Styrets ansvar for KI: hva styret bør spørre om før neste møte

Kunstig intelligens er ikke lenger et IT-prosjekt. Den skriver kontrakter, svarer kunder, sorterer søknader og behandler personopplysninger. Det gjør KI til et styreansvar etter de samme reglene som gjelder for økonomi, sikkerhet og internkontroll. Styret trenger ikke å forstå teknologien i detalj, men det må vite nok til å føre tilsyn.

Hva sier aksjeloven om styrets ansvar for KI?

Aksjeloven nevner ikke kunstig intelligens, men styrets alminnelige plikter treffer KI-bruken fullt ut. Etter aksjeloven § 6-12 første ledd hører forvaltningen av selskapet under styret, og styret skal sørge for forsvarlig organisering av virksomheten. Etter tredje ledd skal styret påse at virksomheten, regnskapet og formuesforvaltningen er gjenstand for betryggende kontroll.

Aksjeloven § 6-13 pålegger styret å føre tilsyn med den daglige ledelsen og selskapets virksomhet for øvrig. Styret kan fastsette instruks for daglig leder. Etter aksjeloven § 6-15 annet ledd kan styret og hvert enkelt styremedlem til enhver tid kreve en nærmere redegjørelse om bestemte saker.

Disse reglene er rettslige standarder. Hva som er forsvarlig organisering, endres med virksomheten og omgivelsene. Når KI brukes i kjernevirksomheten, er det vanskelig å se at organiseringen er forsvarlig uten at noen har oversikt over bruken, regler for den og ansvar for oppfølgingen. Allmennaksjeloven har tilsvarende regler for allmennaksjeselskaper.

Hvilke KI-beslutninger hører hjemme i styret?

Saker som etter selskapets forhold er av uvanlig art eller stor betydning, hører ikke under den daglige ledelsen, jf. aksjeloven § 6-14 annet ledd. Slike saker skal til styret.

Et innkjøp av en KI-assistent til saksbehandlerne er normalt daglig drift. Å bygge selskapets kundeservice eller produkt rundt en KI-modell, eller å la KI treffe beslutninger om kunder eller ansatte, kan derimot være av stor betydning. Det gjelder særlig når selskapet blir avhengig av én leverandør, når store mengder personopplysninger behandles, eller når feil kan ramme mange kunder samtidig.

Når kan styremedlemmer bli personlig ansvarlige?

Styremedlemmer kan bli erstatningsansvarlige når de forsettlig eller uaktsomt påfører selskapet, aksjeeierne eller andre et tap, jf. aksjeloven § 17-1 første ledd. Vilkårene er de vanlige i erstatningsretten, altså ansvarsgrunnlag, økonomisk tap og årsakssammenheng.

Aktsomhetsnormen er hva et forsvarlig styremedlem ville ha gjort i samme situasjon. Ansvaret er individuelt, slik at hvert styremedlem vurderes for seg. Ansvaret kan lempes etter aksjeloven § 17-2, jf. skadeserstatningsloven § 5-2, og det er generalforsamlingen som avgjør om selskapet skal fremme kravet, jf. aksjeloven § 17-3.

Styret holdes sjelden ansvarlig fordi det tok en dårlig beslutning. Det holdes ansvarlig fordi det ikke stilte spørsmålene.

Det finnes per i dag ingen norske avgjørelser om styreansvar knyttet til bruk av KI. Rettspraksis om styreansvar viser likevel at domstolene legger vekt på om styret har skaffet seg et forsvarlig beslutningsgrunnlag og fulgt opp kjente risikoer. Et styre som aldri har spurt hvordan selskapet bruker KI, har et dårlig utgangspunkt hvis en KI-feil fører til et stort tap. Det mest sannsynlige ansvarsscenariet er ikke at styret valgte feil teknologi, men at det overså en risiko som var kjent eller burde vært det.

Hvilke KI-risikoer bør styret kjenne til?

Styret bør ha oversikt over et fåtall risikoområder. Tabellen viser de vanligste og hvor de kan ramme bunnlinjen.

