Innst. 50 S (2024–2025) Innstilling til Stortinget fra kontroll- og konstitusjonskomiteen Dokument 3:18 (2023–2024) Innstilling fra kontroll- og konstitusjonskomiteen om Riksrevisjonens undersøkelse av bruk av kunstig intelligens i staten Til Stortinget Innledning Norge står overfor flere store utfordringer i tiden som kommer, blant annet vesentlig færre yrkesaktive per pensjonist, større behov for arbeidskraft i helse- og omsorgssektoren, oljeinntekter som vil bety mindre enn tidligere, og høyere utgifter til alderspensjoner og helserelaterte ytelser. For at disse utfordringene skal kunne håndteres, vil det være helt avgjørende at offentlig sektor effektiviseres. Kunstig intelligens har potensial til å gjøre staten betydelig mer produktiv, og bidra til å endre statlig forvaltning på helt grunnleggende måter. Potensialet og behovet for å ta i bruk kunstig intelligens i offentlig sektor er tatt opp i en rekke stortingsmeldinger, blant annet Meld. St. 27 (2015–2016) Digital agenda for Norge – IKT for en enklere hverdag og økt produktivitet og Meld. St. 30 (2019–2020) En innovativ offentlig sektor – Kultur, ledelse og kompetanse, og i de to statlige strategiene Nasjonal strategi for kunstig intelligens (2020) og Én digital offentlig sektor – Digitaliseringsstrategi for offentlig sektor 2019–2025. Stortingsmeldingene og strategidokumentene legger vekt på at offentlig sektor skal effektiviseres gjennom digitalisering. Stortingsmeldingene og strategidokumentene legger vekt på at offentlig sektor skal effektiviseres gjennom digitalisering. I behandlingen av Meld. St. 30 (2019–2020) viste kommunal- og forvaltningskomiteen til at kunstig intelligens er et eksempel på en teknologi i rask utvikling. Komiteen var svært opptatt av at regjeringen jobber for at Norge får en infrastruktur for kunstig intelligens i verdensklasse, i form av digitaliseringsvennlig regelverk, gode språkressurser, raske og robuste kommunikasjonsnett og tilstrekkelig regnekraft. Digitaliserings- og forvaltningsdepartementet har samordningsansvaret for regjeringens IT-politikk, jf. Prop 1 S (2023–2024). Departementet ble opprettet 1. januar 2024, og tok da over ansvaret for digitaliseringsarbeidet i offentlig sektor fra Kommunal- og distriktsdepartementet. Digitalisering og arbeid med kunstig intelligens i offentlig sektor følger ellers sektorprinsippet, der hvert departement er ansvarlig for sin sektor. Våren 2024 uttalte digitaliserings- og forvaltningsministeren at det er et mål at 80 prosent av offentlig sektor skal ta i bruk kunstig intelligens innen 2025. Dette målet skal bidra til å få en bedre og fornyet offentlig sektor, og alle offentlige virksomheter blir oppfordret til å ta i bruk denne teknologien i enda større grad. I Prop. 1 S (2023–2024) for Kommunal- og distriktsdepartementet går det frem at formålet med IT-politikken er å utvikle rammebetingelser som støtter digitaliseringen i de ulike sektorene, på tvers av sektorene og i samfunnet som helhet. Digitaliserings- og forvaltningsdepartementets samordningsansvar innebærer blant annet å identifisere sektorovergripende utfordringer og å initiere, koordinere og følge opp tverrgående tiltak. Digitaliseringen av samfunnet skal skje på en bærekraftig og inkluderende måte og bidra til forenkling og effektivisering i både offentlig og privat sektor, men samtidig hindre at den bidrar til en utvikling som sentraliserer oppgaver og arbeidsprosesser, svekker personvern eller forbrukervern, gjør samfunnet mer sårbart for digitale angrep, svekker konkurransen i de digitale markedene eller forsterker digitalt utenforskap. I Kommunal- og distriktsdepartementets budsjettproposisjoner for 2021 og 2022 vises det til at regjeringen la frem en nasjonal strategi for kunstig intelligens i 2020. I budsjettproposisjonene vises det til at strategien angir retningen for Norges satsing på kunstig intelligens. Strategien inkluderer et sett etiske prinsipper for utvikling og bruk av kunstig intelligens. I strategien vises det videre til et potensial for å oppnå betydelige gevinster gjennom å ta i bruk kunstig intelligens, blant annet bedre og mer persontilpassede tjenester, større effektivitet og bedre planlegging. Det følger av strategien at offentlige virksomheter aktivt bør utforske potensialet i kunstig intelligens, og at grunnlaget skal være «ansvarlig og pålitelig KI». Målet med Riksrevisjonens undersøkelse har vært å vurdere om statlige virksomheter og heleide selskaper utnytter mulighetene som kunstig intelligens gir, og om de utvikler og bruker kunstig intelligens på en ansvarlig måte i samsvar med Stortingets vedtak og forutsetninger. Undersøkelsen har hatt følgende tre problemstillinger: 1. Bruker statlige virksomheter KI til å effektivisere og forbedre tjenester? 2. Tar statlige virksomheter hensyn til etiske prinsipper i utvikling og bruk av kunstig intelligens? 3. Tilrettelegger Digitaliserings- og forvaltningsdepartementets samordning for ansvarlig bruk av KI i statlige virksomheter? Begrepet kunstig intelligens kan dekke en rekke ulike systemer i statlig forvaltning. I revisjonen brukes den samme definisjonen som er brukt i regjeringens nasjonale strategi for kunstig intelligens (KI-strategien): Kunstig intelligente systemer utfører handlinger basert på tolkning og behandling av strukturerte eller ustrukturerte data, i den hensikt å oppnå et gitt mål. Tolkning av data kan skje på ulike måter, for eksempel fullstendig regelbasert i en programvarerobot eller basert på maskinlæring. Denne definisjonen av kunstig intelligens kan dermed inneholde enkle algoritmer som ikke faller under KI-definisjonen i for eksempel EUs KI-forordning. Kunstig intelligens er en teknologi i rask utvikling. Siden slutten av 2022 har verktøy basert på generativ kunstig intelligens blitt lett tilgjengelige, og de brukes i dag av mange. Verktøyene, som for eksempel ChatGPT og M365 Copilot, kan blant annet benyttes til å generere tekster, bistå med å lage presentasjoner og med å skrive kode. Riksrevisjonens undersøkelse omfatter bruk av hyllevare som for eksempel ChatGPT kun dersom KI-systemet er videreutviklet eller tilpasset av virksomhetene, eller bygd inn i et eget KI-system. Uttrykket ansvarlig bruk av kunstig intelligens brukes i undersøkelsen for utvikling, anskaffelse og bruk av KI-systemer som ivaretar grunnleggende etiske prinsipper gjennom å ta hensyn til personvern, likebehandling, transparens, teknisk sikkerhet og robusthet, og gjennom en styring som sikrer at disse prinsippene er ivaretatt i hele KI-systemets livssyklus. For å belyse problemstillingene har Riksrevisjonen gjennomført en kartleggingsundersøkelse av omtrent 200 statlige virksomheter. Riksrevisjonen har også gjennomført en spørreundersøkelse med over 100 respondenter i 66 statlige virksomheter som ga detaljert informasjon om i underkant av 200 KI-systemer. Videre er det gjennomført caseundersøkelser av fire utvalgte KI-prosjekter henholdsvis i skatteetaten, i Arbeidstilsynet, i Statens pensjonskasse og på St. Olavs Hospital. Casene ble valgt ut på bakgrunn av blant annet modellenes kompleksitet og bruk av personopplysninger. Videre har Riksrevisjonen analysert dokumenter som blant annet tildelingsbrev, årsrapporter og forskningsrapporter. Riksrevisjonen har i tillegg intervjuet blant annet flere departementer og statlige etater. Undersøkelsen omfatter perioden 2018–2023. Undersøkelsen har blant annet tatt utgangspunkt i følgende vedtak og forutsetninger fra Stortinget: Meld. St. 27 (2015–2016) Digital agenda for Norge – IKT for en enklere hverdag og økt produktivitet, jf. Innst. 84 S (2016–2017) Meld. St. 30 (2019–2020) En innovativ offentlig sektor – Kultur, ledelse og kompetanse, jf. Innst. 191 S (2020–2021) Meld. St. 22 (2020–2021) Data som ressurs – Datadrevet økonomi og innovasjon, jf. Innst. 568 S (2021–2022) Kommunal- og distriktsdepartementets budsjettproposisjoner for perioden 2021–2023 (jf. Prop. 1 S 2020–2021 og 2022–2023), som viser til den nasjonale strategien for kunstig intelligens fra 2020, og at strategien angir retningen for Norges satsing på kunstig intelligens, jf. Innst. 