BSI lanserer tre AI-assuranstjenester – men har foreløpig ikke Notified Body-status
Det britiske standardiseringsinstituttet BSI tilbyr nå pilotbasert forberedelse til EU AI Act-konformitetsvurdering for biometrisk AI, ytelsestesting av språkmodellapplikasjoner og risikostyring basert på NIST og ISO-rammeverk – men enn så lenge uten status som Notified Body.
BSI (British Standards Institution) kunngjorde 14. oktober 2026 tre nye vurderingsordninger for kunstig intelligens: en tjeneste for høyrisiko-biometriske systemer, en ytelsesvurdering for applikasjoner bygget på store språkmodeller (LLM), og en vurdering av AI-risikostyring på produktnivå (Biometric Update; Verdict via MSN). Lanseringen kommer i et marked der etterspørselen etter uavhengig dokumentasjon på at AI-produkter er trygge og pålitelige vokser, og der det formelle regelverket – etter det som rapporteres – har fått utsatt frister.
Saken bygger på sekundær dekning av BSIs kunngjøring; begge kildene bygger trolig på selskapets egne pressematerialer. Det er verdt å ha i bakhodet når tall og påstander leses.
Biometrisk ordning: pilot mot EU AI Act
Den mest reguleringsnære av de tre ordningene retter seg mot biometriske AI-systemer som klassifiseres som høyrisiko under annex III, punkt 1 i EUs AI-forordning – kategorien som dekker blant annet biometrisk identifikasjon. Ordningen følger prosedyren i annex VII, som er den konformitetsvurderingsprosedyren høyrisikosystemer skal gjennomgå (Biometric Update).
Det avgjørende forbeholdet: BSI lanserer tjenesten som en pilot, mens selskapet arbeider mot å bli utpekt som Notified Body under AI-forordningen. Før en slik utpeking er på plass, kan tjenesten støtte forberedelse til konformitetsvurdering – men den utgjør ikke formell regulatorisk sertifisering. For leverandører av biometrisk AI betyr det at de kan bruke piloten til å identifisere og utbedre hull før den bindende vurderingen, men at et gjennomført pilotprogram ikke fritar dem for den senere, formelle prosessen.
Fristen glir – hvis Omnibus-hyppen holder
Tidsfestingen er delvis. Det som opprinnelig sto i AI-forordningen, var at kravene til høyrisikosystemer i annex III skulle tre i kraft 2. august 2026. Ifølge Biometric Update har EUs AI Omnibus nå flyttet denne fristen til 2. desember 2027 (Biometric Update). Denne endringen er ikke uavhengig bekreftet i det tilgjengelige kildematerialet, og bør leses som rapportert – ikke som dokumentert rettsakt.
Ironien er tydelig: nettopp fordi fristen for formell konformitet rykker lenger bort, blir markedet for frivillig, uavhengig validering mer attraktivt. Leverandører får mer tid, men kjøpere – offentlige som private – får ikke automatisk mer tillit.
Ytelsesvurdering for LLM-applikasjoner
Den andre ordningen, «AI Performance Assessment for Large Language Models», retter seg ikke mot selve modellene, men mot ferdige applikasjoner: chatboter, systemer med retrieval-augmented generation (RAG) og oppsummeringsverktøy. Testdimensjonene som kan måles, er svarenes korrekthet, faktisk konsistens, kontekstuell relevans, toksisitet og kvaliteten på oppsummeringer (Biometric Update).
At ordningen tester applikasjoner snarere enn underliggende modeller, er i tråd med et stadig mer utbredt syn i bransjen: produktet er ikke modellen. En leverandør som bygger en kundeservice-chatbot på en tredjepartsmodell, kan la selve den ferdige løsningen – med sin RAG-pipeline, sin prompting og sine systemgrenser – være gjenstand for vurderingen.
Kildene spesifiserer ikke om denne ordningen er en pilot, en fullt lansert tjeneste eller under utvikling. Bare den biometriske ordningen er eksplisitt beskrevet som pilot.
Risikostyring med NIST og ISO-forankring
Den tredje ordningen er en vurdering av AI-risikostyring basert på to etablerte rammeverk: NISTs AI Risk Management Framework og ISO/IEC 23894, ISO-standarden for AI-risikostyring. Organisasjoner som består vurderingen, mottar et sertifikat som refererer til begge rammeverkene, en teknisk vurderingsrapport og BSIs «Mark of Trust» (Biometric Update).
Også her gjelder et klart forbehold: vurderingen erstatter ikke regulatorisk konformitetsvurdering. Den gir en dokumentasjonspakke rettet mot kjøpere og partnere, ikke et juridisk bevis på overholdelse av AI-forordningen.
Hvorfor markedet etterspør dette
BSI selv begrunner lanseringen med undersøkelser som selskapet henviser til. Ifølge forskning fra FocalData som BSI siterer, ville 67 prosent av næringslivsledere stole mer på AI-verktøy hvis de ble validert av en ekstern organisasjon. BSIs egen undersøkelse fant at bare en fjerdedel av næringslivslederne hadde et formelt program for AI-styring, og at bare 28 prosent visste hvilke datakilder som var brukt til å trene eller ta i bruk deres AI-modeller – tall som bør leses som selskapets egne påstander, slik de er formidlet via Biometric Update (Biometric Update).
Omkar Joshi, administrerende direktør for AI and Digital Solutions i BSI, rammet inn lanseringen slik, gjengitt i norsk oversettelse: «Etter å ha ledet utviklingen av AI-standarder, er BSI forpliktet til å muliggjøre at AI tas i bruk til det gode, og vi utvider nå tilbudet vårt for å hjelpe AI-leverandører med å demonstrere tillit til sin AI.»
BSI beskriver seg i tillegg – ifølge Verdict/MSN som et selskapsutsagn – som den første organisasjonen akkreditert for ISO/IEC 42001, standarden for ledelsessystemer for kunstig intelligens, av de tre akkrediteringsorganene RvA, ANAB og UKAS (Verdict via MSN).
Hva som gjenstår å svare på
Flere spørsmål ligger åpent. For det første: Så lenge BSI ikke er utpekt som Notified Body, eksisterer markedet for formell AI Act-konformitetsvurdering i praksis kun som forberedelse – hvem som til slutt utpekes, i hvilke land og med hvilke kapasiteter, avgjør hvordan dette markedet faktisk organiseres. For det andre: Statusen til Omnibus-endringen av fristen (2. august 2026 → 2. desember 2027) er kun rapportert av Biometric Update i dette materialet og bør bekreftes mot den rettsakten selv før den legges til grunn for egne compliance-planer. For det tredje: Det er uklart om LLM-ordningen og risikostyringsordningen er operative, piloter eller under etablering.
Det som likevel er tydelig, er signalverdien: En av verdens største sertifiseringsinstitusjoner satser ressurser på AI-assuransetjenester før formelle designasjoner er på plass. For leverandører av biometrisk AI og LLM-applikasjoner – og for kjøpere som vil ha tredjepartskontroll før de signerer – er tilbudet av uavhengig validering altså i ferd med å vokse frem, også i ventetiden før regelverket krever det.