Sjekkliste for KI-forordningen (EU AI Act) for norske virksomheter

En sjekkliste for KI-forordningen (EU AI Act) hjelper dere å kontrollere at det viktigste er på plass: oversikt over KI-systemer, rolle og risikonivå, forbudt praksis, KI-kompetanse, åpenhet, høyrisikokrav, leverandører og styring. For norske virksomheter kommer ett punkt først: avklar om dere allerede er omfattet via EU, eller om dere forbereder dere til KI-loven.

Det viktigste i korthet

• Sjekklisten følger rekkefølgen pliktene gjelder i EU: først forbud og KI-kompetanse, så åpenhet, så høyrisiko.
• Per oktober 2026 er KI-forordningen ikke innlemmet i EØS-avtalen og KI-loven er ikke vedtatt. Virksomheter som retter seg mot EU-markedet, er likevel omfattet.
• Høyrisikokravene gjelder i EU fra 2. desember 2027 (vedlegg III) og 2. august 2028 (vedlegg I) etter Digital Omnibus.
• Hvert punkt bør ha en eier og dokumentasjon dere kan vise fram.

Slik bruker dere sjekklisten

Gå gjennom punktene med en liten gruppe fra IT og sikkerhet, personvern, HR, innkjøp og de avdelingene som bruker mest KI. Merk hvert punkt som på plass, delvis eller mangler, og før det som mangler inn i en tiltaksplan. Trenger dere en mer grundig metode, er fremgangsmåten beskrevet i artikkelen om gapanalyse mot KI-forordningen. Vil dere heller svare på strukturerte spørsmål og få dokumentene skrevet, kan dere ta Opsios gratis vurdering av KI-styring.

1. Omfang og norsk status

• Vi har avklart om vi setter KI-systemer på markedet i EU, eller om resultater fra KI-systemene våre brukes i EU.
• Vi vet hvilke selskaper eller avdelinger i konsernet som har virksomhet i EU-land.
• Vi følger med på EØS-innlemmelsen og den nye høringen av KI-loven høsten 2026 (se status for KI-loven), og vet at Nkom blir koordinerende tilsynsmyndighet.
• Vi har oversikt over norske regler som gjelder KI allerede: personopplysningsloven, likestillings- og diskrimineringsloven og arbeidsmiljøloven.

2. Oversikt og roller

• Vi har et KI-register over systemer vi utvikler, kjøper og bruker, inkludert KI-funksjoner i eksisterende programvare.
• Hvert system har en navngitt eier.
• Vi har avklart om vi er leverandør, idriftsetter, importør eller distributør for hvert system.
• Vi har sjekket om vi har endret et system så mye, eller satt eget navn på det, at vi har blitt leverandør.
• Vi har en rutine for å avdekke skygge-KI. Se shadow AI og KI-register.

3. Risikoklassifisering

• Hvert system har fått et risikonivå: forbudt, høy, begrenset (åpenhet) eller minimal.
• Vi har vurdert systemer innen rekruttering, personalstyring, kredittvurdering, forsikring, utdanning og offentlige ytelser særskilt.
• Der vi bruker unntaket i artikkel 6 nr. 3, er vurderingen dokumentert.
• Klassifiseringen gjennomgås når formål eller bruk endres.

4. Forbudt KI-praksis (artikkel 5)

• Vi har kontrollert at vi ikke bruker følelsesgjenkjenning på arbeidsplassen eller i utdanning, utenom medisinske eller sikkerhetsmessige grunner.
• Vi bruker ikke biometrisk kategorisering som utleder sensitive egenskaper.
• Vi bruker ikke manipulerende teknikker eller utnytter sårbarhet på en måte som kan gi betydelig skade.
• Vi har vurdert de nye forbudene fra 2. desember 2026 hvis vi tilbyr verktøy for generering av bilder eller video.

5. KI-kompetanse (artikkel 4)

• Vi har en kort plan for KI-kompetanse med målgrupper, innhold og hyppighet.
• Alle som bruker KI i jobben, har fått grunnopplæring, også innleide og konsulenter.
• HR, ledere og utviklere har fått rolletilpasset opplæring.
• Vi fører deltakerlister og tar vare på kursmateriell. Se opplæringsplan for KI-kompetanse.

6. Åpenhet (artikkel 50)

• Chatboter og stemmeassistenter forteller brukerne at de snakker med en KI, når det ikke er åpenbart.
• Vi merker deepfakes – bilder, lyd og video som ligner virkelige personer eller hendelser.
• Vi har en rutine for KI-generert tekst som publiseres for å informere offentligheten.
• Bruker vi følelsesgjenkjenning eller biometrisk kategorisering der det er tillatt, informerer vi de berørte.

7. Høyrisiko-KI

Pliktene avhenger av rollen. Tabellen viser de viktigste, slik de gjelder i EU fra 2. desember 2027 for systemer i vedlegg III.

• Vi vet hvilke av systemene våre som er høyrisiko, og har en plan fram mot fristen.
• Vi har bedt leverandørene om bruksanvisning og informasjon om samsvarsvurdering.
• Vi har drøftet KI på arbeidsplassen med tillitsvalgte der det er aktuelt, også som kontrolltiltak etter arbeidsmiljøloven.

