KI-loven: Dette bør du vite
EU har vedtatt et felles regelverk for kunstig intelligens (AI Act) som skal sikre at KI-systemene som brukes i EU er trygge. På norsk kalles dette regelverket KI-forordningen. Formålet er å legge til rette for innovasjon og teknologisk utvikling, samtidig som grunnleggende samfunnsverdier ivaretas.
Norge er ikke medlem av EU, men gjennom EØS-avtalen er vi forpliktet til å innføre relevant EU-regelverk. KI-forordningen er ansett å være EØS-relevant, noe som betyr at den også skal innføres i Norge. Dette gjøres gjennom en egen norsk lov: loven om kunstig intelligens (KI-loven).
KI-forordningen er EUs første helhetlige regelverk for kunstig intelligens. Den gjelder allerede i EU og gir felles regler for hvordan KI-systemer og KI-modeller skal utvikles, omsettes og brukes.
KI-loven er den norske loven som innfører KI-forordningen i Norge. Loven inneholder både en paragraf som sier at KI-forordningen skal gjelde i Norge, og i tillegg noen paragrafer som regulerer norske forhold der regelverket åpner for nasjonale tilpasninger.
Loven er ikke vedtatt i Norge
I Norge er innføringen av regelverket forsinket, både fordi EØS-forhandlingene tar lengre tid enn ventet og fordi EUs endringer må innarbeides i det norske lovforslaget.
Det er ikke fastsatt når KI-loven skal gjelde i Norge. Vi anbefaler likevel at virksomheter begynner å forberede seg nå, for eksempel ved å vurdere hvilken risikokategori KI-bruken faller inn under, og hvilke krav som da vil gjelde. Merk også at annet regelverk, som personvernregelverket, allerede gjelder for bruk av KI.
Hvem vil loven gjelde for?
Konkrete plikter gjelder bare for aktører som omfattes av KI-forordningen, og pliktene avhenger av hvilken rolle aktøren har og hvordan KI-systemet brukes. Det kan være virksomheter som utvikler egne KI-systemer, selger KI-løsninger eller tar i bruk KI-verktøy i arbeidet sitt.
KI-forordningen gjelder i utgangspunktet ikke når privatpersoner bruker KI til rent personlige eller ikke-kommersielle formål. Brukes KI i en yrkesmessig eller forretningsmessig sammenheng, vil det normalt være virksomheten – i rollen som idriftsetter av KI-systemet – som har ansvar for at regelverket overholdes.
Loven skiller mellom flere ulike roller:
Leverandører lager, utvikler eller tilbyr KI-systemer eller KI-modeller til allmenne formål, under eget navn eller varemerke, og må sørge for at systemene oppfyller kravene før de selges eller gis bort.
Idriftsettere er fysiske eller juridiske personer, offentlige myndigheter, etater eller andre organer som tar i bruk et KI-system under sin myndighet – forutsatt at bruken ikke er personlig og ikke-profesjonell. De har ansvar for at KI-systemene brukes trygt og følger kravene. De fleste norske virksomheter som bruker KI i sin drift, vil falle inn under denne kategorien.
Importører og distributører har egne forpliktelser. Importører er ansvarlige for at høyrisiko-KI-systemer de bringer inn fra land utenfor EU/EØS oppfyller kravene før de gjøres tilgjengelig på markedet. Distributører skal sikre at systemene de videreformidler følger regelverket.
Hva betyr loven i praksis?
KI-forordningen gir felles regler for kunstig intelligens i EU/EØS og stiller krav til produktsikkerhet for enkelte KI-systemer. Forordningen bygger på et risikobasert system der kravene som stilles øker i takt med hvilken risiko et system kan utgjøre for menneskers helse, sikkerhet og grunnleggende rettigheter.
Noen former for KI vil bli forbudt. KI-systemer med høy risiko - for eksempel systemer brukt i rekruttering, kredittgivning eller kritisk infrastruktur – vil få strengere krav til blant annet testing, dokumentasjon, logging og menneskelig tilsyn. Visse KI-systemer med begrenset risiko, som chatboter i kundeservice, vil få krav om åpenhet slik at det er tydelig for brukerne at de kommuniserer med et KI-system. Det samme gjelder KI-generert innhold, som deepfakes. KI med lav risiko, som stavekontroll og bildefiltre, får i utgangspunktet ingen krav.
De strengeste kravene i KI-forordningen gjelder for KI-systemer som klassifiseres som høyrisiko.
Denne kategorien er avgrenset til to tilfeller:
1. KI-systemer som er integrert i bestemte produkter regulert av eksisterende EU-regelverk. Det kan være medisinsk utstyr, kjøretøy og leketøy.
2. KI-systemer som brukes på særlig kritiske områder, som rekruttering, utdanning og drift av kritisk infrastruktur.
Etter EUs endringer skal høyrisikokravene gjelde i EU fra desember 2027 for systemer på kritiske områder, og fra august 2028 for systemer i regulerte produkter. Når kravene vil gjelde i Norge, avhenger av KI-loven.
KI-sandkassen
KI-sandkassen er et tilbud til virksomheter som vil ha hjelp til å forstå hvilke krav som vil gjelde for dem. Sandkassen er et samarbeid mellom KI Norge, Datatilsynet og Nkom. Den åpner når KI-loven trer i kraft i Norge.
Les mer om KI-sandkassen
Nasjonal kommunikasjonsmyndighet (Nkom) er utpekt som nasjonal koordinerende myndighet for KI-forordningen i Norge. Som koordinerende myndighet har Nkom ansvar for å samordne håndhevingen av forordningen nasjonalt og veilede virksomheter om regelverket. På Nkoms nettsider finner du mer informasjon om KI-forordningen og den kommende KI-loven.
EU har endret KI-forordningen
Sommeren 2026 vedtok EU endringer i KI-forordningen som del av en større forenklingspakke for digitalt regelverk (Digital Omnibus). Blant de viktigste endringene er at kravene til KI-systemer med høy risiko er utsatt. I tillegg er det innført et nytt forbud mot KI-systemer som lager seksualiserte bilder av ekte personer uten samtykke, eller materiale som viser seksuelle overgrep mot barn. Grunnstrukturen i regelverket er den samme.