Teknologi og innovasjon

Stadig flere virksomheter bruker kunstig intelligens (AI) for å skape, optimalisere innhold og effektivisere arbeidsflyt. Bare siden ChatGPT ble lansert for ti måneder siden, har over 80 prosent av alle Fortune 500-selskaper tatt i bruk verktøyet (ifølge OpenAI). Vi bruker selv AI i ulike former som nyttige og effektiviserende verktøy i arbeidshverdagen, og opplever at flere og flere virksomheter gjør det samme, særlig i teknologisektoren. 

AI-tjenester som ChatGPT / OpenAI Codex, Midjourney, DALL-E 2, Tabnine, CodeT5, Copilot og et større og større utvalg andre tjenester kan brukes til å skape, effektivisere og optimalisere prosesser, innhold og kildekode, og effektivisere arbeidsflyt. Prosesser som tidligere var tidkrevende å utføre manuelt, kan nå ferdigstilles med bare noen tastetrykk.

De aller fleste er enige om at vi står ovenfor en ny æra, og at AI vil spille en stor rolle i samfunnsutviklingen fremover. Dette vil igjen utløse behov for tjenester som er tilpasset konfidensialitets- og sikkerhetskrav, samt sektorspesifikke behov. Men, inntil dette er på plass i den utstrekning som behøves, kan det være grunn til å stramme til – eller i det minste være bevisst – din virksomhets bruk av AI-tjenester.

Innhenting av data er en grunnleggende forutsetning for – men også utfordring med – all AI. De fleste AI-baserte tjenester, som ChatGPT, bruker enorme mengder data for maskinlæring og prediksjon/utforming av svar. For at ChatGPT skal kunne "gjette" (for det er det den gjør) hva som bør være svaret på spørsmålet eller oppfordringen din, må den ha analysert nok eksempler for å kunne danne et brukbart svar. Ofte brukes enorme mengder allerede offentlig tilgjengelig data for dette formålet. Men også data som 

 bidrar med, bidrar til kontinuerlig opplæring av intelligensen og kan potensielt gjenbrukes i tjenestenes output til andre brukere.

OpenAI, som tilbyr ChatGPT, og tilsvarende "direkte til sluttbruker"-tjenester påtar seg selv ingen konfidensialitetsforpliktelser overfor brukerne i sine tjenestevilkår. Den senere tiden har OpenAI imidlertid åpnet for at visse brukere delvis kan velge bort at egen input benyttes til videreopplæring av systemet.

Men uten et bevisst forhold til dette, kan det være særlig problematisk å bruke AI som arbeidsverktøy. Hvis ansatte ukritisk og uten tilstrekkelige forholdsregler deler informasjon med AI-tjenester som bruker informasjonen videre, oppstår det risiko for at konfidensiell informasjon lekker ut og tilgjengeliggjøres for andre.

Det finnes flere eksempler på at konfidensiell informasjon har lekket til AI. I vår ble det for eksempel avdekket at

 ingeniører hos Samsung hadde lagt inn en konfidensiell kildekode i Chat GPT

 for å optimalisere og kontrollere koden. Samsung har nå iverksatt tiltak for å kontrollere de ansattes bruk av ChatGPT, men hendelsen ble en dyrekjøpt lærepenge. Problemstillingen er ikke bare relevant for kildekode, men all informasjon med kommersiell verdi (Kildekode er dessuten ofte vernet av opphavsrett (copyright), som vil kunne innebære et ekstra beskyttelseslag. Opphavsrettsbeskyttet materiale kan i utgangspunktet ikke benyttes av andre enn legitime rettighetshavere selv om materialet er tilgjengeliggjøres for offentligheten).

Protect your secret sauce – vurder tilpassede tjenester

Verdifull informasjon som gir konkurransefortrinn har ofte vern mot urettmessig bruk av andre gjennom forretningshemmelighetsloven. To av vilkårene for å opprettholde dette vernet er imidlertid at informasjonen holdes hemmelig, og at det er iverksatt rimelige tiltak for hemmelighold.

