EU AI Act: hva må en bedrift som tar i bruk AI gjøre (tidslinje frem til 2027, forpliktelser, AI-kompetanse)

EUs KI-forordning (AI Act, forordning 2024/1689) gjelder fra august 2024 og fases inn trinnvis. I juli 2026 vedtok EU det såkalte Digital Omnibus (forordning 2026/1744), som skjøv på enkelte frister, særlig for systemer med høy risiko. For et selskap som tar i bruk AI i sine prosesser betyr det to ting: noen plikter gjelder allerede, og for andre er det mer tid enn tidligere veiledere la til grunn.

Denne teksten klargjør hva som gjelder for en virksomhet som innfører AI (i forordningens terminologi: «bruker»/deployer), hvilke datoer som gjelder nå, og hvor du bør starte. Dette er ikke juridisk rådgivning; for systemer med høy risiko bør klassifiseringen avklares med advokat.

Hovedpunkter

• Forbud og AI-kompetanse gjelder fra 2. februar 2025. Alle virksomheter som bruker AI må sikre at ansatte har et tilstrekkelig nivå av AI-kompetanse (art. 4).
• Åpenhet overfor brukere gjelder fra 2. august 2026. Chatboter, innholdsgeneratorer og deepfakes må merkes.
• Høyrisikosystemer: frister utsatt. Vedlegg III (rekruttering, kredittvurdering, utdanning, biometrı) fra 2. desember 2027; vedlegg I (AI i regulerte produkter, f.eks. medisinsk utstyr) fra 2. august 2028.
• De fleste forretningsimplementeringer er minimal risiko. En dokumentassistent, kunnskapssøk eller etterspørselsprognoser er ikke høyrisiko, men omfattes likevel av AI-kompetanse og åpenhet.
• Bøter opptil 35 mill. EUR eller 7 % av omsetningen for forbudte praksiser; lavere terskler for SMB og små mid-cap-selskaper.

Hva er AI Act og hvem gjelder den for

AI Act innfører felles regler for AI-systemer i hele EU. Pliktene avhenger av to ting: virksomhetens rolle i verdikjeden og systemets risikonivå.

Roller definert i forordningen:

• Leverandør (provider): utvikler et AI-system og bringer det i omsetning under eget navn eller merke.
• Bruker (deployer): bruker et AI-system som del av yrkesmessig virksomhet. Dette er de fleste som innfører AI.
• Importør og distributør: bringer systemer utenfra EU i omsetning på EU-markedet eller gjør dem tilgjengelige videre.

Forordningen har også ekstraterritoriell virkning: den gjelder for virksomheter utenfor EU dersom resultatene fra deres AI-systemer brukes i EU.

Viktig regel i art. 25: En virksomhet som innfører et andres høyrisikosystem under egen merkevare, modifiserer det vesentlig eller endrer formålet til et høyrisikobruk, blir leverandør og overtar leverandørpliktene.

Fire risikonivåer

Den samme teknologien kan havne i ulike kategorier avhengig av bruken. En språkmodell som oppsummerer dokumenter internt er minimal risiko. Den samme modellen brukt til forhåndssiling av kandidater i rekruttering er et høyrisikosystem.

Tidslinje: hva gjelder allerede, og hva er utsatt

Status etter Digital Omnibus (forordning 2026/1744, i kraft fra 27. juli 2026):

• 1. august 2024: AI Act trer i kraft.
• 2. februar 2025: forbud (art. 5) og AI-kompetanse (art. 4). Gjelder.
• 2. august 2025: plikter for leverandører av modeller for generelt formål (GPAI), tilsynsstruktur, sanksjonsregler. Gjelder.
• 2. august 2026: åpenhetsplikter (art. 50), regulatoriske sandkasser i hvert medlemsland, generell anvendelse av forordningen for øvrige systemer. Gjelder.
• 2. desember 2026: slutt på overgangsperioden for merking av syntetisk innhold i systemer brakt i omsetning før 2.08.2026; nye forbud i art. 5.
• 2. desember 2027: høyrisikosystemer i vedlegg III (tidligere: 2.08.2026). Systemer brakt i omsetning før denne datoen omfattes først etter en vesentlig modifikasjon.
• 2. august 2028: høyrisikosystemer i vedlegg I, dvs. AI i produkter omfattet av annen EU-regulering, f.eks. medisinsk utstyr, maskiner (tidligere: 2.08.2027).
• 2. august 2030: høyrisikosystemer brukt av offentlige organer.

