AI-forordningen for norske bedrifter: hva gjelder fra 2026, og hva er utsatt
For de fleste norske småbedrifter vil AI-forordningen, når den blir norsk rett, bety tre konkrete plikter: dere skal sette i verk tiltak som støtter AI-kompetansen hos ansatte som bruker AI, kunder skal få vite når de snakker med en AI eller ser merkepliktig AI-generert innhold (som deepfakes), og AI skal ikke brukes til de forbudte formålene (som sosial poengsetting og manipulasjon). De tunge kravene gjelder bare «høyrisiko»-systemer, og de er utsatt til desember 2027 og august 2028. Det er ingen grunn til å vente med AI, og god grunn til å rydde i bruken.
Dette er en oversikt, ikke juridisk rådgivning. Forordningen er EØS-relevant og skal innføres i norsk rett gjennom EØS-avtalen, men per oktober 2026 er den ikke tatt inn i EØS-avtalen og ikke gjennomført i norsk rett. Regjeringen har varslet at den norske KI-loven sendes på ny høring høsten 2026, med mål om å legge den fram for Stortinget våren 2027. Sjekk status for den norske gjennomføringen hos regjeringen.no og Nkom, som skal være koordinerende markedstilsynsmyndighet og nasjonalt kontaktpunkt for AI-forordningen.
Hva gjelder fra når?
| Dato | Hva | Gjelder det en SMB som bruker AI-verktøy? |
|---|---|---|
| 2. februar 2025 | Forbudte praksiser (art. 5) og krav om AI-kompetanse hos ansatte (art. 4, myket opp 27. juli 2026) | Ja, begge |
| 2. august 2025 | Plikter for leverandører av generelle AI-modeller (GPAI) | Nei, gjelder OpenAI, Google, Meta osv. |
| 2. august 2026 | Hoveddelen av forordningen, inkludert åpenhetskrav for AI-generert innhold og AI som snakker med mennesker (art. 50) | Ja, hvis dere har chatbot mot kunder eller publiserer AI-generert innhold |
| 2. desember 2026 | Nye forbud mot «nakenbilde-apper» og systemer som lager overgrepsmateriale | Nei, for normale bedrifter |
| 2. desember 2027 | Krav til frittstående høyrisikosystemer (vedlegg III), utsatt fra august 2026 | Bare hvis dere bruker AI til rekruttering, kredittvurdering, utdanning eller lignende |
| 2. august 2028 | Krav til høyrisiko-AI innebygd i regulerte produkter (vedlegg I) | Bare produsenter av slike produkter |
Datoene gjelder i EU. I Norge gjelder pliktene først når forordningen er gjennomført i norsk rett. Utsettelsene kom med «Digital Omnibus on AI», vedtatt sommeren 2026. Kilder: Gibson Dunn og Goodwin.
Hva må en vanlig bedrift gjøre?
- Opplæring. Dere skal sette i verk tiltak som støtter AI-kompetansen hos alle som bruker AI i jobben. Det betyr ikke et kurs i maskinlæring; det betyr at de vet hva verktøyet kan, hva det ikke kan, og hva de ikke skal lime inn. Et bedriftskurs på en halv dag og en rutine på én side dekker det for de fleste.
- Åpenhet. Har dere en chatbot mot kunder, skal det være tydelig at det er en AI. Publiserer dere AI-generert tekst, bilde eller lyd, kan det utløse merkekrav. Det enkleste er å si det.
- Ikke høyrisiko uten å vite det. Bruker dere AI til å sortere jobbsøkere, vurdere kredittverdighet eller til andre formål som er listet i vedlegg III til forordningen, er dere i høyrisiko-kategorien fra desember 2027. Da må dere blant annet følge leverandørens bruksanvisning, la kompetente personer ha menneskelig kontroll, overvåke systemet, ta vare på logger i minst seks måneder og informere ansatte som berøres (art. 26). Vit det før dere setter det i drift.
Hva betyr det for AI-assistenter og rutineoppgaver?
Fakturakontroll, tilbudsutkast, supportoversikter og markedsbrief er ikke høyrisiko. Det er intern bruk med et menneske som godkjenner. Det som kreves er opplæring. Logg og et menneske i løkka er i tillegg god praksis uavhengig av regelverket, og det er slik vi setter opp AI-assistenter.
Hva med leverandørene?
Kravene til modellene (dokumentasjon, opphavsrett og sammendrag av treningsdata) ligger på leverandørene, ikke på dere. Det dere skal gjøre er å velge leverandører som oppfyller dem, og ha det skriftlig. Det henger sammen med personvernsjekklisten.
Neste steg
En AI-kartlegging tar stilling til risikoklasse for hver oppgave vi foreslår, slik at dere vet hva som gjelder før dere starter. Book et møte.