Teknologinytt: Hva er kunstig intelligens-reguleringen AI Act og når blir den norsk lov?

Hva er AI Act?

AI Act er et regelverk som regulerer kunstig intelligens. Det er i stor grad et produktansvarsregelverk, som skal sørge for at KI-systemer og -modeller tilfredsstiller visse krav. Leverandører av slike systemer og modeller har de fleste pliktene. Også bruk av KI-systemer er i en del tilfeller regulert. 

Formålene med AI Act er å forbedre det indre markedet, ved å sørge for like regler i EU/EØS. Kunstig intelligens må være menneskesentrert og pålitelig. AI Act skal sikre et høyt beskyttelsesnivå mot skadelige effekter av KI-systemer. Dessuten er det et mål å understøtte innovasjon.

Hvem blir underlagt reguleringen?

Ved KI-lovens ikrafttredelse i Norge vil det stilles krave til aktører i hele KI-verdikjeden som eksempelvis produsenter, leverandører, importører, idriftsettere (dvs. brukere) og distributører. 

Hvis virksomheten din allerede leverer KI-systemer eller -modeller til EU-markedet, kan det hende dere allerede må følge regelverket. Det samme gjelder hvis utdata/resultater fra dine systemer brukes i EU. 

Hva går kravene i AI Act ut på?

Kravene følger AI Acts systematikk med en risikobasert tilnærming utfra ulike risikokategorier. Litt enkelt sagt betyr det at kravene er strengere desto større skade som KI-systemet og -modellen kan forårsake.

AI Act opererer med fire nivåer av risiko: 

1. Uakseptabel risiko: AI Act forbyr KI-praksiser som anses å utgjøre en uakseptabel risiko. 
2. Høy risiko: AI Act fastsetter strenge krav for KI-systemer som faller inn under kategorien høy risiko. Blant annet må både leverandører og brukere («idriftsettere») av slike systemer sørge for at systemene ikke diskriminerer eller utgjør en annen form for risiko.
3. Begrenset risiko: AI Act stiller krav til åpenhet for visse KI-systemer med begrenset risiko.
4. KI-systemer med minimal eller ingen risiko er i utgangspunktet ikke regulert av AI Act. Det oppfordres likevel til utarbeidelse av etiske retningslinjer for frivillig etterlevelse til enkelte krav i KI-loven.

I tillegg gjelder AI Act også KI-modeller til allmenne formål (typisk språkmodeller). Leverandører av slike KI-modeller må etterleve en rekke plikter, bl.a. utarbeide, og løpende ajourføre, modellens tekniske dokumentasjon, samt sørge for at opphavsrettigheter respekteres.

Hva er konsekvensen av å bryte reglene i AI Act?

AI Act er høyere enn de famøse gebyrene i EUs personvernforordning (GDPR): 

• Brudd på reglene om forbudt KI-praksis kan medføre gebyr på opptil 35 millioner euro eller 7 % av årlig global omsetning, avhengig av hva som er høyest. 
• Brudd på plikter for bl.a. leverandører, bemyndigede representanter, importører, distributører, og idriftsettere kan medføre gebyr på opptil 15 millioner euro eller 3 % av den årlige globale omsetningen, avhengig av hva som er høyest. 
• Feilaktig eller villedende informasjon til markedstilsynsmyndigheter eller samsvarsvurderingsorganer kan føre til gebyr på inntil 7,5 millioner euro eller 1 % av selskapets årlige globale omsetning, avhengig av hva som er høyest. 
• Små og mellomstore bedrifter har et litt lempeligere regime, og kan ilegges gebyrer opptil de nevnte prosentandelene eller beløpene, avhengig av hvilket alternativ som er lavest.

Når blir AI Act norsk lov?

I juni 2025 sendte Digitaliserings- og forvaltningsdepartementet forslag til ny norsk KI-lov på høring med høringsfrist 30. september 2025. KI-loven skal gjennomføre AI Act i norsk rett.

Opprinnelig var ambisjonen å sende lovforslaget til Stortinget rundt påske 2026, men arbeidet med å gjennomføre regelverket i norsk rett er nå forsinket. Grunnen er at forhandlingene med EU om nødvendige EØS-tilpasninger tar lengre tid enn forventet. Samtidig gjennomfører EU sin Omnibus-reform, som gjør at regelverket vil bli justert – noe Norge må ta hensyn til.

Digitaliserings- og forvaltningsminister Karianne Tung har opplyst at Regjeringen jobber sammen med Island, Liechtenstein og EU-kommisjonen for å finne løsninger som gjør det mulig å regulere kunstig intelligens på en hensiktsmessig måte. Departementet går parallelt gjennom innspillene fra høringen og arbeider med lovproposisjon til Stortinget. Det er et mål at norske regler skal tre i kraft kort tid etter at forordningen er innlemmet i EØS-avtalen. 

I tillegg til de materielle kravene til aktørene vil KI-loven medføre behov for etablering av ressurser og systemer knyttet til eksempel administrasjon, samarbeid med EU, tilsyn og myndighetsutøvelse som eksempelvis sanksjonering. Det er besluttet at Nasjonal Kommunikasjonsmyndighet (Nkom) skal ha rollen som nasjonal koordinerende markedsmyndighet og kontaktpunkt mot EU. 

Vi antar at et lovforslag kan fremlegges tidligst til høsten etter at EU har avklart hva som gjøres med AI Act, og at AI Act dermed mest sannsynlig blir norsk lov i 2027 en gang.

Får EUs lovreformer (Omnibus) betydning for Norge?

I etterkant av høringsnotatet om norsk KI-lov fra juni 2025 har EU presentert forslag til «Digital Omibus on AI». Målsettingen er å forenkle regelverket noe og sikre bedre forutsigbarhet. EU erkjenner behovet for å sikre at aktørene, samtidig med AI Acts fulle ikrafttreden i EU, har tilgang til eksempelvis nødvendige standarder, guider, verktøy og veiledning. 

Forslaget er forventet å medføre endringer til enkelte av AI Acts reguleringer, samt forsinket ikrafttreden i EU – særlig i relasjon til høyrisiko KI-systemer. I tillegg har EU innsett at det er nødvendig å forenkle kravene til små og mellomstore bedrifter, herunder eksempelvis forenklet krav til teknisk dokumentasjon og tilpasning i forhold til nivå på mulig økonomisk sanksjonering ved brudd på regelverket. EU peker også selv på et behov for å avklare hvordan AI Act skal håndteres parallelt med andre EU-regler. 

Det er ikke klart hvordan EUs Digital Ombibus on AI vil påvirke den norske prosessen knyttet til gjennomføring av AI Act i Norge. Det er likevel sannsynlig at prosessen forsinkes i påvente av klarhet i endringer i AI Act og endringer i tidspunkt for implementering av de ulike regelsettene i EU. 

Til tross for en mulig forsinkelse mener vi at det er all grunn til å forberede seg på at det i løpet av kort tid vil gjelde lovkrav for et bredt spekter av aktører i KI-verdikjeden og allerede starte med å kartlegge egen kategorisering i forhold til risikokategori og tilhørende krav. Erfaringsmessig tar slikt arbeid mye tid – noe vi så f.eks. med GDPR og etterfølgende behov for etablering av nye rutiner og systemer.

Dersom du har spørsmål i relasjon til EUs AI Act eller den foreslåtte norske KI-loven er det bare å ta kontakt med Ove Vanebo eller Linn Cathrine Jøsendal