AI Act og Norge 2026: hva gjelder i EU, og hva gjelder her?

EUs AI Act, på norsk KI-forordningen (forordning (EU) 2024/1689), gjelder ikke i Norge ennå. Forordningen er ikke innlemmet i EØS-avtalen, og den norske KI-loven som skal gjennomføre den, er ikke lagt fram for Stortinget. I EU gjelder de fleste reglene fra 2. august 2026, og nye forbud kommer 2. desember 2026. Norske virksomheter som tilbyr KI-systemer i EU, må likevel følge reglene der allerede nå. Vi har lest regjeringens pressemeldinger og høringer, EØS-statusen på Europalov, endringsforordningen (EU) 2026/1744 på EUR-Lex og Kommisjonens sider om tidslinjen. Alt er sjekket 3. november 2026.

Gjelder AI Act i Norge?

Nei, ikke ennå. Norge er med i EØS, ikke i EU. En EU-forordning gjelder først i Norge når EØS-komiteen har vedtatt å ta den inn i EØS-avtalen og den er gjennomført i norsk lov. På Europalov, regjeringens database for EU- og EØS-saker, står KI-forordningen fortsatt på trinnet der EØS/EFTA-landene vurderer EØS-relevans og innlemmelse. Departementets EØS-notat sier at innlemmelsen krever Stortingets samtykke, fordi forordningen krever lovendringer og har budsjettmessige følger.

Arbeidet med den norske loven har tatt lengre tid enn planlagt:

• 30. juni 2025: Digitaliserings- og forvaltningsdepartementet sendte utkast til lov om kunstig intelligens (KI-loven) på høring, med frist 30. september 2025. Målet var da at loven skulle tre i kraft sensommeren 2026.
• 4. august 2026: Daværende digitaliseringsminister Karianne Tung (Ap) sa at departementet hadde fått i underkant av 150 høringssvar, og at ambisjonen var å legge fram KI-loven for Stortinget våren 2027.
• 30. oktober 2026: Regjeringen sendte EUs endringer, den digitale omnibusen om KI, på høring som et tillegg til høringen fra 2025. Fristen er 11. desember 2026.

I høringsnotatet fra oktober foreslår departementet ingen endringer i gjeldende norske regler. Endringene skal vurderes i arbeidet med KI-loven. Digitaliserings- og forvaltningsminister Torgeir Micaelsen (Ap) sier i pressemeldingen at forenklingene skal gjøre reglene «lettere å følge» og gi bedre muligheter til å teste nye løsninger.

Det er ikke fritt fram så lenge. I pressemeldingen fra august viser regjeringen til at personvernregelverket, straffeloven og åndsverkloven også gjelder når KI utvikles og brukes. Regjeringen har dessuten utpekt Nasjonal kommunikasjonsmyndighet (Nkom) som koordinerende KI-tilsyn. Trenger du en innføring i selve teknologien, har vi forklart hva kunstig intelligens er i en egen artikkel.

Gjelder i EU, gjelder i Norge

Tabellen samler datoene fra forordningen slik den er endret av omnibusen, og setter dem opp mot status i Norge. Vi har satt den opp ut fra EUR-Lex-teksten og regjeringens pressemeldinger.

Den siste raden følger av artikkel 2 i forordningen. Den gjelder for tilbydere som bringer KI-systemer eller GPAI-modeller i omsetning i EU, uansett hvor de er etablert. Den gjelder også når resultatet fra et system brukes i EU. For EU er Norge foreløpig et tredjeland i denne sammenhengen.

Hva endret EU med omnibusen?

Kommisjonen foreslo endringene 19. november 2025, og Parlamentet og Rådet ble politisk enige 7. mai 2026. Forordning (EU) 2026/1744 er datert 8. juli 2026, ble kunngjort i EU-tidende 24. juli 2026 og trådte i kraft 27. juli 2026, tredje dag etter kunngjøringen. Dette er de viktigste endringene vi fant i teksten på EUR-Lex:

• Utsatte høyrisikoregler. Reglene for høyrisikosystemer etter vedlegg III gjelder fra 2. desember 2027, og for systemer i produkter etter vedlegg I fra 2. august 2028. Opprinnelig var datoene 2. august 2026 og 2. august 2027.
• To nye forbud. Artikkel 5 får to nye punkter, (ba) og (bb), som gjelder fra 2. desember 2026.
• Utsatt merking for eldre systemer. Systemer som lager syntetisk lyd, bilde, video eller tekst og var på markedet før 2. august 2026, har frist til 2. desember 2026 med maskinlesbar merking.
• Mildere krav om KI-kompetanse. Tilbydere og brukere skal fortsatt støtte opplæring av egne ansatte, men plikten krever ikke et bestemt kompetansenivå hos hver enkelt.
• Mer makt til KI-kontoret. EUs KI-kontor (AI Office) får eneansvar for tilsyn med KI-systemer som bygger på en GPAI-modell fra samme tilbyder, med enkelte unntak. Den nye artikkel 75c lar kontoret fatte vedtak om brudd, ilegge bøter og tvangsmulkt, med en foreldelsesfrist på fem år.

Ifølge regjeringen endrer omnibusen ikke den grunnleggende strukturen i forordningen. Kravene til sikkerhet og grunnleggende rettigheter står fast.

Slik er reglene bygd opp

Forordningen deler KI-systemer inn etter risiko. Kommisjonen kaller den det første helhetlige rettslige rammeverket for KI i verden.

