EU AI Act, på norsk KI-forordningen, gjelder ennå ikke som norsk lov. Regjeringen tar sikte på å legge fram den norske KI-loven for Stortinget våren 2027. Norske bedrifter kan likevel møte kravene allerede nå, gjennom EU-kunder og gjennom leverandørene de kjøper AI fra.
Status er sjekket mot regjeringen.no 10. november 2026.
Hva er EU AI Act?
EU AI Act er forordning (EU) 2024/1689, EUs felles regelverk for kunstig intelligens. Den sorterer AI-bruk etter risiko. Kravene treffer både den som lager et AI-system (leverandøren) og bedriften som tar det i bruk (idriftsetteren, «deployer» på engelsk).
| Risikonivå | Eksempler | Hva det betyr |
|---|---|---|
| Forbudt | Sosial poengsetting, manipulering som utnytter sårbarhet, følelsesgjenkjenning på arbeidsplassen | Kan ikke brukes |
| Høyrisiko | AI som sorterer jobbsøkere, vurderer kreditt, vurderer elever eller styrer kritisk infrastruktur | Krav til risikostyring, dokumentasjon, logging og menneskelig kontroll |
| Åpenhet | Chatboter og AI-agenter som snakker med kunder, AI-generert bilde, lyd og video | Brukeren skal få vite at det er AI |
| Lav risiko | Tekstutkast, oppsummering, oversettelse, internt søk | Fritt i bruk, med kravet til AI-kompetanse under |
Kilde: forordning (EU) 2024/1689, EUR-Lex.
Bruker dere AI til tekst, oppsummering og kundechat, havner dere som regel i de to nederste radene. Det er bruksområdet som avgjør risikonivået, så samme språkmodell kan være lav risiko i ett verktøy og høyrisiko i et annet.
Ett krav gjelder uansett risikonivå: leverandører og idriftsettere skal sette i verk tiltak som styrker AI-kompetansen hos de ansatte som bruker systemene (artikkel 4). Endringene i 2026 gjorde kravet mildere. Kravet gjelder tiltakene bedriften setter i verk (Law & Technology om endringen i artikkel 4).
AI Act gjelder ennå ikke i Norge
Forordningen må først tas inn i EØS-avtalen og gjennomføres i norsk lov. Slik står saken 10. november 2026:
| Dato | Hva skjedde |
|---|---|
| 30. juni 2025 | Regjeringen sendte forslaget til ny KI-lov på høring. Planen var at loven skulle gjelde fra sensommeren 2026 |
| 8. juli 2026 | EU vedtok endringer i forordningen (digital omnibus om KI) |
| 4. august 2026 | Regjeringen skrev at innføringen av de KI-spesifikke reglene blir utsatt i Norge, og at ambisjonen er å fremme KI-loven for Stortinget våren 2027 |
| 30. oktober 2026 | Departementet sendte EUs endringer på høring, med frist 11. desember 2026 |
Kilder: regjeringen.no, pressemelding 30. juni 2025, 4. august 2026 og 30. oktober 2026.
Regjeringen har utpekt Nkom (Nasjonal kommunikasjonsmyndighet) som koordinerende KI-tilsyn, ifølge pressemeldingen 30. juni 2025.
GDPR gjelder allerede for all AI som behandler personopplysninger. Personvernreglene er derfor de første kravene de fleste norske bedrifter møter når de tar i bruk AI. Mer om det i AI og GDPR i Norge.
Tre måter AI Act treffer norske bedrifter allerede nå
- Dere tilbyr et AI-system i EU. Forordningen gjelder også leverandører utenfor EU som tilbyr AI-systemer i EU, og leverandører og idriftsettere utenfor EU når resultatet fra systemet brukes i EU (artikkel 2).
- Kunder i EU stiller krav. En kunde i Sverige eller Tyskland som selv må følge forordningen, kan be om dokumentasjon fra norske leverandører.
- Dere kjøper AI fra leverandører som selger i EU. Leverandørens vilkår og dokumentasjon er skrevet etter EU-reglene. Be om dem før dere tar verktøyet i bruk.
