Før AI-agenten slippes løs

AI-agenter gjør mer enn å svare på spørsmål 

En tradisjonell chatbot gir normalt et tekstbasert svar basert på instruksene den får. En AI-agent kan gå lenger. Den kan bryte ned en oppgave i flere deloppgaver, hente informasjon fra ulike kilder, bruke andre digitale verktøy og gjennomføre handlinger i virksomhetens systemer. 

Det kan for eksempel være aktuelt innen kundeservice, CRM, dokumenthåndtering, økonomi, programvareutvikling, kontraktsgjennomgang, HR-prosesser og overvåking av interne arbeidsflyter. 

Det sentrale juridiske skiftet ligger nettopp her. Når AI ikke bare gir forslag, men faktisk får tilgang til data, systemer og beslutningsprosesser, øker behovet for styring, kontroll og tydelig ansvarsplassering. 

Personvern må vurderes før agenten tas i bruk 

AI-agenter vil ofte behandle personopplysninger. Det kan være informasjon om kunder, leverandører og ansatte som befinner seg i ulike baser som e-post,  saksinformasjon. Personopplysninger omfatter enhver opplysning som kan knyttes til en person. Dvs man har en opplysning som gjennom en identifikator kan knyttes til en person. 

Virksomheten må derfor ha et gyldig behandlingsgrunnlag etter GDPR. For bruk av AI-agenter i kundeforhold eller interne prosesser vil avtale eller berettiget interesse ofte være mer relevant enn samtykke. I arbeidsforhold er samtykke som hovedregel lite egnet, fordi det kan være vanskelig å dokumentere at samtykket er gitt frivillig. 

Dersom AI-agenten brukes til beslutninger som har rettsvirkning eller tilsvarende betydelig betydning for enkeltpersoner, for eksempel ved kredittvurdering eller screening av jobbsøkere, kan reglene om automatiserte avgjørelser i GDPR artikkel 22 bli aktuelle. Da stilles det særskilte krav, blant annet til menneskelig inngripen og mulighet til å bestride avgjørelsen. 

Før implementering bør virksomheten derfor vurdere behandlingen opp mot de alminnelige personvernprinsippene som behandlingsgrunnlag, dataminimering osv og om det må gjennomføres en personvernkonsekvensvurdering, en såkalt DPIA. Det bør også dokumenteres hvilke personopplysninger som behandles, hvorfor behandlingen er nødvendig, hvor lenge opplysningene lagres, og hvilke tiltak som reduserer risikoen for de registrerte. 

Ansattdata og e-post krever særlig varsomhet 

AI-agenter som analyserer, kategoriserer eller overvåker ansattes e-post, dokumenter eller bruk av digitale systemer, reiser egne spørsmål. 

Arbeidsgivers innsyn i e-post og annet elektronisk materiale er strengt regulert i forskrift om innsyn i ansattes e-post mv. Det kreves saklig grunn, og arbeidstaker skal som hovedregel varsles på forhånd. Automatisert gjennomgang kan være tillatt i enkelte situasjoner, for eksempel for å avdekke eller håndtere sikkerhetsbrudd, men vurderingen må være konkret og godt dokumentert. 

Slike løsninger kan også være kontrolltiltak etter arbeidsmiljøloven. Det betyr at tiltaket må være saklig begrunnet, forholdsmessig og drøftet med de ansatte eller deres representanter før det innføres. 

Virksomheter som vurderer AI-agenter i interne arbeidsprosesser, bør derfor ha tydelige retningslinjer for hva systemet kan gjøre, hvilke data det får tilgang til, hvem som kan se resultatene, og hvordan ansatte informeres. 

AI Act gjør klassifisering og transparens viktigere 

EUs AI Act innfører et risikobasert regelverk for kunstig intelligens. Norge har foreløpig ikke implementert regelverket i norsk rett men vil trolig tre i kraft ila 2026.  

For virksomheter som bruker AI-agenter, er særlig klassifisering av systemet og bruken av AI agenter viktig. Systemer som brukes innen ansettelse, personalforvaltning, kredittvurdering eller tilgang til sentrale tjenester, kan bli klassifisert som høyrisiko etter KI loven. Det utløser strengere krav til risikostyring, dokumentasjon, datakvalitet, menneskelig tilsyn og transparens. 

Også AI-systemer som ikke er høyrisiko, kan være omfattet av transparenskrav, dvs plikt til å informere. Brukere skal blant annet informeres når de samhandler med et AI-system. For chatboter, talebaserte assistenter og AI-agenter som møter kunder eller ansatte, bør slik informasjon bygges inn i brukergrensesnittet fra start. 

Dette bør også inngå i kravspesifikasjonen til leverandører. Virksomheten bør kunne dokumentere hvordan brukerne informeres, hvordan systemet er klassifisert, og hvilke tiltak som er etablert for menneskelig kontroll. 