16 S (2020–2021) fra kommunal- og forvaltningskomiteen om bevilgninger på statsbudsjettet for 2021. Rapporten ble forelagt Digitaliserings- og forvaltningsdepartementet, Arbeids- og inkluderingsdepartementet, Finansdepartementet, Helse- og omsorgsdepartementet, Justis- og beredskapsdepartementet og Kultur- og likestillingsdepartementet ved brev 24. april 2024. Departementene har i brev til Riksrevisjonen gitt kommentarer til rapporten. Kommentarene er i hovedsak innarbeidet i rapporten og i Riksrevisjonens dokument. Rapporten, riksrevisorkollegiets oversendelsesbrev til departementet av 21. juni 2024 og statsrådens svar av 7. august 2024 følger som vedlegg til Dokument 3:18 (2023–2024). Konklusjoner Statlige virksomheter utnytter mulighetene med kunstig intelligens ulikt, og kunstig intelligens er fortsatt lite i bruk. Viktige forutsetninger for å ta i bruk kunstig intelligens i større skala er fortsatt ikke på plass. stort behov for å avklare juridiske spørsmål i bruken av kunstig intelligens mangelfull infrastruktur og tilgang på data av god kvalitet stort behov for kompetanse viktig med språkressurser på norsk De etiske prinsippene for ansvarlig bruk av kunstig intelligens ivaretas i ulik grad. Kontrollmekanismer som sikrer ansvarlig bruk av kunstig intelligens, må være på plass. Samordningen av arbeidet med kunstig intelligens i offentlig sektor er mangelfull, og den samlede innsatsen er for svak gitt ambisjonen om at Norge skal ha en infrastruktur for kunstig intelligens i verdensklasse. Overordnet vurdering Det er ikke tilfredsstillende at Digitaliserings- og forvaltningsdepartementet gjennom styring og i samarbeid med de andre departementene ikke har lagt bedre til rette for at offentlig sektor kan utnytte mulighetene med kunstig intelligens og ta i bruk kunstig intelligens på en ansvarlig måte. Den samlede innsatsen er for svak gitt ambisjonen om at Norge skal ha en infrastruktur for kunstig intelligens i verdensklasse. Utdyping av konklusjoner Statlige virksomheter utnytter mulighetene med kunstig intelligens ulikt, og kunstig intelligens er fortsatt lite i bruk Kunstig intelligens er et viktig verktøy for utvikling av en bærekraftig, effektiv og brukerrettet offentlig forvaltning, jf. blant annet Meld. St. 27 (2015–2016) Digital agenda for Norge – IKT for en enklere hverdag og økt produktivitet, Meld. St. 30 (2019–2020) En innovativ offentlig sektor – Kultur, ledelse og kompetanse og nasjonal strategi for kunstig intelligens. Stortinget viser samtidig til betydningen av at utviklingen og bruk av kunstig intelligens må skje innenfor ansvarlige rammer der blant annet personvernet ivaretas. Potensialet for effektivisering av offentlig sektor med bruk av kunstig intelligens er stort. I Norge anslår for eksempel det forskningsbaserte analyse- og rådgivingsselskapet Menon at den potensielle årlige verdiskapningen med kunstig intelligens i privat og offentlig sektor samlet sett er ca. 500–600 mrd. kroner. Det er særlig stort effektiviseringspotensial innen saksbehandling i offentlig sektor. Ved full utnyttelse av dagens teknologi for kunstig intelligens, kan offentlig sektor effektivisere arbeidsoppgaver som årlig vil tilsvare 155 000 årsverk, ifølge rapporten. Internasjonalt er det også flere studier som peker i samme retning. Ifølge en rapport fra Alan Turing Institute kan over 80 prosent av komplekse repetitive handlinger i britisk statsforvaltning automatiseres ved hjelp av kunstig intelligens. McKinsey & Company anslår at det er et betydelig potensial for produktivitetsøkning med generativ kunstig intelligens i offentlig sektor, inklusive helsetjenester og utdanning. Konsulentfirmaet anslår at 40 prosent av arbeidstimene på tvers av bransjer kan påvirkes av KI-systemer som oppsummerer og analyserer tekst, og at kunderettete tjenester har et automatiseringspotensial på 60 prosent innen fem til ti år gjennom teknologi som for eksempel chatboter. Imidlertid er kunstig intelligens i rask utvikling, og studier av produktivitetsgevinster er oftest basert på et fåtall tidlige brukere. For at teknologien skal ha langvarig effekt på samfunnsnivå, må KI tas i bruk i stor utstrekning over tid og integreres på en god måte i organisatoriske prosesser. Undersøkelsen viser at det er stor variasjon i hvilken grad statlige virksomheter har tatt i bruk kunstig intelligens, og at kunstig intelligens i dag fortsatt er lite i bruk. Blant de rundt 200 undersøkte statlige virksomhetene er det under 50 prosent som har noe erfaring med utvikling og/eller bruk av kunstig intelligens. I tillegg har i underkant av 20 prosent av statlige virksomheter uten erfaring med KI planer om å ta i bruk kunstig intelligens i fremtiden. I undersøkelsen har Riksrevisjonen lagt til grunn en relativt bred definisjon av kunstig intelligens, tilsvarende som den nasjonale strategien for kunstig intelligens. Mange prosjekter og systemer kan derfor rubriseres som kunstig intelligens uten at det er noe annet enn en enkel programvarerobot. Over halvparten av KI-systemene i undersøkelsen bruker for eksempel kun enkle modeller for å tolke data. Med en strengere definisjon av hva som kan betegnes som et KI-system – med krav til for eksempel mer avanserte modeller – ville antallet oppgitte KI-systemer i staten ha vært vesentlig lavere. Som omtalt innledningsvis inngår imidlertid ikke enklere bruk av hyllevare, som for eksempel ChatGPT, i det som er kartlagt i undersøkelsen. Blant virksomhetene som har erfaring med kunstig intelligens, viser undersøkelsen at et flertall av disse (56 prosent) har erfaring med kun ett til tre KI-prosjekter. I overkant av 10 prosent av virksomhetene har erfaring med ti eller flere KI-prosjekter. Uavhengig av hvor avanserte KI-systemene er, viser undersøkelsen at virksomhetenes mål med å utvikle og ta i bruk KI-systemer i stor grad er å effektivisere og forbedre egen oppgaveløsning, inkludert å frigjøre tid. Undersøkelsen viser videre at de fleste virksomhetene mener de i stor grad lykkes med å nå målene de har satt seg med bruken av kunstig intelligens. Undersøkelsen viser at Helseforetakene har klart flest KI-prosjekter. Det er også helseforetakene som i størst grad bruker mer avanserte modeller. Etter Helse- og omsorgsdepartementet følger kunnskapssektoren og noen av virksomhetene under Finansdepartementet med flest KI-prosjekter. Under Nærings- og fiskeridepartementet er det også flere KI-prosjekter blant både underliggende virksomheter og heleide selskaper. Nærmere 70 prosent av samtlige innrapporterte KI-prosjekter ligger under disse fire departementene. Noen av ulikhetene mellom sektorene kan etter Riksrevisjonens vurdering blant annet tilskrives at sektorene har ulike behov og grunnleggende forutsetninger for å utvikle og bruke kunstig intelligens. Overordnet styring og graden av tilrettelegging kan også være medvirkende faktorer. I helsesektoren er det eksplisitt uttalt at kunstig intelligens kan bidra til mer effektiv ressursbruk og til et bærekraftig helsevesen, jf. for eksempel Meld. St. 7 (2019–2020) Nasjonal helse- og sykehusplan 2020–2023. I oppdragsbrevet for 2024 til de regionale helseforetakene har Helse- og omsorgsdepartementet videre gitt føringer om å ta et aktivt grep om å utvikle og bruke kunstig intelligens i egen sektor. Dette gjelder også tildelingsbrevene til Helsedirektoratet for perioden 2020–2024, der det nasjonale koordineringsprosjektet «Bedre bruk av kunstig intelligens» er en del av arbeidet med å følge opp Nasjonal helse- og sykehusplan 2020–2023. Helsektoren har i utgangspunktet i tillegg noen grunnleggende forutsetninger for å kunne utvikle og å ta i bruk kunstig intelligens. Selv om det kan være utfordringer med manglende digitalisering og kobling av ulike datakilder i helsesektoren, finnes det store mengder data, blant annet gjennom helseregistrene, som kan utnyttes til å trene og utarbeide modeller. I tillegg finnes det større etablerte forskningsmiljøer i helseforetakene. Blant de andre undersøkte sektorene kan det i noen tilfeller ha vært gitt føringer til underliggende virksomheter om kunstig intelligens, men gjennomgående er det mest opp til den enkelte virksomhet å eventuelt ta i bruk