Utsettelsen endrer ikke pliktenes omfang. For et høyrisikosystem tar innføring av dokumentasjon, logging og menneskelig tilsyn måneder, så 2027 er nærmere enn det kan se ut.

Plikter for virksomheter som innfører AI (bruker/deployer)

For hvert AI-system, uavhengig av risiko

AI-kompetanse (art. 4). Virksomheten må sikre at de som bruker AI-systemene har tilstrekkelig kunnskap om hvordan de fungerer, begrensninger og risikoer, tilpasset konteksten og gruppene systemet påvirker. Forordningen pålegger ikke en bestemt form; i praksis handler det om opplæring, interne retningslinjer og instrukser.

Åpenhet (art. 50). Hvis ansatte eller kunder snakker med en chatbot, må de vite det, med mindre det er åpenbart. AI-generert innhold som publiseres i saker av allmenn interesse må merkes som generert. Deepfakes må merkes. Systemer for emosjonsgjenkjenning og biometrisk kategorisering krever at berørte personer informeres.

For høyrisikosystemer (art. 26 og 27)

• Bruk i tråd med leverandørens instruks. Leverandøren skal levere instruks; brukeren plikter å følge den.
• Menneskelig tilsyn. Virksomheten utpeker personer med kompetanse, opplæring og myndighet til å føre tilsyn med systemet, inkludert å overstyre eller sette til side beslutninger.
• Inndata. I den grad virksomheten kontrollerer inndata, skal de være egnede og tilstrekkelig representative for systemets formål. Styring av treningsdata er leverandørens plikt, ikke brukerens.
• Overvåking og varsling. Virksomheten overvåker systemets virkemåte; dersom det oppstår risiko for helse, sikkerhet eller grunnleggende rettigheter, stanser man bruken og varsler leverandør og markedstilsynsmyndigheten. Alvorlige hendelser skal rapporteres.
• Logger. Virksomheten lagrer logger som genereres automatisk av systemet (der man har kontroll) i minst 6 måneder, med mindre andre regler krever lengre lagring.
• Ansatte. Før innføring av et høyrisikosystem på arbeidsplassen skal virksomheten informere ansatte og deres representanter.
• Personer som berøres av beslutninger. Virksomheten informerer enkeltpersoner om at beslutninger som angår dem er støttet av et høyrisikosystem, og forklarer på forespørsel systemets rolle i beslutningen.
• Vurdering av konsekvenser for grunnleggende rettigheter (art. 27). Obligatorisk for offentlige organer og tilbydere av offentlige tjenester, samt for virksomheter som bruker AI til kredittvurdering og risikovurdering i livs- og helseforsikring.

Et internt register over AI-systemer er ikke i seg selv et lovkrav for de fleste brukere (registrering i EUs database gjelder leverandører og offentlige organer), men uten en kartlegging er det ikke mulig å oppfylle de øvrige pliktene.

AI-kompetanse i praksis

Art. 4 gjelder fra februar 2025 og omfatter alle virksomheter som bruker AI, også hylleverktøy. Hva kompetansetiltak bør dekke:

• Hvordan verktøyet fungerer: hva modellen kan og ikke kan, hvor svarene hentes fra.
• Begrensninger: hallusinasjoner, avhengighet av datakvalitet, behov for verifisering i oppgaver som har konsekvenser for mennesker eller økonomi.
• Data: hva som ikke skal legges inn i offentlige modeller (personopplysninger, forretningshemmeligheter, kundedata), og forskjellen på en offentlig chatbot og en implementering på enterprise-vilkår.
• Menneskets rolle: hvem som er ansvarlig for en AI-støttet beslutning og når den skal utfordres.
• Prosedyrer: hvor man melder feil eller bekymringsfull atferd.

Detaljnivået avhenger av rolle: ett for ledelsen, et annet for de som bruker systemet daglig, og et for IT-teamet som drifter det.