Man kan reise spørsmål ved om å angi en forretningshemmelighet som input i f.eks. ChatGPT, OpenAI Codex eller Copilot kan anses som tilgjengeliggjøring av en forretningshemmelighet. Det kan også reises spørsmål ved om internrutinene knyttet til hemmelighold av slik informasjon har vært utilstrekkelige dersom ansatte fritt kan mate den inn i åpne AI-tjenester. Er svaret ja på ett av disse spørsmålene, kan det innebære at vernet som "forretningshemmelighet" oppløses og informasjonen faller i det fri for enhvers bruk. Muligheten for andre til å hente ut informasjonen fra tjenesten vil selvsagt ha stor betydning for i hvilken grad risikoen knyttet til dette, utløses. Men gitt de grunnleggende prinsippene for maskinlæring og viderebruk av data, kan det ikke utelukkes at informasjonen vil fremkomme i tjenestenes svar til andre i en eller annen form. 

Vi råder bedrifter som besitter kommersiell sensitiv informasjon til å være bevisste på disse problemstillingene, og se etter AI-løsninger hvor konfidensialiteten av input ivaretas. OpenAI sine API-baserte ChatGPT løsninger bruker visstnok ikke input til å trene løsningen. OpenAI lanserer også i disse dager sin Enterprise-løsning for ChatGPT, som visstnok i større grad vil begrense tjenestens bruk av brukernes input. Det finnes også bransjespesifikke tjenester (f.eks. for advokatbransjen) som er bedre tilpasset sektorspesifikke behov for konfidensialitet og ivaretakelse av konkurransefortrinn.

Virksomheter som ønsker at ansatte tar i bruk AI-baserte tjenester bør uansett ha klare retningslinjer for bruk av disse, og hva slags informasjon selskapet tillater at brukes som input (og ikke minst krav til kritisk vurdering av output). Dette er spesielt viktig hvis selskapet forvalter andres forretningshemmeligheter og konfidensielle informasjon i tillegg til sin egen. Ukritisk bruk av AI kan i slike tilfeller medføre ansvar overfor samarbeidspartnere for brudd på konfidensialitetsforpliktelser de har påtatt seg i samarbeidet.

Den andre siden av risikoen omtalt ovenfor er at ukritisk bruk av 

fra AI-tjenester, kan innebære risiko for inngrep i andres immaterielle rettigheter. Et eksempel på dette finner vi i en pågående sak 

hvor flere ukjente rettighetshavere har gått til søksmål mot GitHub, Microsoft og OpenAI

. Saksøkerne hevder at GitHub sitt AI-baserte programmeringsverktøy Copilot har brukt deres opphavsrettslige beskyttede kode til å trene Copilot sin kunstige intelligens, uten å overholde vilkårene i lisensene koden er underlagt (herunder kravet til akkreditering). Saksøkerne mener også at Copilot ulovlig reproduserer saksøkernes kode til øvrige brukere av Copilot. Andre sin bruk av denne koden, som man altså kan få tilgang til gjennom tjenestene uten å vite det, vil i prinsippet også kunne innebære selvstendige brudd på saksøkernes opphavsrett.

Selv om det vil være vanskelig å helgardere seg mot risikoen for brudd på andres immaterielle rettigheter ved bruk av AI, er det flere tiltak som langt på vei minsker risikoen. Et fornuftig første steg kan være å dobbeltsjekke koden man får som output dersom man anvender AI til å generere kildekode, herunder utføre automatiserte skanninger i forsøk på å avdekke kodens opprinnelse, og om bruk av den eventuelt er underlagt lisensvilkår.

Leverandørers bruk av AI bør avtalereguleres

I tillegg bør bedrifter som benytter seg av leverandører, konsulenter eller andre tredjeparter til å utvikle IP og programvare, avtaleregulere leverandørens muligheter til å bruke AI ved utførelse av arbeidet. På denne måten kan man på forhånd fordele eller begrense risiko for AI-relaterte rettighetsbrudd.

Dette er nok et tema som vil fremheves mer og mer i relasjon til transaksjoner knyttet til teknologitunge selskaper og virksomheter. For å gardere seg mot brudd på andres immaterielle rettigheter, kan kjøpere etter hvert f.eks. komme til å kreve at selgerne (i) stiller garantier for at det ikke er brukt AI ved generering av selskapets kildekode, eller (ii) at det inntas mer vide skadesløsholdelser for brudd på tredjeparter sine immaterielle rettigheter enn det tradisjonelt er gjort.

