Hva er de kontraktsmessige risikoene ved bedrifters implementering av AI? En forklaring på Nærings- og Handelsdepartementets "sjekkliste" for å forhindre kriser før de oppstår.
I de senere årene har innføringen av AI (kunstig intelligens) skredet frem i forretningsverdenen. Men bruk og utvikling av AI innebærer unike risikoer og juridiske utfordringer som skiller seg fra tradisjonelle systemer.
Med dette bakteppet utarbeidet og publiserte Japans økonomi-, handels- og industridepartement i februar i Reiwa 7 (2025) en “Sjekkliste for kontrakter relatert til bruk og utvikling av AI”. Denne sjekklisten er designet som et praktisk verktøy for å hjelpe ulike selskaper involvert i kontrakter og bruk av AI-tjenester til å organisere og bekrefte kontraktsvilkår på en effektiv måte.
I denne artikkelen vil vi, basert på “Sjekklisten for kontrakter relatert til bruk og utvikling av AI”, forklare hvordan man bør klassifisere kontrakter relatert til AI, hva man bør være oppmerksom på ved inngåelse av kontrakter, og hvordan man best kan utnytte AI i virksomheten.
Sjekkliste for kontraktskontroll relatert til bruk og utvikling av AI i Japan
Sjekklisten for kontraktskontroll relatert til bruk og utvikling av AI omfatter et bredt spekter av AI-relaterte tjenester, inkludert generative AI, og er ikke begrenset til spesifikke bransjer eller AI-teknologier.
Sjekklisten er strukturert ut fra to perspektiver, “input” og “output”, for systematisk å organisere praktiske diskusjonspunkter knyttet til tilbud og bruk av tjenester. Dette designet gjør det mulig å dekke overveielser gjennom hele livssyklusen til AI-tjenester, samtidig som det gjør det enklere for partene å identifisere elementer som er relevante for deres egen virksomhet.
Hva er Input og Output i en “Kontraktssjekkliste for Bruk og Utvikling av AI” Under Japansk Lov?
Sjekklisten er basert på de to følgende fasene i AI-tjenester:
【Input】
Input refererer til informasjonen og dataene, spesifikasjonene og betingelsene som blir levert og brukt i byggingen, læringen og driften av AI-tjenester. Dette inkluderer for eksempel treningsdata, algoritmer, forretningsregler og systembetingelser. Dersom disse inputene er utilstrekkelige eller upassende, kan det direkte påvirke AI-ens ytelse og påliteligheten av output, noe som gjør dem til viktige vurderingspunkter.
【Output】
Output refererer til resultatene som AI prosesserer, resonerer og genererer, samt hvordan disse resultatene håndteres, brukes og offentliggjøres. Dette kan inkludere genererte tekster og bilder, resonnementresultater, grunnlag for beslutninger, omfanget av ekstern tilgjengeliggjøring og ansvarsplassering.
AI-output krever sjekker for nøyaktighet, gjennomsiktighet og juridiske risikoer. “Kontraktssjekklisten for Bruk og Utvikling av AI” i Japan organiserer viktige juridiske diskusjonspunkter fra begge sider av kontraktspraksis, både input (levering av forutsetningsinformasjon) og output (håndtering av AI-resultater).
Definisjon av hver part
I kontrakter som involverer AI, kan rollene til de involverte partene, som “personen som utvikler AI”, “personen som tilbyr AI” og “personen som bruker AI”, variere avhengig av typen AI-tjeneste.
La oss for eksempel forestille oss et tilfelle der en generell AI-tjeneste blir finjustert og implementert spesielt for et bestemt selskap (se neste avsnitt for “Type 2: Tilpasset type”). I dette tilfellet er det tenkt at tjenester som integrerer en generell AI-tjeneste som tilbys av et annet selskap, og tilpasser den til klientfirmaets spesifikasjoner.
I denne situasjonen vil virksomhet B, som tilbyr tilpasningstjenesten, stå i posisjon som “AI-tjenesteleverandør (vendor)” i forholdet til virksomhet A (AI-brukeren) som mottar tilpasningen (se illustrasjon ①).
På den annen side, i forholdet til virksomhet C (AI-utvikleren/AI-leverandøren) som tilbyr den opprinnelige generelle AI-en (se illustrasjon ②), vil virksomhet B stå i posisjon som en bruker av AI-tjenesten.
Derfor, siden en enkelt virksomhet kan være både “leverandør” og “bruker” avhengig av hvem de forholder seg til, er det viktig å klargjøre hver parts posisjon og ansvarsområde når man inngår en kontrakt.
Kontraktstyper i sjekklisten for bruk og utvikling av AI under japansk lov
I denne sjekklisten har vi organisert de tre representative kontraktstypene som er relatert til AI-tjenester. Formålet er å gjøre det enklere for kontraktsparter å forstå sjekkpunktene som er relevante for deres posisjon og mål.
