Spesielt om regulatorisk sandkasse for ansvarlig kunstig intelligens

Målet med sandkassen er å stimulere til innovasjon av etisk og ansvarlig KI fra et personvern­perspektiv. Kunstig intelligens representerer store muligheter, men byr også på utfordringer når det kommer til personvern og bruk av personopplysninger. Sandkassen hjelper enkeltaktører med å følge regelverket og utvikle personvernvennlige KI-løsninger. Vi kan så bruke eksempler og læring fra de ulike prosjektene til å lage veiledning som kan hjelpe andre virksomheter å ta i bruk kunstig intelligens på en personvernvennlig måte.

Sandkassen er finansiert av et tverr-departementalt samarbeid. Det inkluderer Kommunal- og distriktsdepartementet, Arbeids- og sosialdepartementet, Helse- og omsorgsdepartementet, Kunnskapsdepartementet, Nærings- og fiskeridepartementet og Samferdselsdepartementet.

Gjennomførte aktiviteter

I 2021 har hovedaktivitetene i sandkassen vært opptak av sandkasseprosjekter og drift av prosjektene. I tillegg har vi drevet utadrettet kommunikasjon for å få søkere og for å spre læringen fra de første prosjektene.

Søknadsrunder

I 2021 har vi hatt to søknadsrunder. Den første hadde søknadsfrist i januar og den andre i september. Til sammen fikk vi inn 46 søknader som representerte et bredt utvalg sektorer og personvernproblemstillinger knyttet til KI. Søknadsbunken inneholdt mange spennende innovasjonsprosjekter som berørte bruk av kunstig intelligens i Norge. Temaer som gikk igjen i søknadene var transparens, rettferdighet, dataminimering, anonymisering og behandlingsgrunnlag.

Opptakskomiteen bestod av en intern, tverrfaglig gruppe som gjennomførte samtaler med samtlige søkere. En ekstern referansegruppe med medlemmer fra Innovasjon Norge, Norsk Regnesentral, Likestillings- og diskrimineringsombudet og Tekna hjalp oss med å vurdere samfunnsnytten i prosjektene. Den endelige utvelgelsen av prosjektene som ble tatt opp i sandkassen, ble gjort av styringsgruppen som består av ledelsen i tilsynet.

Utvelgelsen av prosjektene var basert på noen konkrete søknadskriterier. Prosjektene må blant annet involvere kunstig intelligens og de må ha konkrete personvernproblemstillinger det ønskes hjelp til for å muliggjøre en tjeneste. I utvelgelsen var det viktig for tilsynet å velge ut aktører som representerer et spenn av virksomheter (offentlig, privat, oppstartsbedrifter, større virksomheter). Vi la spesielt vekt på om personvernproblemstillingene i prosjektene er relevante for andre aktører som benytter KI for å skalere effekten av sandkassen.

Gjennomførte og påbegynte sandkasseprosjekter

Første runde hadde oppstart i slutten av mars og bestod av fire prosjekter:

• Age Labs er et ungt gründerselskap innenfor prediktiv diagnostikk. De kombinerer maskinlæring og biobanker, og ser på epigenetikken, altså hvordan genene blir slått av og på. Med maskinlæring finner de signaler på sykdom, og målet er å oppdage diagnoser tidligere. I dette prosjektet så vi på hvilke muligheter det er for å bruke KI til dette formålet. Det ble vurdert hvordan anonymisering kan legge til rette for bruk av personopplysninger til å avdekke aldersrelatert sykdom.
• Secure Practice jobber med informasjonssikkerhet. De ønsker å utvikle en tjeneste som profilerer ansatte for å kunne tilby tilpasset sikkerhetsopplæring basert på hvilke profilkategorier de ansatte havner i. I sandkassen synliggjorde vi hvordan rollen til Secure Practice som databehandler/behandlingsansvarlig kunne brukes til å begrense arbeidsgiverens tilgang til de ansattes data for å ivareta personvernet på en god måte. Vi gjennomførte også fokusgrupper som bidro til å belyse hvilke behov den ansatte har for informasjon om hvordan opplysningene deres brukes.
• NAV vil bruke KI til å predikere sykefraværslengden til sykmeldte personer. Formålet er å få en mer brukervennlig og effektiv oppfølging av sykmeldte, ved å unngå å kalle inn til unødvendige møter. I dette prosjektet avdekket vi at det er uklart hjemmels­grunnlag for utvikling av kunstig intelligens i særlovgivningen. Dette er et viktig funn som er relevant for andre sektorer innen det offentlige, og som kan være en barriere for utvikling av KI.
• Kommunenes sentralforbund (KS) ønsker å analysere elevers data fra ulike digitale læringsverktøy for å støtte lærerne i vurderingsarbeidet og for å tilpasse undervisningen bedre til elevenes individuelle nivå. KS samarbeider med Slate ved Universitetet i Bergen og Utdanningsetaten i Oslo i prosjektet, og temaet var behandlingsgrunnlag og åpenhet. Dette er et foregangsprosjekt som viser hvordan utdanningssektoren kan implementere kunstig intelligens i læringsverktøy på en personvernvennlig og ansvarlig måte.

