Norsk implementering av KI-forordningen: tilsyn, tidslinjer og hva SMB bør gjøre nå

KI-forordningen (EU AI Act) er merket EØS-relevant og vil bli norsk lov gjennom EØS-avtalen. Selv om den formelle tidslinjen for Norge kan avvike noe fra EU, er retningen klar: norske virksomheter vil få de samme pliktene som virksomheter i EU-land. Denne artikkelen gir en praktisk oversikt over hva vi vet, hva som gjenstår, og hva du kan gjøre allerede nå.

Merk: Denne artikkelen er veiledende og gjenspeiler status per publiseringsdato. Detaljer rundt norsk implementering er fortsatt under avklaring, og du bør følge med på oppdateringer fra myndighetene.

Fra EU-forordning til norsk lov

Det viktigste i praksis er at norske virksomheter bør planlegge etter EU-tidslinjen og starte forberedelser nå – uavhengig av når den formelle EØS-innlemmelsen er helt ferdig.

• Start med kartlegging av KI-systemer i bruk (inkludert “skjult KI” i SaaS)
• Gjør en første risikoklassifisering (prioriter typiske høyrisiko-områder)
• Innhent dokumentasjon fra leverandører og etabler intern ansvarslinje
• Bygg dokumentasjon som tåler tilsyn – uansett hvilken myndighet som ender opp som ansvarlig

EØS-prosessen

KI-forordningen ble vedtatt av EU i 2024. For at den skal gjelde i Norge, må den innlemmes i EØS-avtalen gjennom en EØS-komitébeslutning. Deretter må den gjennomføres i norsk rett – enten gjennom en egen lov eller ved endring av eksisterende lovverk.

Denne prosessen tar normalt noe tid, men for EØS-relevante forordninger av denne typen arbeider norske myndigheter gjerne parallelt med EU-prosessene. Det betyr at forberedelsene allerede er i gang.

Hva betyr det i praksis?

For norske virksomheter betyr EØS-innlemmelsen at:

• De samme reglene om forbudte praksiser, høyrisiko-systemer og transparenskrav vil gjelde.
• Norske virksomheter som leverer til eller handler med EU-land, kan bli truffet av forordningen allerede gjennom kunder og samarbeidspartnere.
• Leverandører av KI-systemer som opererer på tvers av EØS, må forholde seg til regelverket uavhengig av formell norsk ikrafttredelse.

Tidslinjer: hva gjelder når?

KI-forordningen trer i kraft trinnvis i EU. De viktigste milepælene:

For Norge vil tidslinjen avhenge av når EØS-komitébeslutningen fattes og eventuell overgangsperiode. Det er rimelig å anta at norske frister vil ligge tett opp mot EU-fristene, men med en mulig forsinkelse.

Viktig: Selv om fristene formelt kan komme noe senere i Norge, bør virksomheter planlegge etter EU-tidslinjen. Kunder, leverandører og samarbeidspartnere i EU vil forvente etterlevelse uavhengig av norsk implementeringsdato.

Tilsyn i Norge: hvem gjør hva?

Nasjonalt tilsyn

KI-forordningen krever at hvert land utpeker én eller flere nasjonale tilsynsmyndigheter (national competent authorities). Per publiseringsdato er det ikke endelig avklart hvem som får dette ansvaret i Norge. Aktuelle kandidater inkluderer:

• Datatilsynet – har allerede kompetanse på personvern og teknologi, og har bygget opp erfaring med KI gjennom sin regulatoriske sandkasse.
• Sektorspesifikke tilsyn – for eksempel Arbeidstilsynet for arbeidsrelatert KI, Helsetilsynet for helse-KI, og Utdanningsdirektoratet for KI i utdanning.
• Et nytt, dedikert organ – enkelte har tatt til orde for et eget KI-tilsyn, men dette er foreløpig ikke besluttet.

AI-kontoret i EU

I tillegg til nasjonale tilsyn har EU opprettet et eget AI Office som har overordnet ansvar for tilsyn med generelle KI-modeller (GPAI) og koordinering mellom landene. Norske tilsynsmyndigheter vil samarbeide med dette kontoret.

Hva betyr det for deg?