Slik ser dette ut i praksis ved implementering

Teknisk koker de fleste pliktene i AI Act ned til arkitekturvalg tidlig i prosjektet. I Startup House, når vi implementerer AI-assistenter, agenter og kunnskapsbaser for virksomheter, følger vi prinsipper som gjør etterlevelse enklere uansett risikoklasse:

• Svar basert på verifiserte kundedata (RAG) med kildehenvisninger, som reduserer hallusinasjoner og lar brukeren se hvor svaret kommer fra.
• Integrasjon med eksisterende tilgangspolicyer (bl.a. Okta), slik at AI kun ser data brukeren har rettigheter til.
• Implementering i kundens sky og arbeid med modeller på enterprise-vilkår: kundedata trener ikke offentlige AI-modeller.
• Logging av forespørsler og svar fra første versjon, ikke som et tillegg etter lansering.
• Menneske i loopen der AI støtter beslutninger som gjelder mennesker eller penger: systemet foreslår, mennesket godkjenner.
• Åpenhet overfor brukeren: assistenten presenterer seg som AI og sier ifra når den ikke vet svaret.
• Arkitektur som lar deg bytte modell (f.eks. fra OpenAI til Anthropic) uten å bygge om systemet, fordi kravene til og egenskapene ved GPAI-modeller endrer seg raskere enn virksomhetens systemer.

Vi jobber i henhold til ISO 27001 og tilpasser prosjekter til kravene hos kunder i regulerte bransjer (fintech, helsetjenester, cybersikkerhet). Klassifisering av risiko og juridiske plikter fastsettes av kunden med sin juridiske avdeling; vi leverer den tekniske siden: dokumentasjon, logger, mekanismer for tilsyn og åpenhet.

Kartlegging av AI-systemer, fordeling av ansvar og oppfølging av frister støttes av Compliance Copilot (produktside): en AI-agent fra Startup House for kontinuerlig etterlevelsesovervåking (bl.a. GDPR, DORA, NIST, ISO) som peker på hull i dokumentasjon og prosedyrer før revisjonen gjør det.

Slik forbereder du virksomheten: 5 trinn

1. Kartlegging. Liste over alle AI-verktøy i virksomheten: fra chatboter i kundestøtte og AI-funksjoner i SaaS til modeller i backend. For hvert verktøy: leverandør, brukstilfelle, hvem som bruker det, og hvilke data som inngår.
2. Risikoklassifisering. Plasser hvert verktøy i én av de fire kategoriene ut fra bruken, ikke teknologien. Sjekk også om virksomheten blir leverandør for noe (egen merkevare, vesentlig modifikasjon).
3. Leverandørgjennomgang. For høyrisikosystemer: leverer leverandøren instruks, dokumentasjon og støtte for logging? For GPAI-verktøy (modeller for generelt formål): sikrer enterprise-avtalen at selskapets data ikke brukes til trening?
4. Retningslinjer for bruk av AI. Regler for ansatte: godkjente verktøy, forbud mot å legge inn sensitive data i offentlige modeller, plikt til å verifisere resultater, prosedyre for å melde problemer, merking av AI-generert innhold.
5. Kompetanse og prosedyrer. Rollebasert opplæring, utpeking av ansvarlige for tilsyn med systemene, prosedyrer for overvåking og hendelsesrapportering. For høyrisikosystemer: plan for å oppnå etterlevelse før desember 2027 (vedlegg III) eller august 2028 (vedlegg I).

Bøter for brudd på AI Act

• Inntil 35 mill. EUR eller 7 % av global årlig omsetning (det høyeste beløpet): forbudte praksiser.
• Inntil 15 mill. EUR eller 3 %: brudd på øvrige plikter, inkludert for høyrisikosystemer og åpenhet.
• Inntil 7,5 mill. EUR eller 1,5 %: å gi uriktige eller ufullstendige opplysninger til myndighetene.

For SMB og startups, og etter Digital Omnibus også for små mid-cap-selskaper, brukes det laveste av de to beløpene. I tillegg kan tilsynsmyndigheten pålegge at systemet tas ut av bruk.

Se også: Hvordan velge selskap for å implementere AI: sjekkliste med 20 spørsmål og kontraktselementer · Microsoft 365 Copilot, ChatGPT Enterprise eller egen AI-assistent?

Ofte stilte spørsmål

Gjelder AI Act små og mellomstore bedrifter?

