EU AI Act 2026: Nye plikter for bedrifter

EU AI Act er verdens første omfattende lov for regulering av kunstig intelligens. Siden ikrafttredelsen 1. august 2024 har to faser allerede trådt i kraft, inkludert forbudet mot særlig farlige KI-praksiser (februar 2025) og pliktene for General Purpose AI (august 2025). 2. august 2026 følger den tredje og mest omfattende fasen med transparensforpliktelser, håndhevingsfullmakter, nye forbud og et bøtesystem.

I tillegg kommer Digital Omnibus on AI, en endringsforordning vedtatt i juni 2026, som justerer AI Act, forskyver frister og innfører nye forbud. Denne artikkelen forklarer alt som gjelder nå, hva som er utsatt og hva bedrifter må gjennomføre umiddelbart.

2. august 2026 trer følgende i kraft samtidig: transparensforpliktelser for KI-systemer (artikkel 50), plikter for fremme av KI-kompetanse (artikkel 4), operatørplikter inkludert risikovurdering og leverandørkontroll, håndhevingsmyndigheter for EU AI Office, nye forbud gjennom Digital Omnibus og den fullstendige bøtekatalogen.

Hva er EU AI Act

KI-forordningen (offisielt: forordning EU 2024/1689) etablerer et enhetlig rettslig rammeverk for kunstig intelligens i hele EU. Som GDPR gjelder den direkte i alle 27 medlemsland, uten nasjonale gjennomføringslover. Forordningen gjelder alle som tilbyr, tar i bruk eller bruker KI-systemer profesjonelt i EU, uavhengig av om bedriften har sitt sete i EU. Den følger en risikobasert tilnærming: KI-systemer deles inn i fire kategorier — forbudt, høyrisiko, begrenset risiko og minimal.

• Forbudt (f.eks. sosial poenggivning, manipulativ KI)
• Høyrisiko (f.eks. rekruttering, kredittvurdering)
• Begrenset risiko (f.eks. chatboter, deepfake-generatorer)
• Minimal (f.eks. spamfiltre, anbefalingsalgoritmer)

Hva som allerede gjelder

Siden 2. februar 2025 er visse KI-praksiser fullstendig forbudt: sosial poenggivning, manipulerende KI-systemer, biometrisk sanntidsgjenkjenning i det offentlige rom, emosjonsgjenkjenning på arbeidsplassen og i utdanningsinstitusjoner, samt vilkårlig innsamling av ansiktsbilder (TÜV Consulting, 2026). I tillegg må bedrifter i EU siden 2. februar 2025 sikre at deres ansatte har tilstrekkelig KI-kompetanse. Enhver person som jobber profesjonelt med KI-systemer, skal forstå deres grunnleggende funksjonsmåter, risikoer og begrensninger.

Siden 2. august 2025 gjelder plikter for tilbydere av General Purpose AI (KI med generelle bruksområder), inkludert teknisk dokumentasjon, sammendrag av treningsdata og opphavsrettsretningslinjer (TÜV Consulting, 2026). Hvert KI-system som er i bruk, må identifiseres og tilordnes en av de fire risikokategoriene.

AI Act skiller mellom to sentrale roller: tilbydere utvikler KI-systemer og bringer dem til markedet, operatører tar dem i bruk under eget ansvar i profesjonell sammenheng. Begge må fremme KI-kompetansen blant sine ansatte, selv om Digital Omnibus har senket standarden for denne forpliktelsen (Gibson Dunn, 2026). Operatører må i tillegg kontrollere om KI-verktøy fra tredjepartsleverandører oppfyller kravene i AI Act.

