EU AI Act i Norge: hva betyr AI-loven for bedriften din?

AI er allerede en del av hverdagen i mange norske bedrifter, enten den brukes i kundeservice, rekruttering, kredittvurdering eller interne arbeidsflyter, og med generativ AI har terskelen for å ta den i bruk blitt enda lavere. Samtidig er EU AI Act EØS-relevant, og Norge forbereder en egen norsk lov som skal gjennomføre reglene, men loven er ikke i kraft, og ingen dato er fastsatt. For de fleste bedrifter er det rollen som idriftsetter som avgjør pliktene, mens privat, ikke-kommersiell bruk av AI faller utenfor. I denne praktiske guiden ser vi på hvor Norge står akkurat nå, om bedriften din er leverandør eller idriftsetter, hvordan dere sorterer AI-bruken etter risiko, tre typiske tilfeller i norske virksomheter, hva personvernregelverket allerede krever, hvem som håndhever reglene, hvorfor tidslinjen har flyttet seg med AI-omnibus, og seks steg for å komme i gang.

Hvor står Norge i EU AI Act akkurat nå?

AI-forordningen er EØS-relevant. Den må tas inn i EØS-avtalen, og Norge gjennomfører den med en egen lov om kunstig intelligens som gjør forordningen til norsk rett.

Loven er ikke i kraft, og ingen dato for ikrafttredelse er fastsatt. Forslaget var på høring høsten 2025. Etter at EU vedtok endringer i forordningen sommeren 2026, har regjeringen varslet en ny høring, med mål om å legge loven fram for Stortinget våren 2027.

For deg som allerede bruker AI i drift, betyr dette et mellomrom. Pliktene er kjent i form, men gjelder ikke ennå. Det er likevel ingen frisone: annet regelverk gjelder allerede, og vi ser stadig flere virksomheter som vil ha AI i driften, ikke bare i presentasjonen.

Nasjonale myndigheter anbefaler at virksomheter begynner å forberede seg nå. Det er et råd, ikke en juridisk frist.

Uansett dato er én ting sikkert: regelverket kommer, det er risikobasert, og rollen din i bruken av AI avgjør hva du må gjøre.

Er bedriften din leverandør eller idriftsetter?

Rollen din avgjør pliktene. Regelverket deler aktørene inn i roller, og de fleste norske virksomheter som tar AI i bruk i egen drift, er idriftsettere, ikke leverandører.

Leverandør er den som utvikler et AI-system eller markedsfører det under eget navn og setter det ut i markedet. Idriftsetter er den som bruker et AI-system profesjonelt i egen virksomhet, og har ansvar for hvordan det tas i bruk og brukes videre.

Privat, ikke-kommersiell bruk faller i utgangspunktet utenfor regelverket. Bruker du AI i arbeid, i kundemøter eller i produksjon, er du innenfor.

En vanlig feilslutning er at man ikke har plikter fordi man bare kjøper en ferdig tjeneste. Ansvaret følger ikke av hvem som bygde systemet, men av at du tar det i bruk i egen drift.

Derfor: finn rollen din ved å se på hvem som bestemmer formålet og bruken. Er det dere, er dere idriftsetter i den bruken, også når systemet er en standardtjeneste. Trenger du å rydde i begrepene først, finner du mer i Påfyll.

Slik sorterer du AI-bruken etter risiko

Når rollen er avklart, er neste steg å sortere AI-bruken etter risiko. Regelverket er risikobasert: jo større konsekvenser for mennesker, jo strengere krav. Denne sorteringen er det viktigste grepet du kan gjøre nå, fordi den avgjør hva du må dokumentere og kontrollere.

• Lav risiko: Intern tekst- og møteassistanse har få formelle krav. Her gjelder sunn fornuft og intern datakontroll.
• Åpenhet: Bruker du AI i kontakt med kunder eller ansatte, skal det være tydelig at brukeren snakker med en maskin. Det gjelder kundeservice-chatbotter og AI-genererte svar.
• Høyrisiko: Rekruttering og personalforvaltning, kredittvurdering og kritisk infrastruktur er typiske eksempler. Her kreves testing, dokumentasjon, logging og menneskelig kontroll.
• Forbudt: Noen bruksområder er forbudt. De er ikke relevante for de fleste virksomheter, men listen bør sjekkes mot egne systemer.

