Mange tror KI-loven allerede gjelder fullt ut i Norge. Det gjør den ikke, ennå. Samtidig har EU nettopp gjort store endringer i fristene sine. Her er en oppdatert og praktisk gjennomgang av hva som faktisk gjelder nå, hva som er utsatt, og hva du bør gjøre allerede i dag.
Det er lett å blande sammen to ting: EUs KI-forordning, ofte kalt AI Act, og den norske KI-loven som skal gjennomføre den her hjemme. De to følger ikke samme klokke.
AI Act er allerede delvis i kraft i EU. Men Norge er ikke EU-medlem, vi er EØS-land. Det betyr at forordningen må innlemmes i EØS-avtalen og deretter vedtas som norsk lov, før den binder norske bedrifter direkte. Den prosessen har tatt lengre tid enn planlagt, og sommeren 2026 ble skjøvet til et sted i 2027.
Samtidig har EU selv nettopp gjort noe som overrasket mange: de utsatte de strengeste kravene, for høyrisiko-KI, med over ett år. Vi måtte faktisk justere denne artikkelen underveis fordi EU rakk å endre reglene mens vi skrev den. Her er status slik den faktisk er per september 2026.
Verdens første omfattende regelverk for kunstig intelligens
KI-loven er den norske betegnelsen på EUs AI Act, verdens første brede regelverk for kunstig intelligens. Loven sorterer AI-systemer i fire risikokategorier, og krever mer jo høyere risikoen er for enkeltmennesker.
Forbudt. Gjelder blant annet sosial scoring av innbyggere og AI som manipulerer sårbare grupper. Svært få SMB-er berøres av dette nivået.
Strengt regulert. Gjelder blant annet AI i rekruttering, kredittvurdering og utdanning. Krever risikovurdering, dokumentasjon og menneskelig kontroll.
Gjelder chatboter og AI-generert innhold. Kravet er åpenhet, brukeren skal vite at de snakker med eller leser noe laget av AI.
Gjelder spamfiltre, tekstforslag og lignende. Ingen spesifikke krav utover det som allerede følger av annet regelverk.
Det viktige poenget for de fleste SMB-er: loven gjelder ikke bare de som bygger AI. Den gjelder også de som bruker AI-systemer i egen virksomhet, som et rekrutteringsverktøy med AI-filtrering eller en chatbot på nettsiden.
EU vedtok i juli 2026 å utsette de strengeste kravene betydelig
I mai 2026 ble EU-parlamentet og Rådet enige om en forenklingspakke for AI Act, gjerne kalt «Digital Omnibus». Den ble formelt vedtatt og trådte i kraft 27. juli 2026. Endringen ga blant annet mer tid før de strengeste kravene for høyrisiko-AI slår inn. Dette er datoene som gjelder i EU nå:
Forbud mot AI med uakseptabel risiko, som sosial scoring og manipulerende AI rettet mot sårbare grupper.
Regler for generelle AI-modeller, det som ligger under verktøy som ChatGPT og Claude.
Åpenhetskrav for chatboter og AI-generert innhold. Brukeren skal kunne se at det er AI.
Krav om vannmerking av KI-generert innhold trer i kraft.
Hovedkravene for frittstående høyrisiko-AI, som rekrutteringsverktøy og kredittvurdering.
Krav til høyrisiko-AI som inngår i regulerte produkter, som medisinsk utstyr og maskiner.
Merk at dette er EU sin tidslinje. Den binder norske bedrifter kun indirekte, gjennom leverandører som selger inn i EU-markedet. Den norske loven har sin egen, senere klokke.
Den norske KI-loven er utsatt, men det betyr ikke at du kan vente
Regjeringen sendte i juni 2025 et utkast til norsk KI-lov ut på høring, med mål om ikrafttredelse «sensommeren 2026», om lag samtidig med EU. Den planen holdt ikke. Norge må først forhandle med EU om nødvendige EØS-tilpasninger og innlemme selve forordningen i EØS-avtalen, før den norske loven kan vedtas. Per august 2026 er tidspunktet fortsatt uklart, og regjeringen sikter nå mot å legge frem et lovforslag for Stortinget våren 2027.
Praktisk betyr dette at norske bedrifter i dag ikke er direkte bundet av en norsk KI-lov. Men det er langt fra det samme som at regelverket er irrelevant:
Digitaliseringsdirektoratet har allerede etablert en KI-sandkasse og støttestrukturer som KI Norge, nettopp for å hjelpe virksomheter i gang før loven formelt er på plass.
En norsk AI-forskers perspektiv
Inga Strümke, fysiker og AI-forsker ved NTNU og forfatter av boken «Maskiner som tenker», er en av Norges mest markante stemmer i AI-debatten. Hun er ikke en ukritisk tilhenger av regulering for reguleringens egen skyld, men mener likevel EUs regelverk løser et reelt problem.
