Gapanalyse mot KI-forordningen: steg for steg til AI compliance

Trinn 1: Avklar rolle og marked

KI-forordningen fordeler plikter etter rolle. De viktigste er leverandør (den som utvikler et KI-system og setter det på markedet under eget navn) og idriftsetter (den som bruker et KI-system under eget ansvar i yrkesmessig sammenheng). I tillegg finnes importør, distributør og produktprodusent. En virksomhet kan ha ulike roller for ulike systemer.

For en norsk virksomhet kommer markedet i tillegg. Still disse spørsmålene for hvert forretningsområde:

• Selger vi KI-systemer eller produkter med KI til kunder i EU?
• Brukes resultater fra KI-systemene våre av kunder eller brukere i EU?
• Har vi selskaper eller filialer i et EU-land som bruker KI?

Er svaret ja på ett av dem, gjelder EU-fristene for den delen av virksomheten nå. Er svaret nei på alle, gjør dere analysen som forberedelse til KI-loven.

Trinn 2: Kartlegg KI-systemene

Dere kan ikke analysere hull i noe dere ikke vet at dere har. Kartleggingen må omfatte mer enn chatboter: KI i HR-systemet, kredittmodeller, prognoseverktøy, KI-funksjoner i Microsoft 365, transkripsjon av Teams-møter, kodeassistenter og leverandørers innebygde funksjoner. Spør avdelingene direkte, sjekk innkjøp og lisenser, og se på nettverkstrafikk mot kjente KI-tjenester. Hvordan dere avdekker skjult bruk, står i artikkelen om shadow AI og KI-register.

For hvert system noterer dere minst: formål, leverandør, rolle, hvem som bruker det, hvilke data som går inn, hvem som påvirkes av resultatet, og om det brukes i EU.

Trinn 3: Klassifiser risikoen

Gi hvert system et risikonivå: forbudt praksis, høy risiko, begrenset risiko med åpenhetsplikter, eller minimal risiko. Typiske høyrisikoområder etter vedlegg III er rekruttering og personalbeslutninger, kredittvurdering av privatpersoner, prising av livs- og helseforsikring, opptak og vurdering i utdanning, og vurdering av rett til offentlige ytelser. Nivåene er forklart i artikkelen om risikoklassifisering i KI-forordningen.

Vær oppmerksom på unntaket i artikkel 6 nr. 3: Et system i et område i vedlegg III er ikke høyrisiko hvis det bare utfører en snever forberedende oppgave og ikke påvirker resultatet vesentlig. Men systemer som profilerer personer, er alltid høyrisiko. Dokumenter vurderingen.

Trinn 4: Vurder kravene ett for ett

Her ligger selve analysen. Gå gjennom kravene som gjelder hvert system, og noter hva som finnes, hva som mangler, og hvilken dokumentasjon dere kan vise til.

For leverandører av høyrisikosystemer er listen lengre: risikostyringssystem, datastyring, teknisk dokumentasjon, logging, nøyaktighet og robusthet, kvalitetsstyringssystem, samsvarsvurdering, CE-merking og registrering i EU-databasen. Den analysen krever som regel en egen gjennomgang per produkt.

Trinn 5: Prioriter og lag tiltaksplanen

Ikke alle hull er like viktige. Prioriter etter tre spørsmål: Gjelder kravet allerede (for virksomheter i EU-markedet)? Hvor alvorlige er følgene for mennesker hvis noe går galt? Hvor mye arbeid kreves? Forbudt praksis og opplysning om chatboter er raske å lukke og bør komme først. Høyrisikoarbeidet tar lengst tid og må starte tidlig.

Før hullene inn i et gapregister. Et eksempel fra en tenkt norsk arbeidsgiver med 300 ansatte:

For opplæringsdelen kan dere bruke rolleplanen i artikkelen om KI-kompetanse og KI-kurs.

Trinn 6: Gjør det til styring, ikke et prosjekt

En gapanalyse er et øyeblikksbilde. Uten en fast struktur blir den utdatert så snart noen tar i bruk et nytt verktøy. Gjør derfor tre ting når tiltakene er på plass:

• Utpek en eier for KI-styringen, gjerne med et lite forum der IT, sikkerhet, personvern, jus og HR møtes.
• Bygg inn KI i eksisterende prosesser: innkjøp, endringshåndtering, risikovurdering og internkontroll. Har dere ISO 27001, kan KI-styringen bli en utvidelse av det, se hva ISO 42001 er.
• Gjenta analysen årlig, og når KI-loven blir vedtatt. Lovproposisjonen vil avklare tilsynsmyndigheter og gebyrer i Norge, og da bør gapregisteret oppdateres.

