KI-forordningen (AI Act): Hva betyr den for norske bedrifter?

AI Act er det engelske navnet på EUs KI-forordning. Den gjelder i EU. Norge skal innføre den gjennom en egen KI-lov, som ikke er vedtatt ennå. Det er derfor ikke riktig å si at KI-forordningen er lovpålagt i Norge i dag.

En norsk bedrift kan likevel ha virksomhet i EU. Da bør dere undersøke hvilke krav som gjelder for den konkrete bruken der. En policy er et praktisk arbeidsdokument, ikke en juridisk vurdering av alle situasjoner virksomheten kan havne i. Når dere trenger en slik vurdering, bør dere få juridisk rådgivning.

KI og AI betyr det samme. Dere trenger altså ikke én AI-policy og en annen KI-policy. Bruk ordene medarbeiderne forstår, og beskriv faktiske arbeidsoppgaver heller enn bare tekniske begreper.

En enkel måte å forstå risikonivåene på er å spørre hvor stor betydning resultatet får for mennesker. Et utkast til en møtemal og en vurdering av hvem som får jobb, er ikke samme type bruk selv om begge gjøres med KI.

Noen bruksområder omtales som forbudt bruk. Andre er høyrisiko, mens andre først og fremst aktualiserer åpenhet eller vanlig kvalitetssikring. Denne oversikten er ikke en fullstendig klassifisering. Bedriften må vurdere formålet og situasjonen før den bestemmer hvilke rammer som passer.

Rekruttering og kredittvurdering er eksempler på høyrisikoområder. Kravene til høyrisiko-KI er utsatt til 2. desember 2027 / 2. august 2028. Ikke bruk disse datoene som en begrunnelse for å overlate viktige avgjørelser til et verktøy uten en særskilt vurdering.

Bedrifter som utvikler eller selger KI-systemer, eller bruker KI på høyrisikoområder, bør søke juridisk rådgivning. En generell mal kan ikke avgjøre hvilken kategori løsningen deres tilhører.

Artikkel 4 om KI-kompetanse har gjeldt i EU siden 2. februar 2025. Etter endringene i 2026, Digital Omnibus, skal virksomheter sette i verk tiltak som støtter KI-kompetansen hos ansatte og andre som bruker KI på deres vegne. Det kreves ikke et bestemt nivå eller sertifikat.

For en liten bedrift kan tiltakene for eksempel være et kurs, en intern gjennomgang av godkjente verktøy og skriftlige kjøreregler. Det viktige i det praktiske arbeidet er å koble opplæringen til oppgavene folk faktisk utfører. Les mer om KI-kompetanse for ansatte.

Artikkel 50 om åpenhet har gjeldt i EU siden 2. august 2026. Folk skal vite når de samhandler med en chatbot, og deepfakes skal merkes. KI-generert tekst om saker av allmenn interesse skal merkes når den ikke har vært gjennom menneskelig redaksjonell kontroll.

EU-kommisjonen publiserte 10. juni 2026 en frivillig praksiskode for merking av KI-generert innhold, med offisielle EU-ikoner. Se den praktiske oversikten over merking av KI-innhold.

1. Lag en oversikt over verktøyene. Skriv navn, kontoform, formål og hvem som bruker dem. Spør også om verktøy som ansatte har tatt i bruk på eget initiativ.
2. Avklar hvilke data som er tillatt. Et anonymt tekstutkast og en kundeliste bør ikke behandles som det samme. La godkjenningen si noe konkret om data, ikke bare verktøynavnet.
3. Skriv ned kjørereglene. Beskriv godkjente oppgaver, menneskelig kontroll og hvem ansatte skal spørre. Begynn gjerne med gratis KI-policy mal.
4. Gi opplæring og dokumenter tiltakene. Noter hva dere gjennomgikk, når det skjedde og hvem tiltaket var relevant for. Nye verktøy kan gi behov for en ny gjennomgang.
5. Gå gjennom det publikum møter. Se på chatboten, bildene, videoene og tekstene dere publiserer. Avklar hvor opplysning om KI-bruk skal stå, og hvem som godkjenner innholdet.

Et konkret eksempel: En medarbeider lager et tilbudsutkast med KI. Verktøyet står i registeret, medarbeideren bruker godkjent konto og tar ikke med data som er utenfor rammene. Før tilbudet sendes, kontrollerer et menneske tall og formuleringer. Da har dere en arbeidsrutine som er mulig å forklare og følge opp.

Unngå en policy som bare sier «bruk KI ansvarlig». Skriv heller hva ansatte skal gjøre når de er usikre, hvem som godkjenner nye verktøy og hvordan feil meldes. La én person ha ansvar for å holde oversikten oppdatert, og sett av tid til en felles gjennomgang.

I KI policy generator kan dere samle verktøyene i et register og lage en policy fra den oversikten. Ansatte kan bekrefte den godkjente versjonen via personlige lenker. Dere får også versjonshistorikk og kan lage en offentlig erklæring på norsk og engelsk når pakken gir tilgang til det.

Dette erstatter ikke juridisk rådgivning. Det gir dere et sted å samle beslutningene og gjøre dem kjent. Start gratis og bygg oversikten, eller les retningslinjer for bruk av KI på arbeidsplassen før dere begynner.