Forholdet til GDPR

AI Act og GDPR gjelder parallelt. GDPR beskytter personopplysninger, AI Act regulerer sikkerhet og transparens i selve KI-systemet. Den som bruker et KI-system som behandler personopplysninger, må oppfylle begge forordningene. Artikkel 10 i AI Act henviser uttrykkelig til GDPR når det gjelder treningsdata. Bedrifter som allerede gjennomfører personvernkonsekvensvurderinger, kan utnytte synergier. AI Act-pliktene kommer imidlertid i tillegg og erstatter ikke eksisterende personvernplikter. Det samme gjelder for den europeiske tilgjengelighetsloven (EAA), som forplikter bedrifter siden 2025 til tilgjengelig utforming av sine digitale tilbud.

Transparensforpliktelser fra 2. august 2026

Artikkel 50 i KI-forordningen regulerer transparensforpliktelsene som gjelder fra 2. august 2026. De gjelder både tilbydere og operatører av KI-systemer og utgjør den aktuelle reguleringsstatusen for de fleste bedrifter. Brudd straffes med bøter opptil 15 millioner euro eller 3 % av global årsomsetning (Verordnung EU 2024/1689, Art. 99).

Chatboter og KI-assistenter

Operatører av KI-systemer som samhandler direkte med personer, må informere disse personene om at de kommuniserer med et KI-system. Dette gjelder chatboter på nettsider, stemmeboter i kundesentre, KI-styrte telefonassistenter og virtuelle assistenter i apper. Informasjonen må gis senest ved begynnelsen av samhandlingen, altså før brukeren gjør sin første inntasting eller samtalen begynner.

Merkingen kan gjøres skriftlig, visuelt eller med lyd, avhengig av kommunikasjonskanalen. For en chatbot på en nettside er en synlig melding som "Du kommuniserer med en KI-assistent" tilstrekkelig. For telefonboter må meldingen gis muntlig i begynnelsen av samtalen. Et unntak gjelder kun når det for en gjennomsnittlig informert, oppmerksom og forstandig person er åpenbart at vedkommende samhandler med et KI-system. Merkingen må gjøres "tydelig og gjenkjennelig" (artificialintelligenceact.eu, 2026).

For bedrifter gjelder fra august 2026 et klart prinsipp: den som bruker KI, må være transparent om det. Brukere og betraktere må kunne gjenkjenne når de samhandler med en KI eller har KI-generert innhold foran seg. Merkingen trenger ikke være komplisert, en synlig melding på nettsiden eller i det aktuelle mediet er i de fleste tilfeller tilstrekkelig. Det avgjørende er at informasjonen er synlig før eller ved bruk og ikke først skjult i den juridiske informasjonen. Eneste unntak er innhold som en bedrift riktignok har laget med KI-støtte, men deretter selv har redigert innholdsmessig og publisert under eget redaksjonelt ansvar.

Deepfakes og manipulert innhold

AI Act definerer deepfakes som KI-generert eller manipulert bilde-, lyd- eller videoinnhold som ligner virkelige personer, objekter, steder eller hendelser og feilaktig kan fremstå som autentisk. Operatører som publiserer slikt innhold, må opplyse om KI-opprinnelsen senest ved første publisering (EU-Kommission FAQ, 2026). Dette gjelder ikke bare åpenbare forfalskninger, men også subtile manipulasjoner, for eksempel når en person i en video sier andre ord enn det som faktisk ble sagt.

For bedrifter er dette spesielt relevant innen markedsføring og reklame. KI-genererte produktbilder, virtuelle anbefalinger eller syntetiske stemmer i reklamevideoer må merkes som KI-generert når de gir inntrykk av å vise ekte personer eller scener. Rent dekorative eller abstrakte KI-bilder, som genererte bakgrunnsmønstre eller stilisert grafikk, faller ikke inn under deepfake-reguleringen, ettersom de ikke imiterer virkelige personer eller hendelser.

For kunstneriske, satiriske, fiktive eller lignende kreative verk er en diskret merking tilstrekkelig, som ikke forstyrrer brukeropplevelsen. En kort merknad i rulleteksten til en video eller en fotnote er nok. For alle andre deepfakes må merkingen være tydelig synlig og gis senest ved første publisering. Den tekniske gjennomføringen påhviler tilbyderne: de må utforme sine KI-systemer slik at det genererte innholdet er gjenkjennelig som KI-produsert i maskinlesbart format.

