Meninger
Kunstig intelligens kan ikke gjøres ansvarlig gjennom en juridisk sluttkontroll
Før et konkret bruksområde godkjennes, må advokatvirksomheten ha avklart formål, klientopplysninger, beslutningspåvirkning, kvalitetskrav, ansvar og muligheten til å gripe inn.
Dette er et innlegg som gir uttrykk for skribentens meninger.
Å bygge ansvar inn betyr ikke at teknologien blir ansvarlig. Det betyr å gjøre advokatens og virksomhetens ansvar mulig å utøve.
Den samme KI-tjenesten kan brukes til å forbedre en intern e-post, oppsummere en offentlig dom, analysere tusenvis av klientdokumenter eller utforme et råd som klienten bygger en viktig beslutning på.
Verktøyet kan være det samme. Formålet, opplysningene, konsekvensene og kravene til kontroll er det ikke.
Et KI-verktøy er ikke et bruksområde
Det bør være utgangspunktet for advokatbransjens KI-styring. Produktnavnet og leverandørens sikkerhetsdokumentasjon er relevante, men avgjør ikke alene om bruken er lovlig, etisk eller faglig forsvarlig.
Risikoen oppstår i samspillet mellom modell, data, mennesker, integrasjoner, leverandører og beslutningene som følger etterpå.
Advokatens ansvar forsvinner ikke
Advokatforeningen har utarbeidet en egen veiledning for bruk av KI i advokatvirksomhet. Det grunnleggende utgangspunktet er likevel teknologinøytralt: Regler for god advokatskikk gjelder uavhengig av hvilken teknologi eller arbeidsmetode advokaten benytter.
Taushetsplikten, klientens krav på fortrolighet, advokatens uavhengighet og plikten til å ivareta klientens interesser blir ikke svakere fordi et KI-system inngår i arbeidet.
Norge har ennå ikke gjennomført KI-forordningen. Det betyr ikke at advokatvirksomheter står uten regler. Advokatloven, advokatforskriften og Regler for god advokatskikk gjelder allerede.
Avhengig av bruken kan også personvernregelverket, arbeidsretten, diskrimineringsreglene, åndsverkloven, kontraktsretten og relevante sikkerhetskrav få betydning. Regjeringen har varslet at den norske KI-loven skal sendes på ny høring høsten 2026.
Det viktigste spørsmålet er derfor sjelden: «Er dette KI-verktøyet lovlig?» Et mer presist spørsmål er: Hva skal systemet gjøre, med hvilke opplysninger, hvilken beslutning skal det påvirke - og hvem har myndighet til å gripe inn?
Styringsgapet oppstår før innkjøpet
Mange virksomheter anskaffer eller aktiverer en teknisk kapasitet før de har definert hva den skal brukes til.
KI kan også komme inn bakveien: Som en ny funksjon i et eksisterende saksbehandlingssystem, gjennom en leverandøroppdatering eller fordi ansatte tar i bruk en åpen nettjeneste.
Før produktvalg, bør advokatvirksomheten derfor beskrive det konkrete bruksområdet.
Skal systemet bare forbedre språk, eller skal det søke i klientmateriale, foreslå rettslige konklusjoner eller prioritere saker? Hvilke opplysninger mottar og produserer det? Kan leverandøren bruke input, output eller metadata til egne formål? Hvilke feil er uakseptable? Hvem kontrollerer resultatet, og hvem bærer beslutningen?
Juridisk vurdering skaper størst verdi når slike krav gjøres operative. En ansvarlig prosess bør følge hele livsløpet:
Formål og avgrensning → klassifisering og ansvar → anskaffelse eller utvikling → testing og godkjenning → drift og endringskontroll → utfasing og leverandørskifte.
Kontrakten er bare én del. Den bør blant annet regulere bruk av klientdata, trening og produktutvikling, underleverandører, behandlingssteder, sikkerhetshendelser, modellendringer, dokumentasjon, revisjon, eksport, sletting og praktisk leverandørskifte.
Men selv en god kontrakt erstatter ikke virksomhetens egen vurdering av bruksområdet.
En leverandørdemo er ikke en godkjenning for klientarbeid
Før systemet brukes i reelle oppdrag, må det testes i den sammenhengen det faktisk skal virke.
For en skriveassistent kan relevante kriterier være faktiske feil, kildeforankring og konfidensialitet. For dokumentanalyse kan det være fullstendighet, presisjon og risikoen for å overse avgjørende materiale. For beslutningsstøtte må virksomheten også vurdere skjevheter, forklarbarhet og konsekvensene av feil.
Akseptansekriteriene må stå i forhold til bruken. En leverandørdemonstrasjon er normalt ikke tilstrekkelig som eneste beslutningsgrunnlag når resultatet kan påvirke klientens rettsstilling eller advokatens råd.
Menneskelig kontroll må også være reell. Den som skal kontrollere resultatet, må ha kompetanse, tid, nødvendig informasjon og myndighet til å overstyre, avvise eller stanse bruken.
Et menneske som bare bekrefter maskinens resultat, er ikke en kontrollmekanisme. Det er et ekstra klikk.
God styring betyr ikke maksimal friksjon
En intern språkassistent uten klientopplysninger bør ikke behandles på samme måte som et system som analyserer taushetsbelagt materiale eller påvirker et rettslig råd.
Advokatvirksomheten bør etablere et raskt, standardisert spor for avgrensede lavrisikobruksområder og et grundigere tverrfaglig spor for bruk som kan få vesentlige konsekvenser.
Slik differensiering gjør det mulig å kombinere innovasjon med kontroll. Det reduserer også risikoen for at ansatte omgår virksomhetens rammer fordi den godkjente prosessen er for tung eller uklar.
Styringen må følge bruken over tid
En KI-policy og en årlig gjennomgang er ikke nok. Virksomheten trenger en levende oversikt over bruksområdene: Formål, eier, system og versjon, datakilder, tillatt og forbudt bruk, testresultater, kontrolltiltak, akseptert restrisiko og hendelser som utløser ny vurdering.
Dette er kjernen i en innebygd styringsarkitektur: juridiske, organisatoriske og tekniske rammer som gir klare svar på fire spørsmål:
Hvem kan godkjenne, endre, begrense og stanse bruken?
Hvilken informasjon må være tilgjengelig for dem som skal kontrollere og beslutte?
Hvilke fagmiljøer må involveres, og hvordan håndteres uenighet?
Hvilke endringer eller avvik krever ny vurdering eller umiddelbar stans?
Styringen viser sin virkelige kvalitet når forutsetningene svikter: Når leverandøren bytter modell, datagrunnlaget endres, systemet brukes på en ny måte eller en klient utfordrer grunnlaget for resultatet.
Fem spørsmål før et KI-bruksområde godkjennes
Formål: Hvilket problem skal systemet løse, og hva skal det ikke brukes til?
Konsekvenser: Hvem kan bli berørt, og hvilke feil eller utfall er uakseptable?
Beslutningsgrunnlag: Har vi dokumentert at systemet fungerer godt nok i vår faktiske brukskontekst?
Ansvar og myndighet: Finnes det en navngitt eier og reell myndighet til å utfordre, overstyre og stanse?
Endring og motstandsdyktighet: Vet vi hva som utløser ny vurdering, og kan vi håndtere feil, hendelser og leverandørskifte?
Før KI rulles ut, må ansvaret være mer enn formulert. Det må være gjort mulig.
