KI-forordningen i Norge
Gjelder KI-forordningen i Norge? Status per august 2026
Det korte svaret: KI-forordningen (EU AI Act) gjelder foreløpig ikke direkte i Norge. Som forordning gjelder den i EU, men for Norge må den først innlemmes i EØS-avtalen og deretter gjennomføres i norsk lov. Dette arbeidet er ikke fullført. Mange norske organisasjoner er likevel omfattet i praksis, fordi reglene følger EU-markedet snarere enn selskapets adresse.
Hvor langt prosessen har kommet
KI-forordningen trådte i kraft i EU 1. august 2024 og innføres trinnvis. I Norge er den ennå ikke trådt i kraft. Siden Norge er medlem av EØS og ikke av EU, må forordningen først innarbeides i EØS-avtalen, noe som krever forhandlinger mellom Norge, Island, Liechtenstein og EU om eventuelle EØS-tilpasninger. Disse forhandlingene er ikke avsluttet.
Den opprinnelige ambisjonen var å vedta en norsk KI-forordning i løpet av 2026. Denne tidsplanen har blitt utsatt, og regjeringen har nå som mål å legge frem et lovforslag for Stortinget våren 2027. Inntil da er det ingen norsk KI-forordning i kraft, og ingen nasjonal frist som samsvarer med EUs tidsfrister.
- KI-forordningen trer i kraft i EU, trinnvis, fra 1. august 2024.
- Den er ennå ikke innlemmet i EØS-avtalen, og er derfor ennå ikke norsk lov.
- EØS-forhandlingene om tilpasninger pågår fortsatt.
- Det forventes at et lovforslag vil bli lagt frem for Stortinget våren 2027.
- Den norske gjennomføringen omtales som KI-loven, og er ennå ikke vedtatt.
Hvorfor mange norske organisasjoner likevel er omfattet
KI-forordningen tar utgangspunkt i EU-markedet, ikke leverandørens postadresse. En norsk organisasjon omfattes av KI-forordningen når den bringer et KI-system ut på EU-markedet, tar et slikt system i bruk i EU, eller når resultatene fra organisasjonens KI-system brukes i EU. Et norsk selskap som selger programvare til kunder i EU, kan derfor være en leverandør i henhold til forordningen lenge før en eventuell norsk lov blir vedtatt.
Kundenes krav kommer før lovgivningen trer i kraft. Europeiske kjøpere, samt norske kjøpere som står til ansvar overfor europeiske eiere eller partnere, ber i stadig større grad leverandørene om å dokumentere hvilke KI-systemer de bruker, hva disse systemene brukes til, og hvilken risikoklasse bruken tilhører. Denne dokumentasjonsforespørselen venter ikke på at EØS-prosessen skal være fullført.
- Når du bringer et KI-system ut på EU-markedet, blir du ansett som leverandør.
- Bruk av KI hvis resultater benyttes i EU, kan også føre til at du blir omfattet av regelverket.
- Selskaper i konsern med morselskaper i EU følger ofte disse kravene internt.
- I anskaffelses- og anbudsdokumentene kreves det allerede KI-oversikter.
Det som allerede gjelder i Norge i dag
At det ikke finnes en egen norsk KI-forordning, betyr ikke at bruken av KI er uregulert. Personopplysningsloven og GDPR gjelder i sin helhet når et KI-verktøy behandler personopplysninger, og dette omfatter det meste av den daglige bruken på arbeidsplassen. Pliktene til å ha et lovlig grunnlag, å informere de registrerte, å inngå avtaler med databehandlere og å vurdere risiko er allerede i kraft.
I tillegg gjelder bransjespesifikke regler. Offentlige organer må overholde reglene om saksbehandling og åpenhet, arbeidsgivere må respektere reglene om overvåking i arbeidslivet, og regulerte sektorer som helse og finans har sine egne krav. I praksis er det disse forpliktelsene – ikke KI-forordningen – som en organisasjon i dag mest sannsynlig vil bryte.
- GDPR og personopplysningsloven gjelder for all bruk av KI som omfatter personopplysninger.
- Det kreves et rettslig grunnlag og en avtale om databehandling før bruk.
- Reglene om overvåking i arbeidslivet setter grenser for hva som kan registreres om ansatte.
- Lovgivningen for helse-, finans- og offentlig sektor gjelder uendret.
Hva Digital Omnibus endret
I juni 2026 vedtok EU «Digital Omnibus»-pakken om kunstig intelligens, som medførte endringer i flere av fristene i KI-forordningen. Europaparlamentet godkjente pakken 16. juni 2026, og Rådet ga sin endelige godkjenning 29. juni 2026.
Forpliktelsene for frittstående systemer med høyrisiko i henhold til vedlegg III ble utsatt til 2. desember 2027, og forpliktelsene for KI som er innebygd i regulerte produkter i henhold til vedlegg I til 2. august 2028. Åpenhetspliktene i artikkel 50 ble ikke utsatt: de trådte i kraft fra 2. august 2026. Dette er reglene som krever at brukerne blir informert når de samhandler med et KI-system, og at KI-generert innhold merkes.
- Forpliktelsene for høyrisikosystemer i vedlegg III flyttes til 2. desember 2027.
