KI-forordningen (EU AI Act): hva den er og hva den betyr i Norge

KI-forordningen (EU AI Act) er EUs regelverk for kunstig intelligens, forordning (EU) 2024/1689. Den regulerer KI etter risiko: noe er forbudt, høyrisiko-KI får strenge krav, chatboter og deepfakes får åpenhetsplikter, og resten er i hovedsak uregulert. I Norge gjelder den først når den er tatt inn i EØS-avtalen og KI-loven er vedtatt.

Det viktigste i korthet

• AI Act trådte i kraft i EU 1. august 2024 og innføres trinnvis fram til 2030.
• Digital Omnibus, forordning (EU) 2026/1744, er vedtatt og i kraft i EU siden 27. juli 2026. Høyrisikokravene er flyttet til 2. desember 2027 og 2. august 2028.
• Per oktober 2026 er forordningen ikke innlemmet i EØS-avtalen, og KI-loven er ikke vedtatt. Regjeringen vil fremme loven for Stortinget våren 2027.
• Norske virksomheter som selger KI til EU, eller hvis KI-resultater brukes i EU, er omfattet allerede.
• Nkom blir koordinerende markedstilsynsmyndighet i Norge.

Hva er KI-forordningen?

KI-forordningen er det første helhetlige regelverket for kunstig intelligens i Europa. Den ble vedtatt i 2024 og kunngjort i Den europeiske unions tidende 12. juli 2024. Formålet er å sikre at KI som brukes i det indre markedet, er trygg og respekterer grunnleggende rettigheter, samtidig som det skal være rom for innovasjon. Teksten finner dere på EUR-Lex, og den konsoliderte versjonen med endringene fra 2026 på EUR-Lex (konsolidert).

Forordningen regulerer ikke teknologien i seg selv, men bruken. Den samme språkmodellen kan være helt uproblematisk i en oppsummeringstjeneste og høyrisiko i et verktøy som rangerer jobbsøkere. Pliktene følger derfor av hva systemet brukes til, og hvilken rolle virksomheten har.

På norsk kalles regelverket KI-forordningen, og den norske gjennomføringsloven får navnet KI-loven. Mange søker likevel på «AI Act» eller «EU AI Act», og vi bruker begrepene om hverandre i denne guiden.

Hvem gjelder AI Act for?

Forordningen fordeler plikter på flere roller i verdikjeden:

• Leverandør: den som utvikler et KI-system eller en KI-modell og setter det på markedet eller tar det i bruk under eget navn.
• Idriftsetter: den som bruker et KI-system under eget ansvar i yrkesmessig sammenheng. I dagligtale kalles dette ofte «brukeren», for eksempel en bank, en kommune eller en arbeidsgiver.
• Importør og distributør: de som tar KI-systemer fra land utenfor EU inn på markedet, eller gjør dem tilgjengelige.
• Produktprodusent: den som bygger KI inn i et produkt under eget navn.

Artikkel 2 gir forordningen rekkevidde utenfor EU. Den gjelder leverandører som setter KI på EU-markedet uansett hvor de holder til, og leverandører og idriftsettere utenfor EU når resultatene fra KI-systemet brukes i EU. Det er dette som gjør at mange norske virksomheter er omfattet allerede.

Gjelder KI-forordningen i Norge?

Ikke ennå for virksomheter som bare opererer i Norge. Norge er med i EØS, ikke EU, og en forordning må først tas inn i EØS-avtalen ved beslutning i EØS-komiteen og deretter gjennomføres i norsk lov. Per oktober 2026 er KI-forordningen fortsatt til vurdering hos EØS/EFTA-statene, uten en EØS-komitébeslutning, og innlemmelsen krever Stortingets samtykke.

