Grunnleggende

EU AI Act med ett blikk

EUs KI-forordning (forordning (EU) 2024/1689) er verdens første omfattende lov for kunstlig intelligens. Den regulerer ikke KI på tvers av alt, men etter risikoen ved bruken og berører nesten alle bedrifter som bruker KI.

Hva handler EU AI Act om?

EU AI Act trådte i kraft 1. august 2024 og gjelder som EU-forordning direkte i alle medlemsstater, uten at det kreves nasjonal gjennomføringslovgivning. Målet er en pålitelig, trygg og rettighetsbevarende bruk av KI i det europeiske indre markedet. Forordningen følger en risikobasert tilnærming: jo høyere risiko et KI-system utgjør for mennesker og samfunn, desto strengere er kravene.

Viktig: EU AI Act virker ekstraterritorialt. Også leverandører utenfor EU er omfattet så snart deres KI-systemer bringes på markedet i EU, eller resultatene av dem benyttes i EU. Pliktene trer dessuten ikke i kraft på én gang, men gradvis. En fullstendig tidsplan finner du på vår fristside.

Den risikobaserte tilnærmingen: fire risikoklasser

Kjernen i EU AI Act er inndelingen av KI-systemer i fire risikoklasser. Klassen bestemmer de konkrete pliktene:

Uakseptabel risiko

Forbudte praksiser, f.eks. sosial rangering av myndigheter eller manipulative systemer. Forbudt siden 2. februar 2025.

Høy risiko

KI på sensitive områder (f.eks. rekruttering, kredittvurdering, kritisk infrastruktur). Strenge krav til risikostyring, datakvalitet og menneskelig tilsyn.

Begrenset risiko

Åpenhetsplikter. brukere må f.eks. vite at de snakker med en chatbot eller at innhold er KI-generert.

Minimal risiko

Størstedelen av dagens bruk (f.eks. spamfiltre, KI i videospill). Ingen særskilte plikter.

De fleste bedrifter bruker KI innenfor minimal eller begrenset risiko. Men selv da gjelder én grunnleggende plikt uavhengig av risikoklassen, plikten til KI-kompetanse hos de ansatte.

Uavhengig av risikoklasse gjelder for nesten alle bedrifter som bruker KI plikten til KI-kompetanse etter artikkel 4, allerede siden 2. februar 2025. Les mer på siden Art. 4: KI-kompetanse.

GPAI: modeller med generelt bruksformål

En særstilling inntar GPAI-modeller (General Purpose AI), store, allsidige KI-modeller som ligger bak moderne chatbots og tekst- eller bildegeneratorer. For disse gjelder egne plikter fra 2. august 2025, blant annet til teknisk dokumentasjon, åpenhet overfor nedstrøms leverandører og overholdelse av opphavsretten. For særlig kraftige modeller med mulige systemiske risikoer kommer ytterligere krav til.

Hvem er berørt? Leverandører, ibruktakere og andre

EU AI Act skiller mellom flere roller, med ulikt omfang av plikter:

Leverandører (Providers): utvikler KI-systemer eller bringer dem på markedet under eget navn. De har de mest omfattende pliktene.
Ibruktakere (Deployers): bruker KI som del av sin yrkesmessige virksomhet. Dette gjelder de fleste bedrifter.
Importører og forhandlere: importerer eller distribuerer KI-systemer i EU-markedet og må kontrollere deres samsvar.

Avgjørende: også den som bare «bruker» KI, altså opptrer som ibruktaker, er forpliktet, særlig når det gjelder de ansattes KI-kompetanse. Misoppfatningen «vi utvikler jo ikke KI, det gjelder ikke oss» er en av de vanligste feilene.

Hvilke plikter gjelder og fra når?

EU AI Act trer i kraft i etapper. De viktigste tidspunktene i oversikt:

1. august 2024: Forordningen trer i kraft.
2. februar 2025: Forbudte praksiser (art. 5) og plikten til KI-kompetanse (art. 4) gjelder.
2. august 2025: Plikter for GPAI-modeller, styringsstrukturen og sanksjonsbestemmelsene trer i kraft.
2. august 2026: Hoveddelen av reglene for høyrisiko-KI-systemer blir gjeldende.
2. august 2027: Siste overgangsfrister for visse høyrisikosystemer utløper.

Alle detaljer og unntak forklarer vi på frissiden.

EU AI Act og GDPR: ikke enten-eller

EU AI Act erstatter ikke personvernforordningen (GDPR). Begge gjelder parallelt. Mens GDPR regulerer behandlingen av personopplysninger, adresserer EU AI Act KI-systemet som sådan og dets risikoer. Behandler en KI-applikasjon personopplysninger, må bedrifter overholde begge regelverk samtidig. Solid KI-kompetanse hjelper ansatte med å gjenkjenne nettopp disse grenseflatene i hverdagen.

Sanksjoner ved overtredelser

Brudd på EU AI Act kan utløse betydelige bøter. Forordningen graderer dem etter alvorlighet:

Opptil 35 mill. € eller 7 % av global årsomsetning, kun ved forbudte praksiser etter artikkel 5.
Opptil 15 mill. € eller 3 %, ved brudd på øvrige plikter, inkludert plikten til KI-kompetanse etter art. 4.
Opptil 7,5 mill. € eller 1,5 %, ved uriktige eller villedende opplysninger overfor myndigheter.

For små og mellomstore bedrifter samt oppstartsbedrifter gjelder det laveste av de to beløpene som øvre grense. Les mer på siden Bøter.

Hva betyr dette i praksis for din bedrift?

Skaff deg oversikt over hvor KI brukes i bedriften din.
Sørg for at ansatte har tilstrekkelig KI-kompetanse etter artikkel 4.
Gjennomfør en EU AI Act-opplæring og dokumenter den kontrollerbart, som bevis overfor myndigheter.
Hold fristene i EU AI Act i sikte, særlig 2. august 2026, da reglene for mange høyrisiko-KI-systemer trer i kraft.

Vanlige spørsmål om EU AI Act

Gjelder EU AI Act også for små bedrifter?

Ja. Plikten til KI-kompetanse etter artikkel 4 gjelder uavhengig av bedriftsstørrelse for alle som bruker KI yrkesmessig. Ved bøter stilles det imidlertid lavere krav til SMB-er.

Må jeg registrere KI-systemene mine et sted?

Registreringsplikt gjelder særlig for visse høyrisikosystemer. Bruker du KI bare innenfor minimal eller begrenset risiko, er KI-kompetansen hos dine ansatte det sentrale. Flere svar finner du på vår FAQ-side.

Lær opp teamet nå Se bøtene

Merk: denne oversikten er til informasjon og erstatter ikke juridisk rådgivning.