Hver kontraktstype har sine karakteristiske diskusjonspunkter og risikoer, og det er viktig å forstå den passende typen basert på formålet med å implementere AI og hvordan tjenesten tilbys.
Nedenfor vil vi gi en detaljert introduksjon til de tre kontraktstypene.
Type 1: Generell tjenestebruk
Dette formatet er vanlig når brukere inngår avtaler for å benytte seg av AI-tjenester som allerede er ferdigstilt og tilgjengelige for offentligheten.
Et typisk eksempel kan være bruk av generative AI-tjenester som ChatGPT eller bildegenererende AI (for eksempel DALL·E, Stable Diffusion) via nettet.
I disse tilfellene forutsettes det generelt at brukeren samtykker til og bruker tjenestene i henhold til vilkårene og betingelsene som leverandøren har fastsatt på forhånd. Det er sjelden mulig for brukeren å forhandle eller endre kontraktsinnholdet.
På sjekklisten blir det viktigste diskusjonspunktet hvordan brukeren forstår og håndterer risikoene ved å bruke AI-tjenestene som tilbys under de forhåndsbestemte betingelsene.
Type 2: Tilpasset type
Denne typen avtale innebærer at en AI-tjenesteleverandør tilpasser sine eksisterende modeller og teknologier basert på brukerbedriftens behov.
For eksempel kan det være tilfeller der brukeren får AI-modellen til å lære av sine egne data eller regler, eller justerer og endrer deler av systemet. Forestill deg utviklingen av en markedsførings-chatbot som skal implementeres i et selskap. En generisk generativ AI kan finjusteres for å svare spesifikt for selskapet ved å lære av selskapets produktdata eller kundespørsmål.
I slike kontrakter tilbys tjenesten slik at den utnytter leverandørens opprinnelige teknologi og know-how, samtidig som den oppfyller brukerens unike krav. På sjekklisten er hovedpunktene for vurdering tilknytningen av intellektuell eiendom for de tilpassede delene, muligheten for gjenbruk og fordeling av ansvar.
Det er også viktig å klargjøre definisjonen av begge parters roller og input-output, ettersom innholdet i tilpasningen kan endre naturen og typen av kontrakten.
Type 3: Nyutvikling
Dette er en kontraktsform hvor brukeren tildeler en AI-tjenesteleverandør oppgaven med å utvikle et helt nytt AI-system. Dette kalles ofte “fullskala utvikling” og innebærer å bygge en spesialtilpasset AI-modell eller system fra bunnen av, tilpasset brukerens virksomhet og behov.
I slike tilfeller er det ofte brukeren som leverer treningsdata og spesifikasjoner, og AI-modellen eller produktet som utvikles, er designet basert på brukerens unike krav.
Derfor blir følgende punkter spesielt viktige i kontrakten:
- Klarlegging av produktets omfang og innhold
- Fastsettelse av mål for nøyaktighet og ytelse
- Levering og håndtering av treningsdata
- Eierskap til intellektuell eiendom og produktene
- Ansvarsdeling for vedlikehold og oppdateringer
Denne typen krever nøye avstemming av design og spesifikasjoner mellom leverandøren og brukeren, så en sjekkliste vil kreve detaljert vurdering.
La oss nå se på noen konkrete eksempler på input og output, med referanse til diagrammet nedenfor.
Sjekkliste: Input
Input, som nevnt tidligere, refererer til innholdet som mates inn i AI. Dette inkluderer eksempler som treningsdata, algoritmer og prompter (instruksjoner eller kommandoer til AI).
I AI-tjenester er input essensielt. Uten dette kan ikke leverandøren fortsette med design, læring og inferensprosessering av AI. Så hva bør man være oppmerksom på når det gjelder input i slike tilfeller?
Håndtering av brukerinput til leverandører under japansk lov
Derfor er det nødvendig å klart definere i kontraktsvilkårene om det finnes en forpliktelse for brukeren til å levere informasjon (dvs. input) som læringsdata, regler, spesifikasjoner osv., til leverandøren, samt innholdet av denne informasjonen. Spesifikt inkluderer dette følgende:
- Hvilken type input brukeren skal levere
- Tidspunkt for levering, format og kvalitetsstandarder
- Om det finnes spesifikke krav brukeren må oppfylle med hensyn til innholdet (natur, mengde, detaljnivå, etc.) av inputen som leveres til leverandøren
- Om innholdet nevnt ovenfor er akseptabelt i lys av brukerens formål med tjenesten
Håndtering av informasjon fra leverandører til tredjeparter
I AI-tjenester bygger og tilbyr leverandører AI ved å bruke input (for eksempel data eller spesifikasjoner) mottatt fra brukere.
