Hvem er ansvarlig når bruk av AI leder til skade?

Eksempler på dette er om en førerløs bil kjører på noen, et AI-program diagnostiserer en pasient med feil diagnose, eller at et program benyttet til ansettelser har en innebygget lovstridig forutinntatthet som påvirker hvem som får stillingen.

Tradisjonelt har mennesker blitt holdt ansvarlige for handlingene sine. Med AI-systemer blir det mer utfordrende å fastslå hvem som skal bære ansvaret når systemene selv kan ta beslutninger basert på kompliserte algoritmer og enorme datamengder. Dette gir opphav til en viktig etisk og juridisk problemstilling: Hvem skal holdes ansvarlig når bruk av AI fører til skade?

Utgangspunkter

I norsk rett må tre grunnvilkår være oppfylt for å kunne kreve erstatning. Det må foreligge et ansvarsgrunnlag, et økonomisk tap, og en adekvat årsakssammenheng mellom ansvarsgrunnlaget og det økonomiske tapet. Ved krav om erstatning i kontraktsforhold, må det i tillegg foreligge et kontraktsbrudd.

Som hovedregel vurderes personskade etter reglene om erstatning utenfor kontrakt, for eksempel dersom en selvkjørende bil påfører en fotgjenger skade. For tilfeller hvor parter har inngått en avtale og det oppstår skader som knyttes til avtaleforholdet, er det reglene om erstatningsansvar i kontraktsforhold som er bestemmende. Kontrakten er avgjørende for erstatningsansvarets rammer, men ansvaret er i utgangspunktet strengt så lenge det foreligger et objektivt avvik fra det AI-systemet skal prestere etter avtalen. Ansvar kan for eksempel bli aktuelt dersom et AI-system som er anskaffet for å gjennomgå store dokumentmengder har en feil som gjør at avgjørende detaljer blir oversett, og dette påfører kjøperen av systemet et økonomisk tap.

Hvilken ansvarsform?

Ved vurderingen av ansvar ved bruk av AI er det sentrale spørsmålet om det vil foreligge ansvarsgrunnlag, og i så fall for hvem.

Etter norsk rett er utgangspunktet at skadevolder må ha opptrådt uaktsomt for at det skal foreligge et ansvarsgrunnlag. I enkelte situasjoner er det likevel aktuelt med objektivt ansvar for påført skade, for eksempel ved bruk av biler og andre produkter.

Produktansvaret er et særlig aktuelt objektivt ansvarsgrunnlag som det er viktig å være bevisst på både for produsenter, produkteiere og brukere av AI-systemer (se produktansvarsdirektivet: Direktiv 85/374/EØF). Produktansvaret gjør produsenter ansvarlig for skade som oppstår og som skyldes «sikkerhetsmangler» ved et produkt. Programvare og lignende omfattes per nå ikke av «produkt»-begrepet, men EU-kommisjonen har foreslått å endre produktansvarsdirektivet slik at definisjonen blant annet også skal omfatte størrelser som programvare. Definisjonen vil da inkludere både fysiske ting som inneholder AI, samt rendyrkede kunstig intelligente systemer. For at ansvar etter produktansvarsloven skal foreligge, må produktet ha en «sikkerhetsmangel». Om den skadelidte kan påvise at produktet ikke hadde den sikkerheten som man med rimelighet kunne forvente blir dermed produsenten ansvarlig etter produktansvarsloven, og den skadelidte skal få erstattet sitt tap. Dette er et objektivt ansvar, altså uavhengig av om produsenten burde handlet annerledes – det er tilstrekkelig at det foreligger en sikkerhetsmangel.

Dersom produsenten eller eieren av AI-systemet ikke er objektivt ansvarlig for skaden påført av systemet, kan uaktsomhet være et aktuelt ansvarsgrunnlag.

Hvem burde handlet annerledes?

For å kunne holdes erstatningsansvarlig for uaktsom skadeforvoldelse, må noen ha utvist subjektiv skyld. Avgjørende er om vedkommende kunne og burde handlet annerledes, slik at skaden ikke ville oppstått.