KI-genererte tekster

Tekster som er produsert av KI-systemer og publiseres om emner av allmenn interesse, må merkes som KI-generert. EU-Kommission FAQ definerer begrepet "allmenn interesse" bevisst vidt: det omfatter politikk, helse, miljø, økonomi, forbrukerbeskyttelse, vitenskap, utdanning og andre samfunnsmessig relevante emner. I praksis betyr dette at nesten enhver publisert KI-tekst faller inn under denne reguleringen, enten det er blogginnlegg, nyhetsbrev, pressemelding eller innlegg i sosiale medier.

Et viktig unntak: dersom teksten er underlagt reell menneskelig redaksjonell kontroll, bortfaller merkingsplikten. Det betyr at en person med faglig kompetanse har gjennomgått den KI-genererte teksten, verifisert fakta og tilpasset innholdet ved behov. Ren rettskrivningskorrektur eller overfladisk gjennomlesing er ikke tilstrekkelig. EU-Kommission FAQ presiserer: den som bare kopierer en KI-tekst og publiserer den uten innholdsmessig gjennomgang, kan ikke påberope seg unntaket. Den som derimot bruker et KI-utkast som utgangspunkt, redigerer innholdet faglig og godkjenner det på eget ansvar, trenger ikke å merke det.

Uavhengig av tekstmerkingen gjelder for tilbydere av KI-systemer en separat teknisk plikt: ethvert KI-system som produserer syntetisk innhold, enten det er bilder, video, lyd eller tekst, må merke dette i maskinlesbart format som KI-generert. Dette gjøres gjennom vannmerker, metadata, kryptografiske signaturer eller tilsvarende metoder. Spesielt for denne vannmerkeplikten gjelder en overgangsperiode: KI-systemer som allerede var på markedet før 2. august 2026, må implementere den maskinlesbare merkingen først fra 2. desember 2026 (Gibson Dunn, 2026). Innhold som ble produsert før 2. august 2026, trenger ikke å merkes i etterkant. De tilhørende tekniske standardene utvikles av CEN-CENELEC, men er ennå ikke endelig vedtatt.

Bøtekatalog: tre nivåer opptil 35 millioner euro

EU AI Act fastsetter et tretrinnssanksjonssystem som i sine øvre grenser klart overskrider GDPR (maksimalt 20 millioner euro eller 4 % av omsetningen) (Verordnung EU 2024/1689, Art. 99).

Brudd på forbudte KI-praksiser etter artikkel 5 straffes med opptil 35 millioner euro eller 7 % av global årsomsetning. Dette gjelder sosial poenggivning, manipulerende KI, ulovlig biometrisk gjenkjenning og de nye Omnibus-forbudene.

Brudd på transparensforpliktelsene (artikkel 50) samt plikter for tilbydere og operatører av høyrisiko-KI koster opptil 15 millioner euro eller 3 % av global årsomsetning.

Den som gir falske, ufullstendige eller villedende opplysninger til tilsynsmyndighetene, betaler opptil 7,5 millioner euro eller 1 % av global årsomsetning. For SMB-er og oppstartsbedrifter gjelder ved hvert nivå det laveste beløpet (fast beløp eller omsetningsandel), ikke det høyeste.

Fra 2. august 2026 begynner den aktive håndhevelsen. Tilsynsmyndighetene kan sanksjonere brudd på forbudene som har gjeldt siden februar 2025 og de nye transparensforpliktelsene med disse bøtene. EU AI Office overvåker GPAI-pliktene på europeisk nivå. I Tyskland overtar Bundesnetzagentur markedstilsynet, støttet av KI-MIG vedtatt av Forbundsdagen 11. juni (LTO.de, 2026).