Det er imidlertid viktig å bekrefte i kontrakten om og under hvilke betingelser leverandøren kan tilby eller gjenbruke denne inputen til tredjeparter, da det er mulig at inputen blir gitt videre eller brukt på nytt.
Spesielt siden inputen kan inneholde brukerens forretningskunnskap, konfidensiell informasjon, personopplysninger og immaterielle rettigheter, kan det oppstå betydelige risikoer hvis den blir gitt til tredjeparter.
Derfor er det nødvendig å sjekke om følgende punkter er klart definert i kontrakten:
- Om leverandøren kan gi input mottatt fra brukeren til tredjeparter
- Hvis ekstern deling er tillatt, finnes det begrensninger på hvem som kan motta, omfanget og formålet med delingen?
- Hvordan håndtere brukerens input hvis den inneholder immaterielle rettigheter eller konfidensiell informasjon
Hvis det er bekymringer om de ovennevnte punktene, kan det vurderes tiltak som “ikke å gi unødvendig informasjon” eller “å vurdere å avstå fra å inngå en kontrakt hvis tredjeparts deling av input ikke er akseptabel”.
Håndtering av leverandørens inndata
I AI-tjenester inneholder inndata som brukere gir til leverandører ofte personopplysninger, konfidensiell informasjon og immaterielle rettigheter (for eksempel treningsdata, forretningsregler, spesifikasjoner).
Derfor er det viktig å klargjøre hvilket ansvar leverandøren har for håndtering og styring av slike inndata.
Hvordan bør man så organisere håndteringen av inndata fra et kontraktsmessig perspektiv? Her er noen eksempler:
(Forvaltningsplikt og standarder)
- Hvilken forvaltningsplikt har leverandøren for inndata mottatt fra brukeren
- Hvis leverandøren har en forvaltningsplikt, hvilken forvaltningsstandard og tiltak som kreves
- Om brukeren kan kreve revisjon eller informasjon om leverandørens styringssystem
- Om styringssystemet er passende i forhold til brukerens formål med tjenesten
(Oppbevaringsperiode for inndata)
- Hvor lenge kan leverandøren beholde inndata
- Hvilke tiltak tar leverandøren etter at oppbevaringsperioden er over
(Sletteplikt)
- Om leverandøren har plikt til å slette inndata på brukerens forespørsel eller ved kontraktens slutt
- Om det er en plikt til å utstede et bevis på at sletting har funnet sted (slettebekreftelse osv.)
- Om slike slettetiltak er rimelige i forhold til brukerens forretningsformål
Når det gjelder tilførsel av personopplysninger, må man vurdere behandlingsskjemaet for personopplysninger nøye, da leverandørens selvstendige bruk eller sammenligning av data kan kvalifisere som en tredjepartslevering og ikke som en outsourcing, noe som kan kreve samtykke fra den registrerte.
Når det gjelder outsourcing av personopplysninger, må man vurdere om tilsynsmyndighetene som kan utøves over leverandøren er tilstrekkelige for å behandle dataene som outsourcing (hvis ikke, vurdere å behandle det som en tredjepartslevering). Videre, når personopplysninger overføres til utlandet, må man være oppmerksom på at informasjon om personopplysninger kan være nødvendig uavhengig av om det er en “levering” i henhold til loven om beskyttelse av personopplysninger.
Når det gjelder tilførsel av personopplysninger, er det spesielt viktig å være oppmerksom på at hvis det oppstår en lekkasje av personopplysninger fra leverandøren, kan det pålegges brukeren en plikt til å rapportere til tilsynsorganene.
Når det gjelder sletteplikt, hvis lovgivningen krever at leverandøren sletter data, kan brukeren også kreve sletting som en rettighet utenfor kontrakten.
Sjekkliste: Output
Output, for å si det enkelt, refererer til resultatene som genereres av AI. Dette er vanligvis i form av tekst eller bilder, men kan også inkludere programkode, designskisser, eller markedsføringsstrategidokumenter, og formatene varierer. Det kan inneholde sensitiv informasjon, så håndteringen krever forsiktighet.
Når brukere deler output eksternt
Ved å bruke AI-tjenester som generativ AI, kan brukere oppnå ulike typer output (generert tekst, bilder, inferensresultater, osv.).
Denne outputen brukes ikke bare internt, men blir ofte delt med eller gjort tilgjengelig for tredjeparter som kunder, forretningspartnere og generelle brukere.
Men output fra AI kan inneholde risikoer som unøyaktig informasjon, brudd på rettigheter og etiske problemer. For å unngå utilsiktet deling med tredjeparter (inkludert informasjonslekkasjer), er det nødvendig å etablere et forvaltningssystem og gjennomføre tilstrekkelig intern opplæring.
