AI Act i Norge: gjelder den for bedriften din?

Regjeringen sender en oppdatert KI-lov på høring høsten 2026, med ambisjon om å legge fram en proposisjon for Stortinget våren 2027. Realistisk ikrafttredelse er sent 2027 eller i 2028, og den avhenger av at forordningen først innlemmes i EØS-avtalen.

Tre grupper: de som plasserer et KI-system på EU-markedet, de som er etablert i EU gjennom datterselskap, og de som er leverandør eller bruker der resultatet fra KI-systemet brukes i EU. Den siste treffer bredere enn folk tror — du trenger ikke selge noe for å være omfattet.

Artikkel 4 pålegger alle som leverer eller bruker KI-systemer å iverksette tiltak som støtter utviklingen av KI-kompetanse hos ansatte og innleide. Kravet gjelder uansett risikonivå og bransje, det ble ikke utsatt, og tilsynsmyndighetene i EU begynte å føre tilsyn med det 2. august 2026.

I EU, ja. Fra 2. august 2026 skal folk informeres når de snakker med en KI, KI-generert innhold skal være maskinlesbart merket, og deepfakes skal merkes synlig. Systemer som lå ute før august fikk frist til 2. desember 2026 på den maskinlesbare merkingen.

Deler av den. Digital Omnibus trådte i kraft 27. juli 2026 og utsatte kravene til høyrisikosystemer fra august 2026 til 2. desember 2027, og for KI innebygd i regulerte produkter til 2. august 2028. Åpenhetskravene og kompetansekravet ble ikke utsatt.

Blant annet KI brukt til å screene jobbsøkere, vurdere ansattes prestasjoner, fordele oppgaver, kredittvurdere kunder, prise liv- og helseforsikring, eller vurdere elever og studenter. I tillegg kommer biometri, kritisk infrastruktur, rettshåndhevelse og offentlig forvaltning.

Nei. Artikkel 4 krever ikke et bestemt kursopplegg, en eksamen eller et sertifikat. Kravet er at tiltakene er tilpasset rollen folk har, og at virksomheten kan dokumentere hva den faktisk har gjennomført. En utvikler og en saksbehandler trenger ikke det samme.

Nei. Artikkel 99 lister opp hvilke bestemmelser som utløser de harmoniserte bøtesatsene, og artikkel 4 står ikke på den listen. Men kravet er ikke uten konsekvens: nasjonale tilsyn kan håndheve det etter nasjonale regler, og manglende kompetanse teller som skjerpende omstendighet når andre brudd vurderes.

Idriftsetter, eller «deployer», er den som tar i bruk et KI-system i egen virksomhet. Leverandør, eller «provider», er den som utvikler systemet eller markedsfører det under eget navn. De fleste norske virksomheter er idriftsettere — men selger dere et KI-produkt under eget merke eller endrer formålet vesentlig, blir dere leverandør, med langt tyngre plikter.

Inntil 35 millioner euro eller 7 % av global omsetning for forbudte praksiser, inntil 15 millioner euro eller 3 % for brudd på blant annet åpenhetskravene, og inntil 7,5 millioner euro eller 1 % for uriktig informasjon til tilsynet. For små og mellomstore bedrifter gjelder det laveste av beløp og prosentsats.

Ikke av norske myndigheter. Sanksjoner forutsetter nasjonal gjennomføring og en tilsynsmyndighet med gebyrhjemmel, og det er ikke på plass i Norge per august 2026. Norske virksomheter som er omfattet via EU-markedet kan derimot møte håndheving fra tilsynsmyndigheter i EU-land.

I høringsutkastet til norsk KI-lov er Nkom foreslått som koordinerende markedstilsynsmyndighet, med sektortilsyn som Datatilsynet og Forbrukertilsynet på sine områder. Digdir bygger en regulatorisk KI-sandkasse sammen med Datatilsynet og Nkom. Ingen av dem har ennå hjemmel til å håndheve KI-forordningen i Norge.

GDPR regulerer behandling av personopplysninger. KI-forordningen regulerer bruken av KI-systemer, uavhengig av om det behandles personopplysninger. Pliktene følger rollen i verdikjeden — leverandør eller idriftsetter — ikke rollen som behandlingsansvarlig. De to gjelder samtidig og overlapper.

Personopplysningsloven og GDPR, arbeidsmiljølovens regler om kontrolltiltak, likestillings- og diskrimineringsloven, markedsføringsloven og forvaltningsloven. Regelverket er teknologinøytralt, så det gjelder uansett om beslutningen tas av et menneske eller en modell.

Nei. Kravene når norske bedrifter gjennom kundekontrakter, konsernpolicy og anbud lenge før de når dem gjennom Stortinget. Og når loven først trer i kraft, kommer den inn i et regelverk som allerede har vært i drift i EU i flere år — uten en ny opptrappingsperiode fra null.