kunstig intelligens. De intervjuede departementene viser i den sammenhengen til prinsippene om mål- og resultatstyring, og følgelig at virksomhetene selv må velge og bruke de virkemidlene og den teknologien som gir de beste løsningene for å sikre en effektiv oppgaveløsning. Undersøkelsen viser videre at de undersøkte departementene kan ha ulik tilnærming til å utarbeide hjemler som tydeliggjør om underliggende virksomheter har et klart juridisk grunnlag for å behandle personopplysninger. Samlet sett er omfanget av utvikling og bruk av kunstig intelligens i staten så langt lite. Enkelte sektorer og virksomheter begynte imidlertid å utforske mulighetene for mer enn ti år siden, og noen har satt mer avanserte systemer i produksjon. Blant helseforetakene og for eksempel i Skatteetaten og Statens pensjonskasse finnes det eksempler på utvikling og bruk av kunstig intelligens som andre virksomheter kan lære av. To eksempler på KI-systemer brukt i offentlige virksomheter: Skatteetatens fradragsmodell for risikobasert kontrollutplukk predikerer sannsynlighet for feil i oppgitte skattefradrag. Systemet brukes til beslutningsstøtte ved utplukk av skattemeldinger for å kontrollere fradrag. KI-systemet ble utviklet av skatteetaten selv og har vært i produksjon siden 2014. Systemet har bidratt til betydelig effektivisering av skatteetatens kontrollarbeid og til mer lønnsomme kontroller. St. Olavs Hospital HF bruker et fluorescensmikroskop med et innebygd KI-system for klassifisering av celler som del av en analyse som brukes i diagnostisering av kreft. KI-systemet er utviklet av en leverandør, og St. Olavs hospital HF har i samarbeid med leverandøren tilpasset det til pasientgrunnlaget. KI-systemets resultater blir verifisert av fagpersoner. Systemet gjør at sykehuset sparer tid på diagnostisering, og det har bidratt til høyere kvalitet på analysene og bedre kvalitetssikring. Undersøkelsen viser på den annen side at det finnes store statlige etater som har arbeidet med å utvikle egne modeller for kunstig intelligens over flere år, men ennå ikke har noen produksjonssatte løsninger basert på egenutviklet kunstig intelligens. Alternativet er å kjøpe ferdige KI-systemer som hyllevare. Utover de generative modellene kan det imidlertid være vanskelig å finne ferdige modeller som passer til virksomhetens egenart. Ved et eventuelt innkjøp av avanserte modeller vil det også kunne kreve omfattende testing, tilpasninger og kvalitetssikring for å sikre at modellen fungerer som intendert. I tillegg vil det ofte være et fåtall tilbydere av spesialiserte systemer. Ettersom det totalt sett er få eksempler på at det har blitt utviklet og tatt i bruk KI-systemer, er det få eksempler hvor kunstig intelligens i stor grad har bidratt til effektivisering og en mer produktiv offentlig sektor. Etter Riksrevisjonens vurdering er det et stort, uutnyttet potensial i offentlig sektor til å effektivisere gjennom digitalisering og bruk av kunstig intelligens. Viktige forutsetninger for å ta i bruk kunstig intelligens i større skala er fortsatt ikke på plass Undersøkelsen viser at det er flere barrierer for utvikling og bruk av kunstig intelligens i staten. I tillegg trekker flere statlige virksomheter frem andre faktorer som også kan hindre en effektiv utvikling av kunstig intelligens, herunder utvikling av språkmodeller. Stort behov for å avklare juridiske spørsmål i bruken av kunstig intelligens I Norge har vi generelt et teknologinøytralt regelverk. Offentlig sektor står dermed fritt til å velge hvilken teknologi som passer best til sin oppgaveløsning, og regelverket skal ikke være til hinder for bruk av teknologi. I Norge finnes det heller ingen spesifikk regulering av kunstig intelligens. Men en rekke lover er relevante i utviklingen og bruken av kunstig intelligens. Det gjelder for eksempel personopplysningsloven og likestillings- og diskrimineringsloven. I tillegg er KI-forordningen, som ble vedtatt i EU parlamentet i mars 2024, vurdert som EØS-relevant, og Digitaliserings- og forvaltningsdepartementet har begynt forberedelsen for innlemming i norsk lov. Undersøkelsen viser at både mangel på tydelige lovhjemler i sektorlovgivning og usikkerhet rundt tolkning av lover og annet regelverk generelt, er faktorer som ser ut til å hindre at statlige virksomheter i større grad utvikler og tar i bruk kunstig intelligens. For å kartlegge blant annet utfordringer med å utvikle og bruke kunstig intelligens sendte Riksrevisjonen en spørreundersøkelse til statlige virksomheter som har erfaring med å utvikle og/eller bruke kunstig intelligens. Spørreundersøkelsen ble sendt til 143 kontaktpersoner og 78 prosent svarte. Rundt 40 prosent av respondentene svarte at det er vanskelig å ivareta personvernhensyn i arbeidet med å utvikle systemer for kunstig intelligens. Det er mye usikkerhet om hva som er et adekvat juridisk grunnlag til å behandle personopplysninger i både utvikling og bruk av KI-systemer. Noen av de departementene som inngår i undersøkelsen, som Finansdepartementet og Helse- og omsorgsdepartementet, har gjennom sektorlovverket arbeidet med å gi underliggende virksomheter et tydeligere juridisk grunnlag til generelt å kunne behandle personopplysninger. Som omtalt over viser undersøkelsen at det også er innenfor disse sektorene det er flest KI-prosjekter, men det har ikke nødvendigvis en direkte sammenheng. Imidlertid har eksempelvis Nav og Statens pensjonskasse, som begge er underlagt Arbeids- og inkluderingsdepartementet, ulike hjemmelsgrunnlag til å behandle personopplysninger i sine respektive lover. Statens pensjonskasse har et tydelig rettslig grunnlag til å behandle personopplysninger. For Navs del er dette imidlertid fortsatt uavklart selv om Datatilsynet pekte på dette problemet overfor Nav i januar 2022. Undersøkelsen viser at uavhengig av om virksomhetene har et generelt hjemmelsgrunnlag til å behandle personopplysninger, synes virksomhetene ofte det er vanskelig å håndtere spørsmål om personvern i det enkelte KI-prosjekt. Det er særlig fordi bruken av personopplysninger må vurderes spesifikt i det enkelte prosjektet, og fordi personvern må være ivaretatt i alle deler av et KI-prosjekt, også i utviklingsfasen. Noen av de sentrale spørsmål som må håndteres, er om bruken av personopplysninger er forenlig med grunnlaget for innhenting av opplysningene, og om behandlingen er nødvendig og proporsjonal. Her er det mye usikkerhet blant statlige virksomheter. Det er positivt at noen virksomheter velger å håndtere slik usikkerhet ved å prøve ut mindre prosjekter for å bygge erfaring. Etter Riksrevisjonens vurdering er det likevel stor risiko for at den vedvarende usikkerheten rundt flere juridiske spørsmål vil forsinke og hindre statlige virksomheter i å ta i bruk de mulighetene som kunstig intelligens gir. Departementene og virksomhetene har selv ansvaret for å vurdere eget hjemmelsgrunnlag og behov for eventuelle endringer i eget regelverk for å tydeliggjøre grunnlaget for å behandle personopplysninger. Samtidig er det en rekke juridiske problemstillinger som er tilnærmelsesvis like for mange virksomheter. Virksomhetene kan for eksempel i stor grad ha like spørsmål rundt hjemmelsgrunnlag og tolkningen av regelverket, og da særlig spørsmål om behandlingen av personopplysninger. For å bistå virksomhetene i slike spørsmål har Digitaliserings- og forvaltningsdepartementet arbeidet med veiledning, særlig gjennom Datatilsynet, men også gjennom Digitaliseringsdirektoratet. Digitaliseringsdirektoratet opplyser i intervju at direktoratet ser behov for en mer samordnet tolkning av regelverk for utvikling og bruk av kunstig intelligens. Etter Riksrevisjonens vurdering tyder de utfordringene som et stort antall virksomheter møter i arbeidet med personopplysninger, på at det er et særlig stort behov for veiledning på dette området. Opprettelsen av den regulatoriske sandkassen hos Datatilsynet i 2020 var et sentralt tiltak for å bistå blant annet offentlige virksomheter i å øke forståelsen av de regulatoriske kravene som stilles på personvernområdet. Bedre kunnskap vil kunne korte ned tiden fra utvikling og testing til faktisk utrulling