8. Leverandører og avtaler

• Innkjøp stiller spørsmål om KI til alle nye leverandører: bruk av data, trening på kundedata, lagringssted, modellbytter og hendelseshåndtering.
• Avtalene sikrer tilgang til dokumentasjonen vi trenger for egne plikter.
• Databehandleravtaler er på plass for KI-tjenester som behandler personopplysninger, og overføringer ut av EØS er vurdert.
• Vi vet hvilke KI-modeller for allmenne formål tjenestene bygger på. Se GPAI og KI-modeller for allmenne formål.

9. Styring, personvern og oppfølging

• Vi har vedtatt retningslinjer for bruk av KI og en liste over godkjente verktøy.
• Én rolle har samlet ansvar for KI-styring, og ledelsen får jevnlig rapport.
• KI-systemer som behandler personopplysninger, står i behandlingsprotokollen, og DPIA er gjort der det kreves.
• KI-avvik meldes gjennom den vanlige avviksrutinen.
• Sjekklisten gjennomgås minst årlig og når KI-loven vedtas.

Eksempel: sjekklisten brukt i en norsk nettbutikk

Tenk dere en nettbutikk i Bergen som selger til kunder i Norge og Sverige. Den bruker en chatbot i kundeservice, KI-genererte produkttekster, et prognoseverktøy for lager og Copilot i administrasjonen. Fordi chatboten svarer svenske kunder, er virksomheten idriftsetter i EU, og åpenhetsplikten har gjeldt siden 2. august 2026. Sjekklisten avdekker raskt tre hull: chatboten sier ikke at den er KI, ingen ansatte har fått opplæring, og leverandøren av chatboten har aldri fått spørsmål om hvor samtalene lagres. Prognoseverktøyet og produkttekstene er minimal risiko. Det finnes ingen høyrisikosystemer, så arbeidet er overkommelig: endre velkomstmeldingen, holde et grunnkurs, vedta retningslinjer og oppdatere leverandøravtalen.

Prioriter riktig

Ikke alt må gjøres samtidig. For en typisk norsk virksomhet er rekkefølgen denne: først oversikt og retningslinjer, deretter opplæring og åpenhet, så leverandørkontroll og til slutt høyrisikoarbeidet, som tar lengst tid og derfor må starte tidlig. Datoene som styrer rekkefølgen, står i tidslinjen for KI-forordningen, og det store bildet i guiden til KI-forordningen.

Ofte stilte spørsmål

Hva bør en sjekkliste for AI Act inneholde?

Den bør dekke omfang og roller, et KI-register, risikoklassifisering, forbudt praksis, KI-kompetanse, åpenhetsplikter, høyrisikokrav for leverandør og idriftsetter, leverandørstyring, personvern og løpende styring. For norske virksomheter bør den også dekke status for KI-loven og om virksomheten allerede er omfattet via EU.

Gjelder sjekklisten for norske virksomheter i dag?

Ja for virksomheter som retter seg mot EU-markedet, og som forberedelse for andre. Per oktober 2026 er KI-forordningen ikke innlemmet i EØS-avtalen, og KI-loven skal på ny høring høsten 2026. Mange av punktene, som personvern og diskrimineringsvern, gjelder allerede etter norsk lov.

Hva er forskjellen på pliktene til leverandør og idriftsetter?

Leverandøren har ansvaret for at systemet er laget riktig: risikostyring, dokumentasjon, logging, samsvarsvurdering og CE-merking. Idriftsetteren har ansvaret for riktig bruk: følge bruksanvisningen, sørge for menneskelig tilsyn, ta vare på logger, informere ansatte og berørte og i noen tilfeller gjøre en FRIA.

Hvor ofte bør vi gå gjennom sjekklisten?

Minst én gang i året, og i tillegg når dere tar i bruk et nytt KI-system med høyere risiko, når en leverandør endrer tjenesten vesentlig, og når KI-loven vedtas. Lovproposisjonen vil avklare tilsynsmyndigheter og gebyrer i Norge.

Fra sjekkliste til ferdige dokumenter

En sjekkliste viser hva som mangler. Opsios gratis vurdering av KI-styring og modenhet hjelper dere å lukke de første hullene: fjorten steg, rundt 40 minutter, og når dere sender inn, får dere retningslinjer for bruk av KI, et rammeverk for KI-styring, en sjekkliste for KI-leverandører og en mal for risikovurdering skrevet ut fra svarene, pluss et modenhetsbilde over ti områder. Spørsmålene er på norsk, dokumentene leveres på engelsk som redigerbare Word-filer. Gratis og uten forpliktelser.

Denne artikkelen er generell informasjon og ikke juridisk rådgivning. Kontroller den konsoliderte teksten til forordning (EU) 2024/1689 slik den er endret ved forordning (EU) 2026/1744, og følg med på regjeringen.no for status for KI-loven og EØS-innlemmelsen. Opplysningene gjelder per oktober 2026.