Poenget hennes er verdt å ta med seg inn i egen bedrift: AI er en sterk kommersiell kraft, og et system som ikke er tenkt gjennom kan påvirke kunder på måter dere selv ikke helt har kontroll på. Regelverket er ikke bare byråkrati, det er også en sjekkliste for god praksis dere uansett bør følge.
Ingen av disse krever at loven er trådt i kraft. De er god praksis uansett, og de sparer dere for en brå overgang når regelverket blir norsk.
Hvilke verktøy bruker dere, og til hva? De fleste bedrifter blir overrasket over hvor mange AI-funksjoner som allerede er i bruk, ofte innbakt i eksisterende programvare.
De aller fleste SMB-verktøy havner i minimal eller begrenset risiko. Er dere usikre på et verktøy, er det verdt å avklare det tidlig fremfor å anta.
Ett dokument på en side om hva som er greit å bruke AI til, og hva som ikke er det, gir tryggere ansatte og et bedre utgangspunkt om dere blir spurt.
Særlig ved rekruttering, kredittvurdering eller andre beslutninger som påvirker enkeltpersoner direkte. Det er både god skikk og fremtidig lovkrav.
Skriv ned hvilke verktøy dere bruker og hvorfor. Det koster lite nå, og det er nettopp denne dokumentasjonen loven til slutt kommer til å be om.
Svarene på det vi oftest blir spurt om
Ikke som norsk lov, nei. EUs AI Act er delvis i kraft i EU, men den må først innlemmes i EØS-avtalen og deretter vedtas av Stortinget før den binder norske bedrifter direkte. Regjeringen sikter nå mot et lovforslag våren 2027. Fram til da gjelder regelverket norske bedrifter først og fremst indirekte, gjennom leverandører og kunder i EU-markedet.
EU-parlamentet og Rådet ble i mai 2026 enige om en forenklingspakke, «Digital Omnibus», som trådte i kraft 27. juli 2026. Hovedbegrunnelsen var at nødvendige tekniske standarder og støtteverktøy ikke var klare i tide. Hovedkravene for frittstående høyrisiko-AI er nå utsatt til desember 2027, mer enn et år senere enn opprinnelig plan.
De fleste vanlige verktøy, som skriveassistenter, chatboter og analyseverktøy, havner i minimal eller begrenset risiko. Begrenset risiko krever i hovedsak åpenhet, at kunden vet de snakker med AI. Høy risiko er reservert for systemer som påvirker enkeltmenneskers rettigheter direkte, som rekruttering, kredittvurdering og utdanning.
Nei. De fleste tiltakene, som å kartlegge AI-bruken og lage en enkel intern retningslinje, koster lite og gir verdi uavhengig av regelverket. Å vente til loven er vedtatt betyr en brå omstilling i stedet for en gradvis tilpasning. Mange av verktøyene dere allerede bruker er dessuten bygget av leverandører som følger EU-reglene uansett.
Det trenger ikke være komplisert. Et enkelt, ett-siders dokument om hva AI kan og ikke kan brukes til i deres virksomhet, hvem som har ansvar, og hvordan dere håndterer kundedata, dekker det aller meste for en liten bedrift. Det er også nyttig internt, for å unngå at ansatte bruker AI-verktøy på ulikt vis uten noen felles forståelse.
Digitaliseringsdirektoratet har etablert en KI-sandkasse og støttestrukturer som KI Norge for virksomheter som vil komme i gang tidlig. Marketingtec hjelper også SMB-bedrifter med å kartlegge AI-bruk og sette opp enkle interne retningslinjer, som en del av synlighetsanalysen eller som eget oppdrag.
Ole Horstad er grunnleggeren av Marketingtec, en digital strategi- og AI-rådgivningstjeneste basert i Stavanger, Rogaland. Han har over 30 års erfaring innen markedsføring og ledelse og en mastergrad fra BI Norwegian Business School. Marketingtec er spesialisert på å hjelpe norske SMB-bedrifter med digital synlighet, AI-strategi og praktisk automatisering, med fokus på forretningsverdi fremfor teknologitrend.
Kilder: Regulation (EU) 2026/1744 («AI Omnibus»), i kraft fra 27. juli 2026. Digi.no, «Nye EU-regler for KI: Norge og EØS henger ennå langt etter» (august 2026). Regjeringen.no, høringsnotat om norsk KI-lov (juni 2025). Forskning.no, intervju med Inga Strümke, NTNU. Ole Horstad er digital strateg og AI-rådgiver for norske SMB-er hos Marketingtec, og dette er ikke juridisk rådgivning. Kontakt en advokat for vurderinger som gjelder egen virksomhet.
Marketingtec hjelper norske SMB-bedrifter å kartlegge AI-verktøy, sette opp enkle retningslinjer og komme i forkant, uten juridisk tungt språk. Ta en uforpliktende prat. 30 minutter.