• Uakseptabel risiko: praksiser som er forbudt.
• Høy risiko: for eksempel KI i rekruttering, utdanning, kredittvurdering og kritisk infrastruktur. Her gjelder strenge krav til dokumentasjon, risikostyring og menneskelig kontroll.
• Åpenhet: for eksempel chatboter og deepfakes. Folk skal vite at de snakker med en maskin eller ser kunstig laget innhold.
• Minimal risiko: de fleste vanlige programmer, uten nye krav.

I tillegg gjelder egne regler for KI-modeller for allmenne formål, altså de store modellene bak tjenester som ChatGPT, Gemini og Claude. Vil du vite mer om hvordan slike modeller lager tekst og bilder, se guiden Hva er generativ KI?

Hva er forbudt i EU?

Siden 2. februar 2025 har det i EU vært forbudt å bringe i omsetning eller bruke KI-systemer til blant annet:

• manipulasjon som kan påføre noen alvorlig skade, og utnytting av sårbarhet knyttet til alder, funksjonsnedsettelse eller økonomisk og sosial situasjon,
• sosial poengsetting som fører til urimelig forskjellsbehandling,
• å forutsi om noen vil begå lovbrudd bare ut fra profilering eller personlighetstrekk,
• ukritisk innsamling av ansiktsbilder fra internett eller overvåkingskameraer for å bygge ansiktsdatabaser,
• følelsesgjenkjenning på arbeidsplasser og i skoler, unntatt av medisinske eller sikkerhetsmessige grunner,
• biometrisk kategorisering som utleder sensitive kjennetegn, for eksempel etnisitet eller religion,
• biometrisk fjernidentifikasjon i sanntid på offentlige steder til politiformål, med snevre unntak.

Fra 2. desember 2026 kommer to nye forbud. Det første gjelder KI-systemer som lager eller manipulerer realistiske bilder, video eller lyd av en identifiserbar persons intime kroppsdeler eller av personen i seksuelle handlinger, uten uttrykkelig samtykke. Det andre gjelder systemer som lager materiale med seksuelle overgrep mot barn. For tilbydere gjelder forbudet når dette er formålet med systemet, eller når systemet lett kan brukes til det uten rimelige sperrer. For brukere gjelder det når de bruker systemet til å lage slikt materiale.

Åpenhet: chatboter og merking

Artikkel 50 gjelder i EU fra 2. august 2026:

• Folk skal få vite at de snakker med en chatbot, med mindre det er åpenbart.
• Innhold som er laget av KI, skal merkes maskinlesbart, slik at det kan oppdages som kunstig.
• Den som bruker KI til å lage deepfakes, skal opplyse om at innholdet er kunstig laget eller manipulert.

For systemer som var på markedet før 2. august 2026, gjelder kravet om maskinlesbar merking fra 2. desember 2026. Bruker du KI-bilder i markedsføring, viser guiden Lag bilder med KI hvordan verktøyene fungerer i praksis.

Store modeller og tilsyn i EU

Tilbydere av KI-modeller for allmenne formål må blant annet lage teknisk dokumentasjon, ha en policy for å følge opphavsretten og publisere et sammendrag av innholdet modellen er trent på. Modeller med systemisk risiko, de kraftigste, har strengere krav. Tilsynet ligger hos KI-kontoret i Kommisjonen, som fikk utvidet myndighet gjennom omnibusen.

Bøter i EU

Det høyeste av de to beløpene gjelder. For små og mellomstore bedrifter gjelder det laveste. Når KI-loven kommer, skal den også ha norske regler om overtredelsesgebyr og tvangsmulkt, ifølge høringen fra 2025.

Hva bør en norsk virksomhet gjøre nå?

Sjekklisten bygger på datoene i forordningen og på status i Norge per 3. november 2026. Den er et utgangspunkt, ikke en juridisk vurdering.

1. Lag en oversikt over KI-en dere bruker og lager. Skriv ned hvert verktøy, hva det brukes til, hvem som leverer det og om dere selv er tilbyder eller bare bruker.
2. Finn ut om dere er i EU-markedet. Selger dere KI-systemer til kunder i EU, eller brukes resultatet fra systemene der, gjelder EU-reglene for dere allerede.
3. Sjekk listen over forbud. Gå gjennom artikkel 5, også de to nye punktene som gjelder i EU fra 2. desember 2026.
4. Merk chatboter og KI-innhold. Opplys om at kunder snakker med en chatbot, og sjekk at bilde- og tekstverktøyene dere bruker merker innholdet. Leverer dere slike systemer i EU, er fristen for eldre systemer 2. desember 2026.
5. Kartlegg mulige høyrisikosystemer. KI i rekruttering, opplæring, kredittvurdering og liknende kan havne i vedlegg III. Reglene gjelder i EU fra 2. desember 2027, og det tar tid å bygge dokumentasjonen.
6. Gi de ansatte opplæring. Kravet om KI-kompetanse er mildnet, men gjelder fortsatt i EU. I Norge er det et godt grep uansett.
7. Husk reglene som gjelder i dag. Personopplysningsloven og GDPR, åndsverkloven og straffeloven gjelder også for KI i Norge.
8. Vurder å svare på høringen. Fristen for innspill til regjeringen om omnibusen er 11. desember 2026.

Ofte stilte spørsmål

Kilder og metode