Hva er KI-forordningen? Kort forklart for norske virksomheter
Oppdatert 2026-07-30 · 7 min lesing
Kort fortalt
KI-forordningen er den norske betegnelsen på EUs AI Act — et regelverk som stiller krav til hvordan KI-systemer utvikles, kjøpes inn og brukes. Regelverket er teknologinøytralt og risikobasert: kravene følger av hva systemet brukes til, ikke hvilken modell som ligger under.
Fire risikonivåer
| Nivå | Eksempel | Hovedkrav |
|---|---|---|
| Uakseptabel risiko | Sosial poengsetting, manipulerende systemer | Forbudt |
| Høy risiko | Systemer i utdanning, arbeidsliv, velferd, kritisk infrastruktur | Risikostyring, dokumentasjon, logging, menneskelig kontroll |
| Begrenset risiko | Chatbot, innholdsgenerering | Åpenhetsplikt overfor brukeren |
| Minimal risiko | Stavekontroll, anbefalinger av lav betydning | Ingen særskilte krav |
Høyrisiko-kategoriene står i Annex III. Det er her de fleste norske virksomheter finner seg igjen — særlig kommuner og virksomheter som bruker KI i saksbehandling, rekruttering eller tjenestetildeling.
Hvem har ansvaret?
Forordningen skiller mellom leverandør (den som utvikler og setter systemet på markedet) og ibruktaker (den som bruker det i egen virksomhet). Kjøper du et ferdig verktøy, er du normalt ibruktaker — men du får egne plikter: du skal bruke systemet slik leverandøren har forutsatt, sikre menneskelig kontroll, følge opp logger og informere de som berøres.
Merk: hvis du setter ditt eget navn på systemet, endrer formålet vesentlig eller vesentlig modifiserer det, kan du bli ansett som leverandør — med hele dokumentasjonsbyrden det innebærer.
Tidslinje
Regelverket trer i kraft trinnvis. Forbudene og kravene til KI-kompetanse kom først, deretter kravene til generelle KI-modeller, og til slutt de tyngste høyrisiko-pliktene. Full anvendelse skjer trinnvis frem mot 2027. I Norge kommer forordningen inn gjennom EØS-avtalen, og Digitaliseringsdirektoratet og Datatilsynet er sentrale myndigheter.
De tre første stegene
- Kartlegg. Lag en oversikt over hvor KI faktisk brukes — inkludert funksjoner som er skrudd på i systemer du allerede har.
- Klassifiser. Vurder hvert bruksområde mot Annex III. Et system kan være minimal risiko i én prosess og høy risiko i en annen.
- Dokumentér. Skriv ned vurderingen, også når konklusjonen er «ikke høy risiko». Det er selve vurderingen tilsynet ber om å se.
Forholdet til GDPR
KI-forordningen erstatter ikke personvernreglene. Behandler systemet personopplysninger, gjelder GDPR i tillegg — med behandlingsgrunnlag, informasjonsplikt og eventuelt DPIA. I praksis må de to vurderingene henge sammen.
Start med en Lyn-scanner for å se hvilke av dine systemer som trolig faller inn under høyrisiko-kategoriene, før du bruker tid på full dokumentasjon.