Ikke juridisk rådgivning. Innholdet er informasjon, ikke faglig veiledning. EU AI Act er kompleks og overlapper med personopplysningsloven og markedsføringsloven. For konkrete vurderinger, konsulter advokat eller Datatilsynet.
Forordning 2024/1689, bedre kjent som EU AI Act, trådte i kraft i EU 1. august 2024. For norske bedrifter er ikke spørsmålet om reglene treffer, men når og hvor hardt. Norge er bundet av EØS-avtalen, og forordningen tas gradvis inn i norsk rett. Her er hva som faktisk skjer i 2026, hva du må gjøre nå, og hva du trygt kan vente med.
Kort oppsummert
| Hva | Status 2026 | Hvem treffer det |
|---|---|---|
| Forbudte praksiser | Aktivt siden 2. feb. 2025 | Alle, særlig HR og sikkerhet |
| AI-litterasitet (artikkel 4) | Aktivt siden 2. feb. 2025 | Alle bedrifter som bruker AI |
| GPAI-regler (ChatGPT m.fl.) | Aktivt siden 2. aug. 2025 | Leverandører og videresalg |
| Høyrisiko-systemer i Annex III | Trer i kraft 2. aug. 2026 | Rekruttering, finans, utdanning |
| Annex I-systemer (produktsikkerhet) | 2. aug. 2027 | Industri, medtech, maskin |
Du bør sjekke tre ting i juni 2026: om noen av AI-bruksområdene dine er forbudt, om de havner i høyrisiko-kategorien, og om dine ansatte har dokumentert AI-opplæring. De to første kravene er allerede i kraft i EU. Norge følger samme tidslinje via EØS.
Hva er EU AI Act, og hvorfor angår det Norge?
EU AI Act er verdens første brede regulering av kunstig intelligens. Loven kategoriserer AI-systemer etter risiko og legger plikter på både leverandører og brukere. Den ble vedtatt av EU-parlamentet i mars 2024, publisert i juli, og trer i kraft i etapper fram til 2027.
Norge er ikke EU-medlem, men er bundet av indre marked-regelverket gjennom EØS-avtalen. AI-forordningen er merket som EØS-relevant, og Regjeringen.no bekrefter at den tas inn i norsk rett. Innlemmelsen følger samme prosess som GDPR fikk i 2018: EØS-komitévedtak, så Stortingets samtykke, så ikrafttredelse.
Praktisk konsekvens: når en norsk bedrift selger AI-tjenester inn i EU eller bruker AI som påvirker EU-borgere, er du bundet uansett om Norge har vedtatt loven formelt. EU AI Act har samme ekstraterritorielle rekkevidde som GDPR. Datatilsynet har allerede et sandkasse-program for AI der bedrifter kan teste compliance i kontrollerte former.
Tidslinjen du må kjenne
EU AI Act er ikke én lov som slår inn på én dato. Den er fasedelt. Her er de viktigste milepælene som gjelder for norske bedrifter:
2. februar 2025: Forbud mot uakseptable praksiser trer i kraft. Det samme gjelder kravet om AI-litterasitet i artikkel 4: alle organisasjoner som bruker AI må sikre at ansatte har tilstrekkelig kompetanse. Dette er allerede en plikt i EU, og speiler det norske tilsynsmyndigheter vil håndheve.
2. august 2025: Reglene for general-purpose AI (GPAI) trer i kraft. Det betyr at OpenAI, Anthropic, Google og Meta må dokumentere modellene sine. Som norsk bruker arver du indirekte krav: leverandøren må gi deg dokumentasjon, og du må kunne vise hvilke modeller du bruker. Governance-strukturen i EU, inkludert AI Office og sanksjons-rammeverket, blir også aktivt.
2. august 2026: Hoveddelen av forordningen trer i kraft, inkludert plikter for høyrisiko-systemer i Annex III. Dette er den datoen norske bedrifter med AI i rekruttering, kredittvurdering, utdanning og offentlig administrasjon må være compliant.
2. august 2027: Høyrisiko-systemer knyttet til produktsikkerhets-direktiver (Annex I, for eksempel medisinsk utstyr og maskindirektivet) trer i kraft. Industri og medtech har dermed lengre tid.
Forbudte praksiser: dette må du slutte med i dag
Artikkel 5 lister AI-bruk som er ulovlig i EU. Listen er kort, men presis:
- Manipulativ AI som påvirker beslutninger gjennom subliminale teknikker
- Utnyttelse av sårbarheter knyttet til alder, funksjonsnedsettelse eller sosial situasjon
- Sosial scoring av borgere fra offentlige myndigheter
- Forutsigelse av kriminell adferd kun basert på profilering
- Untargeted scraping av ansiktsbilder fra internett eller CCTV
- Følelses-gjenkjenning på arbeidsplassen og i utdanning (med unntak for medisin og sikkerhet)
- Biometrisk kategorisering for å utlede sensitive trekk (etnisitet, politisk syn, seksuell legning)
- Sanntids fjern-biometrisk identifikasjon i offentlige rom (med snevre politi-unntak)
For de fleste norske bedrifter er dette ikke en realitet i dagens drift. Unntaket er HR-verktøy som påstår å lese følelsestilstand fra ansiktsuttrykk eller stemmeprøver under intervju. Slike systemer er forbudt og kan ikke brukes etter februar 2025. Hvis du har vurdert å kjøpe AI-rekrutteringsverktøy som markedsføres med “empati-deteksjon” eller “personlighets-screening basert på video”, har du nå et tydelig svar.