av KI-løsninger. Løsningene som settes i drift etter å ha deltatt i sandkassen skulle fungere som foregangseksempler. På overordnet nivå synes sandkassen å være et godt tiltak. Det gir læring både for virksomhetene som deltar, og for Datatilsynet. Undersøkelsen viser imidlertid at siden sandkassen ble opprettet i november 2020, har kun fem prosjekter i statlig regi deltatt. Det har vært relativt få søkere til ordningen, og Datatilsynet har heller ikke kapasitet til å håndtere flere prosjekter enn de gjør i dag. I intervju med to av virksomhetene som har deltatt i sandkassen, ser det videre ut til at erfaringene med å delta spriker. En av disse opplevde prosessen som mindre positiv fordi det ble ikke gitt noe svar på det prosjektet ønsket å avklare. Det andre prosjektet opplevde deltakelsen som positiv. Samtidig oppsto det større, prinsipielle spørsmål som ikke kunne svares på innenfor prosjektets rammer. Selv om deltakelse kan gi læring for enkeltprosjektene, synes det også å være en utfordring for sandkassen å formidle viktig læring videre og sikre at den blir brukt av andre KI-prosjekter til videre utvikling og avklaring av juridiske spørsmål. Etter Riksrevisjonens vurdering er det også vanskelig å se at prosjektene som har deltatt i sandkassen har fungert som foregangseksempler for andre prosjekter og kortet ned tiden fra uttesting til at KI-prosjekter blir satt i full drift. I behandlingen av Meld. St. 30 (2019–2020) viste kommunal- og forvaltningskomiteen til at den var svært opptatt av at regjeringen jobber for at Norge får en infrastruktur for kunstig intelligens i verdensklasse, herunder et digitaliseringsvennlig regelverk. I den nasjonale strategien for kunstig intelligens vises det også til at regjeringen skal gjennomgå og vurdere regelverk som er til hinder for hensiktsmessig og ønsket bruk av kunstig intelligens i offentlig og privat sektor. Undersøkelsen viser at en slik gjennomgang ikke har blitt gjort. Digitaliserings- og forvaltningsdepartementet legger til grunn at det er departementene og virksomhetene som må vurdere behovet for dette. Digitaliserings- og forvaltningsdepartementet mener at strategien ikke legger opp til en bred gjennomgang og vurdering av regelverket. Som forberedelse til KI-forordningen satte regjeringen sommeren 2023 ned en hurtigarbeidende arbeidsgruppe under ledelse av Justis- og beredskapsdepartementet. Arbeidsgruppen skulle utarbeide en plan for å innlemme EUs forordning om kunstig intelligens i norsk lov og vurdere nasjonale behov for regulering (sivil sektor) utover EUs forordning. Denne juridiske arbeidsgruppen er videreført for at den skal arbeide med andre aktuelle tverrgående problemstillinger. Tilpasninger til EUs forordning vil alene ikke være noen løsning på den påviselig store usikkerheten på tvers av sektorer og virksomheter rundt bruken av dagens samlede regelverk. Digitaliserings- og forvaltningsdepartementet har etter Riksrevisjonens vurdering ikke i tilstrekkelig grad fylt sin overordnede rolle ved å bidra til å utvikle rammebetingelser som støtter digitaliseringen i og på tvers av de ulike sektorene. Mangelfull infrastruktur og tilgang på data av god kvalitet Tilgang på store datamengder av god kvalitet er ofte en viktig forutsetning for å kunne utvikle effektive KI-systemer. Det kan være data både fra egen virksomhet og fra andre virksomheter. Dataene må være av en kvalitet og foreligge i et omfang som gjør at de kan brukes til å trene opp maskiner før et system kan settes inn i produksjon. Tilgang på data er også nødvendig for å validere innkjøpte KI-modeller og til å kalibrere og kontinuerlig overvåke eksisterende modeller. Potensialet for å effektivisere gjennom kunstig intelligens ligger nettopp i mulighetene til å utnytte både eksisterende og nye data. Over flere år har prinsippet om «orden i eget hus» fremhevet at data av god kvalitet er særlig viktig i arbeidet med digitalisering i offentlig sektor, jf. blant annet Meld. St. 27 (2015–2016) Digital Agenda for Norge. Gjennom Digitaliseringsrundskrivet er statlige virksomheter også pålagt å sikre god datakvalitet, og dette er i tillegg løftet frem i den nasjonale strategien for kunstig intelligens. Undersøkelsen viser at mangelfull tilgang på data av god kvalitet kan være til hinder for å utvikle og bruke kunstig intelligens. Rundt halvparten av respondentene i Riksrevisjonens spørreundersøkelse svarte at dårlig tilgang på data og lav datakvalitet har vært en utfordring i arbeidet med kunstig intelligens. At tilgang på data av god kvalitet er begrenset, kan skyldes flere forhold. Noen virksomheter mangler gode, interne data. Andre virksomheter har mye data, men de er ikke nødvendigvis digitale eller tilgjengelige i et felles system der dataene kan utnyttes til å utvikle KI-modeller. Hvorvidt tilgang på data er et problem, kan også avhenge av hvilket ambisjonsnivå en virksomhet har. Kompliserte modeller som skal bruke flere kilder som bilder og tekst, i tillegg til strukturerte registerdata, vil kreve et langt større datagrunnlag enn eksempelvis en enkel regnskapsrobot. Videre har flere virksomheter ikke god nok infrastruktur til verken å lagre eller å håndtere store datamengder til analyse. Virksomhetene peker blant annet på betydningen av moderne datavarehus og analyseplattformer for å utvikle og bruke kunstig intelligens. Helseforetak trekker videre frem at manglende infrastruktur mellom systemer på sykehusene er en utfordring i arbeidet med kunstig intelligens. Undersøkelsen viser at mangelfull digital infrastruktur fører til forsinkelser i arbeidet med å utvikle KI-modeller, forringer kvaliteten på løsningene og gir høyere kostnader. Særlig for små virksomheter kan det være kostbart å investere i ulike digitale løsninger som kreves for utvikling og bruk av kunstig intelligens. Flere statlige virksomheter etterlyser i den forbindelse felles digitale løsninger og muligheter for å få tilgang på skyløsninger. Riksrevisjonen merker seg at Skate peker på at det er store synergier å hente gjennom mer samhandling på tvers med fellesløsninger og mulighet for å spare ressurser. Videre har Nasjonal sikkerhetsmyndighets konseptvalgutredning for nasjonal skytjeneste pekt på at det for noen datatyper og IT-systemer er sårbart å være avhengig av utenlandske skytjenester, og anbefaler overfor Justis- og beredskapsdepartementet etablering av en nasjonal skytjeneste for Norge. Riksrevisjonen merker seg at det imidlertid er uenighet om hva som er den beste fremgangsmåten for etablering av en nasjonal skyløsning, blant annet fordi flere statlige virksomheter allerede har investert i kommersielle skytjenester. Digitaliserings- og forvaltningsdepartementet viser i intervju til Sigma2 som en felles tungregningsinfrastruktur for forskningsmiljøet. Departementet peker på at ambisjonen er at denne løsningen i større grad skal kunne brukes også av andre sektorer enn forsknings- og utdanningssektoren. Etter Riksrevisjonens vurdering ser det ut til at mangel på fellesløsninger, som muligheter til å lagre og analysere store datamengder, kan svekke effektiviteten i arbeidet med utvikling av kunstig intelligens. Større tilgang på nødvendig infrastruktur kunne også ha styrket den teknologiske modenheten i hele offentlig sektor. Manglende datadeling på tvers av virksomheter kan være en annen årsak til at tilgangen på data er mangelfull. Skal datadelingen fungere, må hver enkel offentlige virksomhet legge til rette egne data slik at andre kan bruke dataene på en hensiktsmessig måte. Digitaliserings- og forvaltningsdepartementet viser til at den enkelte virksomhet selv må ta ansvar for at egne data er av god kvalitet. Etableringen av Felles datakatalog og andre tiltak i regi av Digitaliseringsdirektoratet har bidratt positivt til mer deling av åpne data. Det er likevel anslagsvis bare kun en fjerdedel av de virksomhetene som er omfattet av digitaliseringsrundskrivet som oppfyller kravene om deling og videre bruk av informasjon på Felles datakatalog. Riksrevisjonen viser også til utfordringer med deling av data i offentlig sektor og manglende registrering i Felles datakatalog, som ble påvist i Riksrevisjonens