Sivilombudet advarer: En saksbehandlers signatur er ikke nok til å kontrollere KI

Hovedsak

NORGE · FORVALTNING OG RETTSSIKKERHET · RAPPORT PUBLISERT 11. NOVEMBER

Nav testet KI som la vekt på legens alder

Et system skulle anslå hvor lenge en pasient ville være sykmeldt. Blant opplysningene det la vekt på, var alderen til legen som hadde sykmeldt pasienten. Det skjedde under utprøving av et planlagt system hos Nav, arbeids- og velferdsforvaltningen. Anslaget skulle støtte vurderingen av pasientens oppfølgingsbehov. Systemet var under testing; Nav svarte i undersøkelsen at etaten ikke bruker KI til digital beslutningsstøtte i dag. [1]

Eksempelet reiser et ubehagelig spørsmål. En korrelasjon er en statistisk sammenheng: To forhold varierer sammen. Sammenhengen kan bidra til en prediksjon uten å forklare årsaken, og uten at opplysningen er et lovlig og relevant hensyn i en avgjørelse om et menneske. At legens alder forbedrer et anslag, viser ikke at den bør påvirke pasientens oppfølging.

Advarselen kommer fra Sivilombudet, Stortingets uavhengige kontrollorgan for forvaltningen. Rapporten er datert 31. oktober, publisert 11. november og har saksnummer 2026/145. Ombudet krever tilstrekkelig innsikt og reelle muligheter til å kontrollere at anbefalingene bygger på saklige og lovlige hensyn. [1][2]

Fire etater, ulike måter å kontrollere på

Arbeidstilsynet, som fører tilsyn med arbeidsmiljøet, bruker Prediksjonsindeksen. Systemet beregner risikoscorer på grunnlag av tidligere tilsyn og bidrar til å prioritere nye. Generell kunnskap om modellen kan være nyttig. Ifølge rapporten kan det også være nødvendig å vite hva som ligger bak den enkelte scoren, slik at inspektøren kan se bort fra den. [1]

Skatteetaten, skattemyndigheten, bruker modeller for å finne mulige uriktige fradrag eller sekundærboliger som leies ut. Etaten bruker Shapley-verdier, en metode som anslår hvilke variabler som har betydning for prediksjonene. Det kan avdekke uventede faktorer. Men å forklare en prediksjon viser ikke i seg selv at den er pålitelig, eller at hensynene bak den er lovlige. [1]

Tolletaten, tollmyndigheten, leter etter mønstre og avvik i varer og forsendelser. Modellene gir ikke risikoscorer eller anbefalinger om kontroll. Analytikere sammenholder funnene med andre kilder og utformer kontrollregler manuelt. Rapporten peker på dette som en mulig form for selvstendig etterprøving, forutsatt at også relevansen av hvert kriterium vurderes. [1]

Senere undersøkelser reparerer ikke et usaklig kontrollutplukk

Problemet oppstår før den endelige avgjørelsen. En saksbehandler kan kontrollere opplysningene om en person og fortsatt ikke vite hvorfor nettopp denne personen ble valgt ut. Et senere funn av regelbrudd gjør ikke et opprinnelig diskriminerende eller irrelevant utvalgskriterium lovlig. [1]

I tillegg kommer automatiseringsbias: tendensen til å stole for mye på en anbefaling fordi den kommer fra en maskin. Det holder ikke å ha kontrollmuligheter; arbeidet må organiseres slik at de faktisk brukes. Artikkel 22 i personvernforordningen (GDPR) verner, med unntak, mot avgjørelser som utelukkende bygger på automatisert behandling og har rettsvirkning eller tilsvarende vesentlig betydning, og rent formell menneskelig medvirkning kan fortsatt falle innenfor dette. [1]

For advokatkontorer er overføringsverdien klar: Å gjennomgå KI-resultater gir først en garanti når den som kontrollerer, har kildene, tiden, kunnskapen og myndigheten til å etterprøve og avvise dem. En avkrysning for «kontrollert» gir ikke alt dette.

Rapporten fastslår ikke konkrete lovbrudd og skaper ingen ny regel. Den presiserer kravene til kontroll og foreslår at de kommer tydeligere frem i lovgivningen. [1][2]