Regjeringen sendte et utkast til KI-lov på høring sommeren 2025. Etter Digital Omnibus varslet den i august 2026 en ny høring høsten 2026, med mål om å fremme loven for Stortinget våren 2027. Regjeringen har besluttet at Nkom skal være koordinerende markedstilsynsmyndighet og nasjonalt kontaktpunkt, og at Norsk Akkreditering skal følge opp samsvarsvurderingsorganene. Datatilsynet er foreslått for høyrisiko-KI til rettshåndhevende formål og fører allerede tilsyn med personvern i KI. Hele statusen, med kilder, står i artikkelen KI-loven: når gjelder AI Act i Norge?

Fire risikonivåer – kort fortalt

Hvordan dere avgjør nivået for et konkret system, og unntakene i artikkel 6, er forklart i artikkelen om risikoklassifisering.

Viktige datoer etter Digital Omnibus

I EU gjelder dette per oktober 2026:

• 2. februar 2025: forbudt KI-praksis og KI-kompetanse.
• 2. august 2025: plikter for KI-modeller for allmenne formål (GPAI) og regler om styring.
• 2. august 2026: åpenhetsplikter i artikkel 50.
• 2. desember 2026: nye forbud mot «nudify»-apper og overgrepsmateriale.
• 2. desember 2027: høyrisiko-KI etter vedlegg III.
• 2. august 2028: høyrisiko-KI i produkter etter vedlegg I.
• 2. august 2030: høyrisikosystemer i bruk hos offentlige myndigheter.

Omnibusen er vedtatt lov, ikke et forslag, og den utsatte bare høyrisikokravene. Detaljer og norske milepæler står i tidslinjen for KI-forordningen.

KI-forordningen og GDPR

De to regelverkene gjelder side om side. GDPR, gjennomført i Norge ved personopplysningsloven, regulerer behandling av personopplysninger, også når den skjer med KI. KI-forordningen regulerer selve KI-systemet: hvordan det er laget, dokumentert og brukt. En arbeidsgiver som bruker KI til å vurdere søknader, må derfor både ha behandlingsgrunnlag og vurdering av personvernkonsekvenser etter GDPR, og oppfylle pliktene for høyrisiko-KI når forordningen gjelder. Forordningen lar en vurdering av konsekvenser for grunnleggende rettigheter bygge på en eksisterende DPIA. Fordi GDPR allerede gjelder i Norge, er personvern ofte det mest konkrete stedet å starte. Opsio hjelper med dette gjennom GDPR-etterlevelse.

Sanksjoner

Artikkel 99 setter bøtetak på inntil 35 millioner euro eller 7 prosent av global årsomsetning for forbudt praksis, 15 millioner euro eller 3 prosent for de fleste andre brudd, og 7,5 millioner euro eller 1 prosent for uriktige opplysninger til myndighetene. For små og mellomstore bedrifter gjelder det laveste av beløpene. I Norge skal KI-loven gi hjemmel for overtredelsesgebyr og tvangsmulkt.

Guide: alle artiklene om KI-forordningen

Denne siden gir oversikten. Hvert tema er utdypet i egne artikler:

• KI-loven og AI Act i Norge – EØS-status, høringene, Nkom og hva som gjelder norske virksomheter nå.
• Tidslinje og Digital Omnibus – alle datoene 2024–2030 og hva omnibusen endret.
• Risikoklassifisering – de fire nivåene og hvordan dere plasserer egne systemer.
• GPAI og KI-modeller for allmenne formål – pliktene for modellleverandører og hva det betyr for brukere av ChatGPT og Copilot.
• KI-kompetanse og KI-kurs – artikkel 4 etter endringen i 2026 og en opplæringsplan per rolle.
• Hva er ISO 42001? – standarden for styring av KI og forholdet til forordningen.
• Gapanalyse mot KI-forordningen – steg for steg fra kartlegging til tiltaksplan.
• KI-retningslinjer: innhold og eksempler – tolv avsnitt med eksempeltekster.
• Shadow AI og KI-register – slik finner dere skygge-KI og får oversikt.
• Styringsrammeverk for KI – roller, prosesser og kontroller som henger sammen.
• Sjekkliste for KI-forordningen – punktene dere bør krysse av.