Ja. Det finnes ikke unntak basert på størrelse; pliktene avhenger av rolle og systemets risikonivå. SMB har lavere bøtenivåer, forenklet dokumentasjon for leverandører og tilgang til regulatoriske sandkasser som hvert medlemsland måtte etablere innen august 2026.

Er bruk av ChatGPT eller en annen chatbot i virksomheten i tråd med AI Act?

Ja, forutsatt at art. 4 (ansattes kompetanse) og interne personvernregler etterleves. Utfordringer oppstår når modellen brukes i et høyrisikobruk (f.eks. utvelgelse av kandidater) eller integreres i eget produkt under egen merkevare: da kan virksomheten bli leverandør av systemet og overta leverandørpliktene.

Må jeg bygge om dagens AI-system?

Det avhenger av kategorien. Systemer med minimal risiko krever ingen endringer utover åpenhet dersom de samhandler med brukere. Høyrisikosystemer brakt i omsetning før 2. desember 2027 omfattes først etter en vesentlig modifikasjon; nye må oppfylle krav fra denne datoen. Systemer i den forbudte kategorien (f.eks. emosjonsgjenkjenning av ansatte) måtte være slått av innen 2. februar 2025.

Hva er forskjellen på leverandør og bruker (deployer)?

Leverandøren lager systemet og bringer det i omsetning (f.eks. produsenten av en modell eller et selskap som selger eget AI-verktøy). Brukeren (deployer) anvender systemet i egen virksomhet (f.eks. en bank som bruker et eksternt verktøy til kredittvurdering). Samsvarsvurdering, teknisk dokumentasjon og registrering ligger hos leverandøren; menneskelig tilsyn, overvåking, logger og informasjon til ansatte ligger hos brukeren.

Hvordan sjekker jeg om systemet mitt er høyrisiko?

Vedlegg III lister områder: biometrı, kritisk infrastruktur, utdanning, ansettelse og personalforvaltning, tilgang til grunnleggende tjenester (inkludert kredittvurdering og forsikring), lovhåndhevelse, migrasjon, rettsvesen. Vedlegg I omfatter AI som sikkerhetskomponent i regulerte produkter (medisinsk utstyr, maskiner, kjøretøy). Hvis systemet virker i disse områdene og påvirker beslutninger om personer, er det høyrisiko – med mindre det kun utfører en snever, hjelpetjeneste (unntak i art. 6 nr. 3).

Hva med modeller for generelt formål (GPAI) som vi bruker via API?

Plikter for GPAI-modeller (dokumentasjon, opphavsrettspolitikk, for modeller med systemrisiko ytterligere testing) ligger hos leverandørene og gjelder fra 2. august 2025. En virksomhet som bruker en modell via API er bruker (deployer) av systemet bygget på modellen, med plikter avhengig av bruken.

Hvordan påvirker AI Act utviklingen av AI i polske bedrifter?

AI Act regulerer innføring av kunstig intelligens i næringslivet. Den har stor betydning for innovasjon, sikkerhet og kundetillit. Bedrifter i Polen bør ta kravene inn i investerings- og ekspansjonsstrategien.

Gjelder AI Act bruk av AI i markedsføring og e‑handel?

Ja, også nettbutikker og markedsføringsbyråer må følge de relevante reglene. AI som brukes til innholdsproduksjon, inntektsanalyse eller optimalisering av utgifter ligger som regel i kategorien minimal risiko. Ytterligere plikter kan følge av hvordan data og generert innhold brukes.

Hvordan forberede virksomheten på kravene i AI Act i fjerde kvartal 2026?

Start med å analysere tilgjengelige AI-verktøy og teste dem opp mot reglene. Eksperter bør peke ut risikoer, utarbeide sjekklister og prosedyrer for varslinger. Ansatte bør også få opplæring før nye implementeringer starter.

Regulerer AI Act bruk av AI i rekruttering og fastsettelse av lønn?

Ja, AI-systemer som støtter rekruttering, vurdering av ansatte og beslutninger om lønn kan klassifiseres som høyrisiko. De krever egnet menneskelig tilsyn, dokumentasjon og kontroll av virkemåten. Dette er særlig viktig for å verne arbeidstakeres rettigheter og sikre åpenhet i beslutninger.

Denne teksten er kun til informasjon og utgjør ikke juridisk rådgivning. Rettslig status: oktober 2026, etter ikrafttredelsen av forordning 2026/1744 (Digital Omnibus).