Dokument 3:8 (2023–2024) Riksrevisjonens undersøkelse av myndighetenes tilrettelegging for deling og gjenbruk av data i forvaltningen. I tillegg skal Felles datakatalog kun inneholde åpne data, og legge til rette for deling av lukkede datasett gjennom metadata om disse. Faktisk tilgang på lukkede data for eksempel med personopplysninger krever andre løsninger. Riksrevisjonen viser igjen til Dokument 3:8 (2023–2024). I rapporten pekes det blant annet på at offentlig sektor har mye data som ikke deles og gjenbrukes, og at mange virksomheter ikke har god nok oversikt over egne data. Rapporten viste også til at manglende og sene avklaringer av juridiske problemstillinger hindrer deling og gjenbruk av data mellom offentlige virksomheter. Etter Riksrevisjonens vurdering skaper begrenset tilgang på data av god kvalitet, ofte koblet med mangelfull infrastruktur og svake systemer for å håndtere data, utfordringer i arbeidet med kunstig intelligens. Sektorene har et selvstendig ansvar for å sikre god datakvalitet og at åpne data er av en kvalitet som enkelt kan deles med andre sektorer. Gitt utfordringene med begrenset tilgang på data av god kvalitet synes det etter Riksrevisjonens vurdering ikke å være tilstrekkelig oppfølging av at kravene til deling av data og særlig til orden i eget hus blir etterlevd i virksomhetene. Dette får etter Riksrevisjonens vurdering konsekvenser for offentlig sektors muligheter til å utvikle og utnytte potensialet i kunstig intelligens. Stort behov for kompetanse Undersøkelsen viser at en av de største utfordringene med å utvikle og bruke kunstig intelligens er mangel på kompetanse. Det gjelder ofte IT-relatert kompetanse, men også juridisk kompetanse. Videre er det behov for å heve kompetansen på risikoen for diskriminering med kunstig intelligens, og de ulike kompetansemiljøene internt i en virksomhet må samhandle bedre. I noen store virksomheter som skatteetaten, Nav og helseforetakene, og også i mellomstore virksomheter som Statens pensjonskasse, har det blitt satset på å etablere større miljøer med kompetanse til å arbeide med kunstig intelligens. Flere virksomheter har imidlertid ikke kapasitet eller ressurser til å ansette flere med nødvendig digital kompetanse. Mange virksomheter er avhengig av å leie inn konsulenter for å kunne utvikle og bruke kunstig intelligens. Da vil det være viktig med bestillerkompetanse og at det legges opp til nødvendig overføring av kompetanse. Når det gjelder utfordringene med fagkompetanse, merker Riksrevisjonen seg at det i Meld. St. 14 (2022–2023) Utsyn over kompetansebehovet i Norge vises til at myndighetene og universitetene og høyskolene har et delt ansvar for å dimensjonere utdanningstilbudet – dels ut fra særlige arbeidskraftsbehov. Behovet for IT-kompetanse er beregnet til å øke i årene frem til 2030. Fagkompetanse, på tvers av fagområder som IT og jus, er imidlertid bare en del av utfordringen med manglende kompetanse. Et annet aspekt er manglende kompetanse blant ledere og beslutningstakere: For at KI-prosjekter skal lykkes og realisere gevinster, er det ofte nødvendig med endringer i virksomhetens prosesser og god endringsledelse. Undersøkelsen viser at manglende forankring internt, urealistiske forventninger fra brukere eller ledelsen, samt motstand i organisasjonen for å endre eksisterende prosesser eller arbeidsstrukturer er utfordringer i arbeidet med å utvikle kunstig intelligens. Viktig med språkressurser på norsk For at norske innbyggere skal få mer avanserte KI-tjenester på sitt eget språk, er det avgjørende at det finnes gode språkressurser på bokmål, nynorsk og samisk. Offentlige organer har etter språkloven plikt til å bruke, utvikle og styrke bokmål, nynorsk og samiske språk, og dette gjelder også for digital kommunikasjon ved hjelp av nye KI-løsninger. Med bruk av kunstig intelligens kan man for eksempel effektivisere arbeidet med å oversette og skrive tekster og med å analysere innholdet i store dokumentmengder. Om man skal utvikle slike løsninger for norske og samiske skriftspråk og dialekter, må imidlertid teknologien tilpasses disse språkene og de lokale forholdene. Språkteknologi, som verktøy for talegjenkjenning og språkforståelse, er derfor en viktig komponent i kunstig intelligens. Utvikling av KI blir imidlertid ledet an av store internasjonale teknologiselskaper, som ikke nødvendigvis tar hensyn til norsk språk og norske samfunnsforhold. En sentral forutsetning for å kunne trene språkmodellene er tilgang på store mengder språkressurser. Ifølge den nasjonale KI-strategien vil regjeringen legge til rette for at språkressurser samles inn og gjøres tilgjengelig. Bruk av generativ kunstig intelligens basert på språkmodeller har økt betydelig siden lansering av åpent tilgjengelige ChatGPT i november 2022. Som vist til tidligere er det mange mulige bruksområder i offentlig sektor. Grunnmodellene til disse KI-verktøyene er imidlertid nesten utelukkende basert på og utviklet av et fåtall globale, private selskaper uten tilknytning til norsk språk eller norske samfunnsforhold og verdier. Riksrevisjonen merker seg at Kultur- og likestillingsdepartementet peker på at det bør arbeides videre med å sikre språkdata til blant annet bruk i kunstig intelligens, og at flere forhold i denne sammenheng taler for å legge til rette for en felles norsk infrastruktur for kunstig intelligens. Både opphavsrett til åndsverk og tilgang til regnekraft er utfordringer i arbeidet med å sikre språkressurser. De etiske prinsippene for ansvarlig bruk av kunstig intelligens ivaretas i ulik grad. Kontrollmekanismer som sikrer ansvarlig bruk av kunstig intelligens, må være på plass Kommunal- og forvaltningskomiteen har pekt på at det er særlig viktig at myndighetene har nødvendig kontroll på og regulerer bruken av kunstig intelligens slik at personvern ivaretas. Grunnlaget for dette er en ansvarlig og pålitelig utvikling og bruk av kunstig intelligens. Regjeringens nasjonale strategi for kunstig intelligens legger til grunn at kunstig intelligens i Norge skal bygge på de etiske prinsippene utarbeidet av EU-kommisjonens ekspertgruppe for kunstig intelligens. Ansvarlig bruk av kunstig intelligens er dermed forankret i krav til personvern, likebehandling, sikkerhet og teknisk robusthet, transparens og en ansvarlig styring. Dette innebærer blant annet å overholde personvernregler, å overvåke KI-systemet for å avdekke eventuelle feil eller skjevheter og å kunne forklare hvordan algoritmene fungerer og tar beslutninger. Ved å følge opp de etiske prinsippene og vurdere tiltak kan offentlig sektor utvikle og bruke kunstig intelligens på en måte som gagner samfunnet, respekterer individets rettigheter og oppfyller etiske standarder. Mye av effektiviseringspotensialet med KI er basert på automatisering av arbeidsprosesser. Der kunstig intelligens brukes i forbindelse med automatisert saksbehandling, kan sentrale rettssikkerhetsprinsipper bli utfordret, og det er avgjørende med både tilstrekkelig kunnskap om forvaltningsrett i utvikling av systemene, og med teknologisk kompetanse i kontroll av saksbehandlingen og vedtak. KI-systemer i kontakt med borgere, for eksempel basert på språkmodeller som gir tilpasset veiledning om saksbehandling, krever kompetanse i befolkningen, og avklart ansvar ved feil på grunn av misforståelser i kommunikasjonen med KI-systemet. KI-systemer som lærer av data kan videreføre og forsterke historiske skjevheter, eller endre ytelse eller praksis over tid. Videre kan det med avanserte maskinlæringsmodeller være utfordrende å få en god forklaring på hvorfor systemet handlet eller konkluderte slik det gjorde. Dermed kan det være vanskelig å sikre åpenhet og forklaringsevne og dermed en etterprøvbar saksbehandling, for å sikre klageretten. Viktigheten av kontroll av KI-systemenes resultater kommer for eksempel frem av EUs KI-forordning, som krever at bruk av høyrisiko KI-systemer er tilrettelagt for at mennesker effektivt kan overvåke systemet. Undersøkelsen viser varierende modenhetsnivå i hvordan virksomhetene ivaretar de etiske prinsippene som utgjør ansvarlig bruk av kunstig intelligens. Dette gjelder både