Uavhengig av hvilken myndighet som får tilsynsansvaret, er forventningene til virksomhetene de samme: du skal kunne dokumentere hva du gjør, hvorfor du gjør det, og hvilke vurderinger som ligger til grunn. Forbered dokumentasjon som er generisk nok til å fungere overfor ethvert tilsyn.

Datatilsynets regulatoriske sandkasse

Datatilsynet har siden 2022 driftet en regulatorisk sandkasse for KI. Sandkassen gir virksomheter mulighet til å teste KI-løsninger i dialog med tilsynet, og er et viktig verktøy for å forstå grensene mellom lovlig og ulovlig bruk.

Erfaringene fra sandkassen har gitt verdifull innsikt i:

• Hvordan personvernregelverket (GDPR) samspiller med KI-spesifikke problemstillinger.
• Praktiske utfordringer ved å dokumentere KI-systemer.
• Hvordan transparens og forklarbarhet kan oppnås i praksis.

Selv om sandkassen primært har fokusert på personvern, er mye av lærdommen overførbar til KI-forordningen.

Hva bør SMB-er gjøre nå?

Selv om norsk implementering ikke er fullstendig avklart, er det mye du kan gjøre allerede. Her er en prioritert liste:

1. Kartlegg KI-bruken i virksomheten

Start med å få oversikt over hvilke KI-systemer som er i bruk – og vær oppmerksom på at KI kan være innebygd i programvare du allerede bruker uten at det er merket tydelig.

• Gå gjennom SaaS-verktøy, HR-systemer, kundeservice-løsninger og andre digitale verktøy.
• Spør leverandører direkte: «Bruker produktet KI eller maskinlæring?»
• Lag en enkel liste med systemnavn, leverandør og bruksformål.

2. Gjør en foreløpig klassifisering

For hvert identifisert system, vurder:

• Er det et høyrisiko-system? (Sjekk mot Annex III i forordningen.)
• Interagerer det direkte med mennesker? (Transparenskrav.)
• Har det funksjonalitet som kan være forbudt?

Du trenger ikke gjøre en perfekt vurdering – poenget er å starte.

3. Kontakt leverandørene

Be leverandørene om:

• Dokumentasjon på hvordan KI-funksjonaliteten fungerer.
• Informasjon om treningsdata og risikovurderinger.
• Tidsplan for leverandørens egen etterlevelse av forordningen.

Leverandører som tar forordningen seriøst, vil allerede ha begynt dette arbeidet.

4. Etabler interne rutiner

Sett opp et minimum av rutiner:

• Hvem er ansvarlig for KI-systemer i virksomheten?
• Hvordan tas beslutningen om å ta i bruk nye KI-verktøy?
• Hvordan involveres tillitsvalgte og verneombud?

5. Start dokumentasjonen

Opprett en enkel systemfil for hvert KI-system med:

• Grunnleggende informasjon (navn, leverandør, formål).
• Klassifisering.
• Gjennomførte vurderinger.
• Ansvarlig person.

6. Følg med på utviklingen

Hold deg oppdatert på:

• EØS-komiteens behandling av forordningen.
• Norske myndigheters veiledning og retningslinjer.
• Bransjeorganisasjoners tolkninger og anbefalinger.

Vanlige misforståelser

• «Vi trenger ikke gjøre noe før forordningen er norsk lov.» Feil – forberedelser tar tid, og kunder i EU kan allerede stille krav.
• «Det gjelder bare store tech-selskaper.» Feil – forordningen gjelder alle som bruker eller tilbyr KI-systemer, uavhengig av størrelse.
• «Vi bruker ikke KI.» Sjekk grundig – KI er innebygd i stadig flere standard SaaS-produkter.
• «GDPR dekker alt.» Delvis feil – KI-forordningen kommer i tillegg til GDPR og dekker bredere enn personvern.

Oppsummering

Videre lesning

• Norge og KI-forordningen (oversikt)
• Slik påvirker norsk arbeidsrett og partssamarbeid innføring av KI på jobb
• Utover HR: helse, utdanning og kritiske tjenester – hvorfor mønstrene ligner

Sist oppdatert

2026-02-05