AI Act og norske virksomheter: Hvem får nye krav, og hvem påvirkes i liten grad?

AI Act er bygget opp rundt en risikobasert tilnærming, der kravene avhenger av hvordan kunstig intelligens brukes og hvilke konsekvenser den kan få for mennesker og samfunn. To virksomheter kan derfor bruke AI hver dag, men møte helt ulike regulatoriske krav. 

For de fleste virksomheter er det ikke bransjen alene som avgjør hvor mye de påvirkes av AI Act. Det avgjørende er hvilke AI-systemer som er i bruk, hvilke data de behandler, og om de inngår i beslutninger som påvirker mennesker. 

AI Act skiller mellom ulike risikonivåer. Mens enkelte typer AI blir forbudt, vil de strengeste kravene gjelde såkalte høyrisikosystemer. 

Dette innebærer at mange virksomheter vil kunne bruke generative AI-verktøy uten omfattende nye forpliktelser, mens andre må etablere dokumenterte prosesser for risikovurdering, kontroll og oppfølging. 

Start med å avklare om virksomheten og AI-aktivitetene omfattes av regelverkets virkeområde. Vurder deretter kravene for hvert system ut fra virksomhetens rolle, tiltenkt bruk og aktuelle markeder.

For mange organisasjoner brukes AI primært som et verktøy som støtter ansatte i det daglige arbeidet. 

Eksempler kan være: 

• Generering av tekstutkast og innhold  
• Oppsummering av møter og dokumenter  
• Kodeassistanse for utviklere  
• Språkstøtte og oversettelser  
• Analyse av store mengder informasjon  

I slike tilfeller er det mennesker som tar beslutningene, mens AI fungerer som et produktivitetsverktøy. 

Selv om disse virksomhetene fortsatt bør ha oversikt over hvilke AI-løsninger som brukes, vil de normalt ikke møte de mest omfattende kravene i AI Act. 

Et annet bilde oppstår når AI blir en integrert del av operative prosesser. 

Innen industri, energi, transport og offshore brukes kunstig intelligens i økende grad til analyser, optimalisering og prediktivt vedlikehold. AI kan bidra til å identifisere avvik, forutsi feil eller anbefale tiltak basert på store datamengder. 

I slike tilfeller er ikke hovedutfordringen nødvendigvis menneskerettigheter eller diskriminering. Derimot øker behovet for kontroll med datakvalitet, sporbarhet og forståelse av hvordan AI-modellene påvirker beslutningsgrunnlaget. 

Mange virksomheter i disse sektorene vil derfor oppleve at AI Act skaper behov for bedre dokumentasjon og styring, selv om løsningene ikke nødvendigvis klassifiseres som høyrisikosystemer. 

AI som brukes som sikkerhetskomponent i styring og drift av kritisk infrastruktur (for eksempel forsyning av strøm, gass og varme), regnes som høyrisiko etter vedlegg III.

De mest omfattende kravene i AI Act er knyttet til AI-systemer som kan påvirke enkeltpersoners rettigheter, muligheter eller tilgang til viktige tjenester. Dette gjelder blant annet løsninger som brukes innen følgende fagområder.

AI som brukes til å rangere kandidater, filtrere søknader eller gi anbefalinger i ansettelsesprosesser kan omfattes av høyrisikokategoriene i regelverket. 

AI-løsninger som påvirker vurderinger av studenter eller beslutninger om utdanningsløp kan utløse strengere krav. 

AI som brukes til diagnostikk eller klinisk beslutningsstøtte er blant områdene som er underlagt betydelig regulering. 

Kommuner, direktorater og andre offentlige virksomheter må være særlig oppmerksomme dersom AI inngår i saksbehandling eller beslutninger som påvirker innbyggere. 

I disse tilfellene stiller AI Act krav til blant annet risikohåndtering, dokumentasjon, menneskelig kontroll og løpende oppfølging. 

For ledere er det derfor mer relevant å kartlegge virksomhetens AI-portefølje enn å forsøke å avgjøre om virksomheten «er omfattet av AI Act». 

To organisasjoner i samme bransje kan ha vidt forskjellige risikoprofiler. 

Et universitet som bruker AI til administrative oppgaver står overfor andre krav enn et universitet som bruker AI til vurdering av studenter. På samme måte vil en kommune som bruker generativ AI til tekstproduksjon ha et annet risikobilde enn en kommune som benytter AI i saksbehandling eller beslutningsprosesser. 

Det første steget mot beredskap for AI Act er derfor å etablere oversikt over hvilke AI-systemer som brukes i virksomheten, hvilke prosesser de inngår i, og hvilke konsekvenser de kan få dersom de gir feil resultater. 

For mange virksomheter vil AI Act ikke innebære omfattende nye krav på kort sikt. Likevel bidrar regelverket til å synliggjøre et behov som allerede eksisterer: behovet for kontroll over hvordan kunstig intelligens brukes i organisasjonen. 

Virksomheter som tidlig etablerer oversikt over AI-porteføljen sin vil være bedre rustet til å håndtere både regulatoriske krav og den raske utviklingen innen kunstig intelligens. 

Sist oppdatert: oktober 2026.

AI Act er ennå ikke gjennomført i Norge og er ennå ikke tatt inn i EØS-avtalen. I oppdateringen 4. august 2026 varslet regjeringen ny høring høsten 2026 og en ambisjon om å fremme lovforslaget for Stortinget våren 2027. Nkom er utpekt som koordinerende tilsynsmyndighet. Gjeldende norsk lov gjelder fortsatt.

AI Act (forordning (EU) 2024/1689) trådte i kraft 1. august 2024. I EU har forbudene mot enkelte former for AI-bruk og bestemmelsen om AI-kompetanse gjeldt siden 2. februar 2025, og reglene for generelle AI-modeller siden 2. august 2025. Digital Omnibus on AI (forordning (EU) 2026/1744, juli 2026) gjorde bestemmelsen om AI-kompetanse om til en plikt for tilbydere og brukere til å iverksette tiltak som støtter AI-kompetanse, la til forbud mot AI-systemer som lager intime bilder uten samtykke og overgrepsmateriale mot barn (gjelder fra 2. desember 2026), og utsatte fristene for høyrisikosystemer: Kravene til høyrisikosystemer i vedlegg III gjelder fra 2. desember 2027, og kravene til høyrisiko-AI i regulerte produkter (vedlegg I) fra 2. august 2028. Se EU-kommisjonens tidsplan, og vurder system, rolle og marked før dere legger en frist til grunn.

Selv om de strengeste kravene ikke gjelder for alle virksomheter i dag, er AI Act et tydelig signal om at myndighetene forventer mer kontroll, dokumentasjon og ansvarlighet rundt bruk av kunstig intelligens.