- Forpliktelsene for høyrisikosystemer i vedlegg I utsettes til 2. august 2028.
- Åpenhetspliktene i artikkel 50 gjelder fortsatt fra 2. august 2026.
- Forbudene fra februar 2025 og GPAI-reglene fra august 2025 forblir uendret.
Hvem skal føre tilsyn med at reglene overholdes i Norge?
Norsk kommunikasjonsmyndighet (Nkom) skal fungere som koordinerende markedstilsynsmyndighet og nasjonalt kontaktpunkt, med ansvar for et enhetlig tilsyn på tvers av sektorene. Sektormyndighetene beholder sine egne ansvarsområder, og Datatilsynet beholder sin rolle i alle saker som omhandler personopplysninger.
Det etableres en reguleringssandkasse for KI gjennom et samarbeid mellom Digitaliseringsbyrået, Datatilsynet og Nkom, organisert under KI Norge. Formålet er å gi utviklere veiledning i hvordan de kan oppfylle kravene før regelverket trer i kraft.
- Nkom skal koordinere markedstilsynet og fungere som nasjonalt kontaktpunkt.
- Sektormyndighetene utøver tilsyn innenfor sine egne områder.
- Datatilsynet fortsetter å føre tilsyn med behandlingen av personopplysninger.
- Det etableres en reguleringssandkasse under KI Norge.
Hva man kan gjøre mens reglene er under behandling
Arbeidet som KI-forordningen til slutt vil kreve, er det samme arbeidet som i dag går med til å besvare kundespørreskjemaer og oppfylle personvernforpliktelser, så det er sjelden bortkastet. Begynn med en oversikt over den faktiske bruken, for alle senere forpliktelser forutsetter at man vet hva KI brukes til og av hvem.
Klassifiser etter bruksområde snarere enn etter verktøy. Den samme assistenten kan utgjøre minimal risiko når den retter stavefeil, men høyrisiko når den vurderer jobbsøkere. En liste over verktøynavn sier ingenting om hvilke forpliktelser som vil gjelde.
- Lag en KI-oversikt over bruken, med en navngitt ansvarlig for hvert bruksområde.
- Noter formålet, hvilke data det dreier seg om og hvilke beslutninger resultatet påvirker.
- Gi de ansatte en godkjent prosess for å foreslå nye verktøy.
- Vurder på nytt når et KI-verktøy får nye KI-funksjoner eller et nytt formål.
Ofte stilte spørsmål
Gjelder KI-forordningen i Norge akkurat nå?
Ikke direkte. Forordningen er i kraft i EU, men er ennå ikke innlemmet i EØS-avtalen eller gjennomført i norsk lov. Det forventes at et lovforslag vil bli lagt frem for Stortinget våren 2027. Norske organisasjoner som bringer KI-systemer i omsetning i EU, eller der resultatet fra KI-systemet brukes i EU, kan fortsatt være omfattet av EU-reglene.
Når trer den norske KI-forordningen i kraft?
Det er ikke fastsatt noen dato. Opprinnelig var målet i løpet av 2026, men forhandlingene med EØS har tatt lengre tid enn forventet, og regjeringen har nå som mål å legge frem et lovforslag våren 2027. Lovforslaget trer i kraft etter at Stortinget har behandlet det.
Hva er forskjellen på KI-forordningen, AI Act og KI-loven?
KI-forordningen og AI Act er to navn på det samme EU-regelverket: forordning (EU) 2024/1689. KI-loven er navnet som brukes om den norske loven som skal gjennomføre regelverket i norsk rett når det er innlemmet i EØS-avtalen. EU-regelverket gjelder i EU i dag; den norske loven er ennå ikke vedtatt.
Ble kravene til grupper med høyrisiko utsatt?
Ja. Gjennom «Digital Omnibus»-pakken om KI, som ble vedtatt i juni 2026, ble forpliktelsene for frittstående høyrisiko-systemer i henhold til vedlegg III utsatt til 2. desember 2027, og forpliktelsene for KI som er integrert i regulerte produkter i henhold til vedlegg I, til 2. august 2028. Åpenhetspliktene i artikkel 50 ble ikke utsatt og trådte i kraft fra 2. august 2026.
Finnes det i dag noen regler for bruk av KI i Norge?
Ja. GDPR og personopplysningsloven gjelder alltid når et KI-verktøy behandler personopplysninger, noe som omfatter det meste av bruken på arbeidsplassen. Reglene om overvåking i arbeidslivet, saksbehandling i offentlig sektor og sektorlovgivning på områder som helse og finans gjelder også uendret.
Hvem skal føre tilsyn med KI-forordningen i Norge?
Nkom skal fungere som koordinerende markedstilsynsmyndighet og nasjonalt kontaktpunkt, mens sektortilsynsmyndighetene beholder tilsynet innenfor sine egne områder og Datatilsynet fortsetter å føre tilsyn med behandlingen av personopplysninger. Det etableres en reguleringssandkasse under KI Norge i samarbeid med Digitaliseringsbyrået.
Gratis veiledningsverktøy
Forstå hvordan KI-forordningen kan gjelde
Svar på spørsmål i klart språk, få forklaringer underveis og se det offisielle rettsgrunnlaget bak resultatet.
Start vurderingen