KI-loven: dette gjelder for norske bedrifter nå, og dette er utsatt

KI-loven er den norske gjennomføringen av EUs AI Act, og den er forsinket: Regjeringen tar sikte på en lovproposisjon våren 2027. Men i EU startet håndhevingen 2. august 2026, og deler av regelverket treffer norske bedrifter som selger til EU-markedet allerede i dag. Her er hva som faktisk gjelder nå, hva som er utsatt, og hva du bør gjøre.

Nøkkelpunkter per 3. august 2026:

• Fra 2. august 2026 håndhever EU transparenskravene i AI Act: chatboter må opplyse at de er AI, og AI-generert innhold skal merkes (Gaming Tech Law, 2026)
• Bøtene er operative: opptil 35 millioner euro eller 7 prosent av global omsetning for forbudt AI-bruk, 15 millioner euro eller 3 prosent for andre brudd (Gaming Tech Law, 2026)
• Høyrisikokravene er utsatt til 2. desember 2027 og 2. august 2028 etter EUs forenklingspakke fra mai 2026 (Gibson Dunn, 2026)
• Norsk KI-lov tidligst 2027: proposisjonen er varslet våren 2027, og EØS-innlemmelsen er fortsatt uavklart (Digi.no, 2026)
• 55 prosent av norske virksomheter bruker allerede AI, mer enn en dobling fra 24 prosent i 2023 (NHO, 2025)

---

Mange norske ledere har hatt AI Act på «vent og se»-listen siden 2024. Det var en rimelig strategi så lenge alt lå frem i tid. Den strategien gikk ut på dato i helgen.

Samtidig skjer det noe forvirrende: EU utsatte i mai 2026 de tyngste kravene med halvannet til to år. Resultatet er at mye av det som er skrevet om AI Act tidligere i år, nå har feil datoer. Denne guiden gir deg det oppdaterte bildet, med kilder, slik at du slipper å lete selv.

---

Les også: EU AI Act gir bøter på 7 prosent av global omsetning for en dypere gjennomgang av bøteregimet.

---

Hva er KI-loven?

KI-loven er Norges kommende lov om kunstig intelligens. Den gjennomfører EUs AI Act i norsk rett via EØS-avtalen, med samme risikobaserte krav til virksomheter.

EUs AI Act er verdens første helhetlige AI-regelverk og trådte i kraft i EU 1. august 2024, med gradvis innfasing av kravene over flere år. Logikken er enkel: jo større skade et AI-system kan gjøre, desto strengere krav. Systemene deles inn i fire kategorier, fra forbudt praksis til minimal risiko (Nkom).

For norske virksomheter betyr EØS-konstruksjonen at regelverket kommer i to bølger. Bedrifter som tilbyr AI-systemer i EU-markedet, eller hvis AI-resultater brukes i EU, omfattes av EU-reglene allerede. Rent norsk bruk reguleres først når KI-loven trer i kraft her hjemme.

Dette gjelder i EU fra 2. august 2026

Fra 2. august 2026 kan EU ilegge bøter, og transparenskravene i artikkel 50 gjelder: brukere skal vite når de snakker med AI, og syntetisk innhold skal merkes.

Konkret betyr artikkel 50 at chatboter og stemmeagenter må opplyse at de er AI, at deepfakes og AI-generert innhold av allmenn interesse skal merkes, og at bruk av følelsesgjenkjenning og biometrisk kategorisering skal opplyses tydelig. For systemer som var på markedet før 2. august 2026, er kravet om maskinlesbar merking gitt en overgangsperiode til 2. desember 2026 (Gaming Tech Law, 2026).

Samtidig ble sanksjonsapparatet operativt. EU-kommisjonen og AI-kontoret kan nå føre tilsyn med leverandører av generelle AI-modeller, som modellene bak ChatGPT, Claude og Gemini, og bøtelegge dem med opptil 15 millioner euro eller 3 prosent av global omsetning.

Bøtenivåene ellers er verdt å feste seg ved. Forbudt AI-praksis, som sosial poengsetting og manipulering av sårbare grupper, kan straffes med opptil 35 millioner euro eller 7 prosent av global årsomsetning, det som er høyest. Det tilsvarer over 400 millioner kroner selv for et selskap uten stor omsetning. Øvrige brudd kan koste opptil 15 millioner euro eller 3 prosent.

