eForvaltningsforskriften

eForvaltningsforskriften regulerer sikker og effektiv elektronisk kommunikasjon med og i offentlig forvaltning. Den gjelder også elektronisk saksbehandling og kommunikasjon i forvaltningen. Forskriften utfyller de alminnelige forvaltningsrettslige reglene og gir ikke adgang til å fravike kravene til forsvarlig saksbehandling.

Forskriften inneholder blant annet regler om hvilke elektroniske kanaler som kan brukes, krav til identifikasjon og sikkerhet, bekreftelse på mottak, håndtering av mangelfulle henvendelser, elektronisk varsling, reservasjonsrett, bruk av fullmektig, klage, innsyn og høring. Den regulerer også sikker bruk av krypterte eller elektronisk signerte meldinger og Digitalt kontaktregister.

Etter § 15 skal forvaltningsorganet fastsette mål og strategi for informasjonssikkerhet og ha internkontroll på området. Internkontrollen skal bygge på anerkjente standarder og være tilpasset risikoen. Den skal også omfatte relevante krav etter annet regelverk. Digdir legger til grunn at bestemmelsen må ses som et generelt krav til styring av informasjonsbehandlingen virksomheten har ansvar for.

Forskriften er teknologinøytral og regulerer ikke kunstig intelligens særskilt. Når et offentlig organ bruker KI eller språkverktøy i chatboter, oversettelse, transkripsjon, oppsummering eller saksbehandling, må verktøyene likevel inngå i virksomhetens godkjente kanaler, sikkerhetsstyring, tilgangskontroll, dokumentasjon og internkontroll.

Dagens forskrift er blant annet hjemlet i forvaltningsloven (1967) § 15 a. Forvaltningsloven (2025) er vedtatt, men har ennå ikke trådt i kraft. Ikrafttredelsesdato er ikke fastsatt. Forskriftens hjemler, henvisninger og innhold må derfor kontrolleres når den nye loven settes i kraft og eventuelle følgeendringer blir vedtatt.

Forskriften regulerer hvordan offentlig forvaltning kan kommunisere og saksbehandle elektronisk. Den omfatter blant annet kommunikasjonskanaler, identifikasjon, mottak av henvendelser, elektronisk varsling, reservasjon, innsyn, klage, informasjonssikkerhet og bruk av sikkerhetstjenester.

Et sentralt krav følger av § 15, som pålegger forvaltningsorganet å etablere mål, strategi og internkontroll for informasjonssikkerhet. Kravene er teknologinøytrale og gjelder derfor også når KI- og språkverktøy inngår i elektroniske tjenester eller arbeidsprosesser.

KI- og språkverktøy kan bli en del av offentlig elektronisk kommunikasjon gjennom chatboter, oversettelse, transkripsjon, oppsummering, dokumentproduksjon og saksbehandlingsstøtte. Da må virksomheten vurdere verktøyet som en del av den samlede informasjonsbehandlingen og ikke som et frittstående hjelpemiddel.

Forskriften gir et viktig styringsgrunnlag for godkjente kanaler, risikovurdering, tilgang, sikkerhet, logging, dokumentasjon og håndtering av elektroniske henvendelser. Den avgjør likevel ikke alene om en bestemt KI-behandling er lovlig. Krav etter blant annet personvernregelverket, arkivregelverket, offentleglova og forvaltningsloven må vurderes i tillegg.