Kort fortalt
Kort fortalt: KI-forordningen gjelder i EU, men er ennå ikke innført i norsk rett. Norske virksomheter som tilbyr KI-systemer i EU, eller bruker dem der, kan likevel omfattes av EU-reglene. I Norge gjelder fortsatt eksisterende regler om blant annet personvern, diskriminering og opphavsrett.
To ulike regelspor for norske bedrifter
EUs KI-forordning (EU AI Act) regulerer utvikling, omsetning og bruk av KI-systemer. Den trådte i kraft i EU i 2024, men kravene innføres trinnvis. Fra 2. august 2026 gjelder hoveddelen av forordningen, med unntak for enkelte krav som har egne overgangsfrister.
Norge er ikke EU-medlem. KI-forordningen er vurdert som EØS-relevant, men den er ennå ikke innlemmet i EØS-avtalen eller gjennomført i norsk rett. Regjeringen opplyste i august at den vil sende et revidert forslag til KI-lov på høring, og tar sikte på å legge loven fram for Stortinget våren 2027. Datoen for når reglene faktisk vil gjelde i Norge, er derfor ikke fastsatt.
Dette betyr ikke at norske virksomheter står uten regler. Personvernforordningen, arbeidsmiljø- og diskrimineringsregler, forbrukerregler og åndsverkloven gjelder allerede der de kommer til anvendelse. Men KI-forordningens særkrav gjelder foreløpig ikke som norsk lov.
Når kan EU-reglene treffe et norsk selskap?
Forordningen kan gjelde aktører utenfor EU. Et norsk selskap bør særlig undersøke situasjonen hvis det tilbyr et KI-system eller en generell KI-modell på EU-markedet, eller hvis KI-systemets resultat brukes i EU. Reglene skiller mellom ulike roller – blant annet tilbyder og idriftsetter – og pliktene avhenger av rollen, systemet og bruken. At et selskap bare bruker et kommersielt KI-verktøy internt i Norge, betyr ikke automatisk at alle krav i forordningen gjelder.
Forordningen bruker en risikobasert modell, men «høyrisiko» er en avgrenset juridisk kategori, ikke en merkelapp på all KI som kan få store konsekvenser. Enkelte bruksområder innen ansettelse, utdanning, kritisk infrastruktur, viktige tjenester, rettshåndhevelse og grensekontroll kan falle inn under kategorien. Kravene varierer etter om virksomheten utvikler systemet eller tar det i bruk; registrering og samsvarsvurdering gjelder ikke likt for alle.
Fristene er endret
I EU har forbud mot bestemte KI-praksiser gjeldt siden februar 2025. Kravene til tilbydere av generelle KI-modeller begynte å gjelde i august samme år. AI Omnibus har forenklet KI-kompetansekravene og gitt EU-kommisjonen og medlemslandene en tydeligere rolle i arbeidet med KI-kompetanse. Fra 2. august 2026 gjelder blant annet åpenhetskrav for visse KI-systemer: mennesker skal i bestemte tilfeller få vite at de snakker med en chatbot eller ser en deepfake, og KI-generert innhold skal kunne merkes maskinlesbart. Det finnes avgrensninger og unntak, blant annet for visse redaksjonelt kontrollerte tekster.
AI Omnibus, som trådte i kraft i EU 27. juli 2026, flyttet flere frister for høyrisikosystemer. Kravene for bestemte bruksområder, blant annet innen arbeid og utdanning, skal etter planen gjelde fra 2. desember 2027. For KI som inngår i regulerte produkter, som medisinsk utstyr og maskiner, er fristen 2. august 2028. Disse EU-fristene er ikke i seg selv norske ikrafttredelsesdatoer.
Hva bør virksomheten gjøre nå?
Start med å lage en oversikt over KI-bruken og hvem som leverer systemene. Noter hva systemet brukes til, hvilke personer det påvirker, hvor resultatene brukes, og om virksomheten utvikler, tilbyr eller tar i bruk løsningen. Det gjør det mulig å skille mellom norske forhold og aktivitet som kan falle inn under EU-reglene.
Hvis virksomheten tilbyr KI til kunder i EU eller bruker resultatene der, bør den avklare sin rolle etter forordningen og vurdere relevante plikter – særlig åpenhet, dokumentasjon og håndtering av risiko. For høyrisikosystemer bør vurderingen bygge på den konkrete bruken, ikke bare leverandørens produktbeskrivelse.
Uansett marked bør virksomheten ha kontroll på personopplysninger, tilgangsstyring, kvalitetssikring og menneskelig ansvar. Det følger allerede av annet regelverk og forsvarlig drift; KI-forordningen er ikke den eneste grunnen til å gjøre arbeidet.
Norske myndigheter anbefaler også at virksomheter forbereder seg på KI-loven, selv om den ennå ikke er vedtatt. Følg med på innlemmelsen i EØS-avtalen og det reviderte lovforslaget. Det er disse stegene – ikke bare kalenderen i Brussel – som avgjør når de norske reglene trer i kraft.
Kilder
Regjeringen: KI-loven sendes på ny høring · KI Norge: dette bør virksomheter vite · EU-kommisjonen: tidslinje for KI-forordningen · EU-kommisjonen: håndheving og frister