Fristene glir, datakravene står seg
Årsplanleggingen for AI-compliance i 2027 møter et bilde der tidspunktene glir, men innholdet i kravene står seg: EU har ifølge en IAPP-listing utsatt forpliktelsene for høyrisiko-AI til desember 2027, mens Colorados smalere erstatningslov og Californias regler for automatisert beslutningsteknologi begge trer i kraft 1. januar 2027. Uansett hvilken dato som gjelder, peker alle regimene mot det samme underliggende kravet — at organisasjonene kan dokumentere hvilke data og systemer AI-bruken deres bygger på.
Fristbildet per nå
Ifølge IAPPs liste for nettkonferansen «AI governance starts with your data» (IAPP) har EU utsatt forpliktelsene for høyrisiko-AI til desember 2027. Samme kilde oppgir at Colorado opphevet sin AI-lo og erstattet den med en smalere lov som trer i kraft 1. januar 2027 — samme dag som Californias regler for automatisert beslutningsteknologi (ADMT) begynner å gjelde.
Kildebildet fortjener en tydelig markering: IAPP-listingen er sponset av selskapet Exterro, som selger verktøy for datastyring, og EU-forsinkelsen og Colorados opphevelse er ikke bekreftet av uavhengige kilder her. Coblentz Patch Duffy & Bass bekrefter derimot den californiske datoen: Deres advokatvarsel (JDSupra) angir at CPPAs ADMT-regler trer i kraft 1. januar 2027, i tråd med IAPP-listingen.
Konsekvensen for planleggingen er likevel den samme uansett hvor man legger sannsynligheten: Organisasjoner som brukte EUs opprinnelige tidslinje eller Colorados opprinnelige AI-lo som planleggingsforutsetning, må rekalibrere — men de nye datoene ligger fortsatt innenfor en horisont der forberedelsene må starte nå.
Det amerikanske utgangspunktet: delstatene bærer tyngden
Coblentz-varselet tegner det grunnleggende bildet for amerikansk compliance: Det finnes fortsatt ingen føderal AI-lov, men over 60 delstatslover regulerer nå ulike sider ved kommersiell AI, og det pågår allerede betydelig rettslitigasjon rundt næringslivets bruk av AI-verktøy.
Den sittende administrasjonen utfordrer delstatslovene og presser Kongressen til å forhåndsemte dem. Ifølge Coblentz har den innsatsen ennå ikke fortrengt noen delstatslover. For praktisk planlegging betyr det at delstatsnivået forblir det operative compliance-utgangspunktet. En føderal løsning kan endre dette i fremtiden, men i dag kan ingen organisasjon som gjør forretning i USA ignorere delstatsreglene.
Californias ADMT-mekanikk
Coblentz-varselet beskriver de konkrete kravene i Californias CCPA-regler for automatisert beslutningsteknologi, med virkningsdato 1. januar 2027. Ifølge varselet gjelder de virksomheter som bruker automatisert teknologi til å ta — eller vesentlig erstatte menneskelig dømmekraft i — betydningsfulle beslutninger om californiske innbyggere, i sektorene arbeidsliv, lån, bolig, utdanning, helse og grunnleggende tjenester. Coblentz setter denne standarden i kontrast til Colorados bredere utløserbegrep, som behandles nedenfor.
Kravene omfatter ifølge varselet:
- Publiserte forhåndsvarsler før teknologien tas i bruk.
- Funksjonelle opt-out- og innsynsarbeidsflyter — altså ikke bare en policy, men reelle mekanismer innbyggerne kan bruke.
I tillegg oppgir IAPP-listingen at California nå krever risikovurderinger før en virksomhet behandler sensitiv personlig informasjon eller bruker ADMT til betydningsfulle beslutninger. Det er en forhåndsforpliktelse: vurderingen skal ligge ferdig før bruken skjer, ikke etterpå.
Legg merke til hva disse kravene forutsetter. Forhåndsvarsler krever at man vet nøyaktig hvor ADMT brukes og til hva. Opt-out-flyter krever kartlegging av hvilke data systemet jobber med og hvordan de flyter. Risikovurderinger før bruk krever et oversiktlig bilde av datagrunnlaget. Ingen av disse leveransene kan produseres uten en oppdatert, klassifisert oversikt over data og systemer.
Colorado: et udefinert nøkkelbegrep
Her ligger et av de juridisk viktigste åpne spørsmålene i materialet. Ifølge Coblentz er «materially influences» — vesentlig påvirker — et nøkkelbegrep i Colorados foreslåtte SB 26-189, men loven definerer det ikke. Omfanget av uttrykket er altså uavklart: Hvor mye innflytelse over en beslutning som skal til før et system faller inn under regelen, står ikke fast i lovteksten.
Dette skiller Colorado fra California. Mens Californias ADMT-regler etter Coblentz-varselet knytter seg til systemer som tar eller vesentlig erstatter menneskelige beslutninger, vil Colorados «materially influences» i utgangspunktet også kunne fange opp systemer som bare påvirker en beslutning. Coblentz opplyser at delstatens justisminister har bedt om kommentarer til nettopp disse konkurrerende standardene — altså er valget mellom bred og smal utløser et åpent spørsmål i regelverksprosessen.
Utfallet har direkte betydning for omfanget: En standard som fanger opp systemer som påvirker beslutninger, treffer vesentlig flere bruksscenarier enn en som kun fanger opp systemer med mer avgrenset rolle.