virksomhetenes rammeverk for å sikre ansvarlig utvikling og bruk av kunstig intelligens og i det praktiske arbeidet med å utvikle og bruke KI-modeller. En viktig del av å regulere utviklingen og bruken av kunstig intelligens er at virksomhetene etablerer rammeverk med retningslinjer og rutiner for å sikre ansvarlig bruk av kunstig intelligens. Dokumentasjon av beslutninger, avveininger og resultater i utviklingsprosessen og ved bruk er en viktig del av ansvarlig bruk av kunstig intelligens. Dette bidrar til å skape tillit og sikre at KI-systemene opererer innenfor de etiske rammene. Undersøkelsen viser at virksomhetenes rammeverk for sikring av ansvarlig bruk av kunstig intelligens ivaretar de etiske prinsippene i ulik grad. Dette kommer blant annet fram gjennom svarene i spørreundersøkelsen Riksrevisjonen sendte til kontaktpersoner som er fagansvarlig for KI-systemer i statlige virksomheter. Riksrevisjonen spurte blant annet om hvorvidt det på et overordnet nivå ble brukt skriftlige retningslinjer og lignende i utviklingen av KI-systemer. Undersøkelsen viser at styringsdokumentene som brukes, i større grad handler om krav til sikkerhet, robusthet og personvern, og i mindre grad handler om krav til likebehandling, forklarbarhet og åpenhet. Over 60 prosent oppga i spørreundersøkelsen at de har brukt styringsdokumenter for databehandling og innebygd personvern ved utvikling av kunstig intelligens. Under halvparten har brukt styringsdokumenter som ivaretar krav til blant annet likebehandling som testing for skjevheter i resultater av KI-systemer som benytter persondata. Flertallet av virksomhetene benytter standarder for dokumentasjon av KI-systemer. Det varierer i hvilken grad innholdet i standardene for dokumentasjon dekker hensyn til de etiske prinsippene. For flertallet av virksomhetene som har standarder for dokumentasjon, dekker disse datakilder og behandling av data, mens for under halvparten dekker de forklaring av KI-systemets resultater. Riksrevisjonen har gjennomført caseundersøkelser av fire utvalgte KI-prosjekter. Gjennomgangen av disse casene viser tilsvarende svakheter i dokumentasjonen av KI-systemene. For eksempel kommer det ikke klart frem i dokumentasjonen hvilke veivalg som er tatt ved utvikling av KI-modellen, og hvorfor en KI-modell er valgt fremfor andre. I denne sammenhengen etterspør et av KI-prosjektene fra caseundersøkelsen felles maler som kan brukes i KI-utvikling, blant annet basert på risiko ved KI, inkludert det man ikke må gjøre eller dokumentere. Prosjektet peker på at dette kunne effektivisere arbeidet med KI i virksomhetene betydelig og åpne for mer innovasjon med KI i små og mellomstore virksomheter. Det er en rekke risikoer og problemstillinger som særlig gjelder utvikling og bruk av kunstig intelligens og ivaretakelse av de etiske prinsippene. Dette handler for eksempel om hvordan personopplysninger behandles, likebehandling, evne til å forklare hvorfor KI-systemet handlet eller konkluderte slik det gjorde, og algoritmens pålitelighet over tid. Undersøkelsen av virksomheters retningslinjer for risikovurderinger, som Riksrevisjonen har innhentet fra virksomheter med avanserte KI-systemer, viser at disse er generelt utformet og i ulik grad dekker risikoene forbundet med ansvarlig bruk av kunstig intelligens. Blant annet omfatter retningslinjene hovedsakelig den generelle risikoen ved sikkerhet og beredskap av IT-utstyr, og i ulik grad de særskilte risikoene som er forbundet med automatisering og læring fra data i KI-systemer. Systematisk manipulering av inndata, utilsiktet forskyving av treffsikkerhet over tid og skjevheter som kan gi forskjellsbehandling, er i liten grad dekket i disse retningslinjene. Det varierer dermed om retningslinjene gjør virksomhetene i stand til å avdekke særskilte risikoer forbundet med de etiske prinsippene for ansvarlig bruk av kunstig intelligens. At de etiske prinsippene ivaretas i ulik grad, går også frem av hvordan det arbeides med kunstig intelligens i virksomhetene. Flertallet av virksomhetene svarte i Riksrevisjonens spørreundersøkelse ja på påstander om at de arbeider med sikkerhet og robusthet, mens en lavere andel svarte ja på påstander om åpenhet og likebehandling. Det er for eksempel flere som svarer ja på at de tester for svakheter ved cyberangrep, enn som svarer ja på at KI-systemet begrunner sine beslutninger eller resultater. For å undersøke nærmere i hvilken grad kravene til de etiske prinsippene blir fulgt opp og ivaretatt i styringen av KI-systemene, gjennomførte Riksrevisjonen en caseundersøkelse av fire KI-systemer. De fire systemene som ble valgt ut, har ulike formål og opererer under ulike rammebetingelser. De fire utvalgte KI-systemene i undersøkelsen brukes som beslutningsstøtte i saksbehandling eller diagnostikk. Tre av KI-systemene er utviklet av virksomheten selv, mens ett er anskaffet fra en leverandør. Undersøkelsen av KI-systemene viser at føringene om ansvarlig bruk av KI ivaretas i varierende grad. De utvalgte KI-prosjektene har gjennomført flest aktiviteter for å sikre sikkerhet, robusthet og personvern og færre aktiviteter for å sikre likebehandling, forklarbarhet og åpenhet. To av KI-systemene, som virksomhetene selv har utviklet, behandler og bruker personopplysninger og følger personvernreglene. For eksempel vurderer de hvilke opplysninger som kan brukes i tråd med personvernprinsippene. Arbeidet med personvern i KI-systemer oppleves som tid- og ressurskrevende. Alle de fire KI-systemene gir informasjon internt om funksjon, ytelse og kvalitet og deler informasjon om at KI brukes i virksomheten med eksterne. Imidlertid varierer det hvorvidt KI-systemenes beslutninger og resultater kan forklares. Likebehandling vurderes overordnet i utviklingen av de fire undersøkte KI-systemene. Det er i liten grad gjennomført tester for skjevheter i KI-systemets inndata eller resultater, som forebygging av usaklig forskjellsbehandling. Det er ikke gjennomført noen analyse av hvorvidt KI-systemene fungerer like godt for ulike persongruppe KI-prosjektene legger til grunn at likebehandling ivaretas ved at alle er gjenstand for de samme beregningene i KI-systemet, og gjennom at en menneskelig beslutningstaker alltid er involvert. Risikoen for diskriminering er imidlertid også til stede når KI-systemer er brukt som beslutningsstøtte, ikke bare i autonome systemer. Riksrevisjonens vurdering er at virksomhetene som utvikler og bruker kunstig intelligens, kun delvis har etablert helhetlige rammeverk for ansvarlig bruk av kunstig intelligens. Det varierer hvor langt virksomhetene har kommet i arbeidet med rammeverk som ivaretar ansvarlig KI. De etiske prinsippene blir også i praksis ivaretatt i ulik grad når kunstig intelligens utvikles og brukes. Manglene ved virksomhetenes rammeverk og ved hvordan de utvikler og bruker kunstig intelligens, kan etter Riksrevisjonens vurdering tyde på at det ikke arbeides tilstrekkelig systematisk med prinsipper for likebehandling, forklarbarhet og åpenhet. Videre kan de påviste manglene i virksomhetenes rammeverk føre til at særskilte risikoer forbundet med utvikling og bruk av kunstig intelligens ikke fanges opp eller vurderes. Virksomhetene opplever samtidig at problemstillinger med å ivareta ansvarlig bruk av kunstig intelligens kan være barrierer for bruk og utvikling av kunstig intelligens. Etter Riksrevisjonens vurdering er det mangel på kunnskap og støtte for at statlige virksomheter bedre skal kunne ivareta likebehandling, åpenhet og forklarbarhet i arbeidet med kunstig intelligens. Denne mangelen kan gi risiko for at de etiske prinsippene for kunstig intelligens ikke etterleves. Samordningen av arbeidet med kunstig intelligens i offentlig sektor er mangelfull, og den samlede innsatsen er for svak gitt ambisjonen om at Norge skal ha en infrastruktur for kunstig intelligens i verdensklasse I behandlingen av Meld. St. 30 (2019–2020) var kommunal- og forvaltningskomiteen svært opptatt av at regjeringen jobber for at Norge får en infrastruktur for kunstig intelligens i verdensklasse, i form av digitaliseringsvennlig regelverk, gode språkressurser, raske og robuste