Dato	Hva skjer	Hvor
1. august 2024	AI Act trer i kraft	EU
2. februar 2025	Forbudsreglene og kompetansekravet (artikkel 4) gjelder	EU
2. august 2025	Regler for generelle AI-modeller (GPAI) gjelder	EU
2. august 2026	Håndheving og bøter starter. Transparenskrav (artikkel 50) gjelder	EU
2. desember 2026	Frist for maskinlesbar merking (eldre systemer). Nytt forbud mot ikke-samtykkebaserte intimbilder	EU
Høsten 2026	Høring om endringene fra EUs forenklingspakke	Norge
Våren 2027	Varslet proposisjon om ny KI-lov	Norge
2. desember 2027	Høyrisikokrav for frittstående systemer (vedlegg III)	EU
2. august 2028	Høyrisikokrav for AI i regulerte produkter (vedlegg I)	EU

Dette er utsatt, og hvorfor det ikke er fritt frem

EUs forenklingspakke fra mai 2026 utsatte høyrisikokravene til desember 2027 og august 2028. Håndheving, forbud og transparenskrav ble ikke utsatt.

Den såkalte digitale omnibusen ble politisk avklart 6. mai 2026 og bekreftet av medlemslandene 13. mai. Kravene til frittstående høyrisikosystemer i vedlegg III, som AI i rekruttering, kredittvurdering og utdanning, ble flyttet fra 2. august 2026 til 2. desember 2027. AI innebygd i regulerte produkter fikk frist 2. august 2028. Kompetansekravet i artikkel 4 ble samtidig myket opp: virksomheter skal «støtte utviklingen» av AI-kompetanse hos ansatte, ikke garantere et bestemt nivå (Gibson Dunn, 2026).

Utsettelsen kan likevel gi falsk trygghet, av to grunner. For det første gjelder håndhevingen og transparenskravene som beskrevet over. For det andre kan en virksomhet raskt skifte rolle fra bruker til leverandør i lovens forstand: den som videretrener en modell på egne data, tilpasser et system vesentlig eller selger det under eget navn, kan regnes som leverandør med fullt ansvar. Den vurderingen bør gjøres nå, ikke i 2027.

Vår ærlige vurdering er at utsettelsene er godt nytt for norske bedrifter: de gir tid til å bygge orden i eget hus før de tyngste kravene treffer. Men tiden er en gave til de som bruker den.

Når kommer KI-loven i Norge?

Lovforslaget er varslet våren 2027. Opprinnelig plan var sensommeren 2026, men EØS-tilpasningene og EUs endringer har forsinket prosessen.

Forslaget til norsk KI-lov ble sendt på høring 30. juni 2025 og fikk rundt 150 høringssvar (Regjeringen, 2025). Så kom EUs forenklingspakke og endret premissene.

Digitaliseringsminister Karianne Tung har forklart at fremdriften avhenger av forhandlingene med EU om EØS-tilpasninger. Regjeringen vil sende endringene på høring høsten 2026, før proposisjonen legges frem våren 2027 (Digi.no, 2026).

Tilsynsstrukturen er derimot avklart: Nasjonal kommunikasjonsmyndighet (Nkom) er utpekt som koordinerende tilsynsmyndighet for AI i Norge, og staten har etablert KI Norge som nasjonal arena for ansvarlig AI, med en regulatorisk sandkasse under Digitaliseringsdirektoratet. Datatilsynet fører fortsatt tilsyn med all AI-bruk som behandler persondata.

---

Les også: AI-governance: lederguide for norske bedrifter om hvordan du setter opp intern AI-styring som holder når regelverket strammes til.

---

Hva gjelder for norske bedrifter allerede i dag?

Tre ting gjelder nå: EU-reglene hvis du selger til EU, personvernreglene for all AI-bruk i Norge, og kompetansekravet hvis du omfattes av EU-reglene.

Det viktigste skillet går på markedet du opererer i. Tilbyr du AI-funksjonalitet til kunder i EU, eller brukes resultatene fra systemene dine der, gjelder AI Act-kravene deg uavhengig av at Norge ikke har vedtatt KI-loven. En norsk SaaS-leverandør med tyske kunder må for eksempel oppfylle artikkel 50 nå.

For rent norsk virksomhet er det GDPR og personopplysningsloven som setter rammene i dag. Datatilsynet har veiledning og en egen sandkasse for ansvarlig AI, og forventningene til risikovurdering ved AI-bruk med persondata er godt etablert (Datatilsynet).