Høyrisiko-kategorien: her treffer det mange norske bedrifter
Annex III lister åtte områder hvor AI-systemer regnes som høyrisiko. De som angår vanlige norske bedrifter mest:
Rekruttering og HR: AI som filtrerer søknader, scorer kandidater eller styrer interne prosesser som forfremmelse og oppsigelse. Hvis du bruker en AI-screening-løsning i din rekrutterings-stack, er du i denne kategorien. Vår guide til AI for HR-sjef går gjennom hva som er trygt og hva som krever ekstra oppmerksomhet.
Finansielle tjenester: Kredittvurdering, prising av forsikring og deteksjon av forsikrings-svindel. Banker og forsikrings-aktører har allerede gode rutiner via GDPR, og AI Act bygger på samme grunnlag.
Utdanning: AI som evaluerer studenter, kategoriserer dem i nivåer eller styrer opptak til kurs og institusjoner. Norske universiteter og høyskoler må vurdere proktorering, automatisk karaktersetting og adaptive læringsplattformer.
Essensielle tjenester: AI som styrer adgang til offentlige ytelser, helsetjenester eller nødetater. Treffer primært offentlig sektor og dens leverandører.
Lov og orden, migrasjon, justis: Snevre kategorier som primært treffer politi, UDI og rettsapparatet.
For en høyrisiko-applikasjon må leverandøren gjennomføre konformitetsvurdering, registrere systemet i en EU-database, sikre dokumentert testing av nøyaktighet, robust risikostyring og menneskelig kontroll. Bruker du (deployer) en høyrisiko-AI fra ekstern leverandør, har du plikt til å følge leverandørens instruksjoner, sikre kvalitet på input-data og logge bruken.
Hva med ChatGPT, Claude og Gemini?
General-purpose AI-modeller har egne regler under artikkel 51 og fram. Leverandøren (OpenAI, Anthropic, Google) må:
- Publisere teknisk dokumentasjon
- Sikre at trening respekterer opphavsrett i EU
- Lage offentlig sammendrag av treningsdata
- For “systemic risk”-modeller: gjennomføre risikovurdering og insidentrapportering
Som norsk bruker har du primært tre forpliktelser knyttet til GPAI:
-
Spor hva du bruker. Lag liste over AI-verktøy i bruk: ChatGPT (hvilken plan), Claude, Gemini, Copilot, NotebookLM, lokale modeller, integrasjoner via Zapier eller Make. Oppdater listen jevnlig.
-
Vurder data-flyten. Hva legges inn? Personopplysninger om ansatte eller kunder krever GDPR-grunnlag. Personlig prompt-historikk i gratis-versjon av ChatGPT brukes typisk til trening. Det er en data-flyt du bør være bevisst på.
-
Sjekk leverandørens compliance-status. OpenAI, Anthropic og Google har egne EU-compliance-sider. For mindre verktøy uten klar EU-tilknytning er det grunn til ekstra forsiktighet.
Sammenligningen i ChatGPT, Claude og Gemini på nynorsk og bokmål inkluderer datalagring og avtale-vilkår per leverandør.
AI-litterasitet: kravet som allerede gjelder
Artikkel 4 er kort og kraftig: tjeneste-tilbydere og brukere av AI-systemer skal sikre at egne ansatte og andre med AI-ansvar har “tilstrekkelig nivå av AI-litterasitet”. Plikten har gjeldt siden 2. februar 2025 i EU, og norske bedrifter bør forberede seg på samme tilnærming når Norge formelt vedtar reglene.
I praksis betyr det:
- En kort intern policy som beskriver hvordan AI brukes
- Dokumentert opplæring av ansatte som faktisk bruker AI i jobben
- Bevisstgjøring om risiko: hallusinering, datalekkasje, opphavsrett
For en bedrift med fem ansatte holder det med en to-siders policy og en intern workshop. For en bedrift med 200 ansatte trenger du en strukturert plan, gjerne knyttet til eksisterende informasjonssikkerhets-opplæring. Vår guide for prosjektledere skisserer en enkel intern arbeidsflyt som flere norske team allerede har tatt i bruk.
Datatilsynet og Digitaliseringsdirektoratet har varslet at de vil publisere veiledning. I mellomtiden er artificialintelligenceact.eu en god ressurs for å lese selve artikkel 4-teksten.