Derfor, når brukere skal dele output eksternt, blir kontraktsmessige avtaler og risikostyring viktige vurderingspunkter. Sørg for å sjekke følgende punkter:
- Om brukeren kan dele output med tredjeparter
- Hvis brukeren kan dele med tredjeparter, hvilke betingelser for deling gjelder (mottakere, omfang av deling og andre vilkår). I tilfelle av en tjeneste, kan det være nødvendig å indikere at det er basert på en AI-tjeneste
- Om innholdet er akseptabelt i lys av brukerens formål med tjenesten
Output fra leverandør til bruker (b−5−1)
Output som er oppnådd gjennom bruk av AI-tjenester (generert tekst, bilder, designskisser, rapporter, osv.) kan være verdifulle resultater for brukeren.
Men det er viktig å klargjøre avtaler om rettighetenes tilhørighet, som “hvem har rettighetene” og “kan det brukes fritt”, i kontrakten for å unngå fremtidige konflikter. Spesifikt, følgende punkter må være klare:
- Om brukeren oppnår visse rettigheter, som intellektuell eiendomsrett, i forhold til output
- Hvis brukeren oppnår rettigheter, hvilke betingelser for rettighetservervelse gjelder (omfang av rettighetsoverføring, om det er en kostnad, om det er en lisens og vilkårene for denne, osv.)
- Om innholdet er akseptabelt i lys av brukerens formål med tjenesten
Viktige punkter å huske på ved bruk av sjekklister
Dette sjekklisten er ikke juridisk bindende som en kontrakt, men er ment for å organisere kontraktsmessige diskusjonspunkter fra både brukerens og leverandørens perspektiv når det gjelder tilbud og bruk av AI-relaterte tjenester. Derfor, når man faktisk inngår en kontrakt, er det nødvendig å velge relevante sjekkpunkter basert på de konkrete fakta i saken (kontraktstype, tjenesteinnhold, natur av input og output, partenes rettigheter og plikter osv.) og konkretisere kontraktsvilkårene for hvert punkt.
Hvordan man bør håndtere sjekklisten avhenger av de spesifikke omstendighetene til den enkelte bruker, så det er nødvendig å vurdere og avgjøre basert på en helhetlig vurdering av følgende relaterte faktorer:
- Innholdet i AI-relaterte tjenester som tilbys av leverandøren
- Kontraktens form (bruksvilkår eller individuell kontrakt)
- Risikoen forbundet med å akseptere kontraktens ordlyd
- Gjennomførbarheten av hver kontraktsmessig forpliktelse
- Tilgjengeligheten av alternative tjenester og metoder i lys av formålet med AI-bruken
- Arbeidsmengden nødvendig for kontraktsforhandlinger
- Muligheten for å redusere risiko gjennom metoder utenfor kontrakten (faktisk drift osv.)
Oppsummering: Søk råd fra eksperter om AI-kontrakter
Vi har nå sett nærmere på innholdet i “AI Utilization and Development Contract Checklist” publisert av det japanske Ministeriet for Økonomi, Handel og Industri, og diskutert kontraktsmessige problemstillinger relatert til input og output, kontraktstyper og viktige punkter å vurdere ved bruk av AI.
Det forventes at AI-teknologi, inkludert generativ AI, vil bli stadig mer integrert i kjernen av forretningsvirksomhet. Men ved bruk av denne teknologien er det mange juridiske og praktiske punkter som må vurderes nøye, som opphavsrett, personvern, konfidensialitet, muligheten for gjenbruk og ansvarsdeling.
For å bruke AI på en passende måte er det ikke nok å bare implementere teknologien; det er avgjørende å klargjøre partenes rettigheter og forpliktelser gjennom kontrakter og forhindre risikoer før de oppstår. Spesielt med komplekse AI-kontrakter, er det trygt og praktisk å gå frem med råd fra interne juridiske og immaterielle rettighetsavdelinger eller eksterne eksperter.
Mens du fremmer bruken av AI, sørg for å minimere juridiske risikoer ved å nøye gjennomgå kontraktsinnholdet og samarbeide med eksperter.
Veiledning i tiltak fra vår advokatfirma
Monolith Advokatfirma kombinerer høy ekspertise innen IT, spesielt internett, og juridiske tjenester. Vårt firma tilbyr et bredt spekter av juridisk støtte, inkludert utarbeidelse og gjennomgang av kontrakter, til en rekke klienter fra børsnoterte selskaper til oppstartsbedrifter i Japan. For mer informasjon, vennligst se artikkelen nedenfor.
Monolith Advokatfirmas tjenesteområder: Juridiske tjenester for IT og oppstartsbedrifter i Japan[ja]
Category: IT