Rammene for slik styring er beskrevet i artikkelen om styringsrammeverk for KI.

Hva koster det å ikke gjøre noe?

KI-forordningen har bøtetak på inntil 35 millioner euro eller 7 prosent av global årsomsetning for forbudt praksis, 15 millioner euro eller 3 prosent for de fleste andre brudd, og 7,5 millioner euro eller 1 prosent for uriktige opplysninger til myndighetene. For små og mellomstore bedrifter gjelder det laveste av de to beløpene. I Norge skal KI-loven gi hjemmel for overtredelsesgebyr og tvangsmulkt, men nivåene er ikke fastsatt per oktober 2026.

For de fleste er den reelle risikoen likevel en annen: en diskriminerende rekrutteringsprosess, et personvernbrudd fordi kundedata ble limt inn i et gratisverktøy, eller en anbudskonkurranse som tapes fordi dere ikke kan svare på spørsmålene om KI-styring.

Ofte stilte spørsmål

Hva er en gapanalyse mot KI-forordningen?

Det er en systematisk sammenligning av hvordan virksomheten bruker og styrer KI i dag, og hva KI-forordningen krever ut fra rollen og risikonivået til hvert KI-system. Resultatet er en prioritert liste over hull med tiltak, eiere og frister. Den bør også dekke tilgrensende regler som GDPR.

Hva er forskjellen på AI governance og AI compliance?

AI governance, eller KI-styring, er hvordan virksomheten organiserer ansvar, beslutninger, regler og kontroll med KI. AI compliance, eller KI-etterlevelse, er å oppfylle bestemte krav, for eksempel i KI-forordningen eller GDPR. God styring er forutsetningen for å kunne dokumentere etterlevelse, og en gapanalyse binder de to sammen.

Hvor lang tid tar en gapanalyse?

En første oversikt kan gjøres på kort tid hvis dere vet hvilke systemer dere har. Opsios gratis vurdering tar rundt 40 minutter. En fullstendig analyse med intervjuer, dokumentgjennomgang og vurdering av hvert høyrisikosystem tar lengre tid og avhenger av antall systemer og hvor moden styringen er fra før.

Må vi gjøre en gapanalyse hvis vi bare bruker Microsoft Copilot?

Ja, men den kan være enkel. Copilot er normalt ikke høyrisiko, men det kreves tiltak for KI-kompetanse, regler for hvilke data som kan brukes, og vurdering etter GDPR. Sjekk også om Copilot brukes til oppgaver som kan bli høyrisiko, for eksempel å vurdere ansatte eller søkere.

Hvem bør gjennomføre gapanalysen?

En liten tverrfaglig gruppe: noen fra IT eller sikkerhet, personvernombudet eller juridisk, HR og representanter for avdelingene som bruker KI mest. Ekstern hjelp er nyttig for høyrisikosystemer og for leverandører som skal gjennom samsvarsvurdering, men det meste av kartleggingen må gjøres internt.

Start gapanalysen på 40 minutter

Den raskeste veien til en første gapanalyse er å svare på de riktige spørsmålene. Ta Opsios gratis vurdering av KI-styring og KI-compliance: fjorten steg, rundt 40 minutter, og når dere sender inn, får dere et modenhetsbilde over ti områder og fire styringsdokumenter skrevet ut fra svarene – retningslinjer for bruk av KI, rammeverk for KI-styring, sjekkliste for KI-leverandører og mal for risikovurdering. Spørsmålene er på norsk, mens dokumentene leveres på engelsk som redigerbare Word-filer. Gratis, uten forpliktelser. Trenger dere hjelp videre, tilbyr vi også rådgivning om KI-styring, og den store oversikten finner dere i guiden til KI-forordningen.

Denne artikkelen er generell informasjon og ikke juridisk rådgivning. Kontroller den konsoliderte teksten til forordning (EU) 2024/1689 slik den er endret ved forordning (EU) 2026/1744, og følg med på regjeringen.no for status for KI-loven og EØS-innlemmelsen. Opplysningene gjelder per oktober 2026.