Ulikt tempo i medlemsstatene

Fristen for å utpeke nasjonale KI-tilsynsmyndigheter utløp 2. august 2025. Gjennomføringsgraden varierer betydelig. Finland, Belgia og Polen har allerede etablert operative strukturer. Frankrike har utpekt CNIL som ansvarlig myndighet, men mangler per april 2026 fortsatt fullstendige tilsynsstrukturer. For bedrifter som opererer på tvers av landegrenser, betyr dette et fragmentert tilsynslandskap med ulike tolkninger (TÜV Consulting, 2026).

Hva bedrifter må gjøre nå

Utsettelsen av høyrisiko-pliktene er ingen grunn til passivitet. Transparensforpliktelsene gjelder fra 2. august 2026, og tilsynsmyndighetene begynner med aktive kontroller. Spesielt den som planlegger en ny nettside, bør ta hensyn til AI Act-kravene fra starten av i webdesignet.

KI-inventar og risikovurdering

Enhver bedrift bør kartlegge hvilke KI-systemer den bruker eller tilbyr. Enten det er chatbot på nettsiden, KI-støttet rekrutteringsverktøy, automatisert tekstgenerering eller KI-basert bilderedigering. Hvert system må identifiseres og tilordnes en risikokategori, for klassifiseringen avgjør hvilke plikter som gjelder, hvilken dokumentasjon som kreves og hvilke bøter som truer ved brudd (forbudt, høyrisiko, begrenset risiko, minimal). Samtidig må bedriftens egen rolle avklares.

Forbudt er KI-systemer som sosial poenggivning, manipulerende KI og biometrisk sanntidsovervåking i det offentlige rom. Høyrisiko-KI omfatter systemer i sensitive områder: personalutvelgelse og rekruttering, kredittvurdering, automatisert eksamensvurdering i utdanning, rettshåndhevelse og kritisk infrastruktur. Disse er underlagt de strengeste kravene med samsvarsvurdering og CE-merking (plikter utsatt til desember 2027).

Begrenset risiko gjelder chatboter, deepfake-generatorer og KI-tekstgeneratorer. For disse gjelder transparensforpliktelsene etter artikkel 50, altså merking og offentliggjøring (TÜV Consulting, 2026). Minimal risiko gjelder for eksempel spamfiltre, KI-støttet lageroptimalisering eller anbefalingsalgoritmer. Disse KI-systemene er ikke underlagt spesielle krav i AI Act.

Gjennomføre transparensforpliktelsene

For bedrifter gjelder fra august 2026 et klart prinsipp: den som bruker KI, må være transparent om det. Brukere og betraktere må kunne gjenkjenne når de samhandler med en KI eller har KI-generert innhold foran seg. Merkingen trenger ikke være komplisert, en synlig melding på nettsiden eller i det aktuelle mediet er i de fleste tilfeller tilstrekkelig. Det avgjørende er at informasjonen er synlig før eller ved bruk og ikke først skjult i den juridiske informasjonen. Eneste unntak er innhold som en bedrift riktignok har laget med KI-støtte, men deretter selv har redigert innholdsmessig og publisert under eget redaksjonelt ansvar. Som ved tilgjengelig nettstedsutforming handler KI-transparens også om å gjøre informasjon tilgjengelig og forståelig for alle brukere.

Opplæring og styring

Digital Omnibus har betydelig senket kravene til KI-kompetanseplikten. Det betyr imidlertid ikke at bedrifter kan ignorere temaet. Manglende opplæring kan ved brudd vurderes som en skjerpende omstendighet, mens dokumenterte opplæringsprogrammer kan være en formildende faktor. EU anbefaler en firetrinns tilnærming: skape generell KI-forståelse, avklare egen rolle i KI-bruk, vurdere risikonivåene til systemene som brukes, og utvikle målrettede tiltak per medarbeidergruppe.

