EU har endret hvordan de to største digitale regelverkene deres passer sammen. Forordning (EU) 2026/1744, kjent som AI-omnibusen, endrer KI-forordningen og flytter hvor den overlapper med GDPR. Denne guiden med KI-forordningen og GDPR-endringene forklart går gjennom det kildeanalysen fremhever: en ny artikkel 4a om data for bias-deteksjon, vurderinger av konsekvenser for grunnleggende rettigheter (FRIA-er) som kan gjenbruke personvernkonsekvensvurderinger (DPIA-er) etter GDPR, mykere plikter knyttet til KI-kompetanse og nye tilsynsordninger.

Kildematerialet er et kort sammendrag, så dette innlegget holder seg til disse hovedendringene og unngår å gjette på detaljer det ikke redegjør for. Der finlitteraturen betyr noe, sier vi det.

Hva AI-omnibusen endret i KI-forordningen

Ifølge sammendraget «bygget» forordning (EU) 2026/1744 om overlappingen mellom KI-forordningen og GDPR. Fire endringer skiller seg ut:

  • Data for bias-deteksjon (art. 4a): en ny bestemmelse som adresserer håndteringen av data for å oppdage bias i KI-systemer.
  • FRIA-er som gjenbruker DPIA-er: vurderinger av konsekvenser for grunnleggende rettigheter kan bygge på DPIA-ene organisasjoner allerede utfører under GDPR.
  • Mykere KI-kompetanse: pliktene knyttet til KI-kompetanse er lempet på.
  • Nytt tilsyn: endringer i hvordan tilsynet er organisert.

Den bredere konteksten er et push for å forenkle EUs digitale regelverk. Hvis du vil ha det større bildet, dekker vår forklaring om hva EU Digital Omnibus endrer for cookies, GDPR og KI forenklingspakken mer i dybden.

Data for bias-deteksjon etter artikkel 4a: hva det betyr for dine personopplysninger

Bias-testing er et reelt spenningspunkt. For å sjekke om et KI-system behandler grupper urettferdig, trenger utviklere ofte data om kjennetegn som etnisitet, helse eller andre sensitive attributter. GDPR setter strenge grenser for behandling av den slags data. Artikkel 4a er KI-forordningens svar: den tillater håndtering av data for bias-deteksjon innenfor KI-rammeverket.

For vanlige folk er det praktiske spørsmålet om dine data kan brukes til å teste et KI-system. Sammendraget bekrefter at bestemmelsen eksisterer, men det angir ikke sikkerhetstiltakene, vilkårene eller grensene knyttet til den. Den detaljen betyr noe. Formålsbegrensning, dataminimering og sikkerhet er den typen beskyttelse man bør se etter i forordningsteksten og i hvordan organisasjoner beskriver praksisen sin.

Hensikten, å revidere KI for diskriminering, er legitim. Personvernrisikoen ligger i om tillatelsen er smal og godt kontrollert, eller bred og løst håndhevet. Lesere bør behandle det som et åpent spørsmål til de har sett den operative ordlyden.

Hvordan FRIA-er og GDPR-DPIA-er nå fungerer sammen

En DPIA er GDPR-vurderingen en organisasjon utfører når behandling sannsynligvis vil utgjøre en høy risiko for folks rettigheter. En FRIA er KI-forordningens vurdering av hvordan et høyrisiko-KI-system kan påvirke grunnleggende rettigheter. Før endringen kunne en organisasjon stå overfor to overlappende papirøvelser.

Under AI-omnibusen kan FRIA-er gjenbruke DPIA-er. I klartekst betyr det at arbeid gjort for én vurdering kan mate den andre, noe som bør redusere duplisering.

Det finnes fordeler og forbehold:

  • Fordel: én godt utført vurdering kan tjene begge regimene, noe som kan oppmuntre til grundigere arbeid i stedet for å krysse av to ganger.
  • Forbehold: en DPIA fokuserer på personvernrisiko. En FRIA er ment å se bredere, inkludert diskriminering og andre rettigheter. Gjenbruk av en DPIA hjelper bare hvis de bredere spørsmålene fortsatt genuint stilles.

Hva personvernbevisste brukere vinner og taper

Sannsynlige gevinster

  • Klarere regler for bias-testing, som kan hjelpe med å fange opp diskriminerende KI før det påvirker deg.
  • Mindre duplisert vurderingsarbeid, som kan frigjøre organisasjoner til å fokusere på kvalitet.
  • Fortsatte GDPR-rettigheter. Sammendraget beskriver en justert overlapping, ikke en opphevelse av GDPR.

Mulige tap eller usikkerheter

  • En ny juridisk vei for å håndtere sensitive data for bias-deteksjon, med sikkerhetstiltak som må granskes.
  • Mykere plikter knyttet til KI-kompetanse, som kan bety at ansatte som bruker KI-verktøy får mindre pålagt opplæring.
  • Nye tilsynsordninger, hvis effekt på håndheving og klagebehandling ikke er detaljert i kilden.

Hva dette betyr for deg

Ingenting i sammendraget tyder på at dine grunnleggende GDPR-rettigheter, som innsyn, sletting og protest, har forsvunnet. Det som har endret seg er maskineriet rundt KI-systemer: hvordan data kan brukes til å teste dem, hvordan risikovurderinger kombineres, og hvem som fører tilsyn med dem.

Hvis du samhandler med KI-systemer som brukes i ansettelse, långiving, utdanning eller offentlige tjenester, kan de nye reglene påvirke hvordan dataene dine brukes til rettferdighetstesting og hvor grundig rettighetene dine vurderes. Detaljene vil avhenge av den fullstendige forordningsteksten og av hvordan nasjonale myndigheter anvender den.

Handlingsrettede punkter

  • Les personvernerklæringer for KI-språk. Se etter om en organisasjon sier at den bruker personopplysninger til å teste eller forbedre KI, inkludert bias-deteksjon.
  • Spør om vurderinger. Du kan spørre en bedrift om den har utført en DPIA eller en FRIA for KI-systemer som påvirker deg, og hvordan de to henger sammen.
  • Bruk GDPR-rettighetene dine. Forespørsler om innsyn, protest og sletting er fortsatt tilgjengelige.
  • Vent på detaljene. Behandle hovedendringene som et utgangspunkt og sjekk forordningsteksten for sikkerhetstiltak knyttet til artikkel 4a.

For å fortsette å bygge kontekst, start med vår Digital Omnibus-forklaring, og gjennomgå deretter hvordan organisasjonene som holder dataene dine, beskriver sin KI- og konsekvensvurderingspraksis. Med denne forklaringen av KI-forordningens og GDPR-endringene er du bedre rustet til å stille de riktige spørsmålene.