Fristene i EU etter endringene i 2026
EU endret AI Act med forordning (EU) 2026/1744. Den ble vedtatt 8. juli 2026, publisert 24. juli og trådte i kraft 27. juli 2026. Endringen utsatte høyrisikoreglene og la til to nye forbud.
| Dato | Hva gjelder i EU |
|---|---|
| 2. februar 2025 | Forbudene mot AI med uakseptabel risiko |
| 2. august 2025 | Regler for leverandører av generelle AI-modeller, som modellene bak ChatGPT, Claude og Gemini |
| 2. august 2026 | De fleste øvrige reglene, blant annet åpenhetskravene i artikkel 50 |
| 2. desember 2026 | Forbud mot AI som lager intime bilder av identifiserbare personer uten samtykke, og mot overgrepsmateriale av barn. Frist for merking av AI-generert innhold fra systemer som var på markedet før 2. august 2026 |
| 2. desember 2027 | Høyrisikoreglene for frittstående systemer i vedlegg III, som rekruttering, utdanning og kredittvurdering |
| 2. august 2028 | Høyrisikoreglene for AI som er del av regulerte produkter i vedlegg I, som medisinsk utstyr og leketøy |
Kilder: forordning (EU) 2024/1689 og forordning (EU) 2026/1744, EUR-Lex; regjeringen.no 4. august 2026; Orrick 29. juli 2026.
Datoene gjelder i EU. I Norge gjelder reglene først når forordningen er tatt inn i EØS-avtalen og KI-loven er vedtatt.
Hva bør en norsk bedrift gjøre nå?
Start med en oversikt over AI-bruken. De fem stegene under følger av EU-reglene som den norske KI-loven etter planen skal gjennomføre, og steg 4 krever GDPR allerede.
- Lag en liste over all AI-bruk. Verktøy, hvem som bruker det, hva det brukes til og hvilke data som går inn. Ta med gratisverktøy ansatte har tatt i bruk på egen hånd.
- Gi hver bruk et risikonivå etter tabellen øverst. Tekstutkast og oppsummering er lav risiko. AI som sorterer jobbsøkere eller vurderer kreditt, blir høyrisiko og bør vurderes særskilt før den tas i bruk.
- Si fra når kunden snakker med AI. Chatboter og AI-agenter som svarer kunder, skal være tydelig merket i EU fra 2. august 2026, med mindre det er åpenbart for brukeren (artikkel 50). Gjør det samme her.
- Hold et menneske i beslutninger om folk. GDPR artikkel 22 gjelder allerede for helautomatiske avgjørelser som har rettsvirkning for enkeltpersoner eller påvirker dem tilsvarende mye, som avslag på en søknad.
- Lær opp de ansatte. Det er kravet i artikkel 4, og ansatte som vet hva de kan dele med et AI-verktøy og hvordan svaret skal kontrolleres, gjør færre feil. Se KI-kurs for ansatte.
Hva betyr AI Act for ChatGPT, Copilot og AI-agenter?
ChatGPT og Copilot i det daglige. Bruker dere ChatGPT Business eller Microsoft 365 Copilot til tekst, e-post og oppsummering, er dere som regel idriftsetter av et verktøy med lav risiko. Reglene for selve modellen ligger hos OpenAI og Microsoft. Det dere selv må ha på plass, er databehandleravtalen, en intern AI-policy og opplæring.
Chatbot på nettsiden. En AI-chatbot for kundeservice har åpenhetskravet: kunden skal vite at det er AI som svarer.
AI-agenter som handler i systemene deres. En agent som oppdaterer en kundesak eller leser fakturaer, er lav risiko når et menneske tar avgjørelsene på områdene i vedlegg III. Når AIKI bygger AI-agenter, avtaler vi hvilke verktøy og data agenten får bruke og hvor et menneske skal godkjenne. Hvert steg logges. Logging og menneskelig kontroll er også kjernen i kravene til høyrisiko-systemer, så en agent bygget slik er lettere å dokumentere den dagen reglene gjelder.
Bøtene i AI Act
| Brudd | Øvre grense |
|---|---|
| Forbudt AI-bruk | 35 millioner euro eller 7 % av global årsomsetning |
| Andre krav, blant annet høyrisiko og åpenhet | 15 millioner euro eller 3 % av global årsomsetning |
| Feil eller villedende opplysninger til myndighetene | 7,5 millioner euro eller 1 % av global årsomsetning |
Kilde: artikkel 99 i forordning (EU) 2024/1689. Det høyeste beløpet gjelder, men for små og mellomstore bedrifter gjelder det laveste. Bøtene gjelder i EU; sanksjonene i Norge fastsettes i KI-loven.
Oversikt før reglene gjelder
En AI-revisjon tar 1 til 3 uker og går gjennom prosessene, dataene og systemene deres. Den dekker også kompetanse og risiko. Dere får en oversikt over AI-bruken og et veikart for hva som bør gjøres først.
