AI-forordningen (EU AI Act): hva den er og hvordan den virker

AI-forordningen (EU AI Act) er EUs felles regelverk for kunstig intelligens, formelt forordning (EU) 2024/1689. Den trådte i kraft 1. august 2024 og innfases trinnvis. Reglene følger en risikobasert modell med fire nivåer og gjelder også leverandører utenfor EU som retter seg mot EU-markedet. Norge er bundet gjennom EØS-avtalen.

Merk: Dette er generell informasjon og ikke juridisk rådgivning. Innhold knyttet til tidslinjen er under endring i 2026; bekreft alltid mot offisielle kilder før beslutninger.

Hva er AI-forordningen (EU AI Act)?

AI-forordningen er verdens første omfattende, horisontale regelverk for kunstig intelligens. Den fastsetter krav til hvordan AI-systemer utvikles, settes i drift og brukes i EU og EØS. Målet er å sikre trygg og tillitsverdig AI som respekterer grunnleggende rettigheter, samtidig som innovasjon ivaretas. Reglene gjelder på tvers av bransjer og knytter pliktene til risikoen ved den enkelte bruken, ikke til teknologien i seg selv.

Forordningen er et resultat av flere års forhandlinger mellom Europaparlamentet, Rådet og Europakommisjonen. Fordi den er en forordning og ikke et direktiv, gjelder den direkte og likt i alle medlemsstater uten behov for nasjonal innføringslovgivning, og den skal også innlemmes i EØS-avtalen. For virksomheter betyr dette at de samme reglene møter dem enten de opererer i Oslo, Stockholm eller Berlin. Forordningen suppleres av veiledning fra EUs AI-kontor og av harmoniserte standarder som konkretiserer hvordan kravene kan oppfylles i praksis.

Hva er de fire risikonivåene?

Kjernen i AI Act er en risikobasert tilnærming. Et AI-system plasseres i ett av fire nivåer, og pliktene øker med risikoen.

Hva betyr uakseptabel risiko (forbudt)?

Enkelte former for bruk er forbudt fordi de anses uforenlige med grunnleggende rettigheter. Dette omfatter blant annet sosial skåring utført av myndigheter, manipulativ AI som utnytter sårbarhet, og visse former for biometrisk masseovervåking. Forbudene gjelder allerede.

Hva er høyrisiko-AI?

Høyrisiko-systemer kan påvirke helse, sikkerhet eller grunnleggende rettigheter, for eksempel AI i rekruttering, kredittvurdering, kritisk infrastruktur eller medisinsk utstyr. Disse må oppfylle strenge krav til risikostyring, datakvalitet, dokumentasjon, menneskelig tilsyn, nøyaktighet og sikkerhet før de kan tas i bruk.

Hva er begrenset risiko (åpenhet)?

Systemer med begrenset risiko utløser åpenhetsplikter. Brukere skal informeres når de samhandler med en chatbot, og AI-generert eller manipulert innhold som deepfakes skal merkes slik at mottakeren forstår at det er kunstig generert.

Hva er minimal risiko?

De fleste AI-systemer, som spamfiltre eller AI i dataspill, faller inn under minimal risiko og er i praksis ikke regulert av forordningen utover frivillige tiltak. Her oppfordres virksomheter til å følge bransjepraksis og adferdskodekser.

Hvem gjelder AI-forordningen for?

Forordningen retter seg mot flere roller i AI-verdikjeden, først og fremst leverandører (de som utvikler eller markedsfører et AI-system) og idriftsettere (de som tar systemet i bruk i egen virksomhet). Den omfatter også importører og distributører.

Et sentralt poeng er den ekstraterritorielle rekkevidden: reglene gjelder også leverandører og idriftsettere etablert utenfor EU dersom AI-systemet eller resultatene fra det brukes i EU-markedet. En leverandør i USA eller Asia som tilbyr et AI-system rettet mot brukere i EU eller EØS, omfattes dermed på lik linje med europeiske aktører.

Gjelder AI Act for Norge via EØS?

AI-forordningen er vurdert som EØS-relevant. Det betyr at den skal innlemmes i EØS-avtalen og gjøres til del av norsk rett, slik at norske virksomheter må forholde seg til de samme kravene som aktører i EU. Norske leverandører og idriftsettere bør derfor planlegge for etterlevelse på linje med selskaper i medlemsstatene, og følge med på den norske gjennomføringsprosessen.

Hva er tidslinjen for AI-forordningen?

