KI-forordningen fra 2. august: hva gjelder for norske bedrifter

Hva skjedde egentlig 2. august?

2. august 2026 har stått i mange kalendere som dagen da «resten» av EUs KI-forordning skulle begynne å gjelde. Den opprinnelige planen var trinnvis. Forbudene og kompetansekravet kom i februar 2025, reglene for generative grunnmodeller i august 2025, og hoveddelen av forordningen skulle gjelde fra 2. august 2026. Om du sier KI eller AI spiller ingen rolle, det er samme regelverk.

Så kom en endring i siste liten. EU vedtok i juni 2026 en endringspakke, den såkalte AI-omnibusen, som blant annet utsetter kravene til høyrisikosystemer. Europaparlamentet godkjente pakken 16. juni, Rådet ga endelig klarsignal 29. juni, og endringene trådte i kraft 27. juli 2026, under en uke før fristen.

Datoen 2. august betyr derfor fortsatt noe, men for færre ting enn mange tror. Det som faktisk begynte å gjelde, er åpenhetskravene, som treffer alle som bruker KI i EU. Det tunge høyrisikoregimet er skjøvet ut i tid.

Åpenhetskravene gjelder alle i EU fra 2. august

Kravene i artikkel 50 handler ikke om risikoklasser, men om ærlighet: folk skal vite når de har med KI å gjøre. Fra 2. august 2026 gjelder dette i EU:

• Brukere skal informeres når de samhandler med et KI-system, for eksempel en chatbot eller virtuell assistent, med mindre det er åpenbart.
• KI-generert innhold - tekst, bilde, lyd og video - skal merkes maskinlesbart, slik at det kan gjenkjennes som kunstig generert.
• Deepfakes skal merkes tydelig av den som publiserer dem.
• KI-generert tekst som publiseres for å informere allmennheten, skal merkes, med mindre et menneske har redaksjonelt ansvar for innholdet.
• Personer som utsettes for emosjonsgjenkjenning eller biometrisk kategorisering, skal informeres.

Hva dette betyr i praksis

For en vanlig norsk bedrift er dette overkommelig, og foreløpig er det heller ikke et lovkrav her. I dag binder kravene bare dem som tilbyr KI-baserte tjenester inn i EU-markedet, se Norge-avsnittet under. Innholdet i den kommende norske KI-loven blir likevel det samme, så rutinene er verdt å få på plass nå. Det betyr en kundechatbot der det går klart frem at den er en bot, og en rutine for merking av KI-generert innhold, eller et menneske som faktisk tar redaksjonelt ansvar for teksten før den går ut.

Overgangen har ett unntak. Generative systemer som allerede var på markedet før 2. august 2026, har frist til 2. desember 2026 med selve den maskinlesbare merkingen. Informasjonsplikten overfor brukerne gjelder likevel fra august.

Høyrisikokravene er utsatt til 2027 og 2028

Kravene til høyrisikosystemer var det tunge lasset i forordningen, med risikostyring, datakvalitet, logging, menneskelig tilsyn og teknisk dokumentasjon. Det var disse som skulle gjelde fra 2. august 2026, og det er disse omnibusen utsetter.

Frittstående høyrisikosystemer i vedlegg III fikk ny frist 2. desember 2027. Det omfatter blant annet KI brukt i rekruttering, vurdering og overvåking av ansatte, utdanning, tilgang til grunnleggende tjenester, biometri og kritisk infrastruktur. KI innebygd i regulerte produkter etter vedlegg I fikk frist 2. august 2028. De nye datoene er faste, uten vilkår om at standarder eller kommisjonsbeslutninger må være på plass først.

De fleste norske SMB-er er ikke i nærheten av høyrisiko. Bruker dere en språkmodell til utkast, oppsummering og kundeservice, er det åpenhetskravene over som gjelder dere. Men bruker dere KI til å sile jobbsøknader eller vurdere ansatte, bør dere bruke den ekstra tiden på å planlegge, ikke på å legge saken i skuffen.