Virksomheten kan ikke skyve ansvaret over på AI 

Når en AI-agent handler autonomt, oppstår spørsmålet om hvem som har ansvar dersom noe går galt. Det korte svaret er at virksomheten som tar teknologien i bruk, normalt ikke kan fraskrive seg ansvaret ved å vise til at feilen skyldes AI. 

Dersom AI-agenten gir feil informasjon til kunder, gjennomfører en handling i strid med interne retningslinjer, behandler data på feil måte eller forårsaker økonomisk tap, må ansvarsforholdet vurderes etter alminnelige kontraktsrettslige og erstatningsrettslige regler. 

Det gjør leverandøravtalen viktig. Avtalen bør regulere ansvarsfordeling, sikkerhet, logging, sporbarhet, endringer i tjenesten, bruk av data, underleverandører, oppetid og håndtering av feil. Virksomheten bør også etablere interne rutiner for når menneskelig kontroll er nødvendig, særlig ved beslutninger som kan få økonomisk, juridisk eller personalmessig betydning. 

AI-generert innhold kan gi uklare rettigheter 

AI-agenter kan generere tekst, bilder, analyser, rapporter, kode og annet innhold. Det reiser spørsmål om hvem som eier innholdet, om innholdet er vernet av opphavsrett, og om det kan krenke andres rettigheter. 

Etter tradisjonell opphavsrett kreves det normalt en selvstendig skapende innsats fra en fysisk person for at et verk skal få opphavsrettslig vern. Rent AI-generert innhold vil derfor ofte ha et uklart vern. Dersom en person har gjort selvstendige kreative valg, redigert, bearbeidet eller på annen måte bidratt vesentlig i prosessen, kan vurderingen bli en annen. 

Virksomheter bør også være oppmerksomme på risikoen for at AI-generert innhold bygger på eller ligner beskyttet materiale. Det samme gjelder bruk av materiale inn i AI-verktøy. Dersom ansatte legger inn opphavsrettsbeskyttet, konfidensiell eller forretningssensitiv informasjon i et AI-system, kan det skape både rettighetsmessige og kommersielle utfordringer. 

Dette bør reguleres i interne retningslinjer. Det bør også avklares i leverandøravtaler hvem som har rettighetene til output, hvordan input kan brukes, og om leverandøren kan bruke virksomhetens data til egne formål. 

Avtalene bør regulere mer enn teknologien 

Implementering av AI-agenter krever ofte at virksomheten ser på flere avtaler og interne dokumenter samtidig. 

Leverandøravtaler bør regulere databehandling, informasjonssikkerhet, underleverandører, ansvarsbegrensninger, endringer i tjenesten, dokumentasjon, revisjonsmuligheter og exit. Det bør også vurderes om leverandøren kan bruke data til trening, analyse eller produktutvikling. 

Kundeavtaler og brukervilkår bør oppdateres dersom AI-agenter brukes direkte i kundedialog, saksbehandling eller levering av tjenester. Kundene bør få tydelig informasjon om når AI brukes, hvilke begrensninger som gjelder, og når menneskelig oppfølging kan forventes. 

Internt bør virksomheten ha en AI-policy som forklarer hvilke verktøy som kan brukes, hvilke opplysninger som ikke skal legges inn, hvem som kan godkjenne nye løsninger, og hvordan ansatte skal forholde seg til AI-generert innhold. 

Dette bør virksomheter avklare nå 

AI-agenter kan gi betydelig effektivisering, men bør ikke innføres uten klare rammer. Før teknologien tas i bruk, bør virksomheten særlig avklare følgende: 

• Hvilke AI-systemer brukes allerede i virksomheten 

• Hvilke data får AI-agenten tilgang til 

• Behandles det personopplysninger eller konfidensiell informasjon 

• Kan systemet treffe eller påvirke beslutninger om kunder, ansatte eller andre personer 

• Er det behov for en personvernkonsekvensvurdering 

• Hvordan informeres brukere, kunder eller ansatte om AI-bruken 

• Hvem har ansvar for kontroll, oppfølging og overprøving 

• Er leverandøravtaler, kundeavtaler og interne retningslinjer oppdatert 

• Hvordan dokumenteres vurderingene som er gjort 

• Klare rammer gir bedre bruk av teknologien 

AI-agenter vil trolig få en stadig større rolle i virksomheters arbeidsprosesser. Nettopp derfor bør juridiske vurderinger gjøres tidlig, og ikke først når teknologien allerede er tatt i bruk. 

Med tydelig ansvarsplassering, gode avtaler, dokumenterte personvernvurderinger og praktiske retningslinjer kan virksomheter utnytte mulighetene i teknologien samtidig som risikoen håndteres på en forsvarlig måte.