Bøter og hvem som håndhever
Sanksjons-rammeverket trådte i kraft i august 2025. Bøtene er strukturert i tre nivåer:
- Opptil 35 millioner euro eller 7 prosent av global årsomsetning for forbudte praksiser
- Opptil 15 millioner euro eller 3 prosent for brudd på høyrisiko-plikter
- Opptil 7,5 millioner euro eller 1 prosent for å gi feilaktige eller villedende opplysninger til tilsyn
For småbedrifter (SMB) brukes som hovedregel den laveste av sats og prosent, mens for store konsern brukes den høyeste. Det betyr at en norsk enkeltpersonforetak ikke risikerer 35 millioner euro, men en stor norsk virksomhet kan i prinsippet det.
I Norge er tilsynsmyndighet ikke endelig vedtatt enda. Forberedelsene peker mot en delt løsning der Datatilsynet tar GDPR-relaterte AI-saker, Nkom tar elektronisk kommunikasjons-relaterte spørsmål, og Forbrukertilsynet håndterer markedsføring og forbruker-rettede AI-tjenester. Endelig modell varsles av Digitaliseringsdepartementet.
Konkret sjekkliste for juni 2026
Bruk denne listen til intern gjennomgang før neste fase trer i kraft:
- List AI-systemene dere bruker. Inkluder gratis-verktøy, betalte abonnement, integrasjoner og lokale modeller.
- Kategoriser hvert system. Forbudt, høyrisiko, begrenset risiko eller minimal risiko? Bruk Annex III som referanse.
- Skriv intern AI-policy. Den trenger ikke være lang, men må dekke hvilke verktøy som er godkjent, hvilke data som ikke skal legges inn, og hvem som har ansvar.
- Dokumenter opplæring. Et kort kurs, en e-læring eller signert policy. Det viktige er at det finnes en logg.
- Sjekk leverandør-vilkår for GPAI og andre AI-verktøy. Dataprosessor-avtaler (DPA) skal være på plass for verktøy som behandler personopplysninger.
- Vurder høyrisiko-bruk særskilt. Hvis dere har AI i rekruttering, kreditt eller utdanning: kontakt leverandøren og be om dokumentasjon på AI Act-compliance og konformitetsvurdering.
- Synkroniser med GDPR-rutiner. Mye av AI Act-arbeidet overlapper med personvern. ROS-analyser, DPIA og avvikshåndtering kan samkjøres.
For bedrifter som allerede har god GDPR-praksis er overgangen overkommelig. For dem som har sluppet unna med løse rutiner er dette en god anledning til å rydde.
Hva du trygt kan vente med
Ikke alt haster. Hvis du driver e-handel uten AI-anbefalinger på beslutninger som påvirker grunnleggende rettigheter, hvis du bruker ChatGPT til å skrive nyhetsbrev, eller hvis du har en chatbot som svarer på FAQ-spørsmål, er du i kategorien “minimal risiko” og må primært sikre transparens (kunden skal vite at det er en chatbot) og generell AI-litterasitet.
Du må ikke registrere systemet i EU-databasen. Du må ikke gjennomføre konformitetsvurdering. Du må ikke ha kvalitetsstyringssystem etter ISO/IEC 42001 (selv om det er smart). Du må heller ikke vente på Norges formelle vedtak før du tar grep, fordi nivået av risikohåndtering du legger inn nå, vil gjelde uansett tilsynsmyndighet.
Sammenheng med GDPR og markedsføringsloven
EU AI Act erstatter ikke GDPR. De jobber sammen. Hvis du bruker AI til å behandle personopplysninger, er du underlagt begge. AI Act legger til krav om dokumentert testing, menneskelig kontroll og logging. GDPR legger fortsatt grunnlaget for hvilken behandling som er lovlig.
På samme måte gjelder markedsføringsloven. Hvis du publiserer AI-generert innhold som markedsføring, må det merkes ifølge norsk regelverk. Bruker du AI til kundekommunikasjon på chat, må kunden få vite at det er en bot. Vår ChatGPT vs Claude-sammenligning går gjennom konkrete bruksmønstre for B2B-kommunikasjon på norsk.
For hub-oversikten over AI for ulike norske bransjer, se bransje-guider der vi samler praktisk veiledning fra HR, regnskap, eiendomsmegling og håndverk.
Anbefalt neste steg
Hvis du har under fem ansatte: lag en to-siders policy denne uka, signer den selv og hold en 30-minutters samling der dere går gjennom hvilke verktøy som er godkjent og hvilke data som ikke skal limes inn. Ferdig.
Hvis du har mellom fem og femti ansatte: legg AI-policy inn i eksisterende informasjonssikkerhets-rutiner. Bruk ROS-prosessen dere allerede har. Ta opp punktet på neste ledermøte og pek ut en ansvarlig.
Hvis du er over femti ansatte eller har høyrisiko-bruk: dette krever en strukturert prosess. Vurder ekstern compliance-rådgivning, snakk med eksisterende personvernombud, og start dialogen med leverandører nå. Den juridiske avklaringen tar tid.
Ingen norsk bedrift trenger panikkmodus. Men ingen bør heller utsette dette til Stortinget formelt vedtar EØS-innlemmelsen. Da har du allerede tapt forspranget.