Roller i henhold til KI-forordningen
Er vi leverandør eller idriftsetter etter KI-forordningen?
De fleste norske organisasjoner er idriftsettere: de tar i bruk KI-systemer som andre har utviklet. Leverandører utvikler et KI-system eller bringer i omsetning et slikt system under eget navn. Dette skillet er viktig, fordi det er leverandørene som har de største forpliktelsene, og fordi man kan bli leverandør uten å ha til hensikt å være det – ved å sette sitt eget navn på et system eller ved å endre et system vesentlig.
En merknad om det norske begrepet
Det engelske begrepet er «deployer». Det norske språket har ennå ikke kommet frem til en fast betegnelse: «idriftsetter», «ibruktaker» og ganske enkelt «bruker» er alle i bruk, og Nkom har brukt flere av dem. Den endelige formuleringen vil bli fastsatt når den norske loven vedtas. Alle begrepene refererer til den samme rollen, så man bør ikke legge for mye vekt på ordvalget.
- Leverandør — leverandør. Den som utvikler eller markedsfører systemet i eget navn.
- Deployer — idriftsetter, ibruktaker eller bruker. Den som bruker det i yrkesmessig sammenheng.
- Importør — importør. Bringer et system fra utenfor EU ut på EU-markedet.
- Distributør — distributør. Gjør et system tilgjengelig uten å være leverandør eller importør.
Hvordan finne ut hvilken rolle du har
Spør hvem systemet angivelig stammer fra. Hvis organisasjonen din kjøper en lisens og bruker verktøyet slik det leveres, er dere en bruker. Hvis organisasjonen din utvikler systemet, eller tar et tredjepartssystem og markedsfører det under eget navn eller varemerke, er dere en leverandør.
Privat bruk faller helt utenfor anvendelsesområdet. Rollen som distributør omfatter bruk i en profesjonell sammenheng, ikke en ansatt som bruker en chatbot hjemme.
- Du lisensierer et verktøy og bruker det slik det selges: deployer.
- Du bygger systemet selv: leverandør.
- Du videreselger et system under ditt eget varemerke: leverandør.
- Du bruker KI utelukkende privat: utenfor lovens virkeområde.
Hvordan en idriftsetter blir en leverandør
Dette er fallgruven. En distributør påtar seg leverandørens forpliktelser dersom vedkommende setter sitt eget navn eller varemerke på et høyrisikosystem, foretar en vesentlig endring av et slikt system eller endrer systemets tiltenkte formål slik at det blir et høyrisikosystem.
Å utvikle en intern assistent basert på en kommersiell modell og gi den til de ansatte i selskapets navn, er nettopp den typen praksis som kan gå over streken.
- Når du omprofilerer et system med høyrisiko under ditt eget navn, blir du leverandøren.
- Hvis du foretar vesentlige endringer i et system med høyrisiko, blir du dermed leverandøren.
- Hvis du omdisponerer et system slik at det blir høyrisiko, blir du leverandøren.
- Den opprinnelige leverandørens forpliktelser overføres da til deg.
Hva hver rolle innebærer
Leverandører av systemer med høyrisiko har hovedansvaret for reguleringen: et risikostyringssystem, datastyring, teknisk dokumentasjon, loggføring, samsvarsvurdering, CE-merking og registrering. Brukere har et mindre, mer praktisk orientert sett av forpliktelser.
Begge rollene er underlagt plikten til KI-kompetanse i artikkel 4, som har vært gjeldende siden februar 2025 og ikke avhenger av risikoklasse.
- Bruker: Bruk systemet i henhold til bruksanvisningen.
- Ansvarlig for implementering: Tildel oppgaven med menneskelig tilsyn til en kompetent person som får nødvendig støtte.
- Implementeringsansvarlig: Før logg og informer berørte personer når det er nødvendig.
- Begge: sikre at ansatte som arbeider med KI har tilstrekkelig KI-kompetanse.
Ofte stilte spørsmål
Er et norsk selskap som bare bruker ChatGPT en leverandør?
Nei. Hvis du bruker et kommersielt verktøy slik det leveres, regnes du som en idriftsetter. Du blir først ansett som en leverandør dersom du setter ditt eget navn på et system med høyrisiko, endrer det vesentlig eller endrer formålet slik at det blir et system med høyrisiko.
Hva er det norske ordet for «deployer»?
Det er ikke avklart. Begrepene «Idriftsetter», «ibruktaker» og «bruker» brukes alle i norske kilder, blant annet av Nkom, og det endelige begrepet vil bli fastsatt når den norske loven vedtas. De beskriver alle den samme rollen: organisasjonen som bruker et KI-system i en yrkesmessig sammenheng.
Kan vi være både leverandør og driftsansvarlig samtidig?
Ja. En organisasjon som utvikler et KI-system til eget bruk, er både leverandør og driftsansvarlig for systemet, og har dermed begge typer forpliktelser. Dette er vanlig i offentlige etater og større selskaper med egen utvikling.
Spiller rollen noen rolle hvis vi ikke er høyrisiko?
Mindre, men ikke ingenting. De fleste av de strenge forpliktelsene gjelder systemer med høyrisiko. Forpliktelsen til KI-kompetanse i artikkel 4 og forpliktelsene til åpenhet i artikkel 50 gjelder uavhengig av rolle, og det er kunnskapen om din egen rolle som avgjør hvilke forpliktelser som gjelder dersom et bruksområde viser seg å innebære høyrisiko.
Gjelder rollen per system eller per organisasjon?
Per system. Den samme organisasjonen kan både være bruker av et innkjøpt KI-verktøy og leverandør av en assistent den har utviklet selv. Derfor er en oversikt over KI-bruken, snarere enn én samlet betegnelse for hele bedriften, det mest praktiske utgangspunktet.
Gratis veiledningsverktøy
Forstå hvordan KI-forordningen kan gjelde
Svar på spørsmål i klart språk, få forklaringer underveis og se det offisielle rettsgrunnlaget bak resultatet.
Start vurderingen