Ny KI-lov banker på døra. Er du klar?

{{cta-1}}

Sjansen er stor for at du allerede bruker kunstig intelligens i jobben din uten å tenke så mye over det. Kanskje ber du Copilot oppsummere et møtereferat, eller bruker ChatGPT til å komme i gang med et tekstutkast. Det fungerer fint. Men nå kommer det et nytt europeisk regelverk som setter rammer for hvordan KI kan brukes. EUs AI Act er på vei inn i norsk lov. Ved KI-lovens ikrafttredelse i Norge vil det stilles krav til aktører i hele KI-verdikjeden som eksempelvis produsenter, leverandører, importører, brukere og distributører. 

Les mer: Hvis KI-bruk i bedriften skal skape verdi, trenger du god dataflyt

Verdens første KI-lov

AI Act er verdens første helhetlige regulering av kunstig intelligens (KI). Forordningen ble vedtatt av EU i 2024 og rulles ut trinnvis. Enkelte deler gjelder allerede, som forbudet mot de mest risikable KI-systemene. Ambisjonen er at hele forordningen skal være gjeldende i EU fra 2. august 2026.

Norge følger tett bak. Regjeringen har allerede sendt et lovforslag på høring, og målet var å sende en proposisjon før påske i 2026. Arbeidet med å gjennomføre regelverket i norsk rett er nå forsinket. Grunnen er at forhandlinger med EU om nødvendige EØS-tilpasninger tar lengre tid enn forventet. Samtidig gjennomfører EU sin Omnibus-reform som gjør at regelverket blir forenklet og mer forutsigbart, noe Norge må ta hensyn til. Lovforslaget vil antagelig fremlegges i løpet av høsten i år, mens AI Act mest sannsynlig blir norsk lov i 2027.

Nasjonal kommunikasjonsmyndighet (Nkom) blir koordinerende tilsynsmyndighet, og den nyopprettede enheten KI Norge i Digitaliseringsdirektoratet skal fungere som et nasjonalt nav for veiledning og innovasjon.

For å sette det i perspektiv: Norge har en uttalt ambisjon om å bli verdens mest digitaliserte land innen 2030. Da må vi også være i front når det gjelder trygg bruk av KI. AI Act er en viktig brikke i det puslespillet.

Les mer: KI endrer kompetansekravene. Er norske bedrifter klare?

Risikopyramiden: fire nivåer du bør kjenne til

AI Act bygger på en risikobasert tilnærming. Det betyr at kravene til deg som virksomhet avhenger av hva KI-systemet brukes til og hvilken risiko det utgjør. Forordningen opererer med fire nivåer, gjerne fremstilt som en pyramide.

Uakseptabel risiko er helt forbudt. Hit hører systemer som sosial poengsetting, skjult atferdsmanipulering og visse former for biometrisk overvåking i offentlige rom. Disse er allerede ulovlige i EU.

Høy risiko er tillatt, men strengt regulert. Typiske eksempler er KI brukt i rekruttering, kredittvurdering, helsetjenester og utdanning. Her stilles det krav til dokumentasjon, risikovurdering, menneskelig tilsyn og cybersikkerhet. Dersom KI-systemet tar eller støtter beslutninger som har direkte konsekvenser for mennesker, er sjansen stor for at det havner i denne kategorien.

Begrenset risiko handler først og fremst om åpenhet. Chatboter og generativ KI som produserer tekst, bilde eller lyd, må merkes tydelig slik at brukeren vet at de samhandler med kunstig intelligens.

Minimal risiko har ingen nye krav. Spamfiltre, stavekontroll, oversettelsesverktøy og enkel lagerstyring hører til her. De aller fleste KI-systemer som norske virksomheter bruker i dag, havner i denne kategorien.

Et viktig poeng: Det er bruken av systemet som avgjør risikoklassen, ikke teknologien i seg selv. Det samme KI-verktøyet kan havne i ulike kategorier avhengig av hva det brukes til.

