KI-forordningen (EU AI Act): hva betyr den for norske bedrifter?

Hva er KI-forordningen?

KI-forordningen er EUs felles regelverk for kunstig intelligens, forordning (EU) 2024/1689, og den regulerer KI-systemer etter hvor stor risiko de utgjør for helse, sikkerhet og grunnleggende rettigheter.

Forordningen trådte i kraft i EU 1. august 2024 og fases inn trinnvis. Den er bygget som produktregelverk: kravene treffer den som lager et KI-system og den som tar det i bruk, avhengig av hva systemet brukes til — ikke hvilken teknologi det er bygget på. En språkmodell som skriver produkttekster er uproblematisk. Den samme modellen som rangerer jobbsøkere er høyrisiko.

I juli 2026 ble forordningen endret gjennom Digital Omnibus on AI, forordning (EU) 2026/1744. Den trådte i kraft 27. juli 2026, utsatte høyrisiko-kravene og justerte flere andre regler. Mer om det lenger ned.

De fire risikonivåene

Forordningen deler KI-bruk inn i fire nivåer — forbudt, høy risiko, begrenset risiko med krav om åpenhet, og minimal risiko — og det er nivået som avgjør hvilke plikter du får.

De fleste norske SMB-er havner i de to nederste kategoriene. Det betyr ikke at du kan ignorere regelverket, men det betyr at jobben er overkommelig.

Tilbyder eller idriftsetter: hvilken rolle har du?

De fleste bedrifter er idriftsetter (deployer) — de bruker et KI-system i egen virksomhet — mens tilbyderen (provider) er den som utvikler systemet og setter det på markedet under eget navn.

Tilbyderen bærer de tyngste pliktene: dokumentasjon, samsvarsvurdering, CE-merking for høyrisiko-systemer og at chatboten er bygget slik at brukeren får vite at det er KI. Idriftsetteren skal bruke systemet slik det er ment, sørge for menneskelig tilsyn der det kreves, og merke deepfakes og KI-generert tekst som publiseres om saker av allmenn interesse.

Grensen er ikke alltid opplagt. Bygger du en kundeservice-agent oppå en språkmodell fra f.eks. OpenAI eller Anthropic og tilbyr den under eget merkenavn, er du tilbyder av det KI-systemet — selv om du ikke har laget modellen. Endrer du formålet med et system slik at det blir høyrisiko, kan du også bli tilbyder. Er du i tvil, er det verdt å avklare tidlig i prosjektet, f.eks. som en del av en AI-strategi.

Generelle KI-modeller (GPAI)

Pliktene for generelle KI-modeller — de store språkmodellene bak verktøy som f.eks. ChatGPT, Claude og Gemini — ligger hos modellutviklerne, ikke hos bedriftene som bruker dem.

Siden 2. august 2025 har modelltilbydere i EU måttet levere teknisk dokumentasjon, ha en policy for opphavsrett og publisere et sammendrag av treningsdataene. De kraftigste modellene, med såkalt systemisk risiko, har i tillegg krav til testing, hendelsesrapportering og cybersikkerhet. For deg som bruker modellen via et API eller et ferdig verktøy er poenget enklere: velg leverandører som dokumenterer etterlevelse, og les vilkårene for hva som skjer med dataene dine.

KI-kompetanse: plikten i artikkel 4

Artikkel 4 krever at både tilbydere og idriftsettere jobber aktivt med KI-kompetansen til ansatte og andre som bruker KI-systemer på deres vegne.

Opprinnelig sa forordningen at virksomheten skulle sikre et tilstrekkelig nivå av KI-kompetanse. Etter Digital Omnibus er formuleringen mykere: virksomheten skal iverksette tiltak som støtter utviklingen av kompetansen, og det kreves ikke et bestemt nivå. Plikten er altså ikke borte, men den er blitt en innsatsplikt.

I praksis betyr det at de som bruker KI i jobben bør forstå hva verktøyene kan og ikke kan, hvor de tar feil, hvilke data som ikke skal inn, og når et menneske må ta beslutningen. Opplæringen bør tilpasses rolle — en selger og en utvikler trenger ikke det samme. Det er nettopp dette AI-kursene våre er bygget for: ett nivå for ledere og ansatte uten teknisk bakgrunn, ett for team som bygger egne arbeidsflyter, og ett for utviklere. Dokumenter hva dere har gjort, så har dere noe å vise til.

Tidslinje: når gjelder hva?

I EU gjelder forbudene og KI-kompetanse allerede, regler for generelle modeller og åpenhet gjelder fra 2025–2026, og høyrisiko-kravene er utsatt til desember 2027 og august 2028.

Datoene over gjelder EU. I Norge får de virkning først når forordningen er tatt inn i EØS-avtalen og KI-loven er vedtatt — se neste avsnitt.

Status i Norge per oktober 2026

Per oktober 2026 er KI-forordningen verken tatt inn i EØS-avtalen eller gjennomført i norsk lov, og regjeringens ambisjon er å legge fram KI-loven for Stortinget våren 2027.