En annen risiko ved bruk av AI er at det enda er relativt uavklart hvor grensen går for når man kan få opphavsrett til kildekode og annet materiale (f.eks. video, bilder og tekst) som er utviklet ved bruk av AI. Den rådende oppfatningen i norsk rett er at innhold som utelukkende skapes av AI, ikke er opphavsrettslig beskyttet. Man vil derfor ikke få enerett til å råde over f.eks. en kildekode som skrives av AI alene.

Mer usikkert er det om man kan få opphavsrett til f.eks. kildekode som 

er utviklet ved hjelp fra AI. Hvor stor menneskelig deltakelse kreves? Dette er det utfordrende å gi et klart svar på, og selv om det i utgangspunktet er vanskelig å sannsynliggjøre at noen har brukt AI til å skrive hele eller deler av en kildekode, vil vi anbefale at bedrifter gjør sine ansatte oppmerksomme på at omfattende bruk av AI 

 gjøre det vanskeligere å hevde opphavsrett til kildekode. Dette kan påvirke selskapets konkurransefortrinn, freedom to operate og til syvende og sist verdsettelse.

Det eneste som er sikkert, er at AI garantert har kommet for å bli. Dette bringer med seg enorme muligheter, men som det fremgår av det overnevnte, bør ikke virksomheter bruke AI ukritisk. For ikke å falle for langt bak utviklingen, bør man selvsagt utforske og lære seg til å bruke slike verktøy - men virksomheter oppfordres til å knesette prinsipper og retningslinjer for både virksomhetens og de ansattes bruk av verktøyene. Hvis ikke, risikerer man i verste fall faktisk å miste konkurransefortrinn, fremfor å skape dem.

Har du spørsmål eller trenger bistand i forbindelse med bruk av AI? Ta kontakt med våre kontaktpersoner i avdelingen for Teknologi og Innovasjon.

Stram til AI-skruen - unngå lekkasjer

Loven omfatter avtaler om levering av «digitale ytelser mot vederlag i forbrukerforhold» jf. lovens § 1 (1). Forbrukerlovgivning er ikke et nytt fenomen, og i Norge har forbrukerkjøpsloven av 2002 lenge regulert forbrukeres kjøp av ting fra næringsdrivende. Digitalytelsesloven tar sikte på å gi forbrukere mange av de samme rettighetene, men skal dekke et tidligere ulovfestet område som tar hensyn til dagens teknologisamfunn og dets digitale ytelser. Når man på den ene siden får nye minsterettigheter som ikke kan fravikes til skade for forbrukerne innebærer dette på den andre siden nye plikter og regler virksomhetene må overholde ved levering av digitale ytelser til forbrukerne.


Hva som utgjør et «forbrukerforhold» beror på de samme partsbegrepene som i forbrukerkjøpsloven. En «forbruker» regnes som en «fysisk person som ikke hovedsakelig handler som ledd i næringsvirksomhet», og leverandøren av ytelsen må opptre «i næringsvirksomhet».


Med digitale ytelser menes både «digitalt innhold» og «digitale tjenester». Loven vil derfor omfatte både typiske digitale tjenester så vel som fremstilling og lagring av data. Eksempler på digitale ytelser er derfor mobil- og nettbrettapplikasjoner, videospill, meldingstjenester, e-bøker, strømmetjenester for film og musikk, og fildelings- og skylagringstjenester.


Loven gjelder kun digitale ytelser som leveres «mot vederlag». Interessant i den forbindelse er at «vederlag» ikke bare er ment å omfatte penger, men også personopplysninger som forbrukeren oppgir. Personopplysninger har ofte økonomisk verdi i seg selv for tjenesteleverandørene. Digitale ytelser som tradisjonelt er ansett som gratis å ta i bruk slik som Facebook, Snapchat og Twitter vil derfor også kunne omfattes av loven.

Loven inneholder mange nye regler om blant annet hvilke krav forbruker kan stille til ytelsen, regler om avbestilling, bindingstid, endringer av ytelsen og erstatning. Loven er for omfattende til å skulle behandles i sin helhet i dette nyhetsbrevet. Vi har derfor valgt ut kun et par av de nye reglene som vi mener det vil være praktisk viktig for aktørene å ha kjennskap til.

