Italia klargjør bøter på opptil 35 millioner euro mens EU utsetter KI-fristene
EUs Digital Omnibus skjøv fristene for høyrisiko-KI til desember 2027 og august 2028, mens Italia allerede har bygget ut håndhevningsapparatet med bøter opptil 35 millioner euro. Spørsmålet er om risikoklassifiseringen noen gang når ut i praksis.
Utsatt, men ikke avskrevet
I sommer 2026 ble EUs Digital Omnibus om kunstig intelligens vedtatt, og den reviderer iverksettelsestidslinjen for AI-forordningen. Kravene til frittstående høyrisikosystemer utsettes til desember 2027, mens høyrisikosystemer som er innebygd i regulerte produkter får frist i august 2028. Selve det regulatoriske rammeverket forblir imidlertid intakt (The National Interest).
Det betyr at utsettelsen er en tidsforskyvning, ikke en nedbygging. Kategoriene, forpliktelsene som hører til dem og ansvarsfordelingen langs verdikjeden overlever; det er bare kalenderen som flytter seg. For selskaper som håpet på en mer gjennomgående lemping, er resultatet det samme rammeverket – bare med mer tid. Law.com advarer i en standfirst (artikkelkroppen er bak betalingsmur) om at amerikanske juridisk ansvarlige som antar at de har god tid, kan undervurdere etterlevelsespresset – ikke minst fordi forordningen gjelder uansett hvor KI-resultater brukes i EU, uavhengig av hvor selskapet er etablert. Siden bare sammendraget er synlig, kan artikkelens øvrige argumenter ikke verifiseres her.
Hvordan klassifiseringsmekanikken fungerer
AI-forordningen er et risikobasert rammeverk som deler systemer inn i nivåer. I den ene enden ligger forbudte praksiser, som visse former for sosial scoring og sanntids biometrisk identifisering. I den andre ligger minimalrisikosystemer, som i stor grad er unntatt. Mellom ytterpunktene ligger kategorien «høyrisiko»: systemer brukt i sensitive sammenhenger som rettshåndhevelse, migrasjonsforvaltning, arbeidslivsscreening, kredittvurderinger og tilgang til offentlige ytelser. Disse er tillatt, men må oppfylle strenge krav til dataforvaltning, risikostyring, åpenhet, menneskelig tilsyn og overvåking etter utrulling (The Regulatory Review).
Rammeverket tildeler også forpliktelser etter rolle: leverandører, brukere som tar i bruk systemene, importører, distributører og andre aktører får ansvar etter hvilket system eller hvilken modell det gjelder (Unite.AI). Klassifisering og gjeldende frister avhenger dermed av konkrete fakta, rolle, jurisdiksjon og den offisielle veiledningen som gradvis utvikles – ikke av bransjetilhørighet alene.
Italia bygger håndhevningsapparatet
Med publiseringen av lovgivende dekret nr. 179 av 7. oktober 2026 og dekret nr. 160 av 9. september 2026 i Italias offisielle tidende, har regjeringen fullført gjennomføringen av delegasjonen i artikkel 24 i lov nr. 132 av 23. september 2025, skriver advokatene Claudio Chiarella, Francesco Gaggioli, Daniela Martini og Veronica Rossetti i A&O Shearman (JDSupra).
Apparatet er konkret: AgID utpekes som varslingsmyndighet, mens det nasjonale cybersikkerhetsbyrået ACN blir markedsovervåkingsmyndighet, kontaktpunkt og kompetent myndighet for nasjonal registrering av høyrisikosystemene i vedlegg III, punkt 2 – det vil si systemer brukt som sikkerhetskomponenter i styring og drift av kritisk infrastruktur. Sanksjonene er trinnsatte opp til 35 millioner euro, eller 7 prosent av den globale årlige omsetningen, for forbudte praksiser.
Dette gjør Italia til et tidlig testtilfelle for hvordan AI-forordningen håndheves i praksis. Mens EUs felles frister for høyrisikokrav ligger flere år frem i tid, står de nasjonale myndighetene, kontaktpunktene og sanksjonsnivåene altså allerede klare hos minst ett stort medlemsland.
Praksisgapet: Ingen tok høyde for grunnleggende rettigheter
Mens rammeverket vokser fast på papiret, viser funn fra EUs byrå for grunnleggende rettigheter (FRA) at det hittil ikke har omformet praksisen. I en rapport fra 2025, basert på intervjuer på tvers av fem medlemsstater, fant FRA at ingen av de intervjuede leverandørene eller brukerne av potensielle høyrisikosystemer gjennomførte risikovurderinger som tok omfattende høyde for grunnleggende rettigheter. Vurderingene la i stedet vekt på personvern, tekniske måltall eller forretningsmessig og juridisk risiko (The Regulatory Review).
FRA peker også på at høyrisikosystemer ofte rulles ut i politikkområder som treffer enkelte grupper uforholdsmessig hardt – migranter, personer med funksjonshemninger og mottakere av sosiale ytelser. Fordi disse gruppene allerede står i sårbare posisjoner, kan svakheter i risikovurdering eller tilsyn forsterke eksisterende ulikheter.
Funnet rammer kjernen i rammeverkets logikk: AI-forordningen bygger på antakelsen om at risikofylte bruksområder kan identifiseres på forhånd og reguleres gjennom dokumenterte vurderinger. Hvis aktørene som faktisk utvikler og tar i bruk slike systemer, ikke inkluderer grunnleggende rettigheter i vurderingene, forsvinner koblingen mellom klassifiseringen på papiret og beskyttelsen den skulle gi.
Hva etterlevelsen koster
I april 2026 estimerte Europakommisjonen 23 850–40 400 euro i tilleggskostnader for visse høyrisikosystemer som allerede var omfattet av eksisterende krav til produktsikkerhet og kvalitetsstyring (The National Interest). Tallet gjelder altså marginalkostnaden for systemer som allerede har et compliance-regime – ikke totalkostnaden for alle typer systemer, og det bør leses med den begrensningen.
Samtidig betyr den utenlandske rekkevidden at kostnadene ikke stopper ved EUs grenser. Etter standfirsten i Law.com-artikkelen gjelder forordningen hvor som helst KI-resultater brukes i EU, uavhengig av etableringssted. For amerikanske selskaper som leverer systemer inn i det europeiske markedet, kan utsettelsen derfor være fristende å lese som utsettelse av ansvar – men tidslinjen glir, den forsvinner ikke.
Åpne spørsmål
Tre usikkerheter bør holdes åpne. For det første er de primære kildene ikke tilgjengelige i dette grunnlaget: FRA-rapporten, Digital Omnibus-teksten og de italienske dekretene er kjent gjennom sekundær dekning, ikke gjennom førstehåndsdokumenter. For det andre er det uklart i hvilken grad Kommisjonens egne klassifiseringsveiledninger foreligger i en endelig form, og hva de eventuelt sier. For det tredje er FRA-funnet basert på intervjuer i fem medlemsstater; det sier noe om praksis blant de intervjuede, men ikke nødvendigvis om hele markedet.
Det som likevel kan konstateres, er en tidsmessig spenning: mens fristene glir mot 2027 og 2028 og nasjonale myndigheter som Italias allerede er på plass, tyder FRA-evidensen på at selve kjernen i rammeverket – grundig risikovurdering med grunnleggende rettigheter i sentrum – ennå ikke er en del av hvordan aktørene faktisk jobber. Utsettelsen kjøper tid til å bygge den praksisen. Den erstatter den ikke.