Når KI går fra assistent til beslutningstaker

Vi har snakket med advokat Sven Ivar Lønneid fra Vismas Legal HRM-avdeling for å forstå hva alt dette betyr i praksis for norske virksomheter. Når vi spør ham hva som egentlig skiller et harmløst KI-verktøy fra et høyrisikosystem, setter han det på spissen:

– KI fremstilles ofte som en assistent for oss mennesker. Og det går faktisk et viktig skille i regelverket også: mellom KI som assisterer deg med svar og informasjon når du stiller spørsmål, og KI som tar beslutninger for deg. I det siste tilfellet er det fort du som menneske som blir assistenten, sier Lønneid, som er spesialist på arbeidsrett.

Det er et poeng som treffer kjernen i AI Act. Bruker du KI som et oppslagsverk eller et skriveverktøy der du selv vurderer og beslutter, er du som regel i trygt farvann. Men i det øyeblikket KI-systemet begynner å avgjøre hvem som får en jobb, hvem som kvalifiserer for et lån, eller hvilken karakter en student får, da har rollene snudd. Og det er nettopp der de strenge kravene i forordningen slår inn.

‍

Er AI Act noe å bekymre seg over?

Lønneid er tydelig på at de færreste norske virksomheter trenger å ligge våkne om natten.

– Det store flertallet bruker KI-verktøy som faller i kategorien minimal eller begrenset risiko. Da er kravene beskjedne. Men du må faktisk gjøre jobben med å sjekke og dokumentere hvilken kategori systemene dine havner i. Det holder ikke å bare anta at alt er greit.

Han minner også om at AI Act ikke oppstår i et vakuum. Mye av det forordningen stiller krav om, er allerede regulert gjennom GDPR, arbeidsmiljøloven, produktansvarsloven og alminnelig kontraktsrett. AI Act kommer i tillegg, men erstatter ikke det du allerede skal ha kontroll på.

Les mer: KI brukes overalt – få måler effekten

Tre ting du bør gjøre allerede nå

Selv om loven mest sannsynlig ikke trer i kraft før i 2027, er det lurt å bruke tiden frem dit hensiktsmessig. Lønneid anbefaler tre konkrete trinn:

1. Kartlegg KI-bruken i virksomheten. Lag en oversikt over hvilke KI-systemer dere bruker, hva de brukes til og hvilken risikokategori de faller inn under. Dette er grunnlaget for alt annet.

2. Sørg for at folk forstår verktøyene de bruker. Opplæringen trenger ikke å være komplisert, men ansatte som bruker KI-verktøy i arbeidshverdagen, bør vite forskjellen på å bruke KI som et hjelpemiddel og å la KI ta beslutninger for dem.

3. Følg med på veiledningene som kommer. Nkom, Datatilsynet og KI Norge vil publisere veiledere og retningslinjer i tiden fremover. Hold deg oppdatert, så slipper du å starte fra scratch når reglene faktisk trer i kraft.

Rammeverk, ikke bremsekloss

AI Act handler ikke om å stoppe innovasjon. Tvert imot er formålet å gi virksomheter et tydelig rammeverk som gjør det enklere å ta i bruk kunstig intelligens på en ansvarlig måte. For norske bedrifter betyr det like konkurransevilkår med resten av Europa, og et regelverk som bygger tillit hos både kunder og ansatte.

Som Lønneid oppsummerer det:

– Har du kontroll på hva du bruker KI til, hvordan systemene virker og hvem som egentlig tar beslutningene, da er du allerede godt på vei.

{{cta-1}}

Nyttige lenker og offentlige kilder

Vil du lese mer? Her er noen de viktigste offentlige kildene:

Fra regjeringen:

• Gjør Norge klar for trygg og innovativ KI-bruk (pressemelding, mars 2025)
• Lov om kunstig intelligens sendes på høring (pressemelding, juli 2025)
• Høringsnotatet til KI-loven (PDF)

Fra Nkom (tilsynsmyndigheten):

• KI-loven i et nøtteskall
• Nkom blir vaktbikkje for kunstig intelligens i Norge

Fra Digitaliseringsdirektoratet og KI Norge:

• Digdir etablerer KI Norge
• Veiledning for ansvarlig bruk og utvikling av KI