Loven stiller visse alminnelige krav til ytelsen. At kravene er alminnelige betyr at de i utgangspunktet gjelder dersom ikke annet er avtalt. Ett av de disse kravene er at ytelsen må svare til det forbrukeren kan forvente av «funksjonalitet og andre egenskaper». Hva som kan forventes vil bero både på ytelsens art og hva leverandøren har gitt av opplysninger om ytelsen. Kravet synes å være en sammensmelting av forbrukerkjøpslovens krav til en alminnelig god vare og kravet om at varen skal samsvare med de opplysninger selger har gitt forbrukeren.


Hva som utgjør et brudd på funksjonalitetskravet, vil by på flere tolkningsspørsmål domstolene vil måtte ta stilling til. Kan man forvente at alle digitale ytelser har lik funksjonalitet på tvers av operativsystemer? Er det en mangel dersom man man mister tilgang til personlig data og historikk som følge av et bytte fra Windows til MacOS? Et annet spørsmål er når det anses som en mangel at leverandøren slutter å tilby systemstøtte til ytelsen, f.eks. ved å slutte å legge til nye produkter i strømmetjenester, ikke tilby flere oppdateringer, eller fjerne støtte for noen av ytelsens funksjoner.

Loven stiller også et alminnelig krav til at forbrukeren får beskjed om og får levert de oppdateringer til ytelsen som er nødvendige for at den skal være i tråd med avtalen og lovens øvrige krav. Dette inkluderer både innholds- og sikkerhetsoppdateringer. Oppdateringskravet medfører at dersom ikke annet er avtalt vil leverandøren kunne holdes ansvarlig for feil og mangler knyttet til at ytelsen ikke er oppdatert (med visse unntak hvor forbrukeren selv burde ha installert en oppdatering innen rimelig tid). For eksempel ved at ytelsen ikke leveres med den nyeste versjonen tilgjengelig, eller at sikkerhetshull ikke tettes av leverandøren.

Leverandørens adgang til å gjøre endringer

Med løpende levering av digitale ytelser gis leverandøren adgang til å endre ytelsen dersom forbrukeren informeres om dette på en klar og tydelig måte, endringen har grunnlag i avtalen og den foretas uten kostnad for forbrukeren. Slike endringer kan f.eks. være valgfrie oppdateringer i App Store, Google Play Store o.l. Begrunnelsen for denne endringsadgangen er at digitale ytelser utvikler seg svært hurtig, og at ny teknologi som kan forbedre ytelsen blir tilgjengelig på markedet.


Dersom en lovlig endring er foretatt av leverandøren og denne påvirker ytelsen negativt for forbrukeren på en «ikke uvesentlig måte», har forbrukeren rett til å heve avtalen. Dette gjelder likevel ikke dersom leverandøren gjør det mulig for forbrukeren å beholde ytelsen sin uendret, og i samsvar med avtalen og lovens alminnelige krav.


Internasjonalt, i diskusjonen rundt gjennomføringen av direktivet, har det blitt diskutert hvorvidt dette unntaket er tilstrekkelig forbrukervennlig. Forbrukere vil i de fleste tilfeller ikke vite om en endring av ytelsen påvirker de negativt før etter endringen er foretatt. For eksempel ved å frivillig laste ned en oppdatering til ytelsen, som senere viser seg å medføre nye ‘bugs’. Så lenge forbrukeren hadde valget mellom å godta endringen eller å beholde ytelsen uendret har forbrukeren ingen påfølgende rett til å hverken heve avtalen, eller å reversere endringen. Selv om man på forhånd vet at endringen vil påvirke ytelsen negativt oppstår spørsmålet hva man gjør dersom den negative endringen gjøres i kombinasjon med oppdateringer nødvendige for at ytelsen skal være i samsvar med avtalen. Vi mener at unntaket i liten grad er tilpasset forbrukeres faktiske bruk av digitale ytelser, og at det vil gi grobunn for interessante tolkningsspørsmål rundt leverandørers endringsrett overfor forbruker.