Og uansett jus: 55 prosent av norske virksomheter bruker AI i 2025, mot 24 prosent i 2023, samtidig som 7 av 10 NHO-bedrifter oppgir at de mangler AI-kompetanse. Gapet mellom bruk og kompetanse er selve risikoen, med eller uten lov (NHO, 2025).

Risikokategoriene forklart

AI Act deler AI-systemer i fire kategorier etter skadepotensial. Kravene dine avhenger av hvilken kategori systemene faller i, og hvilken rolle du har.

Kategori	Typiske eksempler	Krav	Gjelder fra (EU)
Uakseptabel risiko	Sosial poengsetting, manipulering av sårbare grupper	Forbudt	2. februar 2025
Høy risiko	AI i rekruttering, kredittvurdering, utdanning, kritisk infrastruktur	Risikostyring, dokumentasjon, testing, menneskelig kontroll	2. desember 2027 / 2. august 2028
Begrenset risiko	Chatboter, AI-generert innhold, deepfakes	Åpenhet og merking (artikkel 50)	2. august 2026
Minimal risiko	Stavekontroll, spamfilter, de fleste interne verktøy	Ingen særskilte krav	–

Merk at det store flertallet av AI-bruk i norske bedrifter, som tekstassistenter, møtereferat og internt analysearbeid, havner i kategoriene begrenset eller minimal risiko. For de fleste er compliance-jobben derfor overkommelig: åpenhet, merking, grunnleggende opplæring og oversikt over egne systemer.

7 grep norske bedrifter bør ta nå

Start med oversikt og de billige grepene: kartlegg AI-bruken, avklar roller, merk AI-innhold, og bygg kompetanse. Det dekker mesteparten av risikoen i dag.

1. Kartlegg AI-bruken deres. Lag en enkel oversikt over alle AI-systemer i bruk, inkludert skygge-bruk av gratisverktøy. Uten oversikt kan ingen av de andre grepene gjøres ordentlig.
2. Klassifiser etter risiko. Bruk tabellen over. De fleste havner i begrenset eller minimal risiko, men AI i rekruttering, kreditt eller HR-beslutninger krever spesiell oppmerksomhet frem mot 2027.
3. Avklar rollen deres per system. Bruker, leverandør eller begge? Videretrening og hvitmerking kan gjøre dere til leverandør med fullt ansvar.
4. Merk AI-innhold og AI-dialoger. Chatboter skal presentere seg som AI, og syntetisk innhold bør merkes allerede nå. Det koster lite og bygger tillit hos kunder uansett jus.
5. Dokumenter personvernvurderingene. GDPR gjelder all AI-bruk med persondata i dag. Databehandleravtaler med AI-leverandører og risikovurdering for sensitive data er minimum.
6. Bygg AI-kompetanse systematisk. Kompetansekravet i artikkel 4 gjelder i EU nå, og kommer hit med KI-loven. Start med grunnopplæring for alle ansatte og utpek interne superbrukere.
7. Utpek en ansvarlig. Noen i ledelsen bør eie AI-styringen: følge regelverksutviklingen, vedlikeholde systemoversikten og godkjenne ny AI-bruk.

Din situasjon	Hva gjelder deg nå	Første grep
Bruker kun AI-verktøy internt (tekst, analyse, møter)	GDPR i dag, KI-lovens åpenhetskrav fra 2027	Systemoversikt + grunnopplæring
Har kundevendt chatbot eller publiserer AI-innhold	Artikkel 50-kravene hvis dere når EU-brukere, god praksis uansett	Merk AI-dialoger og AI-innhold nå
Selger AI-funksjonalitet til kunder i EU	AI Act direkte, inkludert bøteregimet	Rolleavklaring + compliance-plan
Bruker AI i rekruttering, kreditt eller HR-beslutninger	GDPR nå, høyrisikokrav fra des. 2027	Risikovurdering + menneskelig kontroll
Videretrener modeller eller hvitmerker AI-produkter	Kan regnes som leverandør med fullt ansvar	Juridisk rolleavklaring før lansering

«Vi ser at norske bedrifter enten overdriver frykten eller ignorerer regelverket helt. Begge deler er dyrt. De som kartlegger AI-bruken sin nå og bygger kompetanse i rolig tempo, får dette som konkurransefortrinn i stedet for hastverksarbeid i 2027.»

