Hva er AI Act?
AI Act er et regelverk som regulerer kunstig intelligens. Det er i stor grad et produktansvarsregelverk som skal sørge for at KI-systemer og -modeller tilfredsstiller visse krav. Også bruk av KI-systemer er i en del tilfeller regulert.
Et av formålene med AI Act er å forbedre det indre markedet ved å sørge for like regler i EU/EØS. Kunstig intelligens må være menneskesentrert og pålitelig. AI Act skal sikre et høyt beskyttelsesnivå mot skadelige effekter av KI-systemer. Dessuten er det et mål å understøtte innovasjon.
Hvem blir underlagt reguleringen?
Ved KI-lovens ikrafttredelse i Norge vil det stilles krav til aktører i hele KI-verdikjeden, som eksempelvis produsenter, leverandører, importører, idriftsettere og distributører. Kravene følger AI Acts systematikk med en risikobasert tilnærming utfra ulike risikokategorier. Litt enkelt sagt betyr det at kravene er strengere desto større skade KI-systemet og -modellen kan forårsake.
Hva går kravene i AI Act ut på?
AI Act opererer med fire nivåer av risiko:
- Uakseptabel risiko: AI Act forbyr KI-praksiser som anses å utgjøre en uakseptabel risiko.
- Høy risiko: AI Act fastsetter strenge krav for KI-systemer som faller inn under kategorien høy risiko. Blant annet må både leverandører og brukere («idriftsettere») av slike systemer sørge for at systemene ikke diskriminerer eller utgjør en annen form for risiko.
- Begrenset risiko: AI Act stiller krav til åpenhet for visse KI-systemer med begrenset risiko.
- KI-systemer med minimal eller ingen risiko er i utgangspunktet ikke regulert av AI Act. Det oppfordres likevel til utarbeidelse av etiske retningslinjer for frivillig etterlevelse til enkelte krav i KI-loven.
I tillegg gjelder AI Act også KI-modeller til allmenne formål (typisk språkmodeller). Leverandører av slike KI-modeller må etterleve en rekke plikter, bl.a. utarbeide, og løpende ajourføre modellens tekniske dokumentasjon, samt sørge for at opphavsrettigheter respekteres.
Hva er konsekvensen av å bryte reglene i AI Act?
En aktør som ikke oppfyller kravene i AI Act kan ilegges gebyrer. De varslede gebyrene for overtredelse av AI Act er høyere enn de famøse gebyrene i EUs personvernforordning (GDPR):
- Brudd på reglene om forbudt KI-praksis kan medføre gebyr på opptil 35 millioner euro eller 7 % av årlig global omsetning, avhengig av hva som er høyest.
- Brudd på plikter for bl.a. leverandører, bemyndigede representanter, importører, distributører, og idriftsettere kan medføre gebyr på opptil 15 millioner euro eller 3 % av den årlige globale omsetningen, avhengig av hva som er høyest.
- Feilaktig eller villedende informasjon til markedstilsynsmyndigheter eller samsvarsvurderingsorganer kan føre til gebyr på inntil 7,5 millioner euro eller 1 % av selskapets årlige globale omsetning, avhengig av hva som er høyest.
- Små og mellomstore bedrifter har et litt lempeligere regime, og kan ilegges gebyrer opptil de nevnte prosentandelene eller beløpene, avhengig av hvilket alternativ som er lavest.
Når blir AI Act norsk lov?
I juni 2025 sendte Digitaliserings- og forvaltningsdepartementet forslag til ny norsk KI-lov på høring med høringsfrist 30. september 2025. KI-loven skal gjennomføre AI Act i norsk rett. Departementet opplyste i høringsnotatet at det tas sikte på at en norsk KI-lov som gjør EUs AI Act til norsk rett skal gjelde fra august 2026. Loven skal altså gjelde allerede i år – og tiden frem til august går fort. Hvis din virksomhet leverer, bruker eller på annen måte omsetter KI-systemer innenfor EU vil dere allerede være regulert av AI Act. Det er tilfellet også selv om dere kun er etablert med lokaler og produksjon i Norge.
I tillegg til de materielle kravene til aktørene vil KI-loven medføre behov for etablering av ressurser og systemer knyttet til eksempel administrasjon, samarbeid med EU, tilsyn og myndighetsutøvelse som eksempelvis sanksjonering. Det er besluttet at Nasjonal Kommunikasjonsmyndighet (Nkom) skal ha rollen som nasjonal koordinerende markedsmyndighet og kontaktpunkt mot EU.
Får EUs lovreformer (Omnibus) betydning for Norge?
I etterkant av høringsnotatet om norsk KI-lov fra juni 2025 har EU presentert forslag til «Digital Omibus on AI». Forslaget kommer som en følge av at EU erkjenner behov for å sikre at aktørene, samtidig med AI Acts fulle ikrafttreden i EU, har tilgang til eksempelvis nødvendige standarder, guider, verktøy og veiledning.
Forslaget er forventet å medføre endringer til enkelte av AI Acts reguleringer, samt forsinket ikrafttreden i EU – særlig i relasjon til høyrisiko KI-systemer. I tillegg har EU innsett at det er nødvendig å forenkle kravene til små og mellomstore bedrifter. Det foreslås derfor blant annet forenklet krav til teknisk dokumentasjon samt tilpasning av nivået på mulig økonomisk sanksjonering ved brudd på regelverket. EU peker også selv på et behov for å avklare hvordan AI Act skal håndteres parallelt med andre EU-regler.
Det er ikke klart hvordan EUs Digital Ombibus on AI vil påvirke den norske prosessen knyttet til gjennomføring av AI Act i Norge. Det er likevel sannsynlig at prosessen forsinkes i påvente av klarhet i endringer i AI Act og endringer i tidspunkt for implementering av de ulike regelsettene i EU.
Til tross for en mulig forsinkelse mener vi at det er all grunn til å forberede seg på at det i løpet av kort tid vil gjelde lovkrav for et bredt spekter av aktører i KI-verdikjeden og allerede starte med å kartlegge egen kategorisering i forhold til risikokategori og tilhørende krav.
***
Dersom du har spørsmål i relasjon til EUs AI Act eller den foreslåtte norske KI-loven er det bare å ta kontakt med Ove Vanebo eller Linn Cathrine Jøsendal
