Digital strategi21. oktober 2026

AI Act for norske småbedrifter: Hva gjelder nå – og hva bør dere forberede?

AI Act omtales ofte som om alle norske bedrifter allerede har fått en lang liste med nye plikter. Det er for enkelt. I oktober 2026 er KI-forordningen fortsatt ikke gjennomført i norsk rett. Samtidig gjelder den i EU, norske virksomheter kan berøres gjennom aktivitet i EU, og eksisterende regler om personvern, arbeidsliv og kundebehandling gjelder allerede.[^2][^3][^1]

Illustrasjon av AI-regler, ansvar og risikovurdering for en norsk småbedrift.

Merk: Dette er generell informasjon, ikke juridisk rådgivning. Regler og veiledning kan endres, og konkrete vurderinger bør kvalitetssikres med kvalifisert juridisk rådgiver.

Bruker bedriften ChatGPT til tekst, Copilot i Microsoft 365 eller en chatbot på nettsiden? Da er det naturlig å spørre om AI Act gjelder.

Det korte svaret er: Det kommer an på hvor virksomheten opererer, hvilken rolle den har, og hva AI-systemet brukes til.

EU vedtok KI-forordningen for å regulere utvikling, omsetning og bruk av AI etter risiko. Reglene er strengest for systemer som kan påvirke sikkerhet eller grunnleggende rettigheter, og lettere for vanlige produktivitetsverktøy. I Norge skal forordningen innføres gjennom EØS-avtalen og en norsk KI-lov, men loven er ikke vedtatt og ikrafttredelsesdatoen er ikke fastsatt.[8] [3] [2]

Det betyr ikke at norske bedrifter bør vente. Det betyr at de bør forberede seg på en nøktern måte – uten å kjøpe et stort compliance-prosjekt før de vet hvilke systemer de faktisk bruker.

Først: Hvilken rolle har bedriften?

KI-forordningen skiller mellom flere aktører. For en mindre bedrift er disse særlig relevante:

Leverandør: Bedriften utvikler et AI-system eller tilbyr det under eget navn.
Bruker eller deployer: Bedriften bruker et AI-system som del av sin virksomhet.
Importør eller distributør: Bedriften bringer et system inn i markedet eller videreformidler det.

De fleste småbedrifter vil først og fremst være brukere. Men rollen kan endres dersom bedriften bygger en kundeløsning på toppen av en språkmodell og selger den under eget navn. Nkom fremhever at ansvaret og pliktene varierer gjennom systemets livsløp, og at hovedansvaret ofte ligger hos leverandøren.[9]

Hva brukes systemet til?

Et tekstverktøy som forbedrer en intern e-post er normalt mindre risikofylt enn et system som rangerer jobbsøkere, overvåker ansatte eller påvirker tilgang til viktige tjenester.

Start derfor med å beskrive bruken, ikke produktnavnet:

Hvilken beslutning eller oppgave støtter systemet?
Hvem blir påvirket av resultatet?
Brukes personopplysninger?
Kan et menneske kontrollere eller overstyre resultatet?
Hva er konsekvensen dersom systemet tar feil?

Samme modell kan være ufarlig i én arbeidsflyt og problematisk i en annen. Et generelt skriveverktøy kan brukes til å forbedre grammatikk, men også til å evaluere kandidater. Det er bruken og konsekvensene som må vurderes.

Fire risikonivåer

Forenklet kan AI Act forstås gjennom fire nivåer:

Forbudt bruk: Enkelte former for manipulasjon, sosial rangering og annen uakseptabel bruk.
Høy risiko: Systemer i nærmere definerte områder der feil kan få store konsekvenser.
Åpenhetsrisiko: Eksempelvis chatboter og enkelte former for AI-generert innhold.
Lav eller minimal risiko: Mange vanlige støtte- og produktivitetsverktøy.

Reglene for høyrisikosystemer er blitt forskjøvet gjennom EUs forenklingsarbeid. Norske ikrafttredelsesdatoer avhenger dessuten av EØS-prosessen og den norske KI-loven. Derfor bør en artikkel på Kakushin alltid ha en synlig «sist oppdatert»-dato.[10] [11] [3]

Hva med chatboten på nettsiden?

I EU gjelder det fra 2. august 2026 åpenhetskrav for visse interaktive AI-systemer. Når noen kommuniserer direkte med en chatbot, agent eller avatar, skal de få klar informasjon om at de kommuniserer med AI.[12] [13] [7]

En god chatbot bør derfor:

Presentere seg som en AI-assistent med en gang.
Forklare hva den kan og ikke kan hjelpe med.
Ikke late som den er et menneske.
Gi kunden en enkel vei til menneskelig hjelp.
Informere om relevant behandling av personopplysninger.
Ikke gi sikre svar dersom den mangler grunnlag.

Dette er uansett god praksis, også før et tilsvarende norsk krav trer i kraft.

Må alle ansatte på AI-kurs?

AI Act har regler om AI-kompetanse, ofte kalt AI literacy. I EU skal leverandører og brukere av AI-systemer iverksette tiltak som støtter tilstrekkelig kompetanse hos personer som bruker systemene på deres vegne. Tiltakene skal tilpasses personenes erfaring, opplæring, bruksområdet og menneskene som kan bli berørt.[14] [15]

Det finnes ikke ett obligatorisk kurs eller et generelt krav om ekstern sertifisering. En medarbeider som bruker AI til språkforbedring, trenger en annen opplæring enn en administrator som kobler AI til CRM, e-post og kundedata.[15] [16]

For norske virksomheter er dette foreløpig først og fremst en forberedelse til kommende regler og god intern styring, med mindre virksomheten omfattes gjennom aktivitet i EU.

Hva bør en liten bedrift gjøre nå?

En praktisk start består av fem dokumenter som kan være svært enkle:

Systemoversikt: Navn på verktøy, plan, leverandør og systemeier.
Formålsbeskrivelse: Hva verktøyet brukes til – og ikke skal brukes til.
Dataoversikt: Hvilke datatyper løsningen får tilgang til.
Kontrollrutine: Hvem som sjekker resultatet og kan stoppe løsningen.
Opplæringslogg: Hvem som har fått hvilken instruksjon.

Legg i tillegg inn informasjon om kundevendte chatboter, stemmeassistenter og AI-generert innhold. Dette er ikke en fullstendig juridisk vurdering, men det gir virksomheten oversikt før den eventuelt trenger fagjuridisk hjelp.

Tre typiske feil

Bedriften lager policy før den kartlegger verktøyene. Resultatet blir generelle regler som ikke passer hverdagen.
Alt overlates til IT-leverandøren. Leverandøren kan sikre teknikken, men bedriften må fortsatt definere formål, ansvar og akseptabel bruk.
AI Act behandles som det eneste regelverket. Personvern, arbeidsmiljø, diskriminering, markedsføring, opphavsrett og taushetsplikt kan være relevante allerede nå.

Neste steg i serien: AI-policy for småbedrifter: Reglene dere bør ha før ansatte deler kundedata med en chatbot og AI-opplæring i bedriften: Hva bør ansatte kunne – og hvordan dokumenterer dere det?.