Jonas Bakke
Daglig leder i Alura

Trenger dere hjelp med kartleggingen? Vi gjør dette som en fast del av arbeidet vårt med AI-strategi for norske bedrifter, og du kan booke 30 minutter for en konkret gjennomgang av hva KI-loven betyr for akkurat deres virksomhet.

Vanlige spørsmål

Hva er KI-loven, kort forklart?

KI-loven er Norges gjennomføring av EUs AI Act: et risikobasert regelverk som stiller krav til virksomheter som utvikler eller bruker AI. Jo høyere risiko, desto strengere krav. Forslaget var på høring sommeren 2025, og proposisjonen er varslet våren 2027 (Regjeringen).

Når trer KI-loven i kraft i Norge?

Tidligst i 2027. Regjeringen har varslet høring høsten 2026 og lovproposisjon våren 2027, og tidspunktet for EØS-innlemmelse er fortsatt uavklart (Digi.no, 2026).

Gjelder EU AI Act for norske bedrifter nå?

Ja, hvis dere tilbyr AI-systemer i EU-markedet eller AI-resultatene deres brukes i EU. Da gjelder blant annet transparenskravene og bøteregimet fra 2. august 2026. Rent norsk AI-bruk reguleres av GDPR i dag og av KI-loven når den kommer.

Hva er bøtene i AI Act?

Opptil 35 millioner euro eller 7 prosent av global årsomsetning for forbudt AI-praksis, og opptil 15 millioner euro eller 3 prosent for andre brudd. Håndhevingen startet 2. august 2026 (Gaming Tech Law, 2026).

Hva regnes som høyrisiko-AI?

Blant annet AI brukt i rekruttering og HR-beslutninger, kredittvurdering, utdanning, kritisk infrastruktur og rettsvesen. Kravene for disse systemene gjelder i EU fra 2. desember 2027, og fra 2. august 2028 for AI innebygd i regulerte produkter (Gibson Dunn, 2026).

Må vi merke AI-generert innhold?

I EU: ja, fra 2. august 2026, med overgangsfrist til 2. desember 2026 for maskinlesbar merking i eldre systemer. I Norge blir det krav med KI-loven, men merking allerede nå er billig, bygger tillit og gjør dere klare.

Hvem fører tilsyn med AI i Norge?

Nkom er utpekt som koordinerende tilsynsmyndighet for AI, mens Datatilsynet fører tilsyn med personvern ved AI-bruk. KI Norge og sandkassen under Digitaliseringsdirektoratet hjelper virksomheter med ansvarlig utvikling (Regjeringen, 2025).

Konklusjon: bruk utsettelsen godt

KI-loven kommer, men den kommer senere enn planlagt, og med lettere krav enn fryktet for folk flest. Det som derimot gjelder nå, er håndhevingen i EU, åpenhetskravene for alle som når EU-brukere, og personvernreglene som alltid har gjeldt. De neste stegene er ikke juridisk rakettforskning:

1. Lag systemoversikten denne måneden
2. Merk chatboter og AI-innhold nå
3. Avklar om dere er bruker eller leverandør per system
4. Sett opp grunnopplæring i AI for ansatte i høst
5. Utpek en ansvarlig som følger norsk fremdrift mot 2027

Denne artikkelen er veiledning, ikke juridisk rådgivning: er dere i tvil om egen klassifisering, snakk med advokat. Og vil dere ha en praktisk plan for AI-bruk som både skaper verdi og tåler regelverket som kommer, book en uforpliktende samtale med oss. Vi hjelper norske bedrifter med akkurat dette hver uke.

Kilder

• Regjeringen (2025). Lov om kunstig intelligens i Norge sendes nå på høring
• Regjeringen, EØS-notatbasen (2026). Omnibus VII, regelforenklinger i KI-forordningen
• Digi.no (2. august 2026). Nye EU-regler for KI: Norge og EØS henger ennå langt etter
• Nkom. KI-loven i et nøtteskall
• Nkom. Dette betyr KI-loven for deg
• Gibson Dunn (2026). EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes
• Gaming Tech Law (2026). EU AI Act: What Applies from 2 August 2026
• EUR-Lex. Forordning (EU) 2024/1689 (AI Act), fulltekst
• NHO (2025). Bruken av kunstig intelligens i norsk næringsliv øker
• Datatilsynet. Sandkasse for kunstig intelligens