Videre forbyr loven som utgangspunkt avtaler med bindingstid på mer enn 6 måneder. Det kan likevel i særskilte tilfeller gjøres unntak for 12 måneders bindingstid. For enhver avtale som inneholder bindingstid må derimot forbrukeren gis en økonomisk fordel som tilsvarer bindingstidens lengde for at avtalen skal være gyldig. Kravet til at bindingstid må avtales med forbrukeren innebærer også at bindingstid ikke automatisk kan fornyes i eksisterende kundeforhold. Her kan det også nevnes at leverandøren i løpende levering av digitale ytelser etter loven er forpliktet til å gi forbrukeren varsel hver sjette måned om at avtalen løper, og informere om oppsigelsesadgangen slik den er fastsatt i digitalytelsesloven.

Oppsigelse av avtalen ved manglende betaling

Det er inntatt en bestemmelse om at manglende betaling fra forbrukere etter en periode på 6 måneder fra første forfalte betaling skal anses som en oppsigelse av avtalen. Dette gjelder derimot ikke avtaler med bindingstid. Hensikten med bestemmelsen er å hindre at forbrukere får større gjeldsforpliktelser for ytelser med automatisk trekk som forbrukeren ikke betaler for. Dette kan for eksempel skyldes manglende dekning på konto eller at betalingskortet er utløpt. Leverandørene vil grunnet endringen måtte tilpasse sine rutiner for blant annet betalingspåminnelser og betalingsinnkreving for løpende digitale ytelser.

Loven vil videre gi forbrukere adgang til å gjøre mangelskrav gjeldende direkte mot leverandørens tidligere omsetningsledd, dersom leverandøren selv kunne gjort mangelen gjeldende. Endringen vil blant annet være relevant for virksomheter som tilbyr SaaS-tjenester (Software-as-a-Service) eller andre digitale tjenester til sluttleverandører som anvender disse tjenestene til å tilby sine digitale ytelser til forbrukere. Forbrukerens direktekravsadgang vil være relevant f.eks. hvis sluttleverandøren er konkurs. Det vil derfor være viktig at virksomheter tilpasser ansvarsbegrensningene sine i avtaler med sluttleverandører som omfattes av digitalytelsesloven.

Den nye loven åpner for at forbrukere kan kreve erstatning for ikke-økonomiske tap som påføres ved leverandørens brudd på avtalen. Vilkårene er at tapet må være «konkret» og en «ikke ubetydelig ulempe» for forbrukeren. Et eksempel kan være at en teknisk feil i en skylagringstjeneste medfører at lagrede familiebilder går tapt. Utmålingen av en slik erstatning vil være vanskelig å forutberegne før domstolene utvikler nærmere retningslinjer gjennom sin praksis. Leverandørene har derimot muligheten til å fjerne noe usikkerhet ved å fastsette en normalerstatning for slike tap i sine standardvilkår.


Har du spørsmål eller trenger bistand i forbindelse med den nye digitalytelsesloven? Ta kontakt med våre kontaktpersoner i avdelingen for Teknologi og Innovasjon.


Ny lov om levering av digitale ytelser i forbrukerforhold; Fremtidsrettet forbrukerlovgivning

Ben arbeider i vår faggruppe for Teknologi og Innovasjon, herunder med immaterielle rettigheter, markeds- og medierett, IT, kontrakter og transaksjoner. 

Han skrev masteroppgave om forretningshemmeligheter med tittelen «Vern av forretningshemmeligheter – En rettsdogmatisk fremstilling av «sum av viten» som rettslig vernet forretningshemmelighet». 

Kontaktinformasjon

+47 450 03 856

bcr@arntzen.no

+47 23 89 40 00

Kompetanseområder

Teknologi og innovasjon

Ben Crane

Kontaktinformasjon

+47 450 03 856

bcr@arntzen.no

+47 23 89 40 00

Arntzen Grette

Fast advokat

Arntzen de Besche

Fast advokat

Arntzen de Besche

Advokatfullmektig

Arntzen de Besche

Oppgaveskriver

Arntzen de Besche

Trainee

Utdanning

Universitetet i Bergen

Master i rettsvitenskap

Aktuelt

Stram til AI-skruen - unngå lekkasjer

Ny lov om levering av digitale ytelser i forbrukerforhold; Fremtidsrettet forbrukerlovgivning