Sist oppdatert: 5. august 2026
EUs KI-forordning, AI Act, har vært omtalt i årevis som noe som «kommer». Forrige uke kom en bit av den. Den 2. august fikk EU-kommisjonen myndighet til faktisk å bruke maktmidlene sine mot leverandørene av de store KI-modellene: kreve dokumentasjon, gjennomføre evalueringer, og ilegge bøter. Samtidig trådte nye åpenhetskrav i kraft.
Så det store spørsmålet for en norsk bedrift: må vi gjøre noe nå? Det korte svaret er nei, ikke ennå, og grunnen er verdt å forstå. For selv om overskriftene handler om EU-regler som gjelder fra 2. august, er situasjonen i Norge en annen.
Kort om hva AI Act er
AI Act er EUs forsøk på å regulere kunstig intelligens etter risiko. Jo større skade en KI-bruk kan gjøre, jo strengere krav. Regelverket deler bruken i nivåer: noe er forbudt, noe regnes som høy risiko med tunge krav, og det store flertallet av vanlig bruk faller i en lettere kategori med enklere krav, hovedsakelig om åpenhet.
Norge er ikke med i EU, og her er det viktigste for norske lesere: AI Act gjelder foreløpig ikke som norsk lov. Forordningen er ennå ikke innlemmet i EØS-avtalen, og den norske KI-loven er forsinket. Et lovforslag var på høring høsten 2025, men forhandlingene om EØS-tilpasninger tar tid, og regjeringen sikter nå mot å legge fram en lovproposisjon våren 2027.
Det betyr at åpenhetskravene som trådte i kraft i EU 2. august ikke har direkte rettsvirkning i Norge i dag. Men før du trekker et lettelsens sukk: det finnes to grunner til at dette likevel angår deg.
Hva som faktisk gjelder akkurat nå
Her er det viktig å skille tidslinjen, for mye ble nylig flyttet. I juni 2026 vedtok Europaparlamentet endringer som skjøv de tyngste kravene til høyrisiko-KI ut i tid, til 2027 og 2028. Så mye av det mest krevende er ikke aktuelt ennå.
Men to ting landet likevel 2. august 2026, og de ble bevisst ikke utsatt:
For det første fikk Kommisjonen håndhevingsmakt over de store, generelle KI-modellene, altså modeller som ChatGPT, Claude og Gemini bygger på. Kravene til disse leverandørene har formelt gjeldt siden august 2025, men nå kan Kommisjonen faktisk kreve innsyn og gi bøter.
For det andre, og dette er det som kan angå deg: åpenhetskravene. De sier blant annet at folk skal få vite når de snakker med en chatbot og ikke et menneske, og at KI-generert innhold, som deepfakes og syntetiske bilder, skal merkes.
Delen som kan treffe en vanlig bedrift
Selv om norske regler lar vente på seg, er det to grunner til at dette er verdt å kjenne til.
Selger du inn i EU, gjelder reglene allerede. Tilbyr bedriften din KI-systemer eller KI-baserte tjenester til kunder i EU-markedet, er du omfattet av forordningen nå, uavhengig av hvor langt Norge har kommet. Det samme gjelder om resultatene fra systemet ditt brukes i EU.
Og reglene kommer uansett. Når den norske KI-loven trer i kraft, blir kravene i praksis de samme. Bedrifter som har orden på dette på forhånd, slipper et forsert opprydningsprosjekt senere.
Det åpenhetskravene handler om i praksis er ganske enkelt: har du en chatbot på nettsiden som svarer kundene, skal de forstå at de snakker med en maskin og ikke et menneske. Bruker du KI til å lage innhold som kan forveksles med noe ekte, kan det være merkekrav.
For de fleste koker det ned til ærlighet: ikke lat som en maskin er et menneske, og ikke gi ut KI-generert materiale som om det var ekte. Det er godt håndverk uansett hva loven til slutt sier, og det er ingen grunn til å vente på et paragrafnummer for å gjøre det.
Dette er ikke det samme som personvern
En vanlig forvirring er å blande AI Act med GDPR. De er to forskjellige regelverk som gjelder samtidig. GDPR handler om personopplysninger, uansett om KI er involvert. AI Act handler om KI-systemer, uansett om personopplysninger er involvert. Bruker du KI til å behandle kundedata, må du forholde deg til begge. Vi har skrevet grundigere om personvern i artikkelen om GDPR for norske bedrifter, og prinsippene der gjelder fortsatt fullt ut.
Dette er også hovedgrunnen til at forsinkelsen av den norske KI-loven ikke betyr fritt fram. Personvernregelverket, åndsverkloven og annen eksisterende lovgivning gjelder like fullt når du bruker KI. Bruker du et KI-verktøy til å behandle kundeopplysninger, er du underlagt GDPR i dag, uansett hvor langt AI Act har kommet i EØS-prosessen.
Hva du bør gjøre nå
Ingen grunn til panikk, men et par sunne vaner:
- Vit hvor du bruker KI. Har du oversikt over hvilke KI-verktøy som er i bruk i bedriften, og hva de gjør med data? De fleste har ikke det, og det er første steg.
- Vær åpen om det. Der kunder møter KI, si det. Det bygger tillit og dekker åpenhetskravet på samme tid.
- Ikke lås deg til én leverandør. Regelverket er i bevegelse, og en KI-leverandør kan måtte endre eller trekke tjenester for å etterleve reglene. En løsning som kan bytte modell uten å bygges om, står tryggere. Vi skrev om nettopp dette i øyeblikksbildet av KI-landskapet.
Regelverket kommer til å utvikle seg de neste årene, og detaljene vil bli klarere etter hvert. Men retningen er tydelig: åpenhet om hvor KI brukes, og ansvar for hva den gjør. Det er ikke en dårlig rettesnor, uansett hva loven til slutt lander på.