Digital Omnibus om KI: hva som har endret seg for bedrifter
Digital Omnibus om KI er forordning (EU) 2026/1744. Den endrer EU AI Act og gjelder fra 27. juli 2026. Plikten til KI-kompetanse etter art. 4 består, men er svekket. Pliktene for høyrisiko-KI flyttes til 2. desember 2027 og 2. august 2028, og 2. desember 2026 trer to nye forbud i kraft.
Gjelder dette i Norge? KI-forordningen, og dermed også Digital Omnibus (forordning (EU) 2026/1744), er ennå ikke tatt inn i EØS-avtalen (per november 2026). For virksomheter i Norge gjelder pliktene først når forordningen er gjennomført i norsk rett; regjeringen vil legge frem KI-loven for Stortinget våren 2027 og sendte 30. oktober 2026 et tillegg om EUs KI-omnibus på høring, med frist 11. desember 2026 (regjeringen.no). Tilbyr du KI-systemer eller KI-baserte tjenester i EU, eller brukes resultatene fra KI-systemene dine i EU, kan EU-reglene likevel gjelde for deg allerede nå.
Status: 3. november 2026, kontrollert mot teksten i forordning (EU) 2026/1744 på EUR-Lex. Ikke juridisk rådgivning.
Hva er Digital Omnibus om KI?
Forordning (EU) 2026/1744 av 8. juli 2026 (engelsk betegnelse: «Digital Omnibus on AI») ble publisert i Den europeiske unions tidende 24. juli 2026 og trådte i kraft den tredje dagen etter, altså 27. juli 2026. Den endrer først og fremst EU AI Act (forordning (EU) 2024/1689, se EU AI Act i oversikt) og skal gjøre gjennomføringen enklere. Den endrede versjonen av KI-forordningen finner du som konsolidert tekst på EUR-Lex.
To begreper går igjen: Leverandører utvikler et KI-system eller bringer det på markedet under eget navn. Ibruktakere bruker et KI-system yrkesmessig; en bedrift som bare bruker KI-verktøy, er ibruktaker. Små midcap-selskaper er større enn SMB-er, men mindre enn store bedrifter.
Endringene i oversikt
Tabellen stiller det tidligere og det nye nivået opp mot hverandre, med hjemmel, tidspunkt og det en bedrift som bruker KI, bør gjøre. De seks første radene gjelder de fleste bedrifter, de fire siste særlig leverandører og høyrisikotilfeller.
| Tema | Tidligere | Nå | Fra når | Hva bedrifter gjør |
|---|---|---|---|---|
| KI-kompetanse (art. 4) | tiltak for etter beste evne å sikre et tilstrekkelig nivå av KI-kompetanse | tiltak for å støtte utviklingen av KI-kompetanse; intet bestemt nivå trenger å garanteres | 27.07.2026 | fastsette tiltak per rolle og dokumentere dem frivillig; se på Kommisjonens praksiseksempler |
| Nye forbud (art. 5 nr. 1 bokstav ba og bb) | intet eget forbud | KI for intime fremstillinger av identifiserbare personer uten samtykke og for fremstillinger av seksuelle overgrep mot barn forbudt | 02.12.2026 | kartlegge bilde- og videogeneratorer, fastsette bruksregler |
| Høyrisiko-KI etter vedlegg III (art. 113) | plikter fra 02.08.2026 | plikter fra 02.12.2027 | endringen i kraft fra 27.07.2026 | opprette en KI-oversikt, vurdere bruk innen personal, utdanning eller kredittvurdering |
| Høyrisiko-KI etter vedlegg I (art. 113) | plikter fra 02.08.2027 | plikter fra 02.08.2028 | endringen i kraft fra 27.07.2026 | bare relevant for KI i regulerte produkter |
| Merking av KI-generert innhold (art. 50 nr. 2, art. 111 nr. 4) | plikt fra 02.08.2026 | overgang til 02.12.2026 for leverandører av generative KI-systemer som er brakt på markedet før 02.08.2026 | 02.12.2026 | gjelder leverandører; for ibruktakere finnes det ingen overgang |