Hvor bør en norsk virksomhet begynne?

Vent ikke på Stortinget. De første stegene er de samme uansett når KI-loven trer i kraft, og de reduserer risikoen etter GDPR og arbeidsmiljøloven allerede i dag:

1. Avklar om dere er omfattet via EU-markedet.
2. Lag en oversikt over KI-systemene dere bruker, kjøper og utvikler.
3. Klassifiser risikoen og finn eventuelle høyrisikosystemer.
4. Vedta retningslinjer for bruk av KI og start opplæring.
5. Still krav til KI-leverandørene og vurder risikoen ved hvert viktig system.

Den raskeste veien til de fire siste punktene er Opsios gratis vurdering av KI-styring etter KI-forordningen, som skriver de grunnleggende styringsdokumentene ut fra svarene deres.

Ofte stilte spørsmål

Hva er EU AI Act?

EU AI Act, på norsk KI-forordningen, er forordning (EU) 2024/1689 om harmoniserte regler for kunstig intelligens. Den deler KI-bruk inn i risikonivåer, forbyr enkelte former for KI, stiller krav til høyrisiko-KI og innfører åpenhetsplikter for blant annet chatboter og deepfakes. Den gjelder i EU og skal tas inn i EØS-avtalen.

Er KI-forordningen vedtatt i Norge?

Nei, per oktober 2026 er den verken innlemmet i EØS-avtalen eller gjennomført i norsk lov. Regjeringen har varslet ny høring av KI-loven høsten 2026 og vil fremme loven for Stortinget våren 2027. Norske virksomheter som retter seg mot EU-markedet, er likevel omfattet av forordningen allerede.

Hva er forskjellen på KI-forordningen og KI-loven?

KI-forordningen er EU-regelverket med de materielle kravene. KI-loven er den planlagte norske loven som skal gjøre forordningen til norsk rett og fastsette det EU overlater til hvert land, som tilsynsmyndigheter, overtredelsesgebyr og klageordning.

Hvem fører tilsyn med AI Act i Norge?

Nkom er utpekt som koordinerende markedstilsynsmyndighet og nasjonalt kontaktpunkt. Norsk Akkreditering skal følge opp samsvarsvurderingsorganene, og Datatilsynet er foreslått for høyrisiko-KI til rettshåndhevende formål. Andre sektormyndigheters roller er ikke endelig avklart per oktober 2026.

Gjelder AI Act hvis vi bare bruker ChatGPT eller Copilot?

Ja, men pliktene er begrensede. Dere er idriftsetter og må treffe tiltak for KI-kompetanse, unngå forbudt praksis og vurdere om noen bruk er høyrisiko. Bygger dere en chatbot for kunder, gjelder åpenhetsplikten. I Norge gjelder dette når KI-loven trer i kraft, mens GDPR gjelder allerede.

Se hvor dere står – gratis

Med Opsios gratis KI-policy og KI-styringsvurdering svarer dere på spørsmål i fjorten steg, rundt 40 minutter. Når dere sender inn, får dere fire styringsdokumenter skrevet ut fra svarene – retningslinjer for bruk av KI, et rammeverk for KI-styring, en sjekkliste for KI-leverandører og en mal for risikovurdering – og et modenhetsbilde over ti områder. Spørsmålene er på norsk, dokumentene leveres på engelsk som Word-filer dere kan redigere. Gratis, uten forpliktelser. Trenger dere hjelp videre, se rådgivning om KI-styring.

Denne artikkelen er generell informasjon og ikke juridisk rådgivning. Kontroller den konsoliderte teksten til forordning (EU) 2024/1689 slik den er endret ved forordning (EU) 2026/1744, og følg med på regjeringen.no for status for KI-loven og EØS-innlemmelsen. Opplysningene gjelder per oktober 2026.