EU-kommisjonen vil ha tilgang til KI-modeller

EU-kommisjonen har vedtatt nye regler for hvordan generelle KI-modeller kan granskes, og hvordan mulige overtredelser av EUs KI-forordning skal behandles. Kommisjonen kan blant annet kreve tilgang til kildekode, modellvekter og infrastrukturen som brukes til å drifte modellene.

Torbjørn Leidal

Den nye gjennomføringsforordningen ble vedtatt 20. juli og fastsetter detaljerte regler for evaluering av generelle KI-modeller. Den regulerer også hvordan EU-kommisjonen skal gjennomføre saker som kan ende med bøter til leverandørene.

Regelverket er EØS-relevant og utfyller EUs KI-forordning, Artificial Intelligence Act.

Kan kreve tilgang til kildekode

Når Kommisjonen beslutter å evaluere en generell KI-modell, skal den angi hvilke tekniske løsninger, verktøy og deler av modellen leverandøren må gi tilgang til. Det skal også fastsettes en frist for når tilgangen må være på plass.

Kommisjonen kan blant annet kreve tilgang gjennom programmeringsgrensesnitt, såkalte API-er, men også intern tilgang til modellen, kildekoden, modellvektene og infrastrukturen som brukes til å drifte den.

Tilgangen kan også omfatte muligheten til å inspisere og endre systemets tilstand under samhandling med modellen. Leverandøren skal sørge for at tekniske eller andre begrensninger ikke hindrer en forsvarlig evaluering.

Dersom det er nødvendig for å sikre integriteten og konfidensialiteten i granskingen, kan Kommisjonen dessuten kreve at leverandøren deaktiverer logging som kan spore eller registrere Kommisjonens bruk av modellen.

Leverandørene må gi tilgang uten unødig opphold og innen fristen Kommisjonen fastsetter.

Uavhengige eksperter kan gjennomføre evalueringen

Kommisjonen kan oppnevne uavhengige eksperter til å gjennomføre evalueringer på dens vegne. Ved vurderingen av ekspertenes uavhengighet skal det blant annet undersøkes om de har felles eierskap, ledelse, ansatte eller ressurser med en KI-leverandør.

Også kontraktsforhold mellom eksperten og den aktuelle leverandøren eller andre leverandører de siste tolv månedene skal tas med i vurderingen.

Ekspertene skal avgi en interesseerklæring og må opprettholde sin uavhengighet gjennom hele oppdraget. De skal også beskytte forretningshemmeligheter og andre konfidensielle opplysninger og ha tilfredsstillende sikkerhetsrutiner.

Leverandørene kan komme med begrunnede innsigelser mot ekspertene som skal evaluere modellene deres. Kommisjonen kan avslutte et ekspertoppdrag dersom det oppstår alvorlig tvil om uavhengigheten, eller dersom kravene til konfidensialitet ikke blir oppfylt.

Ekspertene skal som hovedregel velges etter en utlysning av interesse, og Kommisjonen kan opprette en permanent liste over aktuelle kandidater. Medlemmer av det vitenskapelige panelet som er opprettet etter KI-forordningen, kan oppnevnes direkte.

Kan stanse KI-modeller midlertidig

Kommisjonen får også nærmere regulerte fullmakter til å åpne saker mot leverandører av generelle KI-modeller.

Før en formell sak åpnes, kan Kommisjonen vedta midlertidige tiltak dersom det er fare for alvorlig skade på helse, sikkerhet eller andre offentlige interesser. Tiltakene kan blant annet innebære at en generell KI-modell hindres i å bli gjort tilgjengelig i markedet.

Det må da foreligge en foreløpig vurdering om at KI-forordningen er brutt.

Dersom Kommisjonen etter å ha åpnet en sak kommer til at det ikke er grunnlag for å fatte en sanksjonsbeslutning, skal saken avsluttes formelt. En avsluttet sak kan senere åpnes igjen, blant annet dersom pålagte tiltak ikke virker, forpliktelser ikke overholdes eller den opprinnelige avgjørelsen bygget på ufullstendige, uriktige eller villedende opplysninger.

En sak kan også gjenåpnes dersom den aktuelle KI-modellen medfører en vesentlig endring i den systemiske risikoen på EU-nivå.

Minst 21 dager til å svare

Leverandører som mottar Kommisjonens foreløpige funn, skal få anledning til å uttale seg skriftlig og legge frem dokumentasjon.

Svarfristen skal være på minst 21 dager. Opplysningene som sendes inn, må være korrekte, fullstendige og ikke villedende. De skal presenteres på en klar, strukturert og forståelig måte.

Leverandøren kan også be om innsyn i sakens dokumenter etter at de foreløpige funnene er meddelt. Samtidig inneholder regelverket omfattende bestemmelser om beskyttelse av forretningshemmeligheter og annen konfidensiell informasjon.

I enkelte tilfeller kan uredigerte dokumenter bare gjøres tilgjengelige for et begrenset antall eksterne juridiske og økonomiske rådgivere eller tekniske eksperter. Disse kan ikke dele dokumentene med andre eller bruke dem til andre formål enn den aktuelle saken.

Fem års foreldelsesfrist

Kommisjonens adgang til å ilegge bøter foreldes som hovedregel fem år etter at den aktuelle handlingen fant sted. Ved vedvarende eller gjentatte overtredelser begynner fristen å løpe når handlingen opphører.

Etterforskningsskritt fra Kommisjonen kan avbryte fristen. Det gjelder blant annet krav om dokumentasjon, forespørsler om tilgang til en KI-modell, invitasjoner til strukturert dialog og formell åpning av en sak.

Også Kommisjonens adgang til å kreve inn vedtatte bøter har en foreldelsesfrist på fem år.

Gjennomføringsforordningen trer i kraft 20 dager etter at den er publisert i EUs offisielle tidende. Den blir bindende og direkte gjeldende i alle EUs medlemsland.

Kilde: EU Kommisjonen – du kan lese brevet her.