| Bøter for små midcap-selskaper (art. 99 nr. 6a) | lavere beløp bare for SMB-er | lavere beløp også for små midcap-selskaper, ved brudd etter nr. 4 og 5 | 27.07.2026 | sjekke størrelsesklasse; ved forbudte praksiser gjelder ikke midcap-regelen |
| Særlige kategorier av personopplysninger til korrigering av skjevheter (ny art. 4a) | rettslig grunnlag bare for leverandører av høyrisiko-KI (art. 10 nr. 5) | også for leverandører og ibruktakere av andre KI-systemer og ibruktakere av høyrisiko-KI, bare når det er strengt nødvendig og på vilkår | 27.07.2026 | ingen plikt og ingen fribillett: GDPR gjelder fortsatt; involver personvernombudet |
| Konsekvensvurdering for grunnleggende rettigheter (art. 27 nr. 4) | egen vurdering | henvisning til en eksisterende vurdering av personvernkonsekvenser er mulig | sammen med høyrisikopliktene | bare for ibruktakere av visse høyrisiko-KI-systemer |
| Registrering (art. 6 nr. 3, art. 49 nr. 2) | alle opplysninger etter vedlegg VIII | forenklet registrering for systemer som leverandøren vurderer som ikke høyrisiko | 27.07.2026 | et tema for leverandørene |
| Tilsyn (art. 75) | nasjonale myndigheter | KI-kontoret har ansvar for visse systemer basert på KI-modeller for allmenn bruk | 27.07.2026 | for rene brukere som regel uten følger |
Grunnlaget er teksten i forordning (EU) 2026/1744, lest 3. november 2026.
KI-kompetanse etter art. 4: svekket, ikke fjernet
Leverandører og ibruktakere av KI-systemer treffer fortsatt tiltak for å støtte utviklingen av KI-kompetansen hos personalet sitt og andre personer som arbeider med KI på deres vegne (art. 4 nr. 1). Nytt er andre setning: Plikten krever ikke at man garanterer et bestemt nivå av KI-kompetanse for noen person. Tidligere skulle bedrifter etter beste evne sikre et tilstrekkelig nivå.
I tillegg kommer to nye numre. Kommisjonen og medlemsstatene støtter bedriftene, særlig SMB-er, og Kommisjonen publiserer praktiske eksempler (nr. 2). KI-styret gir anbefalinger om felles mål (nr. 3). Endringen begrunnes med byrden som strenge plikter gir, særlig for mindre bedrifter (fortalepunkt 8). Eksempler fra praksis samler Kommisjonen allerede i sitt repository over praksiser for KI-kompetanse. Den som overtar en praksis som er oppført der, oppfyller ifølge Kommisjonen ikke automatisk art. 4.
I praksis betyr det: Art. 4 foreskriver verken form eller dokumentasjon. Et kurs er ett mulig tiltak, det samme gjelder interne retningslinjer eller en workshop. Det lønner seg å notere hvem som har gjort hva og når. Hvordan du gjennomfører plikten til KI-kompetanse etter art. 4, står på egen side.
Nye forbud fra 2. desember 2026
Fra 2. desember 2026 er ytterligere to KI-praksiser forbudt (art. 5 nr. 1 bokstav ba og bb, art. 113 nr. 3 bokstav a):
- KI-systemer som genererer eller manipulerer realistiske bilder, videoer eller lydopptak der intime kroppsdeler eller seksuelle handlinger hos en identifiserbar person fremstilles, uten at personen uttrykkelig har samtykket.
- KI-systemer som genererer eller manipulerer fremstillinger av seksuelle overgrep mot barn i henhold til direktiv 2011/93/EU.
For bedrifter som bare bruker slike verktøy, gjelder: Bruken er bare forbudt hvis ibruktakeren setter systemet inn til dette formålet (art. 5 nr. 1a bokstav b). Den som bruker en bildegenerator til produktbilder eller grafikk, omfattes ikke. Likevel hører en klar regel for bruk av bilde- og videogeneratorer hjemme i bedriftens KI-retningslinjer. Brudd på forbudene havner i det høyeste bøtenivået; den nye midcap-regelen gjelder ikke der. Detaljer på siden Bøter og SMB-regler i EU AI Act.
