KI-register: slik bygger du oversikt som varer

Hvorfor register først

Både KI-forordningen og GDPR forutsetter at du vet hva du har. Klassifisering, DPIA, FRIA, tiltak og tilsynssvar bygger alle på samme oversikt. Bygger du den sist, må du gjøre alt om igjen.

Minimumsfelt per system

• Navn og leverandør
• Bruksområde i én setning
• Systemeier (person, ikke avdeling)
• Har systemet KI-funksjonalitet: ja / sannsynligvis / nei / vet ikke
• Behandles personopplysninger, og hvilke kategorier
• Klassifisering etter KI-forordningen, med begrunnelse og dato
• Behandlingsgrunnlag etter GDPR
• DPA signert (ja/nei/dato)
• Lagringssted
• Menneskelig kontroll: hvem overstyrer, og hvordan
• Status på DPIA/FRIA
• Sist vurdert

Feltet «vet ikke» er viktig. Et register som tvinger sikre svar, blir fylt ut med gjetninger.

Hvordan du finner systemene

Kombiner fire kilder: leverandørlisten fra økonomi, oversikt over SSO-innlogginger fra IT, en kort spørrerunde til avdelingslederne, og en gjennomgang av nettsiden og innbyggerdialogen.

Rutinen som holder registeret levende

1. Nye systemer registreres som del av anskaffelsesprosessen — ikke etterpå.
2. Kvartalsvis gjennomgang: endrede funksjoner, nye KI-moduler, utløpte DPA-er.
3. Klassifiseringen revurderes når formål eller datagrunnlag endres.
4. Tiltak får eier og frist, og følges opp i samme rytme.
5. Årlig ledelsesgjennomgang med status og gjenstående risiko.

Vanligste feil

Registeret føres per leverandør istedenfor per bruksområde, det mangler dato på vurderingene, og det bor i et regneark ingen eier. Alle tre gjør det ubrukelig ved tilsyn.

Start med de systemene som berører flest personer. Fullstendighet kommer med rutinen, ikke med den første runden.