KI-forordningen og Digital Omnibus

Kort oversikt

KI-forordningen er EUs risikobaserte regelverk for utvikling, tilgjengeliggjøring og bruk av kunstig intelligens. Forordningen stiller forskjellige krav avhengig av hva et KI-system brukes til, hvilken risiko bruken kan medføre, og hvilken rolle virksomheten har i verdikjeden.

Regelverket skiller blant annet mellom forbudte KI-praksiser, høyrisikosystemer, systemer med særskilte åpenhetskrav og KI-systemer med lav eller minimal risiko. Det inneholder også egne regler for tilbydere av KI-modeller med generelle formål.

Kravet om KI-kompetanse og de opprinnelige forbudene mot enkelte KI-praksiser har fått anvendelse i EU. Flere av forordningens øvrige bestemmelser, herunder sentrale åpenhetskrav i artikkel 50, får anvendelse fra 2. august 2026.

Artikkel 50 omfatter blant annet informasjon til personer som samhandler direkte med et KI-system, merking av KI-generert eller manipulert innhold og opplysningskrav ved bruk av dypforfalskninger og visse KI-genererte tekster om spørsmål av offentlig interesse. For systemer som ble brakt i omsetning før 2. august 2026, er fristen for å oppfylle merkingskravet i artikkel 50 nr. 2 satt til 2. desember 2026.

Europaparlamentet godkjente Digital Omnibus on AI 16. juni 2026, og Rådet ga sin endelige godkjenning 29. juni 2026. Endringene forskyver høyrisikokravene til 2. desember 2027 for frittstående systemer omfattet av vedlegg III og til 2. august 2028 for KI-systemer som er sikkerhetskomponenter i produkter omfattet av vedlegg I.

Digital Omnibus innfører også nye forbud mot KI-praksiser som genererer seksualisert eller intimt innhold uten samtykke, eller materiale som utgjør seksuelle overgrep mot barn. Etter den vedtatte tidsplanen skal virksomhetene etterleve disse forbudene fra 2. desember 2026.

Et oversettelses-, transkripsjons- eller tekstverktøy er ikke automatisk et høyrisikosystem. Klassifiseringen avhenger av den konkrete bruken. Et språkverktøy kan få vesentlig større regulatorisk betydning dersom resultatet brukes i rekruttering, utdanning, tilgang til viktige tjenester, grensekontroll, rettshåndhevelse, rettspleie eller andre områder som er nevnt i forordningens høyrisikoregler.

KI-forordningen er EØS-relevant, men EU-datoene er ikke automatisk norske ikrafttredelsesdatoer. Reglene må innlemmes i EØS-avtalen og gjennomføres i norsk rett. Norske virksomheter kan likevel allerede omfattes av forordningens territorielle virkeområde dersom de tilbyr KI-systemer eller modeller i EU, har virksomhet i EU eller leverer resultater som brukes i EU.

Hva regulerer dette

KI-forordningen regulerer hvordan KI-systemer og KI-modeller utvikles, bringes i omsetning, tas i bruk og følges opp i EU. Kravene avhenger av systemets risikokategori og av om virksomheten opptrer som tilbyder, idriftsetter, importør, distributør eller produktprodusent.

Forordningen omfatter forbudte KI-praksiser, høyrisikosystemer, åpenhetskrav, KI-modeller med generelle formål, markedstilsyn, registrering, hendelsesrapportering og sanksjoner. Digital Omnibus justerer blant annet fristene for høyrisikosystemer og enkelte åpenhetskrav og legger til nye forbudte praksiser.

Hvem berøres

Leverandør til offentlig sektor

Offentlig sektor

Privat sektor

Hvorfor det har praktisk betydning

Generativ KI, maskinoversettelse, transkripsjon, tekstproduksjon, oppsummering og chatboter kan omfattes av flere deler av forordningen. Hvilke krav som gjelder, avhenger i stor grad av brukssituasjonen og av hvordan resultatet påvirker personer, tjenester eller beslutninger.

Virksomheten må derfor vite hvilke KI-systemer som brukes, hvilken rolle den har, hvilke data som behandles, om systemet omfattes av åpenhets- eller høyrisikokrav, og hvordan resultatene kontrolleres. Leverandørens produktbeskrivelse alene er ikke nødvendigvis tilstrekkelig til å klassifisere virksomhetens konkrete bruk.