Praktisk metode: Ta utgangspunkt i beslutningen systemet påvirker, ikke i teknologien. Påvirker den en person, en rettighet eller en økonomisk mulighet, går risikoen opp. Er du i tvil, er det et godt tegn på at systemet bør vurderes nærmere.

Tre typiske tilfeller i norske virksomheter

Etter risikosorteringen ser de fleste bedrifter at bruken faller i noen faste spor. Her er de vanligste.

Kundeservice-chatbot handler om transparens. Den som møter chatten, skal vite at det er en maskin som svarer. Legg inn en synlig vei til et menneske, og følg åpenhetskrav i AI-forordningen.

Rekruttering og HR er høyrisiko. Verktøy som sorterer søkere eller vurderer ansatte, krever dokumentasjon, logging og en menneskelig beslutning før noe avgjøres.

Kreditt og finans er også høyrisiko. Systemer som vurderer kredittverdighet, påvirker folks økonomi. Kravene til oversikt og forklarbarhet er strenge.

Intern produktivitets-AI har lavere risiko, men personopplysninger kan fortsatt gå gjennom verktøyet. Sjekk personvernsporet selv når AI-forordningen ikke krever mye.

Sjekk selv: Hvilken beslutning tar systemet? Hvem rammes av den? Kan noen i bedriften forklare i ettertid hvordan beslutningen ble tatt?

Personvernregelverket gjelder allerede

Personopplysninger kan gå gjennom systemer som ellers ikke utløser mye. Da er det personvernregelverket som gjelder, og det er i kraft i dag, uavhengig av når AI-loven trer i kraft. Behandler AI-systemet personopplysninger, må dere ha rettslig grunnlag for bruken og oppfylle de registrertes rettigheter.

Regelverkene er utfyllende, ikke overlappende. AI-forordningen vurderer risikoen ved systemet, personvernregelverket vurderer behandlingen av opplysningene. De kan konkludere ulikt: et lavrisikosystem kan fortsatt behandle sensitive data.

I praksis ser vi at leverandørkjeden er der hullene oppstår. Avklar hva verktøyet gjør med dataene, hvor de behandles, hvor lenge de lagres, og hvem som er behandlingsansvarlig. Sjekk at AI-verktøy i drift har nødvendige avtaler, og at det er gjennomført en vurdering av personvernkonsekvenser der behandlingen krever det. Personvern er en del av designet når dere velger og tar i bruk nye verktøy.

Bygg til slutt én oversikt som dekker både AI-systemer og behandlinger av personopplysninger. To lister som ikke snakker sammen, gir dobbeltarbeid og hull. Én felles oversikt gjør både forberedelsen og den daglige bruken enklere. Den blir samtidig ryggraden i stegene videre.

Hvem håndhever reglene i Norge?

Personvernregelverket har allerede sine tilsyn. For AI-forordningen er bildet et annet.

Regjeringen har bestemt at Nkom skal være koordinerende markedstilsynsmyndighet og nasjonalt kontaktpunkt, og at Norsk Akkreditering skal føre tilsyn med samsvarsvurderingsorganene. Fordi regelverket treffer mange sektorer, får også sektormyndigheter en rolle, og hele fordelingen er ikke ferdig avklart.

For deg betyr det en viktig forskjell: at ikke alle detaljer er på plass, er ikke det samme som ingen plikter. Regelverket bestemmer pliktene, ikke hvem som til slutt banker på døra. Du kan altså ikke vente med forberedelsene til hver tilsynsrolle er fordelt.

Følg Nkoms sider om AI-regelverket framover. Det er der resten av avklaringen først vil komme.

AI-omnibus: derfor har tidslinjen flyttet seg

EU har vedtatt en forenklingspakke for AI-regelverket, kjent som AI-omnibus. Europaparlamentet stemte for i juni 2026, Rådet vedtok den samme måned, og endringene gjelder i EU fra slutten av juli 2026. Det viktigste for de fleste: pliktene for frittstående høyrisiko-AI, som rekruttering og kredittvurdering, er utsatt fra 2. august 2026 til 2. desember 2027. For AI som inngår i regulerte produkter, er fristen 2. august 2028. Åpenhetskravene er ikke utsatt.