Den risikoen styret oftest undervurderer, er den det ikke ser. Ansatte tar i bruk gratisversjoner av KI-verktøy på egen hånd, ofte i beste mening og for å jobbe raskere. Slik bruk står ikke i noen leverandøroversikt, er ikke dekket av databehandleravtaler og blir ikke fulgt opp. Et styre som bare spør om de verktøyene selskapet har kjøpt, får derfor et for lyst bilde.

Hver risiko har sin egen juridiske side. Risikoen ved feil svar er nærmere omtalt i artikkelen om ansvar for KI-hallusinasjoner, og risikoen ved KI-skrevne avtaler i artikkelen om vibe lawyering. Lekker personopplysninger, gjelder egne regler om brudd på personopplysningssikkerheten med frister som teller i timer.

Hva bør styret spørre daglig leder om før neste møte?

Styrets ansvar for KI utøves best gjennom gode spørsmål. Disse åtte gir styret et forsvarlig grunnlag.

1. Hvilke KI-verktøy brukes i selskapet i dag, også de ansatte har tatt i bruk selv?
2. Hvem har ansvaret for KI-bruken, og hvordan rapporteres den til styret?
3. Har vi skriftlige regler for ansattes bruk av KI, og hvordan følges de opp?
4. Hvilke opplysninger legges inn i verktøyene, og brukes de til trening av leverandørens modeller?
5. Hvor tar KI beslutninger eller gir råd uten at et menneske kontrollerer resultatet?
6. Hva sier leverandøravtalene om ansvar, konfidensialitet, lagringssted og exit?
7. Har de ansatte fått opplæring, og er den dokumentert?
8. Hva er vår plan for KI-forordningen når den gjennomføres i Norge?

Svarene trenger ikke å være perfekte. Det viktige er at styret får dem, vurderer dem og følger opp. Mangler selskapet KI-retningslinjer for ansatte, er det ofte det første tiltaket styret bør be om.

Hvordan kan styret dokumentere at det har gjort jobben?

Styreprotokollen er det viktigste beviset. Etter aksjeloven § 6-29 skal det føres protokoll over styrebehandlingen. Protokollen bør vise at KI har vært behandlet, hvilket grunnlag styret hadde og hva som ble besluttet.

I tillegg bør styret vurdere å fastsette rapporteringskrav i instruksen for daglig leder, jf. aksjeloven § 6-13 annet ledd, sette KI på årsplanen og be om en kort statusrapport minst én gang i året. Ved større KI-prosjekter bør styret få en egen risikovurdering før beslutningen treffes.

Gjelder KI-forordningen for styret?

Ikke direkte. KI-forordningen pålegger plikter til selskapet som leverandør eller idriftsetter, ikke til styremedlemmene personlig. Etter KI-forordningen art. 4 skal selskapet sette i verk tiltak for KI-kompetanse hos dem som bruker systemene. Kravet gjelder i EU, men forordningen er ennå ikke innlemmet i EØS-avtalen eller gjennomført i norsk lov. Regjeringen tar sikte på ny høring høsten 2026 og proposisjon våren 2027.

Har konsernet datterselskaper i EU, gjelder kravene der allerede. Det samme gjelder når selskapet selv leverer KI-systemer til kunder i EU. Styret i morselskapet bør da forsikre seg om at etterlevelsen er fulgt opp i hele konsernet.

For styret betyr det at forordningen er en planleggingsoppgave nå og et etterlevelseskrav senere. Les mer om kravet til KI-kompetanse etter KI-forordningen og på pilarsiden om kunstig intelligens.

Hva bør styret gjøre nå?

1. Sett KI på agendaen. Be daglig leder svare på spørsmålene over til neste styremøte.
2. Plassér ansvaret. Sørg for at én person i ledelsen har det samlede ansvaret for KI-bruken.
3. Krev regler. Be om skriftlige KI-retningslinjer for ansatte og en plan for opplæring.
4. Avklar hva som skal til styret. Fastsett at større KI-prosjekter og avhengighet av én leverandør behandles i styret.
5. Bygg egen kompetanse. Sørg for at styret samlet forstår nok til å vurdere svarene den får.
6. Protokollér. La protokollen vise hva styret har vurdert og besluttet.
7. Følg opp. Be om en årlig gjennomgang av KI-bruk, avvik og leverandøravtaler.

Spørsmål og svar

Neste faglige kontroll: 15. januar 2027