kommunikasjonsnett og tilstrekkelig regnekraft. Disse overordnede målene er konkretisert i den nasjonale strategien for kunstig intelligens fra 2020. Strategien inneholder blant annet 51 tiltak som regjeringen ville gjennomføre. Digitaliserings- og forvaltningsdepartementet opplyser at de fleste tiltakene i strategien er gjennomført eller påbegynt, men at det er ikke gjennomført noen systematisk evaluering av gjennomføringen av strategien. Det foreligger heller ingen oversikt over bruken av kunstig intelligens i staten. Etter Riksrevisjonens vurdering har Digitaliserings- og forvaltningsdepartementet dermed ingen god informasjon om utviklingen av bruk av kunstig intelligens i offentlig sektor. Det finnes en ufullstendig oversikt over KI-prosjekter i offentlig sektor som er gjennomført etter initiativ fra flere høyere norske utdannings- og forskningsinstitusjoner (kjent under navnet NORA) og senere i samarbeid med Digitaliseringsdirektoratet. Det er midlertid ikke lagt opp til noen systematisk oppdatering av denne kartleggingen. Digitaliserings- og forvaltningsdepartementet opplyser at det gjennom den gjeldende nasjonale KI-strategien ikke er lagt opp til en satsing på kunstig intelligens. Departementet presiserer imidlertid at det er et politisk mål å ta i bruk kunstig intelligens til effektivisering i offentlig sektor og for verdiskaping i samfunnet. Riksrevisjonen merker seg at digitaliserings- og forvaltningsministeren våren 2024 definerte et mål om betydelig økt bruk av kunstig intelligens i offentlig sektor. Departementet viser til at selv om det har samordningsansvaret for digitaliseringssatsingen i staten gjelder sektorprinsippet og følgelig at den enkelte sektoren er ansvarlig for utvikling og bruk av kunstig intelligens innenfor eget ansvarsområde. Departementet kan imidlertid legge til rette for bruk av kunstig intelligens gjennom generelle virkemidler – særlig gjennom pedagogiske virkemidler som veiledning. Veiledningsarbeidet skjer først og fremst gjennom Datatilsynet og Digitaliseringsdirektoratet. Digitaliseringsdirektoratet skal være regjeringens fremste verktøy for effektiv og samordnet digitalisering av offentlig sektor og av samfunnet øvrig. Digitaliseringsdirektoratets eneste oppdrag om å følge opp den nasjonale KI-strategien var å utarbeide en veileder i ansvarlig bruk av kunstig intelligens i offentlig sektor. Veiledningsmateriellet ble publisert i 2023 og er samlet på Digitaliseringsdirektoratets hjemmesider. Veiledningsmaterialet er beskrevet som fortsatt under utvikling med anmodning om innspill. Veilederen er på et overordnet nivå, med lenker til mer detaljert materiell der det er tilgjengelig, som fra Datatilsynet og Likestillings- og diskrimineringsombudet. Det er lite konkret veiledning om hvordan de etiske prinsippene kan ivaretas i praksis. Eksempelvis finnes det ingen omforent metode for å avdekke algoritmeskjevhet. Gitt dette og de påviste manglene i virksomhetenes arbeid med ansvarlig kunstig intelligens er det etter Riksrevisjonens vurdering fortsatt et stort behov for konkret veiledning for å kunne sikre at de overordnede føringene om ansvarlig kunstig intelligens etterleves. KI-prosjekter kan enkeltvis få mer konkret veiledning om juridiske spørsmål gjennom Datatilsynets regulatoriske sandkasse. Som vist tidligere, har kun fem prosjekter i statlig regi deltatt siden opprettelsen av sandkassen i november 2020. Den eksterne evalueringen viser dessuten at sandkassen har et forbedringspotensial til å utarbeide og spre prosjektovergripende innsikt. Digitaliserings- og forvaltningsdepartementet viser til at deres pådriverrolle innen kunstig intelligens innebærer å identifisere tverrgående behov og få på plass felles løsninger på tvers av sektorene. Det innebærer også at departementet arbeider for å sikre bedre koordinering ved identifiserte behov. Riksrevisjonen merker seg at Digitaliserings- og forvaltningsdepartementet allerede i 2018 opprettet en interdepartemental arbeidsgruppe for kunstig intelligens, som ble videreført med et nytt mandat våren 2024. Alle departementene er representert i den videreførte arbeidsgruppen. Formålet med arbeidsgruppen er å sikre bedre koordinering og informasjonsutveksling på KI-området. Riksrevisjonen merker seg at arbeidsgruppen som regel ikke diskuterer utfordringer med utvikling eller bruk av kunstig intelligens i underliggende etater og virksomheter. Etter Riksrevisjonens vurdering er det vanskelig å se hvordan Digitaliserings- og forvaltningsdepartementet har benyttet denne møteplassen til noe annet enn å utveksle informasjon på tvers av departementene. Deling av informasjon er sentralt, men i seg selv ikke et tilstrekkelig tiltak for å sikre god koordinering. Riksrevisjonen har for øvrig merket seg at arbeidsgruppen skal bli brukt videre i arbeidet med den forestående nye nasjonale digitaliseringsstrategien. I intervju våren 2024 viser Digitalisering- og forvaltningsdepartementet til at de nå ser at kompetanse- og veiledningsbehovet er en felles problemstilling. Departementet mener at sektorlovgivningen er ulik, men er samtidig usikker på hvor langt departementet skal gå inn i den konkrete sektoren, og hvor relevante problemstillingene i én sektor er for andre. Riksrevisjonen peker på at alle disse problemstillingene har vært sentrale over flere år. De enkelte statlige sektorene og etatene må selv vurdere om og eventuelt i hvilket omfang kunstig intelligens er en teknologi som bør benyttes for eksempelvis å forbedre og effektivisere egen oppgaveløsning. Samtidig er det etter Riksrevisjonens vurdering sentralt med sektorovergripende tiltak for å kunne sikre en god felles infrastruktur for kunstig intelligens. Etter Riksrevisjonens vurdering kan ikke utviklingen overlates til hver enkelt sektor og hvert enkelt departement. Noen grunnleggende forutsetninger må være på plass for at man skal lykkes. Det gjelder eksempelvis å sikre god datakvalitet og deling av data, teknologisk infrastruktur og kompetanse. Gode nasjonale og sektorielle fellesløsninger kan være et viktig bidrag til det arbeidet. Videre gjelder det å sikre en felles forståelse av og tilnærming til juridiske spørsmål om personvern. Undersøkelsen viser at det på disse områdene er utfordringer som er til hinder for å i større grad kunne ta i bruk kunstig intelligens i offentlig sektor. Riksrevisjonen peker videre på uklarheter rundt hvordan de etiske prinsippene kan ivaretas i praksis. Det innebærer for eksempel hva algoritmisk diskriminering kan bety, og hvilke personopplysninger som er nødvendig som grunnlag for å teste og forebygge diskriminering med kunstig intelligens. Etter Riksrevisjonens vurdering er det flere overordnede spørsmål rundt utvikling og bruk av kunstig intelligens som per i dag den enkelte virksomhet og sektor i for stor grad må håndtere på egen hånd. Gitt de store mulighetene kunstig intelligens gir, og utfordringene med utvikling og bruk av kunstig intelligens i staten som er påvist, mener Riksrevisjonen at Digitaliserings- og forvaltningsdepartementet ikke i tilstrekkelig grad har ivaretatt rollen som samordningsdepartement i tilrettelegging for bruk av kunstig intelligens. Digitaliserings- og forvaltningsdepartementet sikrer informasjonsdeling om kunstig intelligens på overordnet nivå, men det er gjort få tiltak som skal løse de overordnede utfordringene med utvikling og bruk av kunstig intelligens. Selv om alle sektorer og departementer har et ansvar for å sikre måloppnåelse på dette området, vil Norge ikke få en infrastruktur i verdensklasse for kunstig intelligens uten en tydelig og felles koordinert innsats. Etter Riksrevisjonens vurdering kan ikke dette overlates til den enkelte sektoren. Riksrevisjonen mener derfor at det ikke er tilfredsstillende at Digitaliserings- og forvaltningsdepartementet gjennom styring og i samarbeid med de andre departementene ikke har lagt bedre til rette for at offentlig sektor kan utnytte mulighetene som kunstig intelligens gir, og ta i bruk kunstig intelligens på en ansvarlig måte. En ren videreføring av dagens samordningsaktiviteter vil etter Riksrevisjonens vurdering ikke kunne sikre at det store