Hensikten er å gjøre regelverket enklere å etterleve, blant annet fordi standardene som skal konkretisere kravene, ikke var ferdige. Endringene må også inn i den norske loven, og det er derfor regjeringen sender den på ny høring.

Praktisk konsekvens: bygg struktur og rutiner som tåler justeringer. Ikke planlegg ned til minste detalj i dagens norske utkast. Oversikt, ansvar og klassifisering er nyttig uansett hvordan teksten ender. Slike omkamper er ikke et tegn på at forberedelse er bortkastet.

Den nye høringen og proposisjonen til Stortinget er stedene der den norske tidslinjen først beveger seg. Følger du dem, får du tidlig varsel i stedet for å lese om det i ettertid.

Steg 1 til 3: oversikt, ansvar og klassifisering

Når rammeverket en gang gjelder, blir de tre første stegene avgjørende: vite hva dere bruker, hvem som eier det, og hvor risikoen ligger.

Steg 1: Lag oversikten. List opp alle AI-systemene dere faktisk bruker: navn, formål, hvem som bruker dem, hvilke data som går inn og ut, og hvilken beslutning de påvirker. Husk at AI sitter i systemene dere allerede har kjøpt, i fagsystemer og i abonnement ansatte har tegnet på egen hånd. Det er ofte her oversikten sprekker. Står dere foran valget mellom å bygge og kjøpe, har vi skrevet om det i Bygge eller kjøpe AI.

Steg 2: Sett navn på eierskap. Ett system, én ansvarlig eier internt, og en navngitt kontaktperson hos leverandøren. Uten navn blir ansvaret hengende i luften.

Steg 3: Klassifiser. Klassifiser hvert system i lav risiko, transparens eller høyrisiko, og begrunn kort hva du bygger vurderingen på. En setning per system holder lenge.

Godkjenning av nye verktøy. Lag en rutine for hvordan nye AI-verktøy godkjennes før de tas i bruk, så ikke nye systemer dukker opp utenfor oversikten.

Skriv ned vurderingene mens de er friske. Dokumentasjon som lages i ettertid, er både dyrere og svakere. Med oversikt, eierskap og klassifisering på plass kan du gå videre til logging og menneskelig kontroll.

Steg 4 til 6: logging, menneskelig kontroll og ansatte

Oversikten, eierskapet og klassifiseringen gir grunnlaget. Nå gjelder tre grep som flytter etterlevelsen fra dokument til drift.

Logging. For høyrisiko-systemer skal hendelser kunne spores i ettertid, og idriftsetteren skal ta vare på loggene systemet lager. Sjekk hva leverandøren faktisk lagrer, hvor lenge det lagres, og hvem som kan lese det.

Menneskelig kontroll. Bestem hvem som kan overprøve en AI-basert beslutning, i hvilke tilfeller det skal skje, og hvordan overprøvingen dokumenteres. Navn, terskel og spor. Uten dette blir kontrollen en intensjon, ikke en rutine.

Informer og involver ansatte. De skal vite hvor AI brukes i arbeidet deres, og hva de gjør når et svar eller en vurdering ser galt ut. Legg rutinene og svarene der jobben faktisk gjøres. Relation Brain samler kunnskapen bedriften selv velger, slik at ansatte og AI-agenter får svar fra bedriftens eget innhold, med samme tilgangsrettigheter som personen som spør.

Få folk med i praksis, ikke bare på kurs. Gevinsten kommer når AI brukes i den daglige oppgaven.

Konklusjon

Regelverket er EØS-relevant, men den norske loven er ikke i kraft ennå. Det betyr ikke at du kan vente. De fleste norske virksomheter er idriftsettere i egen drift, og pliktene følger av bruken, ikke av hvem som leverte systemet. Kravene er risikobaserte: høyrisiko krever testing, dokumentasjon, logging og menneskelig kontroll, mens åpenhet gjelder bredt. Personvernregelverket gjelder allerede, uavhengig av tidslinjen.

Neste steg er konkret: få oversikt over AI-bruken, sett ansvar, klassifiser etter risiko og lag rutiner der jobben faktisk gjøres. Vi hjelper bedrifter med å finne de riktige oppgavene for AI, få ansatte med og måle gevinsten i daglig drift.

Å forberede seg nå er et råd, ikke en frist. Start med én oppgave i morgen.