De dominerende AI-systemer i dag er ikke autonome aktører, men de opererer innenfor rammen av de regler og instruksjoner de er programmert med. Foreløpig er det ikke rettslig grunnlag for å holde slike systemer ansvarlig i seg selv, og man må heller peke på de menneskene som har brukt, utviklet, implementert og vedlikeholdt AI-systemet, som potensielle ansvarlige. Dette kan inkludere både brukere, utviklere, ingeniører, designere og ledere som har ansvar for systemene. Hvem av disse som skal holdes ansvarlig vil i stor grad avhenge av hvor feilen ligger – eller mer konkret, hva som førte til skaden som oppstod. Kan feilen spores tilbake til brukeren ved at denne ikke har fulgt bruksanvisningen til AI-systemet til punkt og prikke? Inneholder bruksanvisningen feil slik at produsenten må holdes ansvarlig? Er AI-systemet kodet på en måte som gjorde det uunngåelig at det oppstod en defekt, slik at utvikleren må holdes ansvarlig? Hva om ingen feil er gjort i noe ledd, men skaden likevel oppstår?

Et problem med kunstig intelligens er at algoritmer som er bygget på store datamengder for det første kan ta avgjørelser som ikke er mulige å forklare eller rasjonalisere – såkalt «black box»-AI. For det andre vil slike algoritmer kunne utvikle seg selv etter hvert som brukere av AI-systemet mater systemet med input. Vanskelighetene med å påvise hvor feilen har oppstått vil derfor bare bli større og større, og det å sette fingeren på hva som utløste skaden, for ikke å nevne spørsmålet om det foreligger adekvat årsakssammenheng, kan bli en umulig oppgave. Det er derfor et raskt økende behov for lovgivning som mer konkret gjelder spørsmålet om erstatningsansvar for skader påført av AI, slik at man ikke må bruke store ressurser på å avgjøre hvem som skal holdes ansvarlig.

EUs forslag om et nytt AI-ansvarsdirektiv kan bidra til å fjerne noe av hodebryet som oppstår i disse spørsmålene. Direktivforslaget gir felles regler om bevisfremleggelse, bevisbyrde og en presumsjon for årsakssammenheng ved påvist ansvarsbetingende forhold. Direktivet er fortsatt til behandling i Rådet og Europaparlamentet, slik at det fortsatt er en god stund til det trår i kraft i EU – og enda lenger til direktivet blir implementert i norsk rett.

Skadepotensialet til AI angår oss alle

Selv om dagens regelverk kan benyttes til å fordele ansvar mellom partene ved en skadehendelse, vil den raske teknologiske utviklingen kunne føre til at det oppstår situasjoner hvor regelverket ikke er tilstrekkelig tilpasset de ulike spørsmålene som oppstår når bruk av AI påfører skade. Politikere og grunnleggende samfunnsinstitusjoner har, og må ta, ansvar for å utvikle et fleksibelt og tilpasningsdyktig regelverk. Likevel vil det trolig oppstå problemstillinger som ingen ved regelutviklingen har tatt stilling til, som leder til en usikkerhet for utvikler, eier og bruker med hensyn til hvem som vil bli holdt ansvarlig i det enkelte tilfellet.

Særlig ved design og utvikling er det derfor viktig å sørge for at systemene har robuste sikkerhetsmekanismer og etterlever etiske standarder. I tillegg bør eiere av AI-systemer synliggjøre svakhetene overfor sluttbruker, for å i størst mulig grad bevisstgjøre den endelige brukeren på ulike risikopunkter som vedkommende bør være oppmerksom på. For alt ansvaret ligger ikke på personene bak AI-systemene.

Brukere av systemene må også ha en bevisst holdning til hva som kreves i bruken av AI. Brukere kan ikke stole på all output som kommer fra et AI-system, men må kritisk evaluere og eventuelt verifisere output før det tas en avgjørelse. Her er det viktig å påpeke at tilstrekkelig opplæring og forståelse av AI-teknologier og systemer er kritisk for at brukere skal kunne ta informerte beslutninger og benytte seg av systemene på en mest mulig trygg måte. De ulike partene involvert i utviklingen og bruken av AI vil altså være felles ansvarlige for hvordan teknologien forvaltes. Alle må bidra til trygg og sikker utvikling og bruk av AI fremover, dette også etter at EUs nye regelverk etter hvert kommer på plass.