Forslag til endringer i finanstilsynsloven - automatiserte avgjørelser og bruk av personopplysninger til utvikling av IT-systemer

1   Innledning

Advokatforeningens tillitsvalgte advokater utfører et omfattende frivillig og ulønnet arbeid for å ivareta rettsstaten, rettssikkerheten og menneskerettighetene. En del av dette arbeidet består i å utarbeide høringsuttalelser. 

Advokatforeningens høringsarbeid er organisert i 29 lovutvalg, oppdelt etter særskilte rettsområder og rettslige interesseområder. Om lag hundre høringsuttalelser utarbeides av Advokatforeningens tillitsvalgte advokater hvert år.

Alle våre høringsuttalelser er forfattet av advokater med ekspertise innenfor det rettsområdet som lovforslaget gjelder. En ekspertise som ikke er hentet kun fra juridisk teori, men fra advokatenes praktiske erfaring med å bistå sine klienter – i den norske rettsstatens hverdag. Denne høringsuttalelsen er skrevet ut fra Advokatforeningens ønske om å bidra til gode lovgivningsprosesser og gode lover. 

2    Sakens bakgrunn

Vi viser til høring om forslag til endringer i finanstilsynsloven - automatiserte avgjørelser og bruk av personopplysninger til utvikling av IT-systemer, publisert 13. august 2026, med høringsfrist den 6. oktober 2026. Høringen gjelder forslag til nye bestemmelser i finanstilsynsloven om automatiserte avgjørelser og bruk av personopplysninger til utvikling og testing av IT-systemer. Denne høringsuttalelsen er i hovedsak utarbeidet av Advokatforeningens lovutvalg for IKT og personvern. Lovutvalget består av Gry Cathrine Steen Hvidsten (leder), Ole Martin Moe, Henriette Standnes Brochmann, Knut-Erik Jakhelln, Odd Randgaard Kleiva, Eli Karine Navestad, Torunn Hellvik Olsen og Kjetil Wick Sætre, som alle har lang erfaring og kompetanse innenfor det aktuelle rettsområdet.

3    Kommentarer til forslaget

3.1    Automatiserte avgjørelser – krav til forsvarlighet

Det følger av høringsnotatet at «Enkelte hjemler for automatiserte avgjørelser som er gitt i særlovgivning, stiller i tillegg et krav om forsvarlighet.» Et slikt krav til forsvarligheten er ikke inntatt i forslaget til ny § 6-5 om «Automatiserte avgjørelser».

Advokatforeningen forstår at bakgrunnen for dette er at: «Finanstilsynet legger til grunn at kravet til forsvarlighet vil kunne sette grenser for bruken av skjønn i helautomatiserte avgjørelser».

Siden grensen bare bør være aktuell hvis den automatiserte avgjørelsen er uforsvarlig, er det vanskelig for Advokatforeningen å forstå hvorfor kravet til forsvarlighet ikke tas med. Er det elementer i praksisen rundt vurderingen av “forsvarlighet” som er utdatert eller irrelevant, kan det identifiseres og diskuteres i forarbeidene, og en kan signalisere at en åpner for avvik fra slik praksis.

Forvaltningsretten har ikke i dag en velutviklet lære om forsvarlighet for automatiserte avgjørelser. Den nye forvaltningsloven, som ble vedtatt i 2025, men som ennå ikke er i kraft, vil styrke det rettslige rammeverket gjennom:

• § 11 regler om automatisering av saksbehandlingen,
•  § 12 regler om rettigheter og plikter ved automatiserte avgjørelser omfattet av personvernforordningen artikkel 22, og
• § 13 regler om dokumentasjon av det rettslige innholdet i automatiserte saksbehandlingssystemer

3.2   Automatiserte avgjørelser – forholdet til KI-forordningen

Finanstilsynet skriver i sin digitaliseringsstrategi at kunstig intelligens skal tas i bruk. Advokatforeningen har ikke funnet holdepunkter for at den nye KI-forordningen fra EU («AI Act») er vurdert.

KI-forordningens kapittel III oppstiller et omfattende rammeverk for høyrisiko-KI. Artikkel 9 til 15 fastsetter krav til blant annet risikostyring, data, dokumentasjon, logging, åpenhet, menneskelig kontroll, nøyaktighet, robusthet og cybersikkerhet. Pliktene for virksomheter som tar høyrisiko-KI i bruk, følger særlig av artikkel 26.

KI-forordningen vil antagelig ikke få anvendelse på alle avgjørelser som omfattes av den foreslåtte § 6-5. Kravene i artikkel 9 til 15 kan likevel tjene som relevante referansepunkter for forsvarlig systemutvikling og drift.

Advokatforeningen mener at forholdet til KI-forordningen bør vurderes i det videre lovarbeidet. Det bør særlig vurderes om sentrale krav til risikostyring, dokumentasjon, logging, menneskelig kontroll, nøyaktighet, robusthet og sikkerhet bør reflekteres i lov eller forskrift for automatiserte avgjørelser, særlig på bruksområder der KI-forordningen ikke vil pålegge Finanstilsynet å gjennomføre slike tiltak.

Dersom tiltakene ikke tas inn i loven, bør de kunne konkretiseres i forskrift med hjemmel i den bestemmelsen departementet har sendt på høring.