Konkret må opplæringen tilpasses den enkelte arbeidsdag. Den som lager KI-tekster innen digital markedsføring, må kjenne merkingspliktene. Den som betjener en chatbot i kundeservice, trenger kunnskap om offentliggjøringsplikten. Og den som kjøper inn eller evaluerer KI-verktøy, bør kunne vurdere risikokategoriene i AI Act.

Større bedrifter bør i tillegg bygge opp en KI-styringsstruktur. Det krever ingen egen "KI-ansvarlig", men klare ansvarsfordelinger for etterlevelse av EU AI Act. Dette inkluderer et oppdatert KI-inventar, regelmessige risikovurderinger og en prosess for rapportering av alvorlige hendelser. Spesielt viktig er kontrollen av tredjepartsleverandører. Nettopp ved SaaS-verktøy som ChatGPT, Midjourney eller Copilot ligger transparensplikten hos operatøren, altså hos bedriften selv, ikke hos programvareleverandøren.

Lettelser for SMB-er og mellomstore bedrifter

Allerede den opprinnelige AI Act inneholdt lettelser for SMB-er, som lavere bøter og prioritert tilgang til regulatoriske sandkasser. Digital Omnibus on AI har utvidet denne avgrensningen betydelig: den strenge KI-kompetanseplikten ble nedgradert til en anbefaling, høyrisikofristene ble utsatt med 16 måneder, og med Small Mid-Caps ble det opprettet en ny kategori som dekker typiske mellomstore bedrifter (Deloitte, 2026).

Ved siden av den klassiske SMB-definisjonen (under 250 ansatte, under 50 millioner euro i omsetning) finnes det nå en ny kategori: Small Mid-Caps. Denne omfatter bedrifter med færre enn 750 ansatte og en årsomsetning på høyst 150 millioner euro (Orrick, 2026). For disse bedriftene gjelder forenklede dokumentasjonsplikter.

SMB-er og oppstartsbedrifter betaler ved bøter det laveste beløpet (fast beløp eller omsetningsandel), får prioritert tilgang til regulatoriske sandkasser og kan bruke forenklede skjemaer for teknisk dokumentasjon. Den som får utviklet en individuell webapplikasjon, kan inkludere disse lettelsene fra starten av i planleggingen.

Hva som kommer videre

2. desember 2027 blir høyrisiko-pliktene for selvstendige KI-systemer (vedlegg III) gjeldende, 2. august 2028 følger pliktene for KI i regulerte produkter (vedlegg I). Offentlige myndigheter har tid til august 2030 for tilpasning (Gibson Dunn, 2026).

Relaterte artikler

• BFSG-hurtigsjekk: Gjelder tilgjengelighetsplikten for min nettside?
• Tilgjengelig nettside: Veiledningen for bedrifter
• Webapplikasjonsutvikling: Slik skapes din individuelle webapplikasjon
• Individuell webdesign, fordeler og prosess med et byrå
• Digital markedsføring: Strategi, nettside, data

Kilder

• EU-Kommission: Retningslinjer for transparensforpliktelser for tilbydere og operatører av KI-systemer (2026)
• EU-Kommission: FAQ om transparensforpliktelser etter artikkel 50 i AI Act (2026)
• Verordnung (EU) 2024/1689, Artikkel 99 – Bøter
• Gibson Dunn: EU AI Act Omnibus Agreement – Postponed High-Risk Deadlines and Other Key Changes (2026)
• TÜV Consulting: EU AI Act 2026 – Mellomstatus (2026)
• Deloitte: EU AI Act – Digital Omnibus (2026)
• TÜV Consulting: Transparensforpliktelser i EU AI Act – Artikkel 50 (2026)
• artificialintelligenceact.eu: Transparency Rules – Article 50 Guide (2026)
• LTO.de: KI-tilsyn – Loven bak AI Act trer i kraft (2026)
• artificialintelligenceact.eu: Small Businesses Guide to the AI Act (2024)
• Orrick: EU's Digital Omnibus on AI – 7 Key Changes You Need to Know (2026)