Én ting er verdt å understreke: Forholdet mellom den vedtatte smalere erstatningsloven som IAPP-listingen omtaler, og det foreslåtte SB 26-189 som Coblentz diskuterer, lar seg ikke fastslå fra de tilgjengelige kildene. De kan vise til ulike stadier eller ulike instrumenter. Lesere bør derfor behandle Colorados endelige regime som uferdig avgrenset — og følge kommentarprosessen hos justisministeren, der utfallet av «materially influences»-spørsmålet trolig vil avgjøres.
Datalaget: hva EU AI Act faktisk krever
Det er her de to sidene av Atlanterhavet møtes. IAPP-listingen oppsummerer EU AI Acts datastyringskrav: tilbydere av høyrisikosystemer må styre trenings-, validerings- og testdata, inkludert hvor dataene kommer fra, og om de er relevante, representative og så feilfrie som mulige.
Formuleringen er verdt å pakke ut. Det er fire distinkte dokumentasjonskrav:
- Opphav — hvor hver datapost stammer fra.
- Relevans — at dataene faktisk hører til oppgaven systemet skal løse.
- Representativitet — at de dekker populasjonen eller scenarioene systemet møter.
- Feilnivåer — dokumentasjon på hvor feilfrie dataene er, og hvordan feil er håndtert.
Dette er ikke krav man oppfyller med en policytekst. De krever sporbare dataflyter, klassifisering av datasett etter formål og sensitivitet, og en mekanisme for å oppdatere oversikten når data eller systemer endres. Og mens de formelt retter seg mot tilbydere av høyrisikosystemer i EU-regimet, vil enhver organisasjon som dokumenterer samsvar — sin egen eller en leverandørs — raskt oppdage at den trenger samme grunnlagsdata.
IAPP-sesjonen er organisert rundt en enkel tese: AI-governance-programmer stopper opp uten en oppdatert, klassifisert dataoversikt. Uansett sponsorforhold er tesen konsistent med hva både EU-regimet og de amerikanske delstatsreglene faktisk forutsetter.
Hvorfor inventar er det frist-sikre arbeidet
Sett de tre regimene ved siden av hverandre:
| Regime | Dato | Dataforutsetning |
|---|---|---|
| EU AI Act (høyrisiko) | Desember 2027 (IAPP-listing, usikret) | Opphav, relevans, representativitet, feilnivåer for trenings-, validerings- og testdata |
| California ADMT | 1. januar 2027 (Coblentz) | Forhåndsvarsler, opt-out/innsyn, risikovurderinger før bruk |
| Colorado (erstatningslov) | 1. januar 2027 (IAPP-listing) | Avhenger av uavklart utløserstandard |
Datoene kan endres igjen — EU-forsinkelsen viser at de gjør det. Men datakravene beveger seg i motsatt retning: hver enkelt regelvariant, fra EUs datastyringsplikter til Californias risikovurderinger, avhenger av at organisasjonen kan peke på hvilke data som ligger bak hvilke systemer, hva de brukes til, og hvor sensitiv de er.
Derfor er en oppdatert, klassifisert dataoversikt det arbeidet som overlever alle fristendringene. Den trengs likt enten Colorados standard blir vid eller smal, enten EUs desember-2027-dato holder, og enten den føderale forhåndsemtingsprosessen forblir resultatløs eller ikke. Hvis forhåndsemting en dag faktisk forkaster delstatslover, reduserer inventararbeidet kostnaden av det også — dokumentasjonen er ikke regimespesifikk.
Hva man kan gjøre nå
For compliance-team i årsplanleggingen peker grunnlaget på noen konkrete prioriteringer:
- Bygg eller oppdater data- og systemoversikten over AI-bruk, med klassifisering etter formål, sensitivitet og beslutningsbetydning. Dette er det eneste leveransepunktet alle regimene deler.
- Kartlegg berøringsflater mot de californiske sektorene (arbeidsliv, lån, bolig, utdanning, helse, grunnleggende tjenester) — der ADMT-reglene blir konkrete 1. januar 2027, og forhåndsvarsler og opt-out-flyter må være på plass før den datoen.
- Følg Colorados regelverksprosess. Utfallet av justisministerens kommentarinnkalling om «materially influences» vil avgjøre hvorvidt delstatens regime fanger opp systemer som påvirker beslutninger eller bare de med en mer avgrenset rolle — en forskjell som kan bety en størrelsesorden i omfang.
- Behandle EUs desember-2027-dato som veiledende, ikke garantert. Kilden er en sponset webinarpromotering, og det foreligger ingen bekreftelse fra primærkilder. Sjekk mot EUs egne rettsakter etter hvert som de blir tilgjengelige.
- Ikke planlegg rundt forhåndsemting. Ifølge Coblentz har den ikke fortrengt noen delstatslover, og delstatslovgivningen er fortsatt det operative utgangspunktet.
Et generelt forbehold gjelder hele bildet: De primære regulatoriske dokumentene — EUs endringer, Colorados lovgivning, CPPAs regler — inngår ikke i dette kildematerialet. Alle juridiske statuspåstander stammer fra en sponset konferanseliste og et advokatvarsel. De er konsistente der de overlapper, men verifisering mot primærkildene er et nødvendig steg før bindende beslutninger tas.
Det er kanskje den mest nyttige konklusjonen for 2027-planleggingen: fristene er de usikre variablene, datadokumentasjonen er den sikre. Organisasjoner som bruker tiden på oversikten, er forberedt uansett hvilke datoer som til slutt gjelder.