Regelverk vi forholder oss til
Personvernforordningen og personopplysningsloven
GDPR gjelder når en AI-løsning behandler personopplysninger. Det betyr blant annet krav til behandlingsgrunnlag, formålsbegrensning, dataminimering, informasjon, sikkerhet, lagring og rettigheter.
KI-forordningen, EU AI Act
KI-forordningen gjelder i EU fra 2. august 2026 med enkelte bestemmelser som gjelder tidligere eller senere. Transparenskravene i artikkel 50 gjelder i EU fra 2. august 2026.
Per 24. august 2026 er KI-forordningen ikke innlemmet i EØS-avtalen og er derfor ikke generelt norsk lov. Norske myndigheter har varslet ny høring høsten 2026 og tar sikte på å legge frem KI-loven for Stortinget våren 2027.
En norsk virksomhet kan likevel omfattes direkte av KI-forordningen i enkelte tilfeller, blant annet hvis den setter et AI-system på EU-markedet eller dersom resultatene fra systemet brukes i EU. Explain vurderer dette per oppdrag.
Annet regelverk
Avhengig av løsningen kan også regler om markedsføring, opphavsrett, sikkerhet, arbeidsliv, forbrukerrettigheter eller sektorspesifikke krav gjelde.
3. Risikovurdering før bruk
Før vi utvikler eller tar i bruk en AI-løsning, vurderer vi hvilken rolle kunden og Explain har, hva systemet skal brukes til og hvilken risiko det kan skape.
Vi vurderer blant annet:
- om bruken kan være forbudt eller begrenset
- om bruken kan falle inn under reglene for høyrisiko-AI
- om løsningen er omfattet av transparenskrav
- om personopplysninger behandles og om en DPIA er nødvendig
- om barn, ansatte eller andre sårbare grupper påvirkes
- om systemet kan påvirke tilgang til arbeid, utdanning, kreditt, helse, offentlige tjenester eller andre vesentlige rettigheter
Høyrisiko eller særlig inngripende bruk krever en egen vurdering før Explain påtar seg oppdraget.
4. Åpenhet om AI
Når regelverket krever det, eller når det ellers er nødvendig for å unngå at brukeren blir villedet, skal det være tydelig at AI er involvert.
- Interaktive AI-systemer skal opplyse brukeren om at vedkommende samhandler med AI når dette ikke er åpenbart.
- AI-generert eller manipulert bilde, lyd og video skal merkes når kravene til slik merking gjelder.
- AI-generert tekst om saker av offentlig interesse vurderes særskilt dersom den publiseres uten menneskelig redaksjonell kontroll.
Explain anbefaler åpenhet også i situasjoner der det ikke er et uttrykkelig lovkrav.
5. Personvern i AI-løsninger
Når personopplysninger inngår i en AI-løsning, skal vi avklare roller og behandlingsgrunnlag før produksjonssetting.
- Personopplysninger skal bare brukes til avtalte og tydelige formål.
- Vi begrenser mengden data og tilgang til det som er nødvendig.
- Databehandleravtale inngås når Explain behandler personopplysninger på vegne av kunden.
- Underleverandører vurderes med hensyn til databehandling, sikkerhet og eventuell overføring utenfor EØS.
- DPIA gjennomføres eller støttes når behandlingen sannsynligvis medfører høy risiko for personers rettigheter og friheter.
6. Menneskelig kontroll og automatiserte avgjørelser
AI kan gi feilaktige, ufullstendige eller misvisende resultater. Løsninger utformes derfor med en kontrollmekanisme som passer til risikoen.
Explain leverer ikke som standard løsninger som alene tar avgjørelser med rettsvirkning eller tilsvarende vesentlig betydning for en person. Dersom en kunde ønsker en slik løsning, kreves en særskilt juridisk og teknisk vurdering før arbeidet starter.
7. Modeller og underleverandører
Explain kan bruke tredjepartsleverandører av modeller, skytjenester og integrasjoner. Valg av leverandør avhenger av oppdraget.
Før kundedata behandles vurderer vi blant annet:
- hvor data behandles og lagres
- om data brukes til trening eller andre egne formål hos leverandøren
- tilgangsstyring og sikkerhetsfunksjoner
- databehandleravtale og bruk av underleverandører
- grunnlag for eventuell overføring utenfor EØS
- mulighet for sletting, logging og revisjon
8. Kundens ansvar
Kunden er ansvarlig for at opplysninger, instrukser og bruksformål som gis til Explain er lovlige og nødvendige. Kunden skal ikke gi Explain eller en AI-løsning tilgang til sensitive personopplysninger, taushetsbelagte opplysninger eller tredjeparts konfidensielle materiale uten at dette er avtalt.
Kunden er også ansvarlig for egne beslutninger basert på AI-resultater, med mindre annet er avtalt skriftlig.
9. Feil, sikkerhetshendelser og endringer
Ved en hendelse som kan påvirke personvern, sikkerhet eller korrekt bruk av en AI-løsning, vurderer Explain nødvendige tiltak sammen med kunden. Ved behandling som databehandler varsler Explain kunden uten ugrunnet opphold dersom vi blir kjent med et brudd på personopplysningssikkerheten som gjelder kundens data.
AI-regelverket er i utvikling. Denne policyen oppdateres når nye krav eller tjenester gjør det nødvendig.