Andre runde hadde oppstart i november og består av tre prosjekter som ikke er avsluttet ved årsskiftet:

• Finterai er en fersk oppstartsbedrift som vil gå løs på et samfunnsproblem langt større aktører har slitt med tidligere: hvitvasking og terrorfinansiering. De vil benytte seg av føderert læring, en desentralisert metode som blir ansett som mer personvernvennlig. Slik skal bankene lære av hverandres data uten å faktisk dele dem.
• Simplifai ønsker å ta i bruk maskinlæring for å identifisere og foreslå hvilke eposter og tilhørende dokumenter som regnes som arkivverdige. Målet er å hjelpe offentlig sektor med å møte arkiveringskravene i regelverket og effektivisere arkiveringsprosessen.
• Helse Bergen HF ønsker å bruke kunstig intelligens for å identifisere pasienter som trenger ekstra oppfølging. Hvis disse pasientene skrives ut med en ekstra oppfølgingsmerkelapp, kan de få bedre hjelp av tverrfaglige helsetjenesteteam. Slik kan risikoen bli redusert for en rask retur til sykehuset, noe som er gunstig både for pasientene og helsevesenet.

Utadrettet aktivitet

Å skape nytteverdi for andre virksomheter enn de som deltar, er et viktig mål for sandkassen. I alle prosjektene praktiserer vi åpenhet ved å publisere prosjektplanene og sluttrapportene på nettsidene våre.

Vi har opprettet en egen podkast-serie om sandkassen, SandKasten. Der deler vi innsikt fra de ulike prosjektene. Vi innledet også et samarbeid med Digital Norway, hvor vi har utviklet et e-læringsopplegg om behandlingsgrunnlag – et tema som går igjen i søknadene til sandkassen.

Vi har videre arrangert to workshops for alle søkerne om tematikk vi så gikk igjen. Det arrangeres faste møter på tvers av deltagerprosjektene for å få synergier på tvers av prosjektene. Vi arrangerte et panel om personvern og kunstig intelligens sammen med Digital Norway på Arendalsuka, og i slutten av august arrangerte vi et åpent seminar der sandkassedeltakerne presenterte erfaringer fra prosjektene.

Vi har i 2021 opplevd stor interesse for sandkassen, både nasjonalt og internasjonalt. Vi har holdt innlegg om sandkassen på over 30 ulike konferanser og arrangementer i både inn- og utland, og både utenlandske og norske medier med fokus på teknologi og utvikling, har vært interesserte i erfaringene våre. Disse nyttige for å nå frem til de primære målgruppene våre.

Vi har arrangert koordineringsmøter med Arkivverket og Finanstilsynet som har sandkasser i sine sektorer, og vi holder i et europeisk nettverk for sandkasser der ICO i Storbritannia og CNIL fra Frankrike deltar. Vi har også hatt møter med myndigheter i flere land som er interessert i å høre om erfaringene våre, blant annet Italia, Saudi-Arabia, Kroatia, Estland og Bermuda. 

Flere masterstudenter og doktorgradsstipendiater har skrevet oppgaver om sandkassen, og vi har delt erfaringene våre med dem. En doktorgradsstipendiat fra Senter for rettsinformatikk ved Universitetet i Oslo har fulgt ett av sandkasseprosjektene fra oppstart. 

Erfaringer

I løpet av 2021 har vi altså gjennomført den første runden med prosjekter, og startet på runde nummer to. Etter at prosjektene er valgt ut, skal det lages en prosjektplan, selve prosjektet skal gjennomføres, sluttrapport skal skrives og prosjektet evalueres. Vi har lært mye gjennom den første runden, både når det kommer til det personvernfaglige og metodisk.

Gjennom sandkassen har vi mulighet til å gi virksomhetene som deltar direkte og grundig veiledning på tema som de finner utfordrende. Gjennom arbeidsmøter har vi hjulpet deltakerne med å blant annet definere egen rolle på en måte som kan beskytte dataene til sluttbrukerne. Vi har også belyst hvordan åpenhet og forklarbarhet ikke bare kan løses på en måte som tilfredsstiller kravene i regelverket, men som også kan bidra til at folk har tillit og er villige til å dele reelle data – noe som i konsekvens gir mer presise resultater. I et par av prosjektene brukte vi fokusgrupper for å forstå sluttbrukerperspektivet bedre. I NAV-prosjektet har vi identifisert at en barriere i regelverket relatert til behandlingsgrunnlag kan hindre utvikling av kunstig intelligens i offentlig sektor.

Evalueringen fra første runde med prosjekter viser at nytteverdien for både deltakerne og Datatilsynet er stor. Vi ser at det er viktig å prioritere nøye hvilke spørsmål vi skal besvare i hvert enkelt sandkasseprosjekt. Hvis vi biter over for mye er det krevende å gå i dybden på problemstillingene. Og det er ofte i dybden det blir interessant – målet med sandkassen er jo å gi konkrete eksempler hvordan regelverket kan implementeres i praksis, fremfor å gi generell veiledning. Vi ser også at sluttrapportene, som er en oppsummering av prosess og funn i hvert prosjekt, er ressurskrevende å utarbeide og vi vurderer å endre på formatet til andre runde.

Muligheten for å gå dypere inn i problemstillinger, og forstå hvordan disse oppleves i virksomheten, er verdifull innsikt for Datatilsynet. Det bidrar til å bygge kompetanse og innsikt på viktige felt, både juridisk, teknologisk og samfunnsmessig. Denne kompetansen spres internt i tilsynet ved at medarbeiderne som arbeider i sandkassen representerer ulike seksjoner. Vi deler det også gjennom internt kommunikasjon slik som ukentlige oppdatering, interne nyhetsbrev og faglige påfyll. Økt forståelse for kunstig intelligens og hvordan regelverket kommer til anvendelse, er viktig for at tilsynet skal kunne gi veiledning, gjøre saksbehandling og tilsynsvirksomhet på dette området på en god og kompetent måte.