KI-loven: Dette må norske selskaper gjøre nå
EU AI Act trer i full kraft 2. august 2026. Norge ligger bak med implementeringen, men bøtene — opptil 35 millioner euro — gjelder uansett.
Begreper i denne artikkelen
EUs forordning om kunstig intelligens — AI Act — ble vedtatt i mai 2024. Siden da har reglene tredd i kraft trinnvis. Forbud mot visse AI-praksiser gjelder allerede. Krav til høyrisiko-systemer aktiveres 2. august 2026. Norge henger etter.
Tidslinjene
Forbudet mot AI-systemer som utgjør uakseptabel risiko — sosial scoring, manipulativ AI rettet mot sårbare grupper, biometrisk kategorisering basert på sensitive egenskaper — har vært håndhevbart i EU siden februar 2025. Regler for generelle AI-modeller (LLM-er som GPT og Claude) gjelder fra august 2025.
2\. august 2026 er den store datoen. Da trer kravene til høyrisiko-AI i kraft: risikovurderingssystemer, teknisk dokumentasjon, samsvarsvurdering, menneskelig tilsyn og registrering i EUs AI-database. Systemer brukt i ansettelse, kredittvurdering, utdanning, rettshåndhevelse og helsevesen er omfattet.
Bøtene er betydelige. Opptil 35 millioner euro eller 7 % av global omsetning for brudd på forbudte praksiser. Opptil 15 millioner euro eller 3 % for andre brudd.
Norges etterslep
AI Act gjelder ikke automatisk i Norge. Som EØS-relevant lovgivning må den innlemmes gjennom norsk lov. Digitaliseringsdepartementet publiserte et lovforslag i juni 2025 med høringsfrist september 2025. Målet er ikrafttredelse sommeren 2026, men ingen dato er bekreftet.
Nasjonal kommunikasjonsmyndighet (Nkom) er utpekt som koordinerende tilsynsmyndighet. Datatilsynet beholder ansvaret for personvern. AI Norway skal koordinere veiledning og drive en regulatorisk sandkasse rettet mot SMB-er og oppstartsselskaper.
Hva selskaper bør gjøre nå
Uavhengig av om norsk lov er på plass til august: tidslinjen er den samme. Selskaper som opererer i EU-markedet — eller som leverer AI-systemer til kunder som gjør det — er omfattet. Tre steg er presserende:
Først: kartlegg alle AI-systemer i bruk og klassifiser dem etter risikonivå. Høyrisiko krever full dokumentasjon og samsvarsvurdering. Andre: vurder om systemer brukt i rekruttering, kundevurdering eller beslutningsstøtte kvalifiserer som høyrisiko under Annex III. Tredje: etabler et kvalitetsstyringssystem og dokumentasjonsrutiner før august, ikke etter.
Kostnaden ved å vente er høyere enn kostnaden ved å forberede seg. Og for norske selskaper som ennå ikke har startet: fem måneder er kort tid.