Forordningen trådte i kraft 1. august 2024 og anvendes trinnvis. Hovedmilepælene er:

I 2026 forhandler EU om en forenklingspakke (Digital Omnibus). Det ble oppnådd en foreløpig politisk enighet 7. mai 2026 som blant annet foreslår å utsette høyrisiko-plikter for selvstendige systemer under Annex III til 2. desember 2027, og for AI innebygd i regulerte produkter under Annex I til 2. august 2028. Pakken er per juni 2026 ennå ikke formelt vedtatt og publisert i Den europeiske unions tidende. Inntil publisering står den opprinnelige datoen 2. august 2026 formelt ved lag. Vi oppgir derfor ingen fast fremtidig høyrisiko-dato her, og anbefaler å følge offisielle kilder for endelig tidsplan.

Hvilke plikter gjelder for generell AI (GPAI)?

Forordningen har egne regler for modeller for generell AI (GPAI), som store språkmodeller. Leverandører av slike modeller må blant annet utarbeide teknisk dokumentasjon, gi informasjon til nedstrøms aktører som bygger på modellen, ha en policy for opphavsrett og publisere et sammendrag av treningsdataene. For GPAI-modeller med systemisk risiko gjelder skjerpede krav til modellevaluering, risikohåndtering og hendelsesrapportering. Disse pliktene begynte å gjelde 2. august 2025.

Hvilke sanksjoner kan ilegges?

Brudd på forordningen kan medføre betydelige bøter. De alvorligste overtredelsene, som bruk av forbudt AI, kan straffes med bøter på inntil 35 millioner euro eller 7 % av samlet global årsomsetning, avhengig av hvilket beløp som er høyest. Andre brudd, som manglende oppfyllelse av krav til høyrisiko-systemer, har lavere, men fortsatt vesentlige tak. Tilsynsmyndighetene skal sikre at sanksjonene er effektive, forholdsmessige og avskrekkende.

Hvordan forholder AI Act seg til GDPR?

AI-forordningen erstatter ikke personvernforordningen (GDPR); de gjelder side om side. GDPR regulerer behandling av personopplysninger, mens AI Act regulerer selve AI-systemet og dets livssyklus. Bruker et AI-system personopplysninger, må virksomheten oppfylle begge regelverk samtidig. I praksis betyr det at dokumentasjon, risikovurderinger og styringstiltak ofte bør samordnes, slik at personvernkonsekvensvurderinger (DPIA) og AI-spesifikk dokumentasjon trekker i samme retning. Mange av prinsippene overlapper: krav til datakvalitet, åpenhet og menneskelig kontroll finnes i begge regelverk. Et høyrisiko-system som behandler personopplysninger, vil derfor typisk utløse både en samsvarsvurdering etter AI Act og en personvernkonsekvensvurdering etter GDPR, og det er ofte mest effektivt å se disse prosessene i sammenheng fremfor å håndtere dem isolert.

Slik kommer du videre

De fleste virksomheter bør starte med å kartlegge hvilke AI-systemer de leverer eller bruker, klassifisere risikoen og bygge dokumentasjon og styring deretter. En strukturert etterlevelssjekkliste for EU AI Act hjelper deg å prioritere tiltakene. Trenger du støtte i drift og forvaltning, kan forvaltet AI-støtte fra Opsio bistå, og for veivalg og målbilde tilbyr vi strategi for AI-løsninger.

Ofte stilte spørsmål

Når gjelder AI-forordningen?

Forordningen trådte i kraft 1. august 2024 og anvendes trinnvis. Forbudene gjelder fra 2. februar 2025 og GPAI-plikter fra 2. august 2025. Datoen for høyrisiko-plikter er under endring gjennom EUs forenklingspakke i 2026; bekreft endelig tidsplan mot offisielle kilder.

Gjelder AI Act for mitt selskap, også om vi er utenfor EU, og gjelder den for Norge via EØS?

Ja, sannsynligvis. Reglene har ekstraterritoriell rekkevidde og omfatter ikke-EU-leverandører og idriftsettere som retter AI-systemer mot, eller hvis resultater brukes i, EU-markedet. AI-forordningen er EØS-relevant, så norske virksomheter omfattes på linje med aktører i EU.

Hva er forskjellen på EU AI Act og GDPR?

GDPR regulerer behandling av personopplysninger, mens AI Act regulerer AI-systemer og deres livssyklus uavhengig av om personopplysninger inngår. De gjelder samtidig, og bruker et AI-system personopplysninger, må begge regelverk oppfylles.

Hvilke sanksjoner gir AI-forordningen?

De alvorligste bruddene kan straffes med bøter på inntil 35 millioner euro eller 7 % av samlet global årsomsetning, avhengig av hvilket beløp som er høyest. Andre brudd har lavere, men fortsatt vesentlige bøtetak.