Dette gjelder allerede i EU, uavhengig av 2. august

Forbudene fra februar 2025 står uendret i EU. Sosial skåring, manipulerende teknikker og en håndfull andre praksiser er fortsatt forbudt. Omnibusen la dessuten til et nytt forbud mot KI-systemer laget for å produsere ikke-samtykkebasert intimt innhold, med overgangsperiode til 2. desember 2026.

Kravet om KI-kompetanse har også gjeldt i EU siden februar 2025, men er myket opp. Bedriften har ikke lenger alene ansvaret for å sikre et bestemt kompetansenivå hos de ansatte. Plikten er å støtte utviklingen av kompetansen deres.

Omnibusen ga også flere lettelser. SMB-unntakene utvides til selskaper med 250 til 750 ansatte, kravene til teknisk dokumentasjon forenkles, og de regulatoriske sandkassene bygges ut med en egen sandkasse på EU-nivå.

Hva med Norge?

KI-forordningen er EU-rett og gjelder ikke automatisk i Norge. Forslaget til norsk KI-lov ble sendt på høring 30. juni 2025, med Nkom som koordinerende tilsynsmyndighet, og regjeringens plan var at loven skulle tre i kraft fra sensommeren 2026, omtrent samtidig med hoveddelen av forordningen i EU. Den planen er nå forlatt. Digitaliseringsministeren har varslet at endringene fra EUs forenklingspakke sendes på høring høsten 2026, og at regjeringen tar sikte på å legge frem proposisjonen om ny KI-lov våren 2027. Når forordningen innlemmes i EØS-avtalen, er fortsatt uavklart, og dermed finnes det ennå ingen norsk ikrafttredelsesdato. Datatilsynet og de andre sektortilsynene beholder rollene sine på sine områder. Nkom har allerede publisert norsk veiledning om regelverket, med en kort oppsummering av risikokategoriene og kravene.

To ting er likevel verdt å merke seg. Tilbyr dere KI-baserte tjenester inn i EU-markedet, treffer forordningen dere uansett hva som skjer med den norske loven. Og innholdet i den norske loven er i praksis forordningen, så det dere gjør for å møte åpenhetskravene nå, er det samme dere vil trenge når loven kommer. Vi har skrevet mer om det norske løpet i artikkelen om hva KI-loven betyr for vanlige bedrifter.

Fornuftige første skritt nå

Det viktigste nå er oversikt, ikke panikk. En halv dag med systematikk tar dere lenger enn en måned med bekymring.

• Lag en enkel oversikt over hvor KI faktisk brukes i virksomheten i dag, inkludert verktøy enkeltansatte har tatt i bruk på egen hånd. Dette er også første byggekloss i en AI-strategi.
• Sjekk chatboter og andre KI-flater mot åpenhetskravene. Går det tydelig frem at brukeren snakker med KI, og har dere en rutine for KI-generert innhold dere publiserer?
• Vurder om noe av bruken kan være høyrisiko, for eksempel i rekruttering eller vurdering av ansatte. I så fall er EU-fristen desember 2027, og dere bør planlegge, ikke utsette.
• Hold personvernet i orden. Behandler en KI-løsning personopplysninger, gjelder GDPR som før, med DPIA der det trengs.
• Gå gjennom sikkerhet og tilgangsstyring i løsningene, spesielt der KI-agenter får tilgang til systemer og data. Vi har skrevet om det i Sikkerhet og kontroll i AI-agenter.
• Støtt de ansattes KI-kompetanse. Plikten er myket opp, men kompetanse er fortsatt det som skiller nyttig bruk fra risikabel bruk.

Usikker på hvor dere står?

Er dere i tvil om hva som gjelder akkurat deres bruk, hjelper vi gjerne med å rydde. AI-rådgivning gir dere oversikten og veivalgene, og drift og sikkerhet sørger for at løsningene står trygt i produksjon når de først er i bruk.