Selv før forordningen får norsk rettsvirkning, gir reglene et viktig styringsgrunnlag for norske virksomheter som anskaffer, utvikler eller bruker KI. Virksomheter med tilknytning til EU-markedet må i tillegg vurdere om de allerede er direkte omfattet av forordningens territorielle virkeområde.

Sentrale krav og forpliktelser

Avklar om virksomheten opptrer som tilbyder, idriftsetter, importør, distributør, produktprodusent eller i flere roller samtidig.
Etabler tiltak som sikrer et tilstrekkelig nivå av KI-kompetanse hos ansatte og andre som bruker KI-systemer på virksomhetens vegne.
Kontroller at virksomheten ikke utvikler eller bruker KI til praksiser som er forbudt etter forordningen.
Klassifiser KI-systemene ut fra tiltenkt formål, konkret bruk og risikokategori.
Oppfyll åpenhetskravene når personer samhandler direkte med KI eller møter KI-generert eller manipulert innhold.
Sørg for maskinlesbar merking av syntetisk innhold der artikkel 50 nr. 2 gjelder.
Informer om bruk av dypforfalskninger og visse KI-genererte tekster om spørsmål av offentlig interesse.
For høyrisikosystemer: etabler risikostyring, datastyring, teknisk dokumentasjon, logging, menneskelig kontroll, nøyaktighet, robusthet og cybersikkerhet.
For høyrisikosystemer: avklar krav til samsvarsvurdering, registrering og dokumentasjon før systemet bringes i omsetning eller tas i bruk.
Idriftsettere av høyrisikosystemer skal bruke systemet i samsvar med instruksjonene, overvåke driften og sikre kompetent menneskelig kontroll.
Vurder om virksomheten må gjennomføre en vurdering av virkningen på grunnleggende rettigheter før et høyrisikosystem tas i bruk.
Tilbydere av KI-modeller med generelle formål må vurdere krav til dokumentasjon, informasjon til systemtilbydere, opphavsrett og sammendrag av treningsinnhold.
Etabler rutiner for overvåking, hendelsesrapportering, avvik, endringer og korrigerende tiltak.
Vurder personvern-, sikkerhets-, arbeidsretts- og sektorkrav i tillegg til KI-forordningen.

Hva virksomheten kan vurdere å dokumentere

Opprett og vedlikehold en samlet oversikt over KI-systemer, KI-modeller og innebygd KI-funksjonalitet som virksomheten bruker eller tilbyr.
Dokumenter tiltenkt formål, faktisk bruk, brukere, berørte personer, datakategorier, leverandør og integrasjoner for hvert system.
Avklar virksomhetens regulatoriske rolle for hvert KI-system og dokumenter begrunnelsen.
Gjennomfør en innledende kontroll mot forbudte praksiser og høyrisikoområdene i vedlegg I og vedlegg III.
Kartlegg hvilke systemer som omfattes av åpenhetskravene i artikkel 50, og hvordan informasjon og merking skal gis.
Lag en plan for KI-kompetanse som er tilpasset ansattes kunnskap, erfaring, arbeidsoppgaver, brukskontekst og personene systemet kan påvirke.
Definer når resultatet fra et KI-system må kontrolleres av et menneske, hvem som har kontrollansvaret og hvilke feil som skal føre til stans eller eskalering.
Be leverandører om dokumentasjon av systemets tiltenkte formål, klassifisering, databruk, sikkerhet, logging, ytelse, begrensninger og endringshåndtering.
Oppdater anskaffelses- og kontraktsmaler med krav til regulatorisk dokumentasjon, revisjonsadgang, varsling om endringer og bistand ved hendelser.
Samordne KI-arbeidet med personvern, informasjonssikkerhet, internkontroll, arbeidsmiljø, anskaffelser og dokumentasjonsforvaltning.
Etabler en prosess for å følge endringer i EU-reglene, EØS-innlemmelsen og den norske gjennomføringen.
Dokumenter særskilt om og hvorfor virksomheten omfattes direkte av forordningen gjennom aktivitet eller markedsadgang i EU.

Se også i regelverkskartet

Kilder og videre lesning

Lenkene peker til eksterne kilder. Kontroller gjeldende tekst og status for bruk i eget arbeid.

Opplysningene er generell informasjon og ikke juridisk rådgivning. Hvilke krav som gjelder, må vurderes ut fra virksomhetens sektor, rolle, opplysninger og konkrete bruk av teknologi.