potensialet for bruk av kunstig intelligens innenfor ansvarlige rammer blir utnyttet i offentlig sektor. Den samlede innsatsen er for svak gitt ambisjonen om at Norge skal ha en infrastruktur for kunstig intelligens i verdensklasse. Anbefalinger Riksrevisjonen anbefaler at Digitaliserings- og forvaltningsdepartementet styrker sin samordnings- og pådriverrolle for aktivt å stimulere til og tilrettelegge for ansvarlig bruk av kunstig intelligens i offentlig sektor i samarbeid med andre departementer gjennom å: videreutvikle virkemiddelapparatet for å sikre at grunnleggende forutsetninger for ansvarlig bruk av kunstig intelligens er på plass, slik som tilstrekkelig digital infrastruktur, felles digitale løsninger, tilgang til data av god kvalitet og relevant tverrfaglig kompetanse bidra til regulatoriske avklaringer og en samordnet tolkning av regelverket i utviklingen og bruken av kunstig intelligens sikre en samordnet forståelse av de etiske prinsippene og veiledning om hvordan prinsippene kan ivaretas i praksis i utviklingen og bruken av kunstig intelligens. Statsrådens svar Dokument 3:18 (2023–2024) Riksrevisjonens undersøkelse av bruk av kunstig intelligens i staten ble oversendt statsråden i Digitaliserings- og forvaltningsdepartementet. Svaret fra statsråden følger som vedlegg til Riksrevisjonens dokument. Riksrevisjonens uttalelse til statsrådens svar Riksrevisjonen har ingen ytterligere merknader i saken. Komiteens merknader Komiteen, medlemmene fra Arbeiderpartiet, Kari Henriksen, Kirsti Leirtrø og Agnes Nærland Viljugrein, fra Høyre, lederen Peter Frølich og Svein Harberg, fra Senterpartiet, Nils T. Bjørke, fra Fremskrittspartiet, Carl I. Hagen, fra Sosialistisk Venstreparti, Audun Lysbakken, fra Rødt, Seher Aydar, fra Venstre, Grunde Almeland, og fra Miljøpartiet De Grønne, Sigrid Zurbuchen Heiberg, viser til at potensialet og behovet for å ta i bruk kunstig intelligens i offentlig sektor er tatt opp i en rekke tidligere stortingsmeldinger og digitaliseringsstrategier. Disse legger vekt på at offentlig sektor skal effektiviseres gjennom digitalisering. I behandlingen av Meld. St. 30 (2019–2020) viste kommunal- og forvaltningskomiteen til at kunstig intelligens er et eksempel på en teknologi i rask utvikling. Komiteen var svært opptatt av at regjeringen jobber for at Norge får en infrastruktur for kunstig intelligens i verdensklasse, i form av digitaliseringsvennlig regelverk, gode språkressurser, raske og robuste kommunikasjonsnett og tilstrekkelig regnekraft. Denne visjonen støttes av kontroll- og konstitusjonskomiteen. Ansvaret for samordning av digitaliseringspolitikken ligger hos digitaliserings- og forvaltningsministeren, som deler Riksrevisjonens vurderinger om at offentlig sektor må bli bedre til å utnytte mulighetene som ligger i kunstig intelligens. Komiteen merker seg at digitaliserings- og forvaltningsministeren også uttrykker at i henhold til mandatet for departementet vil anbefalingene i Riksrevisjonens rapport bli fulgt opp. Formålet med IT-strategien slik det fremgår av Prop. 1 S (2023–2024), er å utvikle rammebetingelser som støtter digitalisering i de ulike sektorene og på tvers av dem samt utviklingen i samfunnet som helhet. Komiteen viser til at statsråden peker på ansvaret de enkelte statsrådene har gjennom sektorprinsippet. Det forventes at oppfølgingen skjer på en måte som ivaretar dette og vedtatte føringer fra Stortinget, og det pekes på at regjeringen som samlet organ er ansvarlig for å oppfylle strategien. Komiteen merker seg at revisjonen bygger på EUs etiske regelverk. Dette var på undersøkelsestidspunktet ikke vedtatt av Stortinget. Stortinget gav sin tilslutning til dette gjennom behandlingen av Prop. 1 S (2023–2024). Komiteen stiller seg bak Riksrevisjonens konklusjoner og kritikknivå. Det fremgår av undersøkelsen at: Statlige virksomheter utnytter mulighetene med kunstig intelligens ulikt, og kunstig intelligens er fortsatt lite i bruk. Viktige forutsetninger for å ta i bruk kunstig intelligens i større skala er fortsatt ikke på plass. Det er fortsatt stort behov for å avklare juridiske spørsmål i bruken av kunstig intelligens mangelfull infrastruktur og tilgang på data av god kvalitet stort behov for kompetanse viktig med språkressurser på norsk De etiske prinsippene for ansvarlig bruk av kunstig intelligens ivaretas i ulik grad. Kontrollmekanismer som sikrer ansvarlig bruk av kunstig intelligens, må være på plass. Samordningen av arbeidet med kunstig intelligens i offentlig sektor er mangelfull, og den samlede innsatsen er for svak gitt ambisjonen om at Norge skal ha en infrastruktur for kunstig intelligens i verdensklasse.» Komiteen stiller seg også bak de anbefalingene Riksrevisjonen har gitt om å: videreutvikle virkemiddelapparatet for å sikre at grunnleggende forutsetninger for ansvarlig bruk av kunstig intelligens er på plass, slik som tilstrekkelig digital infrastruktur, felles digitale løsninger, tilgang til data av god kvalitet og relevant tverrfaglig kompetanse. bidra til regulatoriske avklaringer og en samordnet tolkning av regelverket i utviklingen og bruken av kunstig intelligens sikre en samordnet forståelse av de etiske prinsippene og veiledning om hvordan prinsippene kan ivaretas i praksis i utviklingen og bruken av kunstig intelligens.» Komiteens medlem fra Sosialistisk Venstreparti viser til konklusjonene fra Riksrevisjonens rapport om at det blant annet er et stort behov for å avklare juridiske spørsmål i bruken av kunstig intelligens, mangelfull infrastruktur, tilgang på data av god kvalitet, et stort behov for kompetanse og at de estiske prinsippene for ansvarlig bruk av kunstig intelligens må være på plass. Dette medlem viser til Representantforslag 232 S (2022–2023) fra stortingsrepresentantene Torgeir Knag Fylkesnes og Marian Hussein om demokratisk kunstig intelligens. I forslaget foreslås det blant annet et umiddelbart moratorium i offentlig sektor på å ta i bruk nye kommersielle verktøy som bygger på kunstig intelligens, og at det utvikles en konsesjonsordning for innsamling, bruk og lagring av både offentlige data og persondata for kommersielle aktører. Bakgrunnen for forslaget er at utviklingen av kunstig intelligens i dag i høyeste grad skjer av og for kommersielle aktører, og at det derfor er et behov for at det ligger en bedre regulering til grunn for videre utvikling av KI, og ikke at kommersiell KI reguleres i etterkant. Komiteens medlemmer fra Sosialistisk Venstreparti og Rødt mener at det er helt avgjørende at det utvikles tydeligere reguleringer, slik at det sikres en demokratisk og positiv utvikling av KI. Disse medlemmer mener derfor det er bekymringsverdig at rapporten fra Riksrevisjonen konkluderer med at de etiske prinsippene for ansvarlig bruk av kunstig intelligens ivaretas i ulik grad i statlige virksomheter, og at Riksrevisjonens vurdering er at virksomhetene som utvikler og bruker kunstig intelligens, kun delvis har etablert helhetlige rammeverk for ansvarlig bruk av kunstig intelligens. Disse medlemmer ønsker også å fremheve at Riksrevisjonens rapport melder at de påviste manglene i virksomhetenes rammeverk kan føre til at særskilte risikoer forbundet med utvikling og bruk av kunstig intelligens ikke fanges opp eller vurderes. Videre rapporteres det om at det er mangel på kunnskap og støtte for at statlige virksomheter bedre skal kunne ivareta likebehandling, åpenhet og forklarbarhet i arbeidet med kunstig intelligens, og at denne mangelen kan gi risiko for at de etiske prinsippene for kunstig intelligens ikke etterleves. Disse medlemmer mener det er viktig at regjeringen fremover følger opp anbefalingene fra Riksrevisjonens rapport, slik at de etiske prinsippene ligger til grunn i den videre innfasingen av bruk av KI i statlige virksomheter. Komiteens tilråding Komiteen har for øvrig ingen merknader, viser til dokumentet og rår Stortinget til å gjøre følgende vedtak: Dokument 3:18 (2023–2024) – Riksrevisjonens undersøkelse av bruk av kunstig intelligens i staten – vedlegges protokollen. Oslo, i kontroll- og konstitusjonskomiteen, den 19. november 2024 Peter Frølich Kari Henriksen leder ordfører