Frister: tidligere og nå
Det er først og fremst pliktene for høyrisiko-KI som er flyttet: med 16 måneder for vedlegg III (personal, utdanning, kredittvurdering og andre områder) og med 12 måneder for vedlegg I (KI i regulerte produkter). I tillegg kommer en overgang til 2. desember 2026 for merkingen etter art. 50 nr. 2, bare for leverandører av generative systemer som ble brakt på markedet før 2. august 2026. De øvrige datoene består. Datoene fra 2024 til 2028 finner du i fristkalenderen for EU AI Act.
Hva gjelder for SMB-er og små midcap-selskaper?
KI-forordningen definerer nå SMB-er (art. 3 nr. 14a, etter anbefaling 2003/361/EF) og små midcap-selskaper (art. 3 nr. 14b, etter anbefaling (EU) 2025/1099). For små midcap-selskaper gjelder det ved bøter for brudd etter art. 99 nr. 4 og 5 det laveste av de to beløpene (nr. 6a), slik det tidligere allerede gjaldt for SMB-er (nr. 6). Ved forbudte praksiser (nr. 3) gjelder denne regelen ikke for midcap-selskaper. Ansvaret ligger hos de nasjonale markedsovervåkningsmyndighetene.
Hva som ikke er endret
- De tidligere forbudene etter art. 5 gjelder fra 2. februar 2025.
- Pliktene for KI-modeller for allmenn bruk gjelder fra 2. august 2025.
- Ibruktakernes plikter etter art. 50 nr. 3 og 4 gjelder fra 2. august 2026, uten overgangsperiode. Mer om dette på siden KI-merking.
- Art. 4 forblir en plikt til å treffe tiltak, for bedrifter av alle størrelser.
Hva bedrifter bør gjøre nå
- Opprett en KI-oversikt: Hvem bruker hvilket verktøy til hva?
- Sjekk om en bruk faller under høyrisiko etter vedlegg III, for eksempel i personalutvelgelse. Hvis ja, noter 2. desember 2027.
- Fastsett bruksregler for bilde- og videogeneratorer før de nye forbudene trer i kraft 2. desember 2026.
- Fastsett tiltak for KI-kompetanse og noter frivillig hvem som har gjort hva og når; art. 4 krever ingen dokumentasjon. Et KI-kurs for team er ett mulig tiltak.
- Følg med på Kommisjonens praksiseksempler til art. 4.
Vanlige spørsmål om Digital Omnibus om KI
Gjelder Digital Omnibus om KI allerede?
Ja, i EU. Forordning (EU) 2026/1744 ble publisert i Den europeiske unions tidende 24. juli 2026 og trådte i kraft 27. juli 2026. Enkelte endringer gjelder først senere, for eksempel de nye forbudene fra 2. desember 2026. For virksomheter i Norge, se merknaden om EØS-avtalen øverst på siden.
Er opplæringsplikten for KI avskaffet av Digital Omnibus?
Nei. Art. 4 forplikter fortsatt leverandører og ibruktakere til å treffe tiltak for KI-kompetanse. Nytt er at de ikke må garantere et bestemt kompetansenivå. Art. 4 foreskriver fortsatt ingen opplæring, det er ett mulig tiltak. Mer om dette på siden Plikten til KI-kompetanse.
Hva er forskjellen på KI-omnibus og data-omnibus?
Det er to adskilte lovpakker. Omnibusen om KI endrer EU AI Act og gjelder fra 27. juli 2026. Omnibusen om data, GDPR og informasjonskapsler er fortsatt under lovbehandling (per 3. november 2026).
Trenger vi ikke gjøre noe før 2027?
Jo. Art. 4 gjelder fra 2. februar 2025, de tidligere forbudene likeså, og 2. desember 2026 kommer to nye forbud til. Det er først og fremst pliktene for høyrisiko-KI som er utsatt. For merkingen av eldre generative systemer (art. 50 nr. 2) gjelder en overgang til 2. desember 2026 bare for leverandører.
Gjelder dette også små bedrifter?
Ja. Art. 4 har ingen minstestørrelse. Det finnes lettelser ved bøtene: For SMB-er gjelder det laveste beløpet, for små midcap-selskaper ved brudd på art. 99 nr. 4 og 5, ikke ved forbudte praksiser.
Lær opp teamet nå Alle frister
Merk: dette innlegget er til generell informasjon og erstatter ikke juridisk rådgivning.