3.3    Testing – Nødvendighet vs forholdsmessighet og formålsutglidning

Terskelen for å bruke personopplysninger til test av IT-systemer reguleres i dag av forskjellige rettslige standarder i GDPR, for eksempel at «behandlingen er nødvendig for å […] utøve offentlig myndighet som den behandlingsansvarlige er pålagt» når dette er det relevante behandlingsgrunnlaget. Finanstilsynet foreslår å innføre en særskilt standard: «nødvendig for å utvikle og teste IT-systemer og det er umulig eller uforholdsmessig vanskelig å oppnå formålet ved å bruke anonyme eller fiktive opplysninger.»

Sett fra et utviklerperspektiv øker normalt mer omfattende testing med reelle data, herunder personopplysninger, sannsynligheten for at systemet vil fungere som ønsket når det settes i produksjon. Omfattende testing på representative, reelle data anses derfor normalt som et gode innenfor IT-utvikling. Fordi bruk av slike data svært ofte kan sies å forbedre eller effektivisere utvikling og testing, fremstår «nødvendig for å utvikle og teste IT-systemer» som en terskel som svært ofte vil være oppfylt. I så fall blir «umulig eller uforholdsmessig vanskelig å oppnå formålet ved å bruke anonyme eller fiktive opplysninger» den reelle terskelen.

En slik terskel kan redusere den brede nødvendighetsvurderingen i GDPR til en forholdsmessighetsvurdering hvor faktorer som at det kan være dyrt, komplekst eller faglig krevende å lage syntetiske / fiktive data, kan tillegges mer vekt enn det GDPR ellers hadde åpnet for. Det fremstår som underlig hvis Finanstilsynet, pga. finanstilsynsloven, skal kunne holde en lavere standard enn mange andre aktører i samfunnet når det gjelder bruk av personopplysninger ved testing av IT-systemer.

Siden den foreslåtte lovteksten ikke begrenser behandlingen av personopplysninger til et noenlunde spesifikt formål som f.eks. utøvelse av myndighet som Finanstilsynet er tillagt, men åpner for generiske formål som «å utvikle og teste IT-systemer», som jo kan brukes til å oppnå mange forskjellige formål, er det risiko for formålsutglidning som GDPR ellers kunne ha vernet mot. Lovforslaget fremstår som uklart hva gjelder yttergrensene for formål det åpner opp for, sml. GDPR artikkel 6 nr. 3 og 4 og artikkel 23. Advokatforeningen mener yttergrensen med fordel kunne vært presisert nærmere.

3.4    Testing ved bruk av særlige kategorier av personopplysninger

Den foreslåtte § 6-6 i finanstilsynsloven oppstiller, etter ordlyden, de samme tilleggsvilkårene for viderebehandling av alminnelige personopplysninger, særlige kategorier av personopplysninger etter artikkel 9 og opplysninger etter artikkel 10. Lovforslaget fastsetter ikke særskilte tekniske og organisatoriske tiltak knyttet til bruk av særlige kategorier av personopplysninger.

Advokatforeningen forstår at i Kommisjonens forslag til Digital Omnibus foreslås særregler for utvikling og testing av KI. Utgangspunktet er at særlige kategorier av personopplysninger ikke skal brukes i test, men hvis terskelen er oppfylt skal det gjennomføres tekniske og organisatoriske beskyttelsestiltak. Denne forståelsen er på linje med GDPR artikkel 9(2)(g) som krever egnede og særlige tiltak for å verne den registrertes rettigheter og interesser.

Advokatforeningen mener at den foreslåtte § 6-6 i finanstilsynsloven med fordel kunne vært tydeligere på at særlige kategorier av personopplysninger i utgangspunktet ikke bør brukes i test, og hvis de må brukes krever særskilte tiltak.

3.5    Testing - Forholdet til DORA som et uttrykk for god IKT-praksis for testing ved systemutvikling

I kommisjonsforordning (EU) 2024/1774 av 13. mars 2024 om utfylling av DORA-forordningen (forordning (EU) 2022/2554) med regulatoriske tekniske standarder (RTS) som nærmere spesifiserer verktøy, metoder, prosesser og retningslinjer for IKT-risikostyring samt et forenklet rammeverk for IKT-risikostyring reguleres testing ved systemutvikling særlig i artikkel 16 avsnitt 2 samt 5 og 6.

Selv om RTS-en om IKT-risikostyring ikke får direkte anvendelse på Finanstilsynet, reflekterer den god praksis innenfor IKT. Advokatforeningen mener at det hadde vært en styrke for det videre lovarbeidet hvis en hadde sett på elementene i RTS-en hva gjelder testing, særlig:

• den risikobaserte tilnærmingen til hvor omfattende testingen skal være, jf. art 16 2. avsnitt
• at utgangspunktet er anonyme data, jf. art 16 5. avsnitt
• krav om at reelle data / produksjonsdata bare brukes i begrensede tidsperioder og situasjoner samt etter godkjenning av et separat miljø med spesialkompetanse jf. art 16 6. avsnitt

                                         Vennlig hilsen

Siri Teigum                                                                        Merete Smith
leder                                                                                   generalsekretær