• Høring: Utkast til norsk KI-lov var på høring fra juni til september 2025, med planlagt ikrafttredelse sommeren 2026. Den planen holdt ikke.
• Forsinkelse: 4. august 2026 opplyste regjeringen at forhandlingene med EU om EØS-tilpasninger tar lengre tid enn ventet, og at KI-loven sendes på ny høring høsten 2026 på grunn av endringene i Digital Omnibus.
• Tilsyn: Nkom (Nasjonal kommunikasjonsmyndighet) er utpekt som koordinerende markedstilsynsmyndighet og nasjonalt kontaktpunkt. Sektortilsyn får ansvar innen sine områder, og KI Norge i Digitaliseringsdirektoratet skal være nasjonal arena for veiledning og en regulatorisk sandkasse.
• Ikrafttredelse: Det finnes ingen vedtatt dato for når forordningen gjelder i Norge. Den avhenger av EØS-prosessen og Stortingets behandling.

Kravene er dessuten kjente. Det norske regelverket skal gjennomføre den samme forordningen, så det du gjør nå blir ikke bortkastet når loven kommer. Sanksjonsnivåene i Norge fastsettes i KI-loven. I EU er maksimalgrensene i artikkel 99 opptil 35 millioner euro eller 7 prosent av global omsetning for brudd på forbudene, og lavere for andre brudd.

Digital Omnibus: hva ble faktisk endret?

Digital Omnibus on AI ble vedtatt endelig av Rådet 29. juni 2026, trådte i kraft 27. juli 2026, og utsatte høyrisiko-kravene uten å utsette åpenhetskravene.

• Høyrisiko-krav for frittstående systemer utsatt fra 2. august 2026 til 2. desember 2027, og for KI i produkter til 2. august 2028. Datoene er faste, ikke betinget av standarder.
• Nytt forbud mot KI som lager seksualisert eller intimt innhold av identifiserbare personer uten samtykke, og overgrepsmateriale, fra 2. desember 2026.
• KI-kompetanse i artikkel 4 endret fra resultatplikt til innsatsplikt.
• Åpenhetskravene i artikkel 50 gjelder fra 2. august 2026 som planlagt. Generative systemer som allerede var på markedet før den datoen, har frist til 2. desember 2026 med maskinlesbar merking.
• Lettelser som tidligere gjaldt små og mellomstore bedrifter utvides til såkalte small mid-caps, og registreringsplikten for systemer som ikke regnes som høyrisiko er forenklet.

Hva betyr det for en vanlig bedrift?

For en typisk SMB som bruker en chatbot, en AI-agent eller en intern assistent handler KI-forordningen mest om åpenhet, opplæring og å vite hvor høyrisiko-grensen går.

Chatbot eller AI-agent mot kunder: Brukeren skal forstå at de snakker med KI, med mindre det er åpenbart. En tydelig tekst i grensesnittet og en enkel vei til et menneske løser det meste. Skal agenten gjøre mer enn å svare — oppdatere ordre, sende e-post, gjøre endringer i systemer — bør du ha logging og klare grenser for hva den får gjøre alene. Forskjellen er forklart i chatbot eller AI-agent.

Intern assistent: Et verktøy som oppsummerer dokumenter eller hjelper med e-post er minimal risiko. Kravet er i hovedsak KI-kompetanse — og at personopplysninger behandles lovlig. Se AI og GDPR for den delen.

KI-generert innhold: Publiserer dere KI-genererte bilder eller video som kan oppfattes som ekte, skal det merkes. Det samme gjelder KI-tekst som publiseres for å informere offentligheten om saker av allmenn interesse, med mindre den er redaksjonelt gjennomgått av et menneske.

Høyrisiko-fella: Det er her bedrifter kan havne uforvarende. Bruker du KI til å sortere jobbsøkere, vurdere ansattes prestasjoner eller vurdere kredittverdighet, er du i høyrisiko-land. Fra desember 2027 gjelder strenge krav i EU. Planlegg slike løsninger med det i tankene allerede nå.

Sjekkliste: dette bør du gjøre nå

Den mest nyttige jobben nå er å kartlegge hvilken KI dere bruker og plassere hvert system i riktig risikonivå og rolle.

1. Lag en oversikt over alle KI-verktøy og -løsninger i bruk, inkludert det ansatte bruker på eget initiativ.
2. Plasser hvert system i et risikonivå og avklar om dere er tilbyder eller idriftsetter.
3. Sjekk at ingen bruk havner i en forbudt kategori, f.eks. følelsesgjenkjenning av ansatte.
4. Merk chatboter og AI-agenter tydelig som KI, og gi en enkel vei til et menneske.
5. Lag en rutine for merking av KI-generert bilde, video og publisert tekst.
6. Gjennomfør rolletilpasset opplæring i KI-kompetanse, og dokumenter hva som er gjort.
7. Skriv en kort intern KI-policy: hvilke verktøy er godkjent, hvilke data som ikke skal inn, og hvem som eier hva.
8. Vurder personvern for hver løsning: behandlingsgrunnlag, databehandleravtale og eventuelt DPIA.
9. Identifiser planlagte løsninger som kan bli høyrisiko, og bygg inn logging, dokumentasjon og menneskelig kontroll fra start.
10. Følg med på KI-loven og ny høring, og oppdater oversikten når norske regler og datoer er vedtatt.

Står dere helt i starten med KI, er slik kommer bedriften i gang med AI et godt sted å begynne. Vil dere ha hjelp til kartleggingen, eller til å bygge løsninger som tåler regelverket fra dag én, kan dere ta kontakt